Microsegmentatie

NormenBIO2

Levert bewijs voorBIO8.38.208.22NIST CSFPR.AA-05PR.IR-01AVGA25A32WpgW06

Barriere: beperk lateral movement met segmentatie en minimale rechten. Binnen zones wordt per workload of service geregeld welk verkeer is toegestaan, server-A spreekt alleen met server-B als dat expliciet is afgesproken, niet 'omdat ze in dezelfde zone staan'.

Klassieke segmentatie houdt op bij zone-grenzen. Binnen een zone (bijvoorbeeld de serverlaag) kunnen workloads vrijuit met elkaar praten, wat ransomware-verspreiding en laterale beweging mogelijk maakt.

Wanneer wel, wanneer niet#

Past in volwassen organisaties met goed gedocumenteerde service-architectuur. Wanneer niet zonder eerst klassieke segmentatie: microsegmentatie zonder zonering is dweilen met de kraan open.

Zo richt je het in#

Een microsegmentatie-platform (Illumio, NSX, cloud-native zoals security-groups) past beleid op workload-niveau toe. Per workload: welke andere workloads/services zijn toegestaan. Discovery-mode bouwt eerst een beeld van bestaande flows; enforcement volgt.

1. Zorg dat klassieke segmentatie staat (eerste patroon).
2. Kies een microsegmentatie-platform passend bij hosting (on-prem, cloud, beide).
3. Plaats agents/sensors op alle workloads.
4. Loop discovery-fase: leer de bestaande flows.
5. Stel beleid op per workload-tier; ga van audit naar enforce in fasen.
6. Onderhoud beleid bij wijzigingen, automatisering via labels en tags.

Wat het kost en wat het oplevert#

Kosten: hoog.

Wat het oplevert

• Laterale beweging binnen zones wordt drastisch beperkt.
• Ransomware kan zich veel moeilijker verspreiden.
• Maakt service-afhankelijkheden zichtbaar, een bijproduct van waarde.

Waar je op moet letten

• Significant project: licentie-, agent- en inrichtings-investering.
• Vereist gedisciplineerd label-/tag-beleid om schaalbaar te zijn.
• Verkeerd uitgevoerd raakt productie, fasering verplicht.

Bewijs#

• Het beleid per werklast of applicatiegroep, met wat er wel en niet mag.
• Een meting van het werkelijke verkeer voordat je afdwingt, zodat je legitieme stromen niet breekt.
• De regels in afdwingstand, met de dekking.
• Een toets waaruit blijkt dat verkeer dat niet mag, ook echt wordt geblokkeerd.

Zo leg je het uit#

Aan de directie. Binnen onze server-zone kunnen aanvallers nog steeds laterally bewegen. Microsegmentatie sluit dat, substantieel werk, ook substantieel effect bij grotere incidenten.

Aan de informatiemanager. Architectuur-investering en operationeel een platform erbij. Labels en tags worden noodzakelijke discipline.

Aan het MT. Workload- en applicatieteams werken volgens labels en flows. Eenmalige inrichting, doorlopende discipline.

Hoe dit samenhangt#

Deze handleiding hoort bij barriere segment uit de zelfcheck aanvalspaden. Wat je hiermee aantoont in BIO 2.0, NIST CSF, het Wpg-kader en de AVG staat op Van aanvalspad naar norm.

Zonder Netwerksegmentatie is dit niet de volgende stap maar de eerste, en dan is het te duur.

Licentie#

EUPL-1.2.