Zero trust, identiteit en segmentatie

Als richting wel, als product om te kopen niet. Zero trust betekent dat u een verbinding niet vertrouwt alleen omdat ze van binnen het netwerk komt: elke gebruiker en elk apparaat bewijst wie hij is en krijgt alleen toegang tot wat hij nodig heeft, steeds opnieuw gecontroleerd. Een klein bedrijf komt met een paar stappen ver: meervoudige authenticatie op elk account dat vanaf internet bereikbaar is, aparte netwerken voor gasten, IoT-apparaten en servers, beheerdersrechten alleen waar nodig en via aparte beheeraccounts, en een VPN of gateway die alleen de systemen bereikt die een groep gebruikt. Doe het in die volgorde; elke stap is op zichzelf nuttig. Netwerkmonitoring controleert het resultaat: NetSenX laat zien welke hosts op bewaakte segmenten echt met elkaar praten, op elk abonnement, zodat een pad dat niet zou mogen bestaan zichtbaar wordt.

Test haar van beide kanten en bekijk daarna het echte verkeer. Probeer vanaf een host die er niet in mag het beschermde segment te bereiken met een eenvoudige verbindingstest, en controleer vanuit het beschermde segment wat het naar buiten kan bereiken. Loop de firewallregels tussen segmenten na op te ruime toestemmingen, oude uitzonderingen en regels die niemand kan verklaren. Kijk daarna mee, want regels verschuiven: elk wijzigingsverzoek, elke nieuwe applicatie en elk bezoek van een leverancier kan een uitzondering toevoegen, en het echte bewijs zijn de verbindingen die daadwerkelijk een grens overschrijden. Herhaal de test na netwerkwijzigingen en minstens één keer per jaar. NetSenX toont op de netwerkkaart de host-naar-hostcommunicatie op bewaakte segmenten en markeert nieuwe sessies die niet passen bij het normale gedrag van een host als laterale beweging, op elk abonnement, zodat een onverwacht pad tussen segmenten zichtbaar wordt zodra het voor het eerst wordt gebruikt. Een pad dat bestaat maar nooit wordt gebruikt, blijft voor elke passieve sensor onzichtbaar.

Het betekent plannen alsof een aanvaller al binnen is, in plaats van alleen te vertrouwen op buiten houden. De reden is praktisch: phishing, gestolen wachtwoorden en toegang van leveranciers zorgen ervoor dat de grens vroeg of laat wordt overschreden, dus de vragen worden hoe ver een indringer komt en hoe snel u het merkt. In de praktijk: beperken wat elk account en elke host kan bereiken, beheeraccounts scheiden van dagelijkse accounts, logs en netwerkgegevens lang genoeg bewaren om te kunnen onderzoeken, offline back-ups bijhouden, letten op beweging binnen het netwerk en oefenen wat u doet als er een melding komt, inclusief wie beslist om een machine los te koppelen. Detectie binnen het netwerk hoort daarbij: NetSenX bewaakt host-naar-hostverkeer op scans, laterale beweging en beaconing, op elk abonnement, zodat de stappen die een indringer na binnenkomst zet zichtbaar worden.

Nee, ze doen ander werk. Netwerktoegangscontrole (NAC) bepaalt welke apparaten het netwerk op mogen en in welk segment ze terechtkomen, vaak met 802.1X, apparaatcertificaten of een controle van de staat van het apparaat. Wat een toegelaten apparaat daarna doet, bewaakt ze niet, en de meeste inbraken gebruiken apparaten en accounts die rechtmatig zijn binnengelaten: een gephishte laptop, het account van een leverancier, een printer met oude firmware. Gebruik beide als u kunt: NAC om onbekende apparaten buiten te houden en bekende op de juiste plek te zetten, monitoring om te zien wanneer een bekend apparaat zich als indringer gaat gedragen. In een klein bedrijf kan NAC eenvoudig beginnen, met poortbeveiliging op switches en wifi met certificaten. NetSenX dekt het monitoringdeel: het detecteert scans, laterale beweging en beaconing vanaf toegelaten apparaten op elk abonnement, en de netwerkkaart toont de apparaten die op bewaakte segmenten worden gezien.

Een klassieke VPN in één opzicht wel: eenmaal verbonden zit het apparaat van de gebruiker meestal met ruime toegang binnen het netwerk, het model ‘vertrouwd omdat binnen’ waar zero trust juist van wegbeweegt. Dat betekent niet dat de VPN morgen weg moet. U kunt haar veel dichter bij zero trust brengen: meervoudige authenticatie eisen, elke groep alleen toegang geven tot de systemen die ze nodig heeft, vóór de verbinding controleren of het apparaat een beheerde, bijgewerkte bedrijfslaptop is, en elke sessie loggen. Producten voor zero-trust network access (ZTNA) gaan een stap verder en verbinden een gebruiker met één applicatie tegelijk in plaats van met het netwerk. Ga er in elk geval van uit dat een VPN-sessie misbruikt kan worden, en houd in de gaten wat ze doet. Met een sensor op een SPAN- of TAP-poort achter de VPN-gateway detecteert NetSenX scans, laterale beweging en beaconing vanaf de apparaten van VPN-gebruikers, op elk abonnement.

ZTNA is een manier om gebruikers op afstand toegang te geven tot afzonderlijke applicaties in plaats van tot het hele netwerk. De gebruiker meldt zich aan via een identiteitsprovider, de dienst controleert gebruiker, apparaat en vaak locatie en staat, en opent pas dan een verbinding met die ene applicatie; de rest van het netwerk blijft voor de gebruiker onzichtbaar. Veel producten leveren dit als clouddienst met een kleine connector in uw netwerk, zodat er niets vanaf internet bereikbaar hoeft te luisteren. In een klein bedrijf kan het de VPN vervangen voor webapplicaties en extern bureaublad, en het maakt het makkelijker een leverancier toegang te geven tot één systeem zonder hem het netwerk te geven. Het neemt de noodzaak niet weg om de binnenkant te bewaken: een gecompromitteerde applicatieserver kan nog steeds zijn buren bereiken. NetSenX levert geen ZTNA; het detecteert laterale beweging en scans vanaf hosts op bewaakte segmenten, op elk abonnement.

