Microsegmentatie en softwaregedefinieerde perimeters

Netwerkverkeer stroomt in twee richtingen. Noord-zuidverkeer stroomt tussen gebruikers of internet en interne resources (verticaal). Oost-westverkeer stroomt tussen workloads binnen het datacenter (horizontaal). Traditionele firewalls inspecteren vooral noord-zuidverkeer. Microsegmentatie richt zich op oost-westverkeer — de route die aanvallers gebruiken om zich na een eerste inbreuk tussen interne systemen te verplaatsen.

Software-Defined Networking (SDN) scheidt de besturingslaag (beslissingen over waar verkeer naartoe gaat) van de datalaag (het daadwerkelijk doorsturen van pakketten). Een gecentraliseerde SDN-controller programmeert netwerkapparaten met doorstuurregels, waardoor microsegmentatie in software kan worden geïmplementeerd zonder fysieke switches opnieuw te configureren. Daardoor kunnen beleidswijzigingen in grote omgevingen snel, consistent en controleerbaar worden uitgevoerd.

Een Software-Defined Perimeter (SDP) maakt netwerkresources standaard onzichtbaar — ze reageren niet op niet-geauthenticeerde verbindingspogingen. Gebruikers authenticeren eerst bij een SDP-controller. Die controleert de identiteit en apparaatstatus en maakt vervolgens dynamisch een versleutelde tunnel aan naar alleen de specifieke resources waartoe ze toegang hebben. Hierdoor worden verkenning op netwerkniveau en routes voor laterale beweging geëlimineerd.

Zero Trust Network Access (ZTNA) is de productcategorie die SDP-concepten implementeert. In tegenstelling tot een VPN, die brede netwerktoegang verleent, geeft ZTNA alleen toegang tot specifieke applicaties. De gebruiker maakt verbinding met een ZTNA-broker, die de identiteit en het apparaat authenticeert en vervolgens verbindingen doorstuurt naar de doelapplicatie. Populaire implementaties zijn Cloudflare Access, Zscaler Private Access en Palo Alto Prisma Access.

Cloudplatforms bieden ingebouwde hulpmiddelen voor microsegmentatie. AWS Security Groups staan nauwkeurige inkomende en uitgaande regels per EC2-instantie toe. Azure NSG's (Network Security Groups) worden toegepast op subnet- of NIC-niveau. Google VPC Firewall Rules kunnen worden beperkt tot tags. Ze werken allemaal volgens een model met impliciete weigering — alleen expliciet toegestaan verkeer stroomt door — waardoor ze natuurlijke bouwstenen zijn voor microsegmentatie in cloudomgevingen.

In gecontaineriseerde omgevingen implementeren service meshes zoals Istio en Linkerd microsegmentatie via wederzijdse TLS (mTLS) tussen pods. Elke aanroep tussen services wordt geauthenticeerd en versleuteld, en autorisatiebeleid bepaalt expliciet welke services met elkaar mogen communiceren. Hiermee worden de oost-westcontroles van Zero Trust doorgetrokken tot afzonderlijke microservices in Kubernetes-clusters.

Traditionele netwerksegmentatie gebruikt VLAN's, DMZ's en subnetten om brede beveiligingszones te maken. Microsegmentatie is veel fijnmaziger — beleid wordt toegepast op workload- of procesniveau, niet op subnetniveau. Een VLAN kan 50 servers bevatten die allemaal vertrouwd worden om met elkaar te communiceren; microsegmentatie zorgt ervoor dat alleen specifieke servers in dat VLAN specifieke poorten op specifieke peers kunnen bereiken, waardoor routes voor laterale beweging sterk worden beperkt.

Effectieve microsegmentatie vereist volledig inzicht in bestaande netwerkstromen voordat beleid wordt toegepast. Hulpmiddelen voor detectie brengen de daadwerkelijke communicatiepatronen tussen workloads in kaart. Een gebruikelijke aanpak is om eerst de controlemode in te schakelen — observeer al het verkeer en genereer voorgesteld beleid — en daarna over te schakelen naar de afdwingmodus om niet-geautoriseerde verkeersstromen te weigeren. Zo voorkom je dat legitiem verkeer tijdens de uitrol per ongeluk wordt geblokkeerd.

Het belangrijkste beveiligingsvoordeel van microsegmentatie is het verkleinen van de impact. Als een aanvaller een werkstation in het verkoop-VLAN compromitteert, voorkomt microsegmentatiebeleid dat dit werkstation communiceert met de financiële database, het HR-systeem of domeincontrollers. De aanvaller blijft geïsoleerd in het segment waarin die is binnengekomen, waardoor het incident eenvoudiger kan worden ingeperkt en verholpen voordat er grootschalige schade ontstaat.

In deze les heb je geleerd dat microsegmentatie netwerken op workloadniveau opdeelt om laterale verplaatsing te beperken, dat softwaregedefinieerde perimeters bronnen onzichtbaar maken totdat de identiteit is geverifieerd, en dat ZTNA VPN's vervangt door toegang op applicatieniveau te verlenen in plaats van op netwerkniveau. Hierna bekijken we hoe identiteit de nieuwe perimeter wordt via beleid voor voorwaardelijke toegang.