Netwerksegmentatie en zones

VLAN's (virtuele lokale netwerken) zijn het meest gebruikte hulpmiddel voor segmentatie. Eén switch kan meerdere VLAN's bevatten, elk met een eigen broadcastdomein. Zo kun je bijvoorbeeld medewerkers, gasten en servers scheiden, ook al delen ze dezelfde hardware.

Apparaten in verschillende VLAN's kunnen niet rechtstreeks met elkaar communiceren. Hun verkeer moet via een router of firewall gaan; precies daar pas je beveiligingsregels tussen segmenten toe.

Elk segment krijgt doorgaans zijn eigen IP-subnet. Om tussen subnetten te communiceren, moet verkeer een router of layer-3-switch passeren. Dat is het natuurlijke knooppunt waar je beleid afdwingt.

Door VLAN's op subnetten af te stemmen en de routering ertussen te beheren, bepaal je precies welke segmenten met elkaar mogen communiceren en via welke poorten. Zo creëer je afdwingbare grenzen.

Netwerken worden vaak ingedeeld in zones met verschillende vertrouwensniveaus:

• Vertrouwd/intern: het beschermde bedrijfs-LAN.
• Niet-vertrouwd/extern: het internet.
• DMZ (gedemilitariseerde zone): een buffer met beperkt vertrouwen voor publiek toegankelijke servers.

Firewalls staan tussen zones en zorgen ervoor dat verkeer alleen in goedgekeurde richtingen en via goedgekeurde poorten stroomt.

Een DMZ bevat servers die vanaf het internet bereikbaar moeten zijn, zoals web- en e-mailservers, in een zone die gescheiden is van het interne netwerk. Als een publieke server wordt gecompromitteerd, zit de aanvaller vast in de DMZ en niet in het vertrouwde LAN.

Met firewallregels kan het internet de DMZ via specifieke poorten bereiken, terwijl de DMZ slechts zeer beperkt verbindingen naar het interne netwerk mag starten.

Microsegmentatie voert dit idee tot het uiterste door: in plaats van enkele grote zones isoleer je afzonderlijke werklasten of zelfs afzonderlijke apparaten en beheer je het verkeer tussen elk daarvan.

Dit wordt vaak gebruikt in datacenters en zero-trustontwerpen. Zelfs twee servers in hetzelfde gebied moeten dan expliciet toestemming krijgen om met elkaar te communiceren. Dit beperkt laterale verplaatsing drastisch, omdat niets standaard zijn buren vertrouwt.

Twee praktische voordelen van segmentatie zijn: plaats gast-wifi in een eigen segment, zodat bezoekers wel het internet kunnen bereiken maar nooit je interne systemen, en isoleer IoT-apparaten (Internet of Things), zoals camera's en slimme sensoren, die vaak slecht beveiligd zijn.

Als je deze niet-vertrouwde apparaten van het hoofdnetwerk weghoudt, kan een gehackte camera geen toegangspoort tot je gevoelige systemen worden.

Regelgeving vereist vaak segmentatie. Zo schrijft PCI DSS (standaard voor gegevensbeveiliging in de betaalkaartsector) voor dat systemen die kaartgegevens verwerken, van de rest van het netwerk moeten zijn geïsoleerd.

Door systemen die binnen de reikwijdte vallen te segmenteren, verbeter je de beveiliging en verklein je het gebied dat auditors moeten onderzoeken. Dat maakt naleving eenvoudiger en goedkoper en beschermt tegelijkertijd de gevoeligste gegevens.

Segmenten alleen doen niets zonder afdwinging. Firewalls en ACL's (toegangscontrolelijsten) op de grenzen bepalen welk verkeer mag worden doorgelaten. De standaardinstelling moet weigeren zijn: blokkeer alles en sta daarna alleen toe wat expliciet nodig is.

Deze standaardinstelling om alles te weigeren, toegepast op elke grens tussen segmenten, maakt van netwerkindelingen echte beveiligingsbarrières in plaats van lijnen op een diagram.

Segmentatie splitst een netwerk op in VLAN's, subnetten en vertrouwenszones, zodat problemen binnen één gebied blijven. Een DMZ beschermt publieke servers, microsegmentatie isoleert afzonderlijke werklasten en gast- en IoT-netwerken houden niet-vertrouwde apparaten apart. Firewalls en ACL's met een beleid waarbij alles standaard wordt geweigerd, dwingen deze grenzen af en beperken hoe ver een aanval zich kan verspreiden.

Segmentatie verdeelt een netwerk in geïsoleerde delen (via VLAN's en subnetten) om aanvallen binnen één gebied te houden en de impact van een incident te beperken. Beveiligingszones zoals vertrouwd, niet-vertrouwd en de DMZ scheiden vertrouwensniveaus, terwijl microsegmentatie afzonderlijke werklasten isoleert. Firewalls en ACL's dwingen de grenzen af met een beleid waarbij alles standaard wordt geweigerd en helpen bij naleving van regelgeving.