Ja, in de meeste kantoren. Secure access service edge (SASE) verplaatst webfiltering, veilige toegang op afstand en een deel van de firewallfuncties naar een clouddienst, en zero trust verandert hoe toegang wordt verleend, maar u hebt nog steeds iets nodig dat ongevraagde verbindingen van internet naar kantoor tegenhoudt, netwerksegmenten van elkaar scheidt en bepaalt wat servers en apparaten waarop nooit een SASE-client draait mogen bereiken. Printers, camera's, machines en veel servers hebben geen agent en worden alleen beschermd door het netwerk om hen heen. De rol van de firewall wordt dus kleiner, maar verdwijnt niet: bescherming tegen inkomend verkeer, segmentatie en uitgaande regels voor onbeheerde apparaten. Houd de regels kort en bekeken. NetSenX vervangt geen firewall of SASE-dienst en blokkeert niets. Het bewaakt het verkeer dat bewaakte segmenten passeert en detecteert scans, laterale beweging, beaconing en ongewoon uitgaand volume, op elk abonnement, wat u vertelt wanneer een van beide lagen wordt omzeild.

Ze verkleinen wat een indringer kan bereiken vanaf het eerste apparaat dat hij overneemt. Laterale beweging betekent van dat apparaat naar andere springen, meestal met extern bureaublad, bestandsshares of beheertools en met onderweg verzamelde wachtwoorden. Segmentatie zet firewalls of toegangsregels tussen groepen systemen, zodat een gecompromitteerde kantoorlaptop helemaal geen sessie kan openen naar de databaseserver of het back-upsysteem. Het principe van minimale rechten zorgt ervoor dat de accounts op die laptop ook niet op servers kunnen inloggen, omdat gewone gebruikers niet overal lokale beheerders zijn en beheeraccounts niet voor e-mail worden gebruikt. Een lijst van hosts die beheerprotocollen mogen gebruiken, sluit het gat verder. Niets hiervan is perfect, daarom hoort detectie erbij. NetSenX markeert nieuwe host-naar-hostsessies via beheerprotocollen die niet passen bij het normale gedrag van een host als laterale beweging, op elk abonnement, en koppelt ze vanaf het Pro-abonnement tussen hosts aan elkaar tot één verhaal.

Bij de systemen waarvan verlies het meest pijn zou doen en bij de apparaten die u het minst vertrouwt. Een praktische volgorde voor een klein bedrijf: gasten en privéapparaten op een eigen netwerk met alleen internettoegang; printers, camera's, schermen en andere IoT-apparaten in een apparatennetwerk dat geen verbindingen naar pc's mag opzetten; servers, vooral back-ups, bestandsservers en de domeincontroller, in een servernetwerk dat pc's alleen op de nodige poorten bereiken; en een eigen pad voor beheer. Elke stap is op zichzelf nuttig, en de meeste managed switches en firewalls kunnen dit met VLAN's en regels. Kijk voordat u regels schrijft wie echt met wie praat, zodat u geen vergeten afhankelijkheid breekt, zoals een scanner die naar een bestandsshare opslaat. De netwerkkaart van NetSenX toont de hosts op bewaakte segmenten en wie met wie praat, op elk abonnement, wat dat startbeeld geeft en daarna laat zien of de nieuwe grenzen standhouden.

Gebruik VLAN's om de netwerken te scheiden en een firewall, niet alleen switch-toegangslijsten, om te bepalen wat ertussen mag. Zet productiebesturingen, HMI's en SCADA-servers in eigen VLAN's, plaats een firewall tussen hen en het kantoornetwerk en voeg een kleine DMZ toe voor systemen die beide kanten nodig hebben, zoals een kopie van de historian of een gateway voor toegang op afstand. Schrijf de regels als toestemmingslijst: welke kantoorhost welke OT-host op welke poort mag bereiken, en verder niets; weiger en log de rest. Switch-toegangslijsten zijn nuttig voor eenvoudige scheiding binnen OT, maar houden geen verbindingsstatus bij en zijn op grotere schaal foutgevoelig. Plan de wijziging met de OT-engineer en in een onderhoudsvenster, want een gemiste afhankelijkheid kan een lijn stilleggen. Bewaak daarna de grens: vanaf het Pro-abonnement markeert NetSenX verkeer dat niveaus van het fabrieksnetwerk overschrijdt, vanaf een SPAN- of TAP-poort, zonder een OT-apparaat te benaderen.

Microsegmentatie betekent verkeer regelen tussen afzonderlijke servers of workloads, niet alleen tussen netwerkzones, zodat twee servers in hetzelfde segment niet met elkaar kunnen praten tenzij een regel dat toestaat. Meestal gebeurt dat met hostfirewalls, beveiligingsgroepen in de hypervisor of cloud, of een agent die op elke machine beleid afdwingt. Het is zeer effectief tegen een indringer die van server naar server gaat, en gangbaar in datacenters en de cloud. De meeste kleine bedrijven halen eerst meer uit gewone segmentatie: aparte netwerken voor gasten, apparaten, gebruikers en servers. Draait u veel servers, dan is de goedkope versie van microsegmentatie de eigen firewall van elke server aanzetten en alleen de verbindingen toestaan die hij nodig heeft. Wat u ook kiest, laat echt verkeer de regels sturen. De netwerkkaart van NetSenX laat zien welke hosts op bewaakte segmenten met elkaar praten, op elk abonnement, en meldingen voor laterale beweging tonen sessies die niet passen bij het normale gedrag van een host.

Alleen als verkeer tussen VLAN's door een firewall of toegangsregels gaat die iets afdwingen. Een VLAN op zich scheidt broadcastdomeinen op een switch; als de router tussen de VLAN's alles doorlaat, is de scheiding cosmetisch, en dat is een veelvoorkomende bevinding in kleine netwerken. Verkeerd ingestelde switchpoorten kunnen een aanvaller ook tussen VLAN's laten springen, bijvoorbeeld trunkpoorten die openstaan voor apparaten van gebruikers, of het standaard-VLAN dat voor alles wordt gebruikt. Om VLAN's te laten tellen: routeer ertussen via een firewall met toestemmingslijst, zet gebruikerspoorten op één toegangs-VLAN, schakel ongebruikte poorten uit en houd beheerinterfaces in een eigen VLAN. Controleer daarna met echt verkeer of de regels standhouden. NetSenX toont host-naar-hostverbindingen op bewaakte segmenten en detecteert scans en laterale beweging op elk abonnement, zodat een host die over VLAN's heen reikt waar dat niet mag zichtbaar wordt, mits dat verkeer over een gespiegelde verbinding gaat.

