In deel 1 en deel 2 vertelde ik wat netwerksegmentatie is en hoe je hier firewall policies op toe dient te passen. Deel 3 van de serie staat in het teken van de uitdagingen bij de implementatie van netwerksegmentatie en hoe je hier het beste mee om kunt gaan.
Regelmatig ontvangen wij het verzoek om te starten met poort security of Network Access Control (NAC). Wij adviseren echter altijd om te starten met netwerksegmentatie. Netwerksegmentatie is namelijk de basis van een veilig netwerk.
De implementatie van netwerksegmentatie vergt de nodige inspanning. Wanneer er gestart wordt, dienen apparaten namelijk overgebracht te worden naar het juiste segment, bijvoorbeeld een printer van DATA naar PRINT. Een dergelijke overdracht betekent ook dat er wijziging in het IP adres gaat plaatsvinden. IP adressen kunnen op twee manieren geconfigureerd worden: statisch en dynamisch.
- Statische IP-adressen: apparaten die op een vaste plek geconfigureerd zijn. Een verhuizing hiervan kan een uitdaging zijn. In sommige gevallen is het slechts een kleine aanpassing, maar het kan ook zo zijn dat iemand op locatie nodig is om de device te verhuizen.
- Dynamische IP-adressen: apparaten die niet gebonden zijn aan een vaste plek en dus beschikken over flexibiliteit. Deze apparaten krijgen een IP-adres toegewezen via een DHCP-server. Dit apparaat deelt IP-adressen uit binnen gedefinieerde segmenten. Bij TCC raden we in de meeste gevallen aan om gebruik te maken van dynamische adressen. Slechts in enkele gevallen is dit niet wenselijk, bijvoorbeeld bij een dedicated segment voor server.
Apparaten die niet eenvoudig te migreren zijn, heten Specials. Deze apparaten zijn heel specifiek voor een selecte groep klanten. Niet elke klant beschikt namelijk over een slimme deurbel, camera’s of zonnepanelen.
Segmenten in categorieën
Zodra het netwerk gesegmenteerd is, kunnen de segmenten onderverdeeld worden in twee categorieën: managed segmenten en unmanaged segmenten.
Managed segmenten: apparaten in deze segmenten staan onder controle en worden periodiek voorzien van benodigde software-updates. Software updates zijn nodig om:
- De attack surface (alle punten waarop een aanvaller kan proberen het systeem binnen te dringen) zoveel mogelijk te verkleinen;
- Te voldoen aan de wens van de leverancier om altijd de laatste stable release (de meest recente, stabiele update) actief te hebben;
- Actieve monitoring op afwijkend gedrag te kunnen toepassen.
Unmanaged segmenten: er zijn apparaten waarbij na ingebruikname geen duidelijke afspraken zijn gemaakt over beheer en onderhoud. Hier wordt vervolgens nauwelijks meer naar omgekeken, maar bij problemen wordt de leverancier geraadpleegd. Dit leidt tot additionele risico’s en is niet wenselijk.
Ondanks dat de implementatie van netwerksegmentatie enkele moeilijkheden kent, is het toch enorm aan te raden. Met een correcte segmentatie bereik je de volgende doelstellingen:
- Het voorkomen van lateral movement (zie het eerste artikel voor meer uitleg);
- Het toepassen van Zero-Trust op firewallniveau;
- Toegang tot segmenten op basis van restricted access, enkel toegang voor noodzakelijk verkeer;
- Inzicht in toegepaste datastromen.
Wil jij meer weten over netwerksegmentatie of netwerk security in het algemeen? Ik help je graag. Neem contact op door een mail te sturen naar loek.canisius@tcc.eu.
