# Thuiswerken en blootgestelde diensten (FAQ)

> 40 vragen over Thuiswerken en blootgestelde diensten, in gewone taal: wat u controleert, wat NetSenX laat zien en wat een sensor niet ziet.

Source page: https://netsenx.com/nl/faq/remote

## Is extern bureaublad (RDP) dat op internet openstaat gevaarlijk?

Ja. Extern bureaublad (RDP) dat op internet openstaat, wordt voortdurend gescand en aangevallen met gestolen en geraden wachtwoorden, en een open dienst voor toegang op afstand is een veelgebruikte weg naar binnen bij kleine bedrijven. Sluit het, of zet het achter een VPN of een gateway voor extern bureaublad met meervoudige authenticatie, en laat alleen benoemde accounts het gebruiken. Controleer wat u werkelijk openzet met een externe poortscan van uw eigen publieke IP-adressen, en herhaal die na elke wijziging aan firewall of router, want doorgestuurde poorten overleven vaak het project waarvoor ze werden geopend. Binnen het netwerk markeert NetSenX ongewone RDP-sessies tussen hosts als laterale beweging, en ook herhaalde aanmeldpogingen op bewaakte hosts, op elk abonnement. Het scant uw publieke adressen niet; de controle van buitenaf blijft uw werk.

https://netsenx.com/nl/faq/is-rdp-exposed-to-the-internet-dangerous

## Hoe weten we of onze VPN is gecompromitteerd?

Kijk eerst in de logs van de VPN zelf: aanmeldingen op vreemde tijden of uit onverwachte landen, accounts die de VPN nooit eerder gebruikten, veel mislukte pogingen en nieuwe configuratiewijzigingen of beheerdersaccounts op het apparaat. Vergelijk de softwareversie met de beveiligingsadviezen van de leverancier, want VPN-gateways zijn een veelvoorkomend doelwit van misbruikte kwetsbaarheden, en voer de door de leverancier gepubliceerde compromitteringscontroles uit als die er zijn. Achter de VPN zijn de volgende stappen van een aanvaller op het netwerk te zien: scans vanuit de VPN-adrespool, nieuwe sessies van VPN-adressen naar servers die ze nooit gebruikten, grote overdrachten naar buiten. NetSenX detecteert die waar het segment achter de VPN wordt bewaakt, op elk abonnement, en de VPN-weergave toont de tunnels en gatewaysessies die het ziet, met het land waarin elk extern adres is geregistreerd. Het leest de logs van het apparaat niet en kan het apparaat zelf niet onderzoeken.

https://netsenx.com/nl/faq/how-do-i-know-if-our-vpn-is-compromised

## Kan een geïnfecteerde laptop thuis via de VPN malware naar kantoor verspreiden?

Ja. Eenmaal verbonden zit een laptop op de VPN binnen het netwerk, vaak met ruime toegang. Malware die thuis is opgelopen, via een download van een gezinslid of een gecompromitteerde thuisrouter, kan dan het kantoornetwerk scannen en bestandsshares en servers bereiken zoals elke andere interne host. Beperk wat VPN-gebruikers kunnen bereiken tot de systemen die ze nodig hebben, eis meervoudige authenticatie, houd endpointbeveiliging en updates op laptops op afstand actueel en laat privéapparaten niet met de bedrijfs-VPN verbinden. Als het VPN-verkeer een bewaakt segment passeert, ziet NetSenX de verbindingen van de laptop en detecteert het scans, laterale beweging en beaconing ervan, op elk abonnement. Een laptop met de agent wordt zelf bewaakt, waar hij ook is. Wat er binnen de laptop gebeurt, blijft het werk van de endpointbeveiliging.

https://netsenx.com/nl/faq/can-an-infected-home-laptop-spread-malware-over-the-vpn

## Is het veilig om SSH open te zetten op internet?

Het is gebruikelijk, maar het is een vast doelwit: SSH-servers die vanaf internet bereikbaar zijn, krijgen voortdurend geautomatiseerde aanmeldpogingen. Moet u het openzetten, sta dan alleen aanmelden met sleutels toe, schakel aanmelden met wachtwoord en als root uit, houd OpenSSH bijgewerkt en beperk de bronadressen waar dat kan; een VPN of bastionhost ervoor is nog beter. Een andere poort vermindert de ruis in de logs, maar beschermt niet. Houd een lijst bij van alle SSH-servers die openstaan en loop die na, want vergeten testservers zijn de servers die ongepatcht blijven. NetSenX ziet verbindingen met bewaakte hosts en detecteert scans, herhaalde aanmeldpogingen en ongewone sessies waarbij ze betrokken zijn, op elk abonnement. Vanaf het Pro-abonnement toont de cryptografische inventaris, met pakketcapture op een Linux-agent of een SPAN- of TAP-sensor, ook de SSH-versies die servers aankondigen.

https://netsenx.com/nl/faq/is-it-safe-to-expose-ssh-to-the-internet

## Welke diensten mogen nooit op internet openstaan?

Extern bureaublad (RDP), bestandsdeling (SMB), databasepoorten, de beheerinterfaces van firewalls, switches, printers en hypervisors, en industriële protocollen zoals Modbus of S7 horen niet vanaf internet bereikbaar te zijn. Zet wat medewerkers van buitenaf nodig hebben achter een VPN of een gateway met meervoudige authenticatie, en houd de rest intern. Controleer dat regelmatig met een externe scan van uw eigen adresbereiken, na elke wijziging aan firewall of router, en schakel automatisch poorten openen (UPnP) op routers uit. Cloudservers tellen ook mee: hun beveiligingsgroepen openen poorten even makkelijk als een kantoorfirewall. NetSenX ziet inkomende verbindingen naar bewaakte hosts, op elk abonnement, zodat een dienst die onverwacht verbindingen van buiten beantwoordt, of een host die wordt gescand of met herhaalde aanmeldingen wordt bestookt, in het verkeer opvalt. Het scant uw publieke adressen niet.

https://netsenx.com/nl/faq/which-services-should-never-be-exposed-to-the-internet