Maak met een telefoon of laptop verbinding met het gastennetwerk en probeer interne systemen te bereiken: open het adres van een bestandsserver, de webpagina van een printer, de beheerpagina van de router en de interne naamserver van het kantoor. Op uw eigen netwerk laat een eenvoudige verbindingstest of ping naar interne adresbereiken zien of er iets antwoordt. Controleer daarna de configuratie: clientisolatie aan, gastennetwerk in een eigen VLAN of op een eigen routerpoort, alleen internettoegang, en de beheerinterface van het wifisysteem daarvandaan onbereikbaar. Herhaal dit na elke wijziging aan het wifisysteem, want firmware-updates en nieuwe accesspoints kunnen instellingen terugzetten. Als het gastensegment wordt bewaakt, toont NetSenX de gastapparaten op de netwerkkaart en markeert het elke sessie van hen naar interne hosts, en ook scans of laterale beweging, op elk abonnement. Een gastapparaat dat een interne server bereikt, verschijnt als een verbinding die niet zou mogen bestaan.

Het is een goede eerste stap, maar alleen als ze echt gescheiden is en niet de enige scheiding die u hebt. Een gastennetwerk met een eigen naam maar met dezelfde adresreeks en zonder regels tussen het gastennetwerk en het kantoor is helemaal niet gescheiden; controleer dat het geïsoleerd is en alleen internettoegang biedt. Bovendien beschermt het alleen tegen bezoekers: telefoons van medewerkers, smart-tv's en het koffieapparaat komen vaak juist op het kantoornetwerk terecht. Zet privé- en IoT-apparaten op het gastennetwerk of een apparatennetwerk, houd bedrijfslaptops op een netwerk met authenticatie via certificaat of per gebruiker, wijzig het gastenwachtwoord regelmatig en laat het gastennetwerk niet bij de beheerinterfaces van de wifi zelf. Bevestig het daarna met echt verkeer. Als het gastensegment wordt bewaakt, toont NetSenX de apparaten ervan op de netwerkkaart en markeert het elke verbinding van hen naar interne hosts, scans of laterale beweging, op elk abonnement.

In de meeste kleine kantoren wel: een actief netwerkpunt in een vergaderruimte, bij de receptie of achter een printer geeft iedereen die er een apparaat in steekt dezelfde netwerktoegang als een bedrijfs-pc. Een klein computertje dat daar verstopt zit, kan contact houden met zijn eigenaar en maandenlang als deur naar het netwerk dienen. Sluit dat af met eenvoudige maatregelen: schakel ongebruikte switchpoorten en wandcontactdozen uit, zet vergaderruimtes en receptie op het gastennetwerk, gebruik poortbeveiliging die alleen bekende apparaten op een poort toelaat, of 802.1X zodat een apparaat zich moet authenticeren voordat het enige toegang krijgt. Loop af en toe door het kantoor en controleer de switches op onbekende apparaten. NetSenX helpt vinden wat al binnen is: de netwerkkaart toont de apparaten die op bewaakte segmenten worden gezien, ook apparaten zonder agent, op elk abonnement, en een verstopt apparaat dat met regelmatige tussenpozen naar buiten belt, wordt als beaconing gemarkeerd. Een apparaat dat zwijgt of op een onbewaakt segment zit, wordt niet gezien.

802.1X is een standaard waarbij een apparaat zijn identiteit moet bewijzen voordat een switchpoort of wifinetwerk het binnenlaat, meestal met een certificaat of een gebruikersnaam en wachtwoord die een authenticatieserver controleert. Een apparaat dat faalt, krijgt geen toegang of komt in een beperkt gastennetwerk terecht. Het is de sterkste manier om te voorkomen dat onbekende apparaten gewoon worden ingeplugd, en voor wifi vervangt het één gedeeld wachtwoord door gegevens per gebruiker of per apparaat, zodat de toegang van iemand die vertrekt apart kan worden ingetrokken. Het vraagt switches en accesspoints die het ondersteunen, een authenticatieserver, vaak inbegrepen in identiteitsdiensten in de cloud of in firewalls, en wat zorg bij printers en apparaten die zich niet kunnen authenticeren. Veel kleine kantoren beginnen met 802.1X alleen op wifi en poortbeveiliging op bekabelde poorten. NetSenX dwingt geen netwerktoegang af; de netwerkkaart toont de apparaten die op bewaakte segmenten worden gezien, op elk abonnement, wat helpt de apparaten te vinden die uw toegangscontrole miste.

Het stopt het meeste, maar niet alles. Meervoudige authenticatie (MFA) blokkeert aanvallen die alleen op een gestolen of geraden wachtwoord steunen, daarom vragen verzekeraars erom en noemt NIS2 haar onder haar maatregelen. Aanvallers hebben zich aangepast: ze gebruiken nep-inlogpagina's die de code live doorsturen, stelen het sessiecookie na het inloggen, overspoelen gebruikers met pushverzoeken tot er een wordt goedgekeurd, of praten de helpdesk om een telefoon te resetten. Leg de lat hoger: kies phishingbestendige methoden zoals passkeys of hardwarebeveiligingssleutels, vooral voor beheerders en financiën; gebruik nummervergelijking bij pushmeldingen; beperk hoe lang sessies duren; en laat de helpdesk de identiteit controleren voordat MFA wordt gereset. Houd de aanmeldlogs in de gaten op risicovolle aanmeldingen. Een netwerksensor ziet geen aanmeldingen. Wat NetSenX laat zien, is wat het apparaat van een overgenomen account daarna op het netwerk doet, zoals laterale beweging, scans of grote uploads, op elk abonnement.

