Beheertoegang via een bastion host

Barriere: scherm publieke beheerinterfaces af. Beheer-toegang tot systemen verloopt via gehardde tussenstations, geen directe SSH/RDP van een werkplek naar een server, alles via een beheer-bastion.

Beheer van servers verloopt direct vanaf de werkplek via SSH of RDP. Eén compromittering op een werkplek geeft direct beheer-toegang tot productie. En de logging van wie wanneer welke server raakte is verspreid over alle servers.

Wanneer wel, wanneer niet

Past zodra er servers worden beheerd. Wanneer niet zonder identity-koppeling: een bastion zonder MFA en logging is gewoon een tussenserver.

Zo richt je het in

Een bastion-server (jump host of cloud-bastion-dienst) is het enige punt van waaruit beheer-toegang tot servers verloopt. Authenticatie via de identity-provider met phishingbestendige MFA; sessies worden gelogd en kunnen worden afgesloten. Directe SSH/RDP buiten de bastion om is geblokkeerd.

Stel een bastion-host op (eigen of cloud-dienst zoals Azure Bastion).
Configureer authenticatie via de identity-provider met phishingbestendige MFA.
Beperk netwerkrouting: directe SSH/RDP naar servers van werkplekken is uit.
Activeer sessie-logging op het bastion.
Geef beheerders instructie over de nieuwe werkwijze.
Monitor pogingen om de bastion te omzeilen.

Wat het kost en wat het oplevert

Kosten: laag.

Wat het oplevert

Eén punt van controle voor alle beheer-toegang.
Sessie-logging concentreert audit-trails.
Gecompromitteerde werkplek geeft niet langer directe productie-toegang.

Waar je op moet letten

Extra hop voelt voor beheerders trager.
Bastion zelf wordt aantrekkelijk doelwit, hardening cruciaal.
Uitval van bastion blokkeert beheer; HA-inrichting noodzakelijk.

Bewijs

Een scan of inventarisatie waaruit blijkt dat er geen beheerinterface meer rechtstreeks vanaf internet bereikbaar is.
De configuratie van de bastion: welke authenticatie, welke bronadressen, en of sessies worden vastgelegd.
De uitzonderingen, met de reden en de termijn waarop ze verdwijnen.
Sessielogs, zodat achteraf te reconstrueren is wie welk systeem heeft benaderd.

Zo leg je het uit

Aan de directie. Beheerders kunnen nu direct vanaf hun laptop bij servers, dat schakelt onze identity-laag effectief uit. Een bastion herstelt die controle voor weinig geld.

Aan de informatiemanager. Bastion-positionering in het netwerk; identity-koppeling; sessie-logging. Past in bestaande architectuur.

Aan het MT. Beheerders werken via de bastion, kleine procedurele wijziging, één korte instructie.

Hoe dit samenhangt

Deze handleiding hoort bij barriere remote uit de zelfcheck aanvalspaden. Wat je hiermee aantoont in BIO 2.0, NIST CSF, het Wpg-kader en de AVG staat op Van aanvalspad naar norm.

Beheer op afstand valt ook onder Beheerwerkplek voor administratieve taken: de bastion beperkt de route, de beheerwerkplek het startpunt.

Licentie

EUPL-1.2.