## Hoe vergroot thuiswerken het cyberrisico?

Het verplaatst bedrijfsapparaten en gegevens naar netwerken die u niet beheert, en het vergroot het aantal wegen naar binnen. Laptops hangen op de thuiswifi naast apparaten van gezinsleden en een oude router, maken verbinding vanuit hotels en treinen en reizen naar plekken waar ze kwijt kunnen raken. Medewerkers melden zich van buitenaf aan, dus een gestolen wachtwoord is overal bruikbaar, en diensten voor toegang op afstand zoals VPN-gateways en extern bureaublad moeten vanaf internet bereikbaar zijn. Ook ondersteuning wordt lastiger, omdat updates afhangen van het moment waarop de laptop verbinding maakt. Het antwoord ligt vooral bij identiteit en apparaten: meervoudige authenticatie overal, volledige schijfversleuteling, endpointbeveiliging en automatische updates op elke laptop, en een VPN of gateway die alleen bereikt wat iemand nodig heeft. Het netwerkdeel is het punt waar apparaten op afstand het bedrijf bereiken: NetSenX ziet VPN-verkeer op een bewaakt segment achter de gateway en detecteert daaruit scans, laterale beweging en beaconing, op elk abonnement, en een agent op een Linux- of macOS-laptop bewaakt die laptop waar hij ook is.

https://netsenx.com/nl/faq/how-does-remote-work-increase-cyber-risk

## Hoe beveilig ik thuiswerkers die toegang hebben tot het bedrijfsnetwerk?

Begin bij het account en het apparaat en beperk daarna wat de verbinding kan bereiken. Eis meervoudige authenticatie voor de VPN, e-mail en elke cloudapplicatie; geef medewerkers bedrijfslaptops met volledige schijfversleuteling, endpointbeveiliging en automatische updates, en houd privéapparaten van de VPN af. Stel de VPN of de gateway voor toegang op afstand zo in dat elke groep alleen de systemen bereikt die ze nodig heeft, niet het hele kantoornetwerk, en log elke sessie. Geef medewerkers een eenvoudige manier om een verloren laptop of een vreemde aanmeldprompt te melden, en trek de toegang in op de dag dat iemand vertrekt. Bewaak daarna het punt waar thuiswerken het bedrijf raakt: met een sensor op een SPAN- of TAP-poort achter de VPN-gateway ziet NetSenX wat apparaten op afstand in het netwerk doen en detecteert het scans, laterale beweging, beaconing en ongewoon uitgaand volume, op elk abonnement. Het beheert geen accounts, apparaten of de VPN; dat doen uw identiteitsprovider, uw apparaatbeheer en uw gateway.

https://netsenx.com/nl/faq/how-to-secure-remote-workers-accessing-the-company-network

## Hebben we een VPN nodig voor thuiswerken?

Alleen als medewerkers systemen binnen het kantoornetwerk moeten bereiken. Als alles wat mensen gebruiken in de cloud draait, zoals e-mail, bestanden en boekhouding, voegt een VPN weinig toe: bescherm die diensten dan met meervoudige authenticatie en beheerde laptops. Staat er op kantoor een bestandsserver, een boekhouddatabase of een machine die mensen van thuis nodig hebben, dan wel: gebruik een VPN of een gateway voor toegang op afstand in plaats van die diensten open te zetten op internet, en eis daarvoor meervoudige authenticatie. Een VPN-app voor consumenten die uw surfgedrag verbergt, is een ander product en beschermt geen bedrijfssystemen. Wat u ook kiest, geef iedereen alleen toegang tot wat hij nodig heeft. NetSenX levert geen VPN. Achter uw VPN-gateway ziet een sensor op een SPAN- of TAP-poort wat apparaten op afstand op het interne netwerk doen en detecteert hij scans, laterale beweging en beaconing, op elk abonnement.

https://netsenx.com/nl/faq/do-we-need-a-vpn-for-remote-work

## Is een VPN die alleen met een wachtwoord is beveiligd genoeg?

Nee. Een VPN met alleen een wachtwoord laat iedereen met een gestolen, geraden of hergebruikt wachtwoord uw netwerk in, en VPN-inloggegevens zijn precies waar phishingpagina's en tools om wachtwoorden te raden op uit zijn. Voeg vóór al het andere meervoudige authenticatie (MFA) toe aan de VPN, kies liever een authenticator-app of een hardwaresleutel dan sms, en schakel accounts uit die de VPN al maanden niet hebben gebruikt. Beperk per groep wie überhaupt verbinding mag maken en log aanmeldingen, zodat u pogingen van ongewone plekken ziet. Houd het VPN-apparaat zelf bijgewerkt, want een kwetsbaarheid in de gateway kan het wachtwoord volledig omzeilen. NetSenX controleert geen VPN-aanmeldingen; dat is het werk van de VPN en uw identiteitsprovider. Waar het segment achter de VPN wordt bewaakt, detecteert het wat een indringer daarna doet, zoals scans, laterale beweging of beaconing, op elk abonnement.

https://netsenx.com/nl/faq/is-a-vpn-without-multi-factor-authentication-enough

## Waarom zijn niet-gepatchte VPN-gateways zo'n groot risico?

Omdat de VPN-gateway per ontwerp vanaf het hele internet bereikbaar is en door uw interne netwerk wordt vertrouwd, kan een kwetsbaarheid erin een aanvaller binnenlaten zonder enig wachtwoord. Kwetsbaarheden in VPN- en toegangsapparatuur van meerdere grote leveranciers zijn de afgelopen jaren op grote schaal misbruikt, en nationale cyberbeveiligingsdiensten publiceren er regelmatig dringende waarschuwingen over. Behandel de gateway als uw meest blootgestelde systeem: abonneer u op de beveiligingsadviezen van de leverancier, patch binnen dagen in plaats van in het volgende onderhoudsvenster, voer na een kritieke kwetsbaarheid de door de leverancier gepubliceerde compromitteringscontroles uit en beperk de beheerinterface tot interne adressen. Kunt u niet snel patchen, overweeg dan een beheerde dienst. Een netwerksensor ziet niet hoe een kwetsbaarheid binnen het apparaat wordt misbruikt, maar wel wat daarna komt: door het segment achter de gateway te bewaken, detecteert NetSenX scans, laterale beweging en beaconing vanaf VPN-adressen, op elk abonnement.