Meestal niet als ‘MFA ingevoerd’, en een onnauwkeurig antwoord op een formulier kan later problemen geven. Verzekeringsvragenlijsten en auditors vragen doorgaans waar MFA wordt afgedwongen: e-mail, toegang op afstand, cloudapplicaties, beheerdersaccounts en back-ups. Dekt MFA wel e-mail maar niet de VPN, of gebruikers maar niet beheerders, zeg dat dan precies, want bij een schadeclaim wordt het gecontroleerd. Dicht eerst de gaten die aanvallers het meest gebruiken: toegang op afstand, e-mail, beheerdersaccounts en de back-upconsole, daarna de overige cloudapplicaties. Verwijder uitzonderingen die niet meer nodig zijn en documenteer de uitzonderingen die u houdt, met een reden en een einddatum. Serviceaccounts die geen MFA kunnen gebruiken, beperkt u tot bekende bronnen en bewaakt u in plaats daarvan. NetSenX controleert de MFA-dekking niet; die rapporteert uw identiteitsprovider. NetSenX voegt de netwerkkant aan het bewijs toe: een meldingshistorie met tijdstempels voor bewaakte segmenten, bewaard gedurende de bewaartermijn van uw abonnement.

Passkeys en hardwarebeveiligingssleutels op basis van de FIDO2-standaard, en smartcards met certificaten. Ze zijn bestand tegen phishing omdat de sleutel het webadres controleert waarmee hij praat en een nepsite niet antwoordt, dus er is geen code die de gebruiker op de verkeerde plek kan intypen. Authenticator-apps met nummervergelijking zijn een degelijke tweede keus; codes per sms en eenvoudige pushmeldingen om goed of af te keuren zijn het zwakst, omdat een overtuigende nep-pagina of een vermoeide gebruiker ze kan weggeven. Begin met de accounts die het meest tellen: beheerders, financiën, directie en iedereen met toegang tot back-ups of klantgegevens. Houd per persoon een reservesleutel en een gedocumenteerde herstelprocedure aan, zodat een verloren sleutel niet leidt tot een haastige, onveilige reset. MFA zit bij uw identiteitsprovider, niet in het netwerk. NetSenX ziet geen aanmeldingen; het laat zien wat apparaten op bewaakte segmenten doen nadat welk account dan ook is gebruikt.

Het is een aanval waarbij iemand die het wachtwoord van een gebruiker al heeft, de ene aanmelding na de andere start, zodat de telefoon van de gebruiker volloopt met goedkeuringsverzoeken, vaak 's nachts, tot hij op ‘goedkeuren’ tikt om er een eind aan te maken. Soms belt de aanvaller de gebruiker ook of stuurt hij een bericht en doet hij zich voor als IT. Het werkt tegen eenvoudige pushmeldingen om goed of af te keuren. De verdediging ligt aan de identiteitskant: zet nummervergelijking aan, zodat de gebruiker een nummer moet invoeren dat op het inlogscherm staat; toon locatie en applicatie in de melding; beperk het aantal verzoeken per minuut; geef een melding bij herhaalde afwijzingen; en vertel medewerkers dat een onverwacht verzoek betekent dat hun wachtwoord bekend is, zodat ze het afwijzen en IT bellen. Beter nog: zet belangrijke accounts over op passkeys of hardwaresleutels. Een netwerksensor ziet deze verzoeken niet. NetSenX laat zien wat er gebeurt als een aanvaller binnenkomt: ongewone sessies, scans of uploads vanaf het apparaat van de gebruiker op bewaakte segmenten, op elk abonnement.

Meestal meer mensen en accounts dan iemand denkt, dus stel de lijst op vanuit de systemen zelf, niet uit het geheugen. Controleer de beheerdersgroepen in uw directory of cloud-identiteitsprovider, de lokale beheerders op pc's en servers, de beheerrollen in elke cloudapplicatie zoals e-mail, boekhouding en bestandsdeling, de beheeraccounts van firewalls, switches, wifi en back-ups, en de accounts die uw IT-leverancier gebruikt. Zoek naar oud-medewerkers, gedeelde accounts, accounts die al maanden niet zijn gebruikt en serviceaccounts met beheerdersrechten. Verminder daarna: verwijder wat niemand nodig heeft, geef beheerders een apart beheeraccount, eis voor allemaal phishingbestendige MFA en herhaal de controle elk kwartaal en bij elk vertrek. Dit is identiteitswerk, en een netwerksensor kan geen beheerdersrechten opsommen. NetSenX helpt aan de andere kant: het markeert beheerprotocollen die tussen hosts worden gebruikt op een manier die niet past bij hun normale gedrag als laterale beweging, op elk abonnement.

Het betekent dat elke persoon, elk account en elk systeem alleen de toegang krijgt die nodig is voor zijn werk, zolang dat nodig is, en niets meer. In de praktijk in een klein bedrijf: medewerkers zijn geen lokale beheerders op hun pc; beheerders gebruiken een apart beheeraccount voor beheerwerk en een gewoon account voor e-mail en surfen; bestandsshares staan open voor de teams die ze gebruiken, niet voor iedereen; leveranciers krijgen toegang tot de systemen die ze onderhouden, ingeschakeld wanneer nodig; serviceaccounts hebben alleen de rechten die hun applicatie nodig heeft; en toegang wordt herzien als iemand van functie wisselt of vertrekt. De opbrengst is dat één gestolen wachtwoord of besmette laptop veel minder bereikt. Het vermindert ook ruis: ongewone toegang valt meer op als normale toegang smal is. NetSenX bewaakt de netwerkkant hiervan: het markeert nieuwe sessies tussen hosts die niet passen bij hun normale gedrag als laterale beweging, op elk abonnement, wat vaak toegang aan het licht brengt die niemand bedoelde te geven.

Ja, en vaak zijn het de minst bewaakte accounts in het bedrijf. Serviceaccounts draaien back-ups, scans, integraties en geplande taken, vaak met ruime rechten, wachtwoorden die nooit veranderen en zonder meervoudige authenticatie. API-tokens en sleutels voor clouddiensten staan in scripts, configuratiebestanden en coderepository's, waar een aanvaller die er een vindt hem overal vandaan kan gebruiken. Houd een inventaris bij met een eigenaar per account of token, geef ze alleen de rechten die ze nodig hebben, bewaar geheimen in een kluis in plaats van in bestanden, vervang ze volgens een schema en direct als iemand met toegang vertrekt, beperk waarvandaan ze gebruikt mogen worden, en geef een melding als er een wordt gebruikt vanaf een ongewone plek of op een ongewoon tijdstip; uw identiteits- en cloudlogs tonen dat. Op het netwerk wordt een serviceaccount altijd vanaf een host gebruikt: NetSenX markeert die host wanneer hij nieuwe sessies naar andere hosts start, scant of ongewoon veel uploadt, op elk abonnement. Het token zelf ziet het niet in versleuteld verkeer.

