Netwerksegmentatie en firewalls uitgelegd

Wat is netwerksegmentatie?

Bij netwerksegmentatie deel je het netwerk op in afzonderlijke zones, zodat belangrijke informatie en systemen niet allemaal in één open geheel staan. Het NCSC raadt aan om belangrijke informatie en systemen van elkaar te scheiden, bij voorkeur in meerdere (virtuele) zones. Die scheiding voorkomt in de basis dat een virus of aanvaller zich binnen het bedrijfsnetwerk kan verspreiden.

Zones bepaal je op basis van gevoeligheid of functie. Begin dus met de vraag welke gegevens en systemen je het zwaarst moet beschermen, en welke onderdelen geen reden hebben om rechtstreeks met de rest te praten. Het antwoord bepaalt waar de grenzen komen te liggen.

Volgens het NCSC kan netwerksegmentatie de impact van een mogelijke cyberaanval drastisch beperken. Het NCSC noemt het ook complex om zelf op te zetten en adviseert om met je IT-dienstverlener te bespreken of en hoe het voor jouw organisatie toepasbaar is. Vacatures die over netwerkbeveiliging gaan, vind je onder netwerkbeveiliging.

Wat doet een firewall?

Volgens NIST SP 800-41 Rev. 1, uitgebracht in september 2009, is een firewall een apparaat of programma dat de stroom netwerkverkeer tussen netwerken of hosts regelt, met verschillende beveiligingsniveaus. Het NIST-glossarium geeft een kortere definitie: een gateway die de toegang tussen netwerken beperkt volgens het lokale beveiligingsbeleid.

Het NCSC beschrijft het zo: met een firewall controleer en beheer je welke verbindingen tussen jouw netwerk en andere netwerken worden opgezet. In het eenvoudigste geval gaat het om de verbinding tussen het bedrijfsnetwerk en internet. Volgens NIST staan firewalls dan ook vaak aan de rand van een netwerk. NIST beschrijft ook het gebruik binnen het netwerk: veel bedrijfsnetwerken beperken de verbindingen van en naar interne netwerken met gevoeligere functies, zoals boekhouding of personeelszaken.

Een firewall werkt op basis van regels. Elke verbinding wordt tegen die regels gelegd. De kwaliteit van de regels bepaalt daarmee wat de firewall in de praktijk doet. Netwerkadresvertaling (NAT) hoort niet bij de firewalltechnieken: NIST noemt het een routeringstechniek.

Welke soorten firewalls zijn er?

NIST beschrijft meerdere firewalltechnieken in SP 800-41 Rev. 1. Ze verschillen in hoeveel ze van het verkeer begrijpen, en daarmee in wat ze kunnen tegenhouden. Het document dateert van 2009. De principes erin, zoals deny by default, zones en meerdere lagen, worden vaak nog steeds gebruikt.

Een firewall kan alleen beoordelen wat hij kan inspecteren. Veel protocollen versleutelen hun inhoud, zoals IPsec, TLS, SSH en SRTP, en een firewall kan die gegevens dan niet lezen. Ook getunneld verkeer is lastig te interpreteren. Een organisatie heeft daarom beleid nodig voor verkeer dat de firewall niet kan begrijpen.

NIST schrijft dat firewalls vaak met andere technieken worden gecombineerd, zoals contentfiltering of technologie die aanvallen voorkomt. Producten combineren daarom vaak meerdere technieken in één pakket.

Wat is een DMZ en hoe richt je zones in?

Volgens NIST bestaat er geen technische definitie van een DMZ (demilitarized zone). Meestal zijn het interfaces op een routerende firewall die lijken op de interfaces aan de beschermde kant. Het belangrijkste verschil is dat verkeer tussen de DMZ en de andere interfaces nog steeds door de firewall gaat, en dat er beleid op kan staan. Gebruikelijk is het om publiek toegankelijke servers, zoals web- en mailservers, in de DMZ te zetten.

Een firewall hoort volgens NIST aan de rand van een logische netwerkgrens, maar met extra firewalls kun je ook grenzen binnen het netwerk maken. Meerdere lagen firewalls zijn volgens NIST vrij gebruikelijk voor defense-in-depth. Een binnenste firewall rond de boekhoudafdeling zorgt bijvoorbeeld dat alleen die afdeling bij de boekhoudbestanden kan. Een firewall tussen het draadloze netwerk voor bezoekers en het interne netwerk voorkomt dat bezoekers dezelfde rechten krijgen als medewerkers.

NIST waarschuwt wel dat de beheerder van een binnenste firewall niet mag aannemen dat de buitenste firewall bepaald verkeer al tegenhoudt. Relevante regels kopieer je daarom beter naar de binnenste firewall. Meerdere lagen maken problemen ook lastiger op te sporen.

Een organisatie kan bijvoorbeeld een zone hebben voor publiek toegankelijke diensten (de DMZ), een zone voor werkplekken, een voor servers en databases, een voor beheer, een gastnetwerk en een zone voor bijzondere systemen zoals productie-installaties of medische apparatuur. Of dat past, hangt af van de organisatie.