https://netsenx.com/nl/faq/why-are-unpatched-vpn-gateways-a-risk

## Wat is split tunneling bij een VPN, en is het een risico?

Split tunneling betekent dat alleen verkeer naar bedrijfssystemen door de VPN gaat, terwijl al het andere, zoals surfen en videogesprekken, rechtstreeks naar internet gaat vanaf de plek waar de laptop is. Het spaart bandbreedte en maakt gesprekken soepeler, daarom komt het veel voor. Het risico is kleiner dan het klinkt als de laptop zelf beschermd is: het apparaat wordt de grens en heeft dus endpointbeveiliging, updates en eventuele webfiltering nodig. De keerzijde is zicht: internetverkeer dat nooit de VPN in gaat, gaat nooit over uw kantoornetwerk, en kantoorfirewalls en netwerksensoren zien het niet. Kies bewust: volledige tunneling als u al het verkeer centraal moet inspecteren, anders split tunneling met sterke apparaatbeveiliging. NetSenX ziet het deel dat een bewaakt segment passeert; voor de rest bewaakt een agent op een Linux- of macOS-laptop de eigen verbindingen van die laptop, waar hij ook is.

https://netsenx.com/nl/faq/what-is-split-tunnelling-and-is-it-a-risk

## Waar moet een sensor staan om te zien wat VPN-gebruikers doen?

Achter de VPN-gateway, aan de interne kant, waar de tunnel eindigt en het verkeer van gebruikers op afstand weer gewoon intern verkeer is. Een sensor vóór de gateway, aan de internetkant, ziet alleen versleutelde tunnels en leert daar weinig van. Spiegel in de praktijk de switchpoort die de VPN-gateway of firewall met het interne netwerk verbindt, of de verbinding tussen die gateway en het serversegment, naar een SPAN- of TAP-poort. Geef VPN-gebruikers adressen uit een eigen pool, zodat hun verkeer makkelijk te herkennen is. Bij NetSenX telt één agent op die SPAN- of TAP-poort als één apparaat en bewaakt hij elke VPN-sessie die erlangs komt: scans, laterale beweging, beaconing en ongewoon uitgaand volume worden op elk abonnement gedetecteerd, en de VPN-weergave toont de tunnels en gatewaysessies die hij ziet. Verkeer dat een laptop met split tunneling rechtstreeks naar internet stuurt, bereikt die sensor nooit.

https://netsenx.com/nl/faq/where-should-a-sensor-sit-to-see-vpn-users-traffic

## Hoe detecteer ik een VPN-account dat tegelijk vanuit twee landen wordt gebruikt?

Met de aanmeldlogs van uw VPN-gateway of identiteitsprovider, want alleen die weten bij welk account elke sessie hoort. Zoek naar dezelfde gebruiker die zich aanmeldt vanaf twee plekken die te ver uit elkaar liggen voor de tijd ertussen, een sessie uit een land waar u geen medewerkers hebt, of een aanmelding vanaf een adres van een hostingprovider of anonimiseringsdienst. Veel identiteitsproviders en VPN-gateways kunnen dit automatisch melden, vaak als detectie van onmogelijke reizen of risicovolle aanmeldingen; zet dat aan en eis meervoudige authenticatie, zodat een gestolen wachtwoord alleen niet genoeg is. Het netwerk levert de tweede helft van het beeld. De VPN-weergave van NetSenX toont de tunnels en gatewaysessies die het op bewaakte segmenten ziet, met het land waarin het externe adres is geregistreerd, en markeert adressen die op lijsten van commerciële VPN-diensten en Tor-exitnodes staan. Het koppelt sessies niet aan accounts, dus deze melding hoort thuis in de identiteitslogs.

https://netsenx.com/nl/faq/how-to-detect-a-vpn-account-used-from-two-countries

## Wat is een ‘onmogelijke reis’, en welke tool detecteert die?

Een onmogelijke reis is een aanmeldpatroon waarbij hetzelfde account zich aanmeldt vanaf twee plekken waartussen niemand in de verstreken tijd had kunnen reizen, zoals Madrid om 09:10 en een ander continent om 09:40. Meestal betekent het dat een gestolen wachtwoord of sessietoken wordt gebruikt, al kunnen een VPN-dienst, een mobiel netwerk of een cloudproxy valse treffers geven. Het wordt gedetecteerd door de systemen die aanmeldingen samen met de accountnaam zien: uw identiteitsprovider, de kantoorsuite in de cloud of de VPN-gateway. De meeste bieden het als ingebouwd risicosignaal; controleer of het aanstaat en of iemand de melding ontvangt. De locatie komt uit registratiegegevens van het adres, dus behandel haar als aanwijzing, niet als bewijs. Een netwerksensor zoals NetSenX ziet geen accountaanmeldingen en geeft geen meldingen voor onmogelijke reizen. Hij helpt daarna, door te laten zien wat de sessie binnen het netwerk deed: scans, laterale beweging of grote overdrachten naar buiten.

https://netsenx.com/nl/faq/what-is-impossible-travel-and-which-tool-detects-it

## Kan netwerkmonitoring zien vanwaar onze VPN-gebruikers verbinding maken?

Gedeeltelijk. Een sensor die het verkeer van de VPN-gateway ziet, kent het publieke adres waar elke tunnel vandaan komt, en dat adres kan worden gekoppeld aan het land waarin het netwerk is geregistreerd. Dat is nuttig maar niet precies: registratiegegevens tonen waar de eigenaar van het netwerk is geregistreerd, niet waar de persoon zit, en reizen, mobiele netwerken, hotelwifi en commerciële VPN-diensten vertroebelen het beeld. De sensor weet ook niet bij welk account een tunnel hoort; de logs van de VPN-gateway weten dat wel. De VPN-weergave van NetSenX toont de VPN-tunnels en gatewaysessies die het op bewaakte segmenten ziet, met het land uit de registratiegegevens van het netwerk, en markeert adressen die op lijsten van commerciële VPN-diensten en Tor-exitnodes staan. Gebruik haar naast de aanmeldlogs van de gateway: de logs zeggen wie, de netwerkweergave zegt vanuit welk netwerk en wat er daarna gebeurde.

https://netsenx.com/nl/faq/can-network-monitoring-see-where-vpn-users-connect-from