Ja. Als meerdere mensen één beheeraccount gebruiken, kan achteraf niemand zeggen wie wat deed, wordt het wachtwoord zelden gewijzigd als iemand vertrekt, en is meervoudige authenticatie moeilijk aan één persoon te koppelen, zodat het account het vaak zonder doet. Geef elke beheerder, ook de medewerkers van uw IT-leverancier, een persoonlijk beheeraccount met phishingbestendige MFA, en verwijder of schakel het gedeelde account uit. Waar een ingebouwd account niet kan worden verwijderd, zoals de lokale beheerder op pc's of het noodaccount van een firewall, geeft u elke machine een uniek willekeurig wachtwoord dat een tool beheert, bewaart u noodgegevens verzegeld en geeft u een melding als ze worden gebruikt. Log beheeracties per persoon en loop elk kwartaal de lijst van beheeraccounts na. Een netwerksensor kan niet zeggen welke persoon een account gebruikte. NetSenX laat zien vanaf welke host beheersessies starten en markeert sessies die niet passen bij het normale gedrag van een host als laterale beweging, op elk abonnement, zodat een gedeeld account dat vanaf een vreemde machine wordt gebruikt opvalt.

Ja, voor de meeste bedrijven zijn ze veel veiliger dan de alternatieven: hergebruikte wachtwoorden, spreadsheets en briefjes. Een goede zakelijke wachtwoordmanager laat iedereen lange, unieke wachtwoorden gebruiken, deelt teamgegevens zonder ze per e-mail te versturen en trekt de toegang van iemand die vertrekt in één stap in. De kluis wordt daardoor waardevol, dus bescherm haar: eis er phishingbestendige meervoudige authenticatie voor, kies een aanbieder die de kluis zo versleutelt dat hij de inhoud zelf niet kan lezen, controleer waar uw gegevens worden opgeslagen, blokkeer kluistoegang vanaf onbeheerde apparaten als het product dat toestaat, en leg de herstelprocedure vast. Bewaar de beheergegevens van de wachtwoordmanager zelf niet alleen in de wachtwoordmanager. Een wachtwoordmanager stopt phishing niet in zijn eentje, al helpt hij, omdat hij een wachtwoord niet invult op een nepsite. NetSenX ziet geen wachtwoorden of kluizen; het bewaakt wat apparaten op het netwerk doen.

Lengte, uniciteit en meervoudige authenticatie, in plaats van complexiteitsregels en verplichte maandelijkse wijzigingen. De richtlijnen voor digitale identiteit van NIST (SP 800-63B) geven de voorkeur aan lange wachtwoorden, aan het controleren van nieuwe wachtwoorden tegen lijsten met bekende gelekte wachtwoorden, en aan wijzigen wanneer er aanwijzingen zijn dat een wachtwoord gecompromitteerd is in plaats van volgens een vast schema, omdat verplichte periodieke wijzigingen mensen naar voorspelbare patronen duwen. In de praktijk: een minimumlengte die wachtwoordzinnen toelaat, geen hergebruik tussen systemen, een wachtwoordmanager voor iedereen, blokkeren van gelekte en veelgebruikte wachtwoorden, blokkering of vertraging na herhaalde fouten, en MFA op alles wat vanaf internet bereikbaar is. Beheer- en serviceaccounts verdienen langere, willekeurig gegenereerde wachtwoorden in een kluis. Leg medewerkers de redenen uit; een beleid dat mensen begrijpen, wordt beter gevolgd. NetSenX dwingt geen wachtwoorden af. Op het netwerk markeert het herhaalde aanmeldpogingen op bewaakte hosts als brute force, op elk abonnement, wat laat zien wanneer iemand aan het raden is.

Single sign-on (SSO) laat mensen zich één keer aanmelden met een bedrijfsaccount bij een identiteitsprovider en daarna veel applicaties gebruiken zonder aparte wachtwoorden, meestal via de standaarden SAML of OpenID Connect. Goed ingericht verbetert het de beveiliging: minder wachtwoorden om te hergebruiken of te stelen, één plek om MFA en apparaatregels af te dwingen, één plek om aanmeldingen te zien, en één schakelaar om uit te zetten als iemand vertrekt, die in één keer de toegang tot alle gekoppelde applicaties sluit. De keerzijde is concentratie: de identiteitsprovider wordt de sleutel tot alles, dus bescherm de beheeraccounts ervan met phishingbestendige MFA, bewaar een noodtoegangsaccount verzegeld en houd de aanmeldlogs in de gaten. Applicaties buiten SSO houden eigen wachtwoorden; maak er een lijst van, zodat ze bij vertrek van medewerkers niet worden vergeten. SSO is identiteitsinfrastructuur, geen netwerkmonitoring, en NetSenX ziet geen aanmeldingen. Het laat zien wat apparaten op het netwerk doen nadat iemand zich heeft aangemeld.

Maak de toegang eerst smal en zichtbaar en houd haar daarna in de gaten. Leg schriftelijk vast welke pc's de accountants mogen bereiken, met welke tool, op welke tijden en met welke accounts, bij voorkeur een persoonlijk account per medewerker met meervoudige authenticatie. Kies liever een tool voor toegang op afstand die u zelf beheert en die sessies logt, dan een tool die de accountant heeft geïnstalleerd; zet hem aan voor de maandafsluiting en daarna weer uit. Houd de pc's van de financiële afdeling op een segment dat de rest van het netwerk niet kan bereiken. Vraag het kantoor hoe het zijn eigen systemen beschermt, want hun compromittering wordt de uwe. Bekijk daarna het patroon: de sessies op afstand verschijnen op het netwerk als verbindingen van een extern adres naar specifieke interne hosts op specifieke tijden. NetSenX toont die verbindingen en markeert laterale beweging als een sessie andere interne hosts begint te bereiken, op elk abonnement; regelmatige contacten van een tool voor toegang op afstand buiten het afgesproken venster verschijnen als beaconing. NetSenX beheert niet wie toegang heeft.