Voor OT-omgevingen, zoals productie-installaties, adviseert het NCSC om de OT-omgeving te scheiden van de IT-omgeving. Ontwikkel eerst een netwerksegmentatiearchitectuur en -aanpak, en zorg voor de scheiding met het IT-netwerk, bijvoorbeeld met een dubbele firewall met DMZ-constructie. Voor het kader rond OT-beveiliging zie IEC 62443 en OT-security en de vacatures met IEC 62443.

Hoe werkt een firewallbeleid?

Het beleid bepaalt wat de firewall in de praktijk tegenhoudt. NIST adviseert deny by default: het verkeer dat het beleid niet uitdrukkelijk toestaat, wordt geblokkeerd. Dat is volgens NIST veiliger dan alles toestaan wat niet uitdrukkelijk is verboden.

Voordat het beleid er ligt, bepaalt een risicoanalyse welk verkeer de organisatie echt nodig heeft. Dat werk is minder zichtbaar dan de aanschaf van een apparaat. Het beleid documenteer je in het systeembeveiligingsplan. NIST adviseert het vaak bij te werken en richtlijnen op te nemen voor wijzigingen in de regels.

Wijzigingen in regels horen door een vast proces te gaan, en je test ze voordat ze live gaan. Twee dingen helpen daarbij vaak: regels opschonen zodat verouderde regels verdwijnen, en per regel één eigenaar aanwijzen die weet waarvoor die bestaat.

Een firewall let niet alleen op wat binnenkomt. Beperk ook wat vanuit een zone naar buiten mag, want dat kan het contact van een besmet systeem met een aanvaller beperken. Firewalllogs kun je verzamelen in een SIEM, zodat geblokkeerd en verdacht verkeer zichtbaar blijft.

Valkuilen zijn regels die nooit worden opgeruimd, tijdelijke any-any-regels die permanent blijven staan, en segmenten die via een beheerdersaccount of een ontbrekende regel toch bereikbaar zijn.

Segmentatie en zero trust

NIST SP 800-207, Zero Trust Architecture uit augustus 2020, beschrijft een variant waarbij afzonderlijke middelen of groepen middelen op een eigen netwerksegment staan, beschermd door een gateway zoals een intelligente switch, router of next generation firewall. Een organisatie kan dat ook per endpoint doen, met software-agents of firewalls op de apparaten zelf. Dat heet host-based micro-segmentation. Voor het bredere model achter micro-segmentatie zie zero trust uitgelegd en de vacatures met zero trust.

NIST schrijft dat je sommige kenmerken van micro-segmentatie ook met eenvoudigere gateways of stateless firewalls kunt bereiken. Door de beheerkosten en de moeite om snel op veranderingen te reageren is dat volgens NIST wel een zeer slechte keuze.

Het NCSC adviseert onder het kopje "Begin klein" om te beginnen met het beperken van de toegang tussen bestaande netwerksegmenten. Kleinere segmenten vragen meer beheer, dus houd daar rekening mee voordat je de segmenten verder opdeelt.

Een voorbeeld: ransomware op een kantoornetwerk

Stel dat een medewerker een bijlage opent in een phishingmail, en dat de werkplek daarna besmet raakt met ransomware. Zonder segmentatie staat die werkplek in hetzelfde netwerk als de fileserver, de back-ups en de beheeromgeving. De ransomware probeert zich te verspreiden en komt overal bij.

Met segmentatie staan werkplekken, servers en back-ups in aparte zones. Het verkeer van werkplek naar server is beperkt tot de diensten die nodig zijn, het beheerverkeer loopt via een eigen zone en de back-ups zijn niet vanaf de werkplek bereikbaar. De besmette werkplek bereikt daardoor minder. Wat er op de werkplek zelf gebeurt, valt onder EDR en XDR. De zones bepalen hoe ver de besmetting kan komen. Een host-based firewall die alleen noodzakelijk verkeer toestaat, beschermt volgens NIST ook tegen andere hosts in hetzelfde subnet.

Beheerdersaccounts vragen extra aandacht, want een beheerdersaccount dat buiten de beheerzone wordt gebruikt, kan de scheiding ondermijnen. Zie daarom ook MFA en passkeys voor de inlogbeveiliging van beheerders.

De aanval is daarmee niet voorbij, maar de impact is kleiner. Dat is de winst die het NCSC bedoelt. Een SOC kan het afgebakende deel ook sneller isoleren. Segmentatie vervangt geen andere maatregelen zoals patchen en mailfiltering.

Wie werkt met netwerksegmentatie en firewalls?

Een netwerkbeveiligingsengineer ontwerpt en beheert zones en regels, zie de vacatures voor network security engineers. Een security architect kiest het ontwerp en de principes, en een security engineer helpt bij implementatie en monitoring. Een OT-securityspecialist maakt de scheiding tussen OT en IT. Een SOC-analist ziet geblokkeerd en verdacht verkeer in de logs, en een IT-auditor controleert of de regels en het beleid kloppen.

Het werk van de netwerkbeveiligingsengineer staat beschreven in werken als network security engineer. Het vakgebied van de architect vind je bij security architecture. Organisaties die onder de Cyberbeveiligingswet vallen, vinden het kader in NIS2 en de Cyberbeveiligingswet.