## Kan NetSenX een laptop buiten kantoor monitoren?

Ja, als de NetSenX-agent op de laptop draait; anders alleen wanneer het verkeer terugkomt via een bewaakt segment. De agent draait op Linux en macOS en bewaakt de eigen verbindingen van die laptop waar hij ook is, thuis, in een hotel of in de trein, en meldingen zoals beaconing, scans of ongewoon uitgaand volume komen in uw dashboard, op elk abonnement. Elke laptop met de agent telt als één apparaat. Op macOS draait de agent in een basismodus zonder pakketcapture, dus functies die dat nodig hebben, zoals TLS-fingerprinting, zijn daar niet beschikbaar. Een laptop zonder agent wordt alleen gezien wanneer hij verbinding maakt via het kantoornetwerk of via een VPN waarvan het verkeer een bewaakt segment passeert. Wat de agent nooit ziet, is de inhoud van versleuteld verkeer of wat er binnen de laptop gebeurt; dat deel dekt endpointbeveiliging.

https://netsenx.com/nl/faq/can-netsenx-monitor-a-laptop-outside-the-office

## Moet de NetSenX-agent op laptops van thuiswerkers worden geïnstalleerd?

Niet per se. Als medewerkers op afstand bedrijfssystemen alleen via een VPN bereiken, ziet een sensor op een SPAN- of TAP-poort achter de VPN-gateway al wat hun laptops op het interne netwerk doen, en daar ontstaat de meeste schade; die sensor telt als één apparaat. Installeer de agent op een laptop als u de verbindingen ervan ook buiten de VPN wilt bewaken: bijvoorbeeld de laptop van een manager of beheerder, de machine van een ontwikkelaar met toegang tot productie, of een laptop die split tunneling gebruikt. Elke laptop met de agent telt als één apparaat, dus beslis op basis van risico in plaats van het aantal medewerkers. De agent draait op Linux en macOS; op macOS in een basismodus zonder pakketcapture. Houd op elke laptop, met of zonder agent, endpointbeveiliging, updates en schijfversleuteling op orde, want geen netwerksensor ziet wat er binnen het apparaat gebeurt.

https://netsenx.com/nl/faq/do-home-office-laptops-need-the-netsenx-agent

## Moeten laptops van de directie extra worden gemonitord?

Meestal wel, omdat ze de waardevolste mailbox en bestanden bevatten en het meest reizen. De eerste maatregelen liggen bij het apparaat en het account: phishingbestendige meervoudige authenticatie, volledige schijfversleuteling, endpointbeveiliging waarvan iemand de meldingen leest, automatische updates en een duidelijke regel voor wat te doen als de laptop kwijt is. Bestuurders zijn bovendien het gebruikelijke doelwit van e-mails voor betalingsfraude, die geen netwerktool tegenhoudt; een terugbelregel bij gewijzigde bankgegevens wel. Netwerkmonitoring voegt zicht toe op wat de laptop doet: met de NetSenX-agent geïnstalleerd, op Linux of macOS, worden de eigen verbindingen van de laptop bewaakt waar hij ook is, en beaconing, scans of ongewoon uitgaand volume geven een melding, op elk abonnement. Dat bewaakt het apparaat, niet de persoon, en de inhoud van versleuteld verkeer wordt nooit gelezen. Spreek de reikwijdte eerst af met de directie, zodat de monitoring een bescherming is waar ze zelf om hebben gevraagd.

https://netsenx.com/nl/faq/should-executive-laptops-get-extra-monitoring

## Wat ziet een netwerksensor als een laptop na een reis terugkomt op kantoor?

Alles wat de laptop doet zodra hij op een bewaakt segment zit, en dat is precies het moment waarop een besmetting die onderweg is opgelopen zichtbaar wordt. Malware die in een hotel of via een valse update is geïnstalleerd, neemt meestal met regelmatige tussenpozen contact op met zijn server, zoekt naar andere hosts of grijpt naar bestandsshares en beheerdiensten. Een sensor op een SPAN- of TAP-poort ziet die verbindingen vanaf de eerste minuut, en NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume, op elk abonnement. Wat hij niet ziet, is wat er tijdens de reis gebeurde: verkeer op het hotelnetwerk ging nooit over het uwe, tenzij de NetSenX-agent op de laptop draait, die de verbindingen bewaakt waar de laptop ook is. Een verstandige routine na een reis naar bestemmingen met een hoog risico: een volledige scan met de endpointbeveiliging, openstaande updates installeren en wachtwoorden wijzigen als het apparaat buiten uw zicht was, bijvoorbeeld bij een grenscontrole.

https://netsenx.com/nl/faq/what-does-a-sensor-see-when-a-laptop-returns-from-a-trip

## Is de thuisrouter van een medewerker een risico voor het bedrijf?

Dat kan, meestal indirect. Thuisrouters zijn vaak jaren oud, nooit bijgewerkt en draaien nog op het standaard beheerderswachtwoord, en sommige modellen hebben bekende kwetsbaarheden die aanvallers op grote schaal misbruiken om netwerken van gekaapte routers op te bouwen. Een gecompromitteerde router kan verkeer omleiden, onversleutelde verbindingen meelezen en andere apparaten op het thuisnetwerk aanvallen, ook een werklaptop. Het bedrijf kan de router niet beheren, dus bescherm de laptop: endpointbeveiliging, updates, de eigen firewall van de laptop, VPN of versleutelde verbindingen voor al het bedrijfsverkeer en geen privéapparaten op de VPN. Geef medewerkers een korte checklist voor thuis: de router bijwerken, het beheerderswachtwoord wijzigen, beheer op afstand en automatisch poorten openen (UPnP) uitschakelen en slimme apparaten in huis op een aparte wifi zetten als de router dat biedt. NetSenX ziet geen thuisnetwerken; het ziet wat de laptop doet wanneer die een bewaakt bedrijfssegment bereikt, of overal als de agent erop draait.