Hun toegang wordt de toegang van de aanvaller. Een IT-leverancier heeft meestal beheerdersrechten op uw servers, beheertools op afstand op elke pc en wachtwoorden van uw cloudaccounts; een boekhouder heeft misschien toegang op afstand tot de pc's van de financiële afdeling en uw internetbankieren. Aanvallers weten dat, en sommige grote incidenten hebben zich vanaf één dienstverlener naar veel van zijn klanten verspreid. Bereid u voor voordat het gebeurt: maak een lijst van elke leverancier met toegang en wat hij kan bereiken, eis persoonlijke accounts met meervoudige authenticatie, beperk hun tools tot de systemen die ze onderhouden, vraag hoe ze hun eigen omgeving beschermen en hoe ze u over een incident informeren, en leg die plichten vast in het contract, wat NIS2 ook verwacht als onderdeel van de beveiliging van de toeleveringsketen. Spreek af hoe u in een noodgeval hun toegang afsluit. NetSenX toont de verbindingen van de leverancier met uw netwerk en detecteert laterale beweging, scans, beaconing en ongewoon uitgaand volume vanaf de hosts die hij gebruikt, op elk abonnement. De systemen van de leverancier zelf monitort het niet.

Combineer de software-inventaris met het netwerkverkeer. Maak op elke server een lijst van geïnstalleerde programma's en draaiende diensten en zoek naar tools voor bureaublad en ondersteuning op afstand, VPN-clients en agents van platforms voor beheer op afstand; vraag elke leverancier welke tools hij installeerde, wanneer, en of hij ze nog gebruikt. Zoek op het netwerk naar wat die tools ook in rust doen: regelmatige contacten met de relayservers van de leverancier, of verbindingen vanaf een cloudadres die niemand aan uw kant kan verklaren. Verwijder wat niet meer nodig is, zet wat nodig is achter uw eigen gecontroleerde toegangspad, en wijzig de wachtwoorden die de leverancier kende. NetSenX markeert de regelmatige contacten als beaconing op elk abonnement en zet externe bestemmingen op gehuurde cloudservers in de beoordelingswachtrij, waar u ze bevestigt, als verdacht markeert of voor later laat staan. Als de agent op de server draait, noemt de melding ook het lokale programma.

Met één gecontroleerd pad, persoonlijke accounts en een vastlegging van elke sessie. Houd een register bij van leveranciers met toegang: wie ze zijn, welke systemen ze bereiken, met welke tool en onder welk contract. Laat alle toegang van leveranciers lopen via een gateway, VPN of bastionhost die van u is, met meervoudige authenticatie en een persoonlijk account per monteur; schakel toegang in voor afgesproken vensters en daarna weer uit; en log of neem sessies op. Loop het register elk kwartaal na en verwijder toegang die niet meer wordt gebruikt. Verplicht leveranciers u te informeren over incidenten aan hun kant, en test of u hun toegang snel kunt afsluiten. Op het netwerk horen leverancierssessies dan alleen via dat ene pad te beginnen. NetSenX toont de verbindingen, detecteert laterale beweging en scans vanaf de hosts die leveranciers gebruiken, op elk abonnement, en zet externe bestemmingen op gehuurde cloudservers in de beoordelingswachtrij, zodat een tool die uw pad omzeilt zichtbaar wordt.

Het betekent dat u de cyberrisico's die van uw leveranciers en dienstverleners komen, beheert als onderdeel van uw eigen risicobeheer. Richtlijn (EU) 2022/2555 noemt beveiliging van de toeleveringsketen onder de maatregelen van haar artikel 21, inclusief de beveiliging van de relaties met directe leveranciers en dienstverleners. In de praktijk, voor een entiteit die onder de richtlijn valt: weten welke leveranciers toegang hebben tot uw systemen of gegevens, inschatten hoe kritiek elk van hen is, in contracten basismaatregelen voor beveiliging en het melden van incidenten eisen, hun toegang beperken en controleren, en dit alles regelmatig herzien. Levert u aan een entiteit die onder NIS2 valt, reken er dan op dat u om vergelijkbaar bewijs wordt gevraagd, ook als NIS2 niet rechtstreeks op u van toepassing is. Nationale omzettingen kunnen details toevoegen, dus controleer de wetgeving van uw eigen land. NetSenX beoordeelt geen leveranciers. Het laat zien wat hun toegang op uw bewaakte netwerk doet: verbindingen, laterale beweging, scans en beaconing vanaf de hosts die ze gebruiken, op elk abonnement.

Vooral via accounts, deels via het netwerk. Aan de identiteitskant: schakel de accounts van de persoon op de laatste werkdag uit, trek VPN-certificaten en applicatiesessies in, haal de apparaten uit het apparaatbeheer, wijzig gedeelde wachtwoorden die de persoon kende, en controleer doorstuurregels voor e-mail en privéapparaten die voor MFA zijn geregistreerd. Houd daarna de aanmeldlogs van dat account in de gaten en geef een melding bij elk gebruik. Aan de netwerkkant valt een apparaat dat nog toegang heeft, zoals een privételefoon met het wifiwachtwoord van kantoor of een thuis-pc met een opgeslagen VPN-profiel, op zodra het verbinding maakt: de netwerkkaart van NetSenX toont de apparaten die op bewaakte segmenten worden gezien, met eerste en laatste waarneming, op elk abonnement, zodat een apparaat waarvan u dacht dat het weg was weer verschijnt, en de VPN-weergave toont tunnels en gatewaysessies. Wijzig het wifiwachtwoord, of gebruik beter wifigegevens per gebruiker, zodat apparaten van vertrokken medewerkers niet terug kunnen. NetSenX bewaakt apparaten, geen mensen, en volgt geen oud-medewerker.

Vooral aan de aanmeldlogs, want die leggen vast wie zich aanmeldde, waarvandaan en hoe. Let op aanmeldingen uit nieuwe landen, vanaf onbekende apparaten of hostingproviders, geslaagde aanmeldingen vlak na veel mislukte, nieuw geregistreerde MFA-methoden, nieuwe doorstuurregels voor e-mail en toegang tot applicaties die de persoon nooit gebruikt. De meeste identiteitsproviders en kantoorsuites in de cloud kunnen risicovolle aanmeldingen markeren; zet dat aan en zorg dat iemand de meldingen leest. Controleer openbare datalekdiensten voor het domein van uw bedrijf en handel naar hun meldingen door het wachtwoord te resetten en op hergebruik te controleren. Het netwerk laat de tweede helft zien: wat de aanvaller met het account doet. NetSenX detecteert laterale beweging, scans, beaconing en ongewone uploads vanaf apparaten op bewaakte segmenten, op elk abonnement, en vaak wordt een accountovername zo binnen het bedrijf zichtbaar. De aanmelding zelf ziet het niet, en wachtwoorden leest het niet.

