Must read

Een veilig netwerk door de ogen van Loek: De uitdagingen van netwerksegmentatie

In deel 1 en deel 2 vertelde ik wat netwerksegmentatie is en hoe je hier firewall policies op toe dient te passen. Deel 3 van de serie staat in het teken van de uitdagingen bij de implementatie van netwerksegmentatie en hoe je hier het beste mee om kunt gaan.

Regelmatig ontvangen wij het verzoek om te starten met poort security of Network Access Control (NAC). Wij adviseren echter altijd om te starten met netwerksegmentatie. Netwerksegmentatie is namelijk de basis van een veilig netwerk.

De implementatie van netwerksegmentatie vergt de nodige inspanning. Wanneer er gestart wordt, dienen apparaten namelijk overgebracht te worden naar het juiste segment, bijvoorbeeld een printer van DATA naar PRINT. Een dergelijke overdracht betekent ook dat er wijziging in het IP adres gaat plaatsvinden. IP adressen kunnen op twee manieren geconfigureerd worden: statisch en dynamisch.

  • Statische IP-adressen: apparaten die op een vaste plek geconfigureerd zijn. Een verhuizing hiervan kan een uitdaging zijn. In sommige gevallen is het slechts een kleine aanpassing, maar het kan ook zo zijn dat iemand op locatie nodig is om de device te verhuizen.
  • Dynamische IP-adressen: apparaten die niet gebonden zijn aan een vaste plek en dus beschikken over flexibiliteit. Deze apparaten krijgen een IP-adres toegewezen via een DHCP-server. Dit apparaat deelt IP-adressen uit binnen gedefinieerde segmenten. Bij TCC raden we in de meeste gevallen aan om gebruik te maken van dynamische adressen. Slechts in enkele gevallen is dit niet wenselijk, bijvoorbeeld bij een dedicated segment voor server.

Apparaten die niet eenvoudig te migreren zijn, heten Specials. Deze apparaten zijn heel specifiek voor een selecte groep klanten. Niet elke klant beschikt namelijk over een slimme deurbel, camera’s of zonnepanelen.

Segmenten in categorieën

Zodra het netwerk gesegmenteerd is, kunnen de segmenten onderverdeeld worden in twee categorieën: managed segmenten en unmanaged segmenten.

Managed segmenten: apparaten in deze segmenten staan onder controle en worden periodiek voorzien van benodigde software-updates. Software updates zijn nodig om:

  • De attack surface (alle punten waarop een aanvaller kan proberen het systeem binnen te dringen) zoveel mogelijk te verkleinen;
  • Te voldoen aan de wens van de leverancier om altijd de laatste stable release (de meest recente, stabiele update) actief te hebben;
  • Actieve monitoring op afwijkend gedrag te kunnen toepassen.

Unmanaged segmenten: er zijn apparaten waarbij na ingebruikname geen duidelijke afspraken zijn gemaakt over beheer en onderhoud. Hier wordt vervolgens nauwelijks meer naar omgekeken, maar bij problemen wordt de leverancier geraadpleegd. Dit leidt tot additionele risico’s en is niet wenselijk.

Ondanks dat de implementatie van netwerksegmentatie enkele moeilijkheden kent, is het toch enorm aan te raden. Met een correcte segmentatie bereik je de volgende doelstellingen:

  • Het voorkomen van lateral movement (zie het eerste artikel voor meer uitleg);
  • Het toepassen van Zero-Trust op firewallniveau;
  • Toegang tot segmenten op basis van restricted access, enkel toegang voor noodzakelijk verkeer;
  • Inzicht in toegepaste datastromen.

Wil jij meer weten over netwerksegmentatie of netwerk security in het algemeen? Ik help je graag. Neem contact op door een mail te sturen naar l.canisius@thecomputercompany.nl.

Lees ook deze actualiteiten, must reads, publicaties en evenementen

Must read

Hybride & veilig werken binnen het MKB – download de whitepaper

De opmars van het hybride werken brengt, naast de vele voordelen, ook beveiligingsrisico's met zich mee. In de whitepaper lees je hoe je hier mee om kunt gaan!
Nieuws

Microsoft stopt met de ondersteuning van Windows Server 2012

Per 10 oktober 2023 stopt Microsoft met de extended support van Windows Server 2012 (R2). Vanaf deze datum zullen geen nieuwe beveiligingsupdates meer beschikbaar worden.
Must read

Een veilig netwerk door de ogen van Loek: Cisco Secure Client ‘Anytime Anywhere’

Met de Secure Client van Cisco beheer je de beveiliging van het netwerk vanuit een centraal punt. Loek vertelt je meer!
Nieuws

Van OSTicket naar Autotask

Op 6 december hebben we het ticketsysteem OSTicket definitief ingeruild voor de PSA software van Autotask. Zo optimaliseren we onze dienstverlening.
Nieuws

Kom een gratis kerstboom halen bij TCC

Op woensdag 7 en donderdag 8 december kunnen relaties en medewerkers van TCC een gratis kerstboom afhalen in Maastricht

Liever direct contact met één van onze medewerkers? Neem contact op ›

Lees de gratis whitepaper
'Hybride & veilig werken binnen het MKB'

    Deze website maakt gebruik van cookies.