https://netsenx.com/nl/faq/is-a-home-office-router-a-risk-to-the-company

## Is openbare wifi veilig voor een werklaptop?

Met een beschermde laptop en versleutelde verbindingen is het aanvaardbaar, zonder die is het riskant. De meeste websites en bedrijfsdiensten gebruiken al versleuteling, dus een vreemde op hetzelfde netwerk in een café of hotel kan de inhoud niet lezen, maar wel zien welke apparaten er zijn, open diensten op uw laptop proberen aan te vallen of een nepnetwerk met dezelfde naam opzetten. Gebruik voor alles wat gevoelig is de bedrijfs-VPN of de hotspot van uw telefoon, laat de firewall van de laptop aan en bestandsdeling uit, zie een certificaatwaarschuwing als reden om de verbinding te verbreken, en vergeet het netwerk daarna, zodat de laptop er de volgende keer niet automatisch mee verbindt. Updates en endpointbeveiliging tellen onderweg zwaarder dan op kantoor. NetSenX ziet het netwerk van het café niet. Bij een laptop waarop de agent draait, op Linux of macOS, worden de eigen verbindingen bewaakt waar hij ook is, en beaconing of ongewoon uitgaand volume geeft een melding op elk abonnement.

https://netsenx.com/nl/faq/is-public-wifi-safe-for-a-work-laptop

## Mag een werklaptop thuis voor privésurfen worden gebruikt?

Liever niet, en een korte schriftelijke regel helpt meer dan een verbod dat niemand handhaaft. Privégebruik brengt risico's op het apparaat dat bedrijfsgegevens bevat: games en browserextensies uit onbekende bron, illegale software, kinderen achter de laptop en privéaccounts met hergebruikte wachtwoorden. Staat u beperkt privégebruik toe, stel dan duidelijke grenzen: geen software zonder IT, geen gezinsleden, een apart browserprofiel voor privéaccounts en geen bedrijfsbestanden in privécloudopslag. Zorg dat medewerkers geen lokale beheerders zijn, zodat de meeste ongewenste software zichzelf niet kan installeren. Dit is een kwestie van beleid en apparaatbeveiliging, en een netwerksensor kan het niet afdwingen. NetSenX bewaakt apparaten, geen mensen: het zou de gevolgen detecteren, zoals beaconing van malware of ongewone uploads, wanneer het verkeer van de laptop een bewaakt segment passeert of de agent erop draait, maar het rapporteert over niemands surfgedrag.

https://netsenx.com/nl/faq/should-a-work-laptop-be-used-for-personal-browsing

## Mogen medewerkers hun privéapparaten voor het werk gebruiken?

Voor beperkte taken met weinig risico, als u regels stelt; maar privéapparaten horen niet op de bedrijfs-VPN en mogen geen bedrijfsbestanden buiten beheerde apps bewaren. Het bedrijf ziet niet of een privételefoon of -laptop bijgewerkt, versleuteld of besmet is, en kan hem niet wissen als iemand vertrekt. Een gangbare middenweg: e-mail en chat op privételefoons via beheerde apps met pincode en wissen op afstand van alleen de bedrijfsgegevens, browsertoegang tot de kantoorsuite in de cloud met meervoudige authenticatie, en alles wat toegang tot interne systemen vraagt alleen op bedrijfsapparaten. Leg de regels vast, ook wat er met bedrijfsgegevens gebeurt als iemand vertrekt, en stem ze af met de ondernemingsraad als die er is. Op het netwerk verschijnt een privéapparaat dat met een bewaakt segment verbindt op de netwerkkaart van NetSenX, en scans, beaconing of ongewoon uitgaand volume ervan worden op elk abonnement gedetecteerd.

https://netsenx.com/nl/faq/can-staff-use-personal-devices-for-work

## Wat doen we als een werklaptop kwijt of gestolen is?

Pak eerst de accounts aan, daarna het apparaat. Op dezelfde dag: beëindig de actieve sessies van de gebruiker en wijzig het wachtwoord, controleer of de meervoudige authenticatie nog aan zijn eigen telefoon gekoppeld is, trek het VPN-certificaat of de VPN-toegang van de laptop in en vergrendel of wis hem op afstand als u apparaatbeheer gebruikt. Was de schijf versleuteld en de laptop vergrendeld, dan zijn de gegevens zeer waarschijnlijk veilig; zo niet, ga er dan van uit dat ze leesbaar zijn en controleer of er persoonsgegevens bij betrokken zijn, want een datalek met persoonsgegevens kan onder de AVG gemeld moeten worden: betrek uw functionaris voor gegevensbescherming nog dezelfde dag. Doe bij diefstal aangifte bij de politie en bewaar het nummer voor uw verzekeraar. Controleer daarna of het apparaat sindsdien verbinding heeft gemaakt: de netwerkkaart van NetSenX toont wanneer een apparaat voor het laatst op een bewaakt segment werd gezien, en voor een laptop met de agent toont het dashboard wanneer hij zich voor het laatst meldde. Een netwerktool kan de laptop niet lokaliseren of wissen.

https://netsenx.com/nl/faq/what-to-do-when-a-work-laptop-is-lost-or-stolen

## Kan mijn werkgever mijn verkeer zien als ik de bedrijfs-VPN gebruik?

Gedeeltelijk, en dat hangt meer af van de tools van het bedrijf dan van de VPN. Verkeer door de VPN gaat over het bedrijfsnetwerk, dus de firewall en monitoring daarvan zien met welke servers uw laptop verbinding maakt en hoeveel gegevens er stromen. Het meeste van dat verkeer is versleuteld, dus de inhoud van webpagina's, berichten en bestanden is niet zichtbaar voor een netwerksensor, tenzij het bedrijf een systeem gebruikt dat het ontsleutelt, wat uw werkbeleid zou moeten vermelden. Software op een bedrijfslaptop ziet veel meer, daarom telt het laptopbeleid zwaarder dan de VPN. Waar NetSenX wordt gebruikt, bewaakt het apparaten en verbindingen, geen mensen: het legt verbindingsmetadata vast zoals bestemmingen, tijdstippen en volume om aanvallen te detecteren, ontsleutelt nooit verkeer en leest nooit wat u typt. Vraag uw werkgever om zijn monitoringbeleid; in de EU verwacht de gegevensbeschermingswetgeving dat werkgevers medewerkers vertellen hoe ze worden gemonitord.

