Begin hier
Je eerste nuttige stap
Begin met de gratis les over segmentatie en gebruik daarna de voorbeelden hieronder om zowel de bedoelde verkeersstroom als de grens die deze moet tegenhouden uit te leggen.
Begin bij de resource en de noodzakelijke verkeersstroom
Noteer de resource die je wilt beschermen en het legitieme werk dat ervan afhankelijk is. Bepaal bron, bestemming, dienst, eigenaar en de reden voor toegang. “Gebruikers hebben de database nodig” is te breed; een applicatie heeft misschien een specifieke databasedienst nodig, terwijl apparaten van gebruikers alleen de applicatie mogen bereiken.
Een nuttig klein ontwerp scheidt bedrijfseisen van de implementatie. Schrijf eerst de toegestane relaties in gewone taal op. Bepaal daarna waar de handhaving thuishoort en welke waarnemingen zouden bewijzen dat het werkt. Begin niet met het kopiëren van regels uit een omgeving die er niets mee te maken heeft.
Begrijp wat een VLAN wel en niet doet
Een VLAN scheidt een logisch broadcastdomein op laag 2. Verkeer tussen VLAN’s kan nog steeds worden gerouteerd door een apparaat dat daarvoor toestemming heeft. Verschillende VLAN-namen of subnetbereiken aanmaken dwingt niet automatisch een beveiligingsbeleid af op dat gerouteerde verkeer.
In een synthetisch kantoor kunnen het gasten-, personeels- en servernetwerk verschillende VLAN’s zijn. Als het routeringsbeleid elke bron naar elke bestemming toestaat, schiet de gastengrens nog steeds tekort voor het beoogde doel. Je moet het handhavingspad en de regels controleren, niet alleen de labels op het diagram.
Zet ACL’s en least privilege bewust in
Een access-control list (ACL) legt op een handhavingspunt vast welk verkeer is toegestaan of geweigerd. De volgorde van regels, de richting, het protocol, de poorten en het gedrag van het apparaat doen er allemaal toe. Documenteer het bedoelde resultaat in plaats van aan te nemen dat een regel die naar één interface is gekopieerd elk pad regelt.
Least privilege betekent dat je de toegang inschakelt die nodig is voor de geautoriseerde taak en onnodige toegang beperkt. Neem ondersteunende diensten, beheereisen en een herstelplan mee in de beoordeling. Een te ruime noodexceptie moet een eigenaar, een reden en een evaluatiemoment hebben.
| Fictieve bron | Vereiste bestemming | Doel van de beoordeling |
|---|---|---|
| Gastapparaten | Goedgekeurde internettoegang | Geen toegang tot interne database |
| Applicatiedienst | Benoemde databasedienst | Alleen gedocumenteerde afhankelijkheid |
| Beheerwerkstation | Goedgekeurd beheerpad | Beperkt, geautoriseerd beheer |
Onderscheid segmentatie van Zero Trust
Segmentatie kan paden beperken en de omvang van een incident verkleinen. Zero Trust is breder: toegangsbeslissingen mogen niet alleen afhangen van het feit dat je je binnen een netwerk bevindt. Identiteit, apparaatcontext, resourcebeleid en de gevraagde actie blijven van belang.
Een apparaat in een personeels-VLAN is niet automatisch gemachtigd voor elke resource voor personeel. Omgekeerd kan een legitieme gebruiker op afstand strikt gecontroleerde toegang tot één dienst nodig hebben. Beschrijf de toegangsbeslissing rond de beschermde resource, in plaats van een intern adres als bewijs van vertrouwen te behandelen.
Valideer zowel positieve als negatieve gevallen
Een positieve test controleert of een goedgekeurde afhankelijkheid werkt. Een negatieve test controleert of een uitdrukkelijk verboden pad wordt geweigerd. Beide zijn nodig: alles blokkeren kan veilig lijken terwijl de dienst stuk gaat, en een geslaagde applicatietest zegt niets over ongewenste toegang door gasten.
Bepaal in een geautoriseerd lab vóór het testen het verwachte resultaat en leg bron, bestemming, dienst, tijd en bewijs vast. Wijkt het resultaat af, controleer dan het werkelijke pad en het handhavingspunt. Voeg geen ruime allow-regel toe alleen om de test groen te krijgen.
- Bevestig dat de gedocumenteerde applicatiestroom slaagt.
- Bevestig dat een gast of een niet-gerelateerde bron geen toegang krijgt tot de beschermde dienst.
- Controleer of het goedgekeurde beheerderspad bruikbaar blijft.
- Leg een terugdraaiplan vast vóór elke geautoriseerde wijziging.
- Herhaal de relevante controles nadat een regel of afhankelijkheid is gewijzigd.
Maak van de beoordeling een verdedigbaar advies
Schrijf de blootstelling, de bedoelde grens, de kleinst mogelijke voorgestelde beleidswijziging en de manier van valideren op. Benoem onzekerheid, zoals een ongedocumenteerde afhankelijkheid of een niet-geverifieerd alternatief pad. Vraag de eigenaar om die ontbrekende context voordat je een wijziging in productie adviseert.
Het uitgebrachte Pro-lab over segmentatie gebruikt een fictief netwerk en een bewijspakket met uitgewerkte beoordelingen. Het is een plek om te oefenen met het interpreteren van regels en het uitleggen van afwegingen, geen uitnodiging om een echt netwerk te scannen of te misbruiken. De bestaande gratis les en quiz blijven beschikbaar zonder lidmaatschap.
Bronnen en reikwijdte
Dit is originele educatieve begeleiding van BitsSecured. Er worden onafhankelijke oefenvoorbeelden gebruikt, geen echte examenvragen, en er wordt geen slagen, certificering of baan beloofd. BitsSecured is niet verbonden aan of goedgekeurd door CompTIA.