Ja. Een beheerder die met een beheeraccount e-mail leest en op het web surft, stelt de sleutels tot alles bloot aan elk phishingbericht en elke kwaadaardige website. Met een apart beheeraccount, alleen gebruikt voor beheertaken en nooit voor e-mail of surfen, levert een gecompromitteerd dagelijks account de aanvaller veel minder op. Ga verder waar het kan: eis phishingbestendige MFA op beheeraccounts, gebruik ze alleen vanaf een eigen beheerwerkplek of een bastionhost, geef elk beheeraccount alleen rechten op de systemen die het beheert, en schakel beheeraccounts uit die al maanden niet zijn gebruikt. Dit geldt ook voor de medewerkers van uw IT-leverancier. Het is identiteitshygiëne die een netwerktool niet kan afdwingen. Het maakt monitoring wel scherper: als beheersessies alleen vanaf één werkplek of bastionhost worden verwacht, markeert NetSenX beheerprotocollen vanaf andere hosts als laterale beweging, op elk abonnement.

Privileged access management (PAM) is een verzameling tools en werkwijzen om de machtigste accounts te beheersen: beheerders, root, serviceaccounts en noodaccounts. Typische functies zijn een kluis die beheerwachtwoorden opslaat en vervangt, het tijdelijk uitlenen van inloggegevens, sessieopname, goedkeuring vóór toegang en just-in-timerechten die alleen bestaan zolang een taak duurt. Volledige PAM-producten passen bij grotere bedrijven en gereguleerde omgevingen. Een klein bedrijf kan de basis ook zonder dekken: een inventaris van geprivilegieerde accounts, aparte beheeraccounts met phishingbestendige MFA, unieke lokale beheerderswachtwoorden die een tool beheert, een bastionhost voor beheer op afstand en een kwartaalcontrole. Kies een PAM-product wanneer het aantal beheerders, leveranciers of auditeisen dat handwerk onbetrouwbaar maakt. NetSenX is geen PAM-tool. Het vult er een aan door te laten zien waar op het netwerk geprivilegieerde sessies plaatsvinden en de sessies die niet passen bij het normale gedrag van een host als laterale beweging te markeren, op elk abonnement.

Gedeeltelijk, en NetSenX minder dan u misschien verwacht. Veel identiteitsaanvallen spelen zich af binnen aanmeldsystemen: password spraying tegen cloudaccounts, phishing van MFA-codes, gestolen sessietokens en misbruik van directoryrechten. Die laten sporen na in de logs van identiteitsprovider, directory en cloud, niet op uw kantoornetwerk, dus de tools die die logs lezen, zoals de risicodetectie van de identiteitsprovider, een EDR of een SIEM, vangen ze op. Sommige directoryaanvallen gaan wel over het netwerk, zoals een werkplek die plotseling veel serviceticket-aanvragen bij de domeincontroller doet, en gespecialiseerde tools bewaken die protocollen. NetSenX geeft geen meldingen over identiteitsgebeurtenissen. Wat het ziet, is het gedrag van apparaten eromheen: herhaalde aanmeldpogingen op bewaakte hosts als brute force, en de laterale beweging, scans en beaconing die volgen op een gecompromitteerd account, op elk abonnement. Gebruik het naast uw identiteitslogs, niet in plaats daarvan.

Nee, NIS2 noemt zero trust niet, maar verschillende van de vereiste maatregelen wijzen dezelfde kant op. Artikel 21 van Richtlijn (EU) 2022/2555 vraagt van entiteiten die eronder vallen risicogebaseerde maatregelen die onder meer omvatten: beleid voor toegangscontrole, beheer van activa, het gebruik van meervoudige of continue authenticatie, beveiligde communicatie en beveiliging van de toeleveringsketen. Zero-trustpraktijken, zoals het verifiëren van elke gebruiker en elk apparaat, minimale rechten en netwerksegmentatie, zijn een praktische manier om die maatregelen in te vullen, maar de richtlijn laat de methode aan u, en nationale omzettingen en richtsnoeren kunnen details toevoegen; controleer de wetgeving van uw eigen land. Auditors zoeken een gedocumenteerde risicoanalyse, maatregelen die daarbij passen en bewijs dat ze werken. NetSenX levert bewijs aan de netwerkkant: welke hosts op bewaakte segmenten met elkaar praten, en meldingen voor laterale beweging, scans en beaconing, op elk abonnement. Het maakt u niet compliant.

Ga ervan uit dat er een laptop gecompromitteerd raakt en bepaal vooraf hoe weinig hij moet kunnen aanraken. Gewone laptops hoeven zelden met elkaar te praten, dus blokkeer laptop-naar-laptopverkeer met de clientfirewall of switchinstellingen; laat ze servers alleen bereiken op de poorten die hun applicaties gebruiken; houd back-ups, beheerinterfaces en de beheerpaden van de domeincontroller buiten bereik; en zorg dat de gebruiker geen lokale beheerder is, zodat malware de beveiliging niet makkelijk kan uitschakelen of wachtwoorden van andere accounts kan buitmaken. Geef elke groep op de VPN alleen toegang tot wat ze nodig heeft. Controleer het resultaat daarna met echt verkeer, want een regelset op papier heeft vaak gaten. NetSenX laat zien welke hosts op bewaakte segmenten met elkaar praten en markeert nieuwe host-naar-hostsessies die niet passen bij het normale gedrag van een laptop als laterale beweging, samen met scans en beaconing, op elk abonnement, zodat u ziet waar een gecompromitteerde laptop nog zou kunnen komen.