https://netsenx.com/nl/faq/can-my-employer-see-my-traffic-on-the-company-vpn

## Is het veilig om een eigen VPN-app op een werkcomputer te gebruiken?

Meestal niet, en de meeste bedrijfsregels verbieden het. Een eigen VPN-app stuurt al het verkeer van de laptop via de servers van een derde partij, wat de bedrijfs-VPN kan verstoren, de webfiltering en monitoring van het bedrijf kan omzeilen en de verkeersmetadata van uw bedrijf kan overdragen aan een aanbieder die niemand heeft gecontroleerd. Vooral gratis VPN-apps verdienen hun geld ergens mee, vaak met gegevens. Bovendien lijkt uw verkeer dan uit een ander land te komen, wat accountblokkades en meldingen over risicovolle aanmeldingen kan veroorzaken. Hebt u privacy nodig op openbare wifi, gebruik dan de bedrijfs-VPN of de hotspot van uw telefoon. Bent u beheerder, blokkeer dan de installatie van niet-goedgekeurde software en let op laptops waarvan al het verkeer plotseling naar één extern adres gaat. Op een bewaakt segment markeert de VPN-weergave van NetSenX adressen die op lijsten van commerciële VPN-diensten staan, zodat een laptop die alles via zo'n dienst tunnelt opvalt.

https://netsenx.com/nl/faq/is-it-safe-to-use-a-personal-vpn-on-a-work-computer

## Is een app voor bureaublad op afstand die een medewerker op een kantoor-pc installeerde een risico?

Ja. Apps voor bureaublad op afstand die via de cloud van de leverancier werken, hebben geen open poort nodig, glippen dus langs de firewall en maken een permanente deur naar het kantoornetwerk die alleen door het account in die app wordt beschermd. Oplichters die zich voordoen als helpdesk gebruiken dezelfde apps, en aanvallers die het account stelen of al binnen zijn, kunnen via een geïnstalleerde tool op elk moment terugkomen, zonder malware. Wie hem installeerde, bedoelde het meestal goed, dus bied een goedgekeurd alternatief: de bedrijfs-VPN, een gateway voor extern bureaublad of één goedgekeurde tool voor ondersteuning op afstand met meervoudige authenticatie, beheerd door IT. Blokkeer daarna de installatie van niet-goedgekeurde software en verwijder de rest. Op het netwerk houden deze apps een regelmatige verbinding met hun relayservers, wat NetSenX op elk abonnement als beaconing markeert; als de agent op die computer draait, noemt de melding het lokale programma. NetSenX verwijdert of blokkeert de app niet.

https://netsenx.com/nl/faq/is-a-remote-desktop-app-on-an-office-pc-a-risk

## Hoe vinden we apps voor bureaublad op afstand die zonder toestemming zijn geïnstalleerd?

Met drie bronnen: de software-inventaris, het netwerkverkeer en DNS. Uw console voor apparaatbeheer of antivirus kan meestal geïnstalleerde programma's opsommen; zoek daarin naar tools voor bureaublad en ondersteuning op afstand. Op het netwerk houden deze apps een constante verbinding met de relayservers van hun leverancier, ook als niemand ze gebruikt, dus een pc die elke paar minuten, dag en nacht, contact maakt met dezelfde externe dienst, verdient een blik. Uw DNS- of firewalllogs tonen de leveranciersdomeinen die ze opvragen. Beslis per geval: de tool verwijderen of vervangen door de goedgekeurde. Voorkom herhaling door lokale beheerdersrechten in te trekken en software via een whitelist toe te staan. NetSenX markeert de regelmatige verbindingen als beaconing, op elk abonnement, vanaf een SPAN- of TAP-sensor of vanaf de agent op die host, en als de agent op de computer draait, noemt de melding het programma. Het houdt geen software-inventaris bij; dat doen uw endpointtools.

https://netsenx.com/nl/faq/how-to-find-remote-desktop-apps-installed-without-permission

## Wat is een bastionhost of gateway voor extern bureaublad, en hebben we die nodig?

Het is één geharde server waar beheerders en leveranciers doorheen moeten om interne systemen te bereiken, in plaats van rechtstreeks met elke server te verbinden. Sessies op afstand eindigen op de bastionhost, die meervoudige authenticatie afdwingt, alleen benoemde accounts toelaat, elke sessie logt of opneemt en de enige host is waarvan de servers beheerverbindingen accepteren. Een gateway voor extern bureaublad doet hetzelfde voor extern bureaublad en verpakt het in een versleutelde, geauthenticeerde verbinding. U hebt er een nodig zodra meer dan een paar mensen, of welke leverancier ook, uw servers op afstand beheren, of wanneer SSH of extern bureaublad anders op internet zouden openstaan. Houd de bastionhost bijgewerkt en minimaal, zonder andere software erop. Monitoring heeft dan een eenvoudige regel om te controleren: beheersessies mogen alleen van de bastionhost komen. NetSenX markeert ongewone sessies tussen hosts als laterale beweging, op elk abonnement, zodat beheerverkeer dat de bastionhost omzeilt opvalt.

https://netsenx.com/nl/faq/what-is-a-bastion-host-or-remote-desktop-gateway

## Is SSH openlaten op internet slechte praktijk, zelfs met Fail2ban?

Fail2ban helpt, maar maakt een open SSH-server niet veilig. Het blokkeert adressen na een aantal mislukte aanmeldingen, wat het raden van wachtwoorden en de ruis in de logs vermindert, maar aanvallers spreiden hun pogingen over veel adressen, en het doet niets tegen een kwetsbaarheid in de SSH-server zelf of een gestolen privésleutel. De echte bescherming zit in de configuratie: alleen aanmelden met sleutels, aanmelden met wachtwoord en als root uitgeschakeld, OpenSSH bijgewerkt en toegang beperkt tot bekende bronadressen of achter een VPN of bastionhost. Is dat geregeld, dan is Fail2ban een redelijke extra laag. Controleer regelmatig welke servers SSH überhaupt aanbieden; de vergeten servers zijn het risico. NetSenX ziet verbindingen met bewaakte SSH-servers en detecteert herhaalde aanmeldpogingen, scans en ongewone sessies, op elk abonnement. Het blokkeert zelf geen adressen; dat doet Fail2ban of de firewall.

https://netsenx.com/nl/faq/is-leaving-ssh-open-bad-practice-even-with-fail2ban

## Helpt het om SSH naar een niet-standaard poort te verplaatsen?

Een beetje tegen ruis, en helemaal niet tegen een gerichte aanvaller. Geautomatiseerde scanners die alleen poort 22 proberen, missen hem, dus de logs worden rustiger en er komen minder raadpogingen binnen. Maar een volledige poortscan vindt een SSH-server op elke poort, omdat SSH zich in zijn eerste bericht bekendmaakt, en wie juist uw server zoekt, voert die scan uit. Zie een poortwissel dus als opruimen, niet als bescherming, en houd de maatregelen die ertoe doen: alleen aanmelden met sleutels, geen wachtwoord- of root-aanmeldingen, een bijgewerkte OpenSSH en toegang beperkt op bronadres of via een VPN of bastionhost. Documenteer de poort, zodat collega's en uw eigen monitoring hem niet voor iets onbekends aanzien. NetSenX ziet verbindingen met bewaakte hosts op elke poort en detecteert scans, herhaalde aanmeldpogingen en ongewone sessies, op elk abonnement.

https://netsenx.com/nl/faq/does-moving-ssh-to-a-non-standard-port-help

## Hoe weet ik of iemand nu wachtwoorden op onze SSH-servers probeert te raden?

Kijk in het authenticatielogboek van de server: veel mislukte aanmeldingen voor root, admin of willekeurige gebruikersnamen, vanaf één adres of vele, zijn het klassieke teken, en tools zoals Fail2ban tellen ze voor u. Op een server die vanaf internet bereikbaar is, is een deel hiervan voortdurende achtergrondruis; waar het om gaat, is of een poging slaagde. Zoek dus naar geslaagde aanmeldingen vanaf onbekende adressen, op vreemde tijden of voor accounts die zelden inloggen, en controleer of aanmelden met wachtwoord is uitgeschakeld. Pogingen vanuit uw eigen netwerk zijn ernstiger, want dan zit er een gecompromitteerde host te raden. NetSenX markeert herhaalde aanmeldpogingen op bewaakte hosts als brute force, op elk abonnement, samen met scans en ongewone sessies, zodat pogingen vanaf een interne host opvallen. Vanaf het netwerk kan het niet zien of een wachtwoord werd geaccepteerd; het logboek van de server wel.

https://netsenx.com/nl/faq/how-to-know-if-someone-is-brute-forcing-our-ssh-servers

## Worden wij geraakt door OpenSSH-kwetsbaarheden zoals regreSSHion?

Alleen als een server een kwetsbare OpenSSH-versie in een kwetsbare configuratie draait, dus begin met het vinden van al uw SSH-servers. regreSSHion (CVE-2024-6387), gepubliceerd in juli 2024, treft de OpenSSH-server op Linux met glibc vanaf versie 8.5p1 tot, maar niet met, 9.8p1, en daarnaast zeer oude versies vóór 4.4p1; andere kwetsbaarheden hebben andere bereiken, dus lees elk advies. Maak een lijst van uw servers uit uw inventaris en uit het netwerk, inclusief apparaten, containers en vergeten testmachines. Controleer het geïnstalleerde pakket in de beveiligingstracker van uw distributie, want distributies brengen correcties vaak terug zonder het versienummer te wijzigen, en patch daarna of beperk de toegang tot u dat kunt. Vanaf het Pro-abonnement toont de cryptografische inventaris NQCI, als preview, elke SSH-server waarvan hij de versiebanner zag, met de aangekondigde versie; die heeft pakketcapture nodig, ingeschakeld voor een Linux-agent of een SPAN/TAP-sensor. Een banner is een aanwijzing, geen oordeel, dus bevestig het op de server.

https://netsenx.com/nl/faq/are-we-affected-by-openssh-flaws-like-regresshion

## Kan malware via een SSH-sessie terug naar mijn computer komen?

Niet vanzelf: een gewone SSH-sessie draagt uw toetsaanslagen en de schermuitvoer van de server, en een gecompromitteerde server kan daarlangs geen programma op uw computer zetten. De risico's komen van functies die u toevoegt. Agent forwarding laat de server uw SSH-sleutels gebruiken zolang u verbonden bent, zodat een gecompromitteerde server namens u andere servers kan bereiken; gebruik het alleen naar vertrouwde hosts, of gebruik in plaats daarvan een jumphost-instelling. Poortdoorsturing en X11-doorsturing openen kanalen terug naar uw machine. Bestanden die u van de server kopieert, kunnen malware bevatten zoals elke download. En een kwetsbare SSH-client kan in theorie door een kwaadwillende server worden aangevallen, dus houd de client bijgewerkt. Op het netwerk is een sessie van een beheerderslaptop naar een server normaal; NetSenX markeert ongewone sessies tussen hosts als laterale beweging, op elk abonnement, zodat een SSH-sessie die vanaf een server verder begint te springen opvalt.

https://netsenx.com/nl/faq/can-malware-travel-back-over-an-ssh-session

## Hoe kunnen SSH-tunnels een firewall omzeilen?

SSH kan ander verkeer binnen zijn versleutelde verbinding vervoeren, dus wie één uitgaande SSH-verbinding mag maken, kan daar bijna alles doorheen tunnelen. Een poortdoorsturing maakt een interne dienst van buitenaf bereikbaar, of een externe dienst van binnenuit, zonder dat er een firewallregel verandert; een dynamische doorsturing maakt van de SSH-verbinding een proxy voor al het verkeer van een gebruiker. Aanvallers gebruiken dit om toegang op afstand te behouden en ongemerkt gegevens naar buiten te brengen. Verklein het risico: sta uitgaande SSH alleen toe vanaf hosts die het nodig hebben en alleen naar bekende bestemmingen, schakel doorsturing op uw SSH-servers uit waar het niet nodig is, en beschouw een langdurige SSH-sessie van een werkplek naar een onbekend internetadres als verdacht. Een netwerksensor kan niet in de tunnel kijken, maar ziet de tunnel wel: NetSenX markeert langdurige of regelmatige verbindingen met externe hosts als beaconing en grote overdrachten als ongewoon uitgaand volume, op elk abonnement.