Nee. De meeste servers hebben een korte lijst uitgaande bestemmingen nodig, zoals updateservers, een back-updoel en een paar partnerdiensten, en verder niets. Onbeperkte uitgaande toegang is precies wat malware op een server in staat stelt contact te maken met zijn server, tools te downloaden en gestolen gegevens te uploaden. Beperk die met egress-filtering op de firewall: sta de bestemmingen toe die elke server nodig heeft, laat webverkeer via een proxy lopen als u die hebt, en weiger en log de rest. Begin een paar weken in alleen-loggenmodus om te zien wat de servers echt gebruiken en scherp daarna aan. Regels op basis van domeinen zijn makkelijker te onderhouden dan adreslijsten, omdat clouddiensten van adres veranderen. Hetzelfde geldt voor printers, camera's en OT-apparaten. NetSenX laat zien met welke externe bestemmingen bewaakte hosts verbinding maken, detecteert beaconing en ongewoon uitgaand volume op elk abonnement en zet bestemmingen op gehuurde cloudservers in de beoordelingswachtrij, wat u de lijst geeft die u nodig hebt om de regels te schrijven.

Baseer ze op waargenomen verkeer, voer ze in fasen in en houd een weg terug open. Leg eerst een paar weken vast wie echt met wie praat, inclusief taken die zelden draaien: back-ups, salarisadministratie, maandafsluitingsrapporten, de scanner die naar een share opslaat. Stel op basis daarvan toestemmingsregels op, loop ze door met de eigenaar van elk systeem en bepaal welke waargenomen verbindingen helemaal niet zouden mogen bestaan. Stel de firewall daarna zo in dat hij logt wat de nieuwe regels zouden blokkeren, zonder te blokkeren, en onderzoek elke treffer. Pas daarna dwingt u af, segment voor segment, met een terugvalplan en iemand bij de hand. Documenteer de regelset, met een reden en een eigenaar per regel. De netwerkkaart van NetSenX toont de host-naar-hostcommunicatie op bewaakte segmenten, op elk abonnement, precies het beeld van waargenomen verkeer dat deze methode nodig heeft, en de meldingen voor laterale beweging tonen daarna sessies die niet passen bij het nieuwe normaal.

Ja, telkens wanneer u iets host dat internet of een ander onbetrouwbaar netwerk moet bereiken. Een gedemilitariseerde zone (DMZ) is een apart netwerksegment tussen de buitenwereld en uw interne netwerk, waarin u systemen zet die verbindingen van buiten moeten accepteren, zoals een webserver, een mailrelay, een gateway voor toegang op afstand of een server voor bestandsoverdracht. Wordt een van die systemen gecompromitteerd, dan zit de aanvaller in de DMZ, en firewallregels beletten hem verbindingen naar het interne netwerk te openen. Hetzelfde idee scheidt in fabrieken het kantoornetwerk van het productienetwerk. Veel kleine bedrijven hosten zelf geen openbare diensten meer, en dan is de DMZ klein of overbodig; maar op het moment dat u een poort naar een interne server doorstuurt, hebt u een DMZ-probleem zonder DMZ. Houd hosts in de DMZ bijgewerkt en minimaal, en sta naar binnen alleen de specifieke verbindingen toe die ze nodig hebben. Op een bewaakt segment detecteert NetSenX laterale beweging en scans vanaf een DMZ-host richting interne hosts, op elk abonnement.

Vaak wel, in elk geval gedeeltelijk. Kijk wat u al hebt: veel zakelijke routers en firewalls ondersteunen VLAN's en regels daartussen, veel managed switches ook, en de meeste wifisystemen kunnen een apart gastennetwerk met clientisolatie draaien. Zijn uw switches unmanaged, begin dan met wat ze niet nodig heeft: een geïsoleerde gastenwifi voor bezoekers en privéapparaten, de hostfirewall op elke pc en server zo ingesteld dat alleen het nodige is toegestaan, laptop-naar-laptopverkeer geblokkeerd, en bestandsshares beperkt tot de groepen die ze gebruiken. Vervang unmanaged switches geleidelijk, te beginnen waar servers en back-ups staan. Schrijf op wat u hebt gescheiden en waarom, zodat de volgende persoon het niet ongedaan maakt. Controleer daarna met echt verkeer of het werkt. NetSenX laat zien welke hosts op bewaakte segmenten met elkaar praten, op elk abonnement; één agent op een SPAN- of TAP-poort, waarvoor een switch met spiegelfunctie of een TAP nodig is, telt als één apparaat voor dat segment.

Behandel hem als het waardevolste systeem dat u hebt, want wie hem beheerst, beheerst elk account. Beperk wie zich erop mag aanmelden: alleen een paar persoonlijke beheeraccounts met phishingbestendige MFA, gebruikt vanaf een eigen beheerwerkplek en nooit voor e-mail of surfen. Houd hem bijgewerkt, draai er niets anders op, blokkeer zijn internettoegang op het nodige na, en laat gewone pc's hem alleen bereiken op de poorten die authenticatie vereist, niet voor extern bureaublad of beheershares. Bewaar een geteste offline back-up van de directory en een gedocumenteerd herstelplan, want een directory onder druk opnieuw opbouwen is moeilijk. Controleer het lidmaatschap van beheerdersgroepen regelmatig en bewaak de beveiligingslogs van de directory met een tool die ze leest. Op het netwerk markeert NetSenX nieuwe sessies naar de domeincontroller die niet passen bij het normale gedrag van een host, zoals een marketing-pc die 's nachts een sessie op afstand opent, als laterale beweging, op elk abonnement. De logs van de directory leest het niet.

Nee. Zero trust gaat erom geen toegang te geven op basis van vertrouwen alleen: elk apparaat en elk account bewijst zichzelf, krijgt alleen wat het nodig heeft, en de toegang wordt doorlopend gecontroleerd. Dat gaat over apparaten, accounts en verbindingen, niet over het werk van mensen, en het vereist niet dat iemands inhoud wordt gelezen. Het brengt wel logging met zich mee, zoals aanmeldingen, de staat van apparaten en netwerkverbindingen, dus wees transparant: vertel medewerkers wat er wordt gelogd, waarom en hoe lang, betrek de ondernemingsraad als die er is, en voer een gegevensbeschermingseffectbeoordeling uit waar de wet dat vereist. Houd de gegevens minimaal en het doel beperkt tot beveiliging. NetSenX is zo gebouwd: het bewaakt apparaten en verbindingen, geen mensen, analyseert verbindingsmetadata om aanvallen te detecteren, ontsleutelt nooit verkeer en beoordeelt of rangschikt geen medewerkers. De meldingen noemen hosts en adressen; als een melding de context van een persoon nodig heeft, blijft die stap binnen uw eigen proces.