https://netsenx.com/nl/faq/how-can-ssh-tunnels-bypass-a-firewall

## Is het veilig om SSH via openbare wifi te gebruiken?

Ja, SSH is ontworpen voor onbetrouwbare netwerken: de verbinding is versleuteld en de server bewijst zijn identiteit met zijn hostsleutel. Het zwakke punt is een verkeerde hostsleutel accepteren. Controleer bij de eerste verbinding, en telkens wanneer SSH waarschuwt dat een hostsleutel is gewijzigd, de vingerafdruk tegen een die u via een ander kanaal hebt gekregen voordat u verdergaat; op een cafénetwerk is een gewijzigde sleutel een reden om te stoppen. Meld u aan met sleutels in plaats van wachtwoorden, bescherm uw privésleutel met een wachtwoordzin en houd de SSH-client bijgewerkt. Beter nog: maak verbinding via de bedrijfs-VPN of de hotspot van uw telefoon, zodat het cafénetwerk alleen één versleutelde tunnel ziet. NetSenX ziet openbare wifinetwerken niet. Het ziet de SSH-sessie wanneer die een bewaakte server bereikt, en detecteert herhaalde aanmeldpogingen en ongewone sessies met die server, op elk abonnement.

https://netsenx.com/nl/faq/is-ssh-over-public-wifi-safe

## Hoe gevaarlijk is poortdoorsturing naar een server op kantoor?

Het zet die server rechtstreeks op internet, waar geautomatiseerde scans hem snel vinden en de aanvallen nooit ophouden, dus het is zo gevaarlijk als de dienst en het onderhoud ervan zwak zijn. Een doorgestuurde poort naar een webserver die wekelijks wordt gepatcht, is een beheersbaar risico; een doorgestuurde poort naar een NAS, een camerarecorder, extern bureaublad of een oude testmachine is een veelgebruikte weg naar binnen bij kleine kantoren. Kies liever alternatieven: een VPN voor medewerkers, een clouddienst of een reverse proxy in een apart netwerksegment. Moet u doorsturen, stuur dan één poort door naar één geharde host, houd die bijgewerkt, eis sterke authenticatie, log de toegang en isoleer de host van de rest van het netwerk, zodat een compromittering daar blijft. Controleer de router op vergeten doorsturingen en automatisch poorten openen (UPnP), en schakel ze uit. NetSenX ziet inkomende verbindingen naar bewaakte hosts en detecteert scans, herhaalde aanmeldpogingen en laterale beweging vanaf de blootgestelde host, op elk abonnement.

https://netsenx.com/nl/faq/how-dangerous-is-port-forwarding-for-an-office-server

## Hoe controleer ik wat ons bedrijf op internet blootstelt?

Bekijk uzelf regelmatig van buitenaf. Maak een lijst van uw publieke IP-adressen en domeinnamen, inclusief cloudservers en de internetverbinding van het kantoor, scan ze daarna van buiten uw netwerk met een poortscanner die u vertrouwt, en vraag uw nationale CERT of het een meldingsdienst voor blootgestelde systemen biedt. Vergelijk de open poorten met wat u bedoelde: alles wat u niet kunt verklaren, zoals extern bureaublad, een database, een NAS of de beheerpagina van een router, sluit u of zet u achter een VPN. Herhaal dit na elke wijziging aan firewall, router of cloud, en controleer openbare certificaatlogs op vergeten subdomeinen. Scan alleen adressen die van u zijn of die u mag testen. NetSenX scant uw publieke adressen niet. Binnen het netwerk ziet het inkomende verbindingen naar bewaakte hosts, op elk abonnement, zodat een dienst die onverwacht verbindingen van buiten beantwoordt, of een host die wordt gescand of met herhaalde aanmeldingen wordt bestookt, in het verkeer opvalt.

https://netsenx.com/nl/faq/how-to-check-what-our-company-exposes-to-the-internet

## Is automatisch poorten openen (UPnP) op de kantoorrouter een risico?

Ja, en op een kantoornetwerk meestal een onnodig risico. Universal Plug and Play (UPnP) laat elk apparaat in het netwerk de router vragen een poort naar internet te openen, zonder wachtwoord en zonder iemand te waarschuwen. Spelconsoles en video-apps vinden dat handig; gecompromitteerde apparaten en malware ook, die zich zo van buitenaf bereikbaar maken. Camera's en recorders openen vaak al bij de installatie op deze manier poorten. Schakel UPnP uit op de kantoorrouter, en op de thuisrouters waar medewerkers werken, controleer daarna welke poorten al zijn doorgestuurd en verwijder de poorten die u niet kunt verklaren. Sommige routers bieden UPnP per vergissing ook aan de internetkant aan, wat nog erger is; een externe scan laat dat zien. Een netwerksensor ziet de configuratie van de router niet, maar wel het effect: NetSenX ziet inkomende verbindingen van internet naar bewaakte hosts, zodat een apparaat dat plotseling verbindingen van buiten ontvangt opvalt.

https://netsenx.com/nl/faq/is-upnp-on-the-office-router-a-risk

## Wie merkt een aanmelding op afstand om 3 uur 's nachts op zondag op?

Vaak niemand tot maandag, en daarom houden aanvallers van weekenden en feestdagen. De oplossing ligt minder in meer mensen dan in vooraf bepalen wat iemand wakker maakt. De meeste kleine bedrijven kunnen geen nachtdienst bemensen, dus kies een paar gebeurtenissen die een telefoontje rechtvaardigen, zoals een geslaagde beheerdersaanmelding vanaf een ongewone plek, een sessie op afstand naar een server midden in de nacht of een grote overdracht naar buiten, en stuur alleen die naar een telefoon. De rest kan wachten tot de ochtendcontrole. Zorg dat uw VPN en identiteitsprovider aanmeldmeldingen sturen naar een plek waar ze worden gelezen, en spreek af wie tijdens vakanties bereikbaar is. NetSenX detecteert de klok rond, mensen niet: het detecteert laterale beweging, beaconing, scans en ongewoon uitgaand volume op elk abonnement en kan vanaf het Pro-abonnement meldingen naar Slack of een webhook sturen, zodat ze een telefoon bereiken. Een bemand security operations center biedt het niet.

https://netsenx.com/nl/faq/who-notices-a-remote-login-at-3-am-on-a-sunday

FAQ: https://netsenx.com/nl/faq