Nederlands
Menu

Perimeterbeveiliging versus zero trust: vertrouwensaannames, frequentie van authenticatie en toegang op afstand vergeleken

Perimeterbeveiliging vertrouwt de binnenkant van het bedrijfsnetwerk en plaatst firewalls en VPN-apparatuur op de grens met internet om aanvallen buiten te houden. Zero trust verleent geen vertrouwen op basis van de plaats in het netwerk; voor elke combinatie van gebruiker, apparaat en resource controleert het elke toegang en staat dan alleen toe wat nodig is. Het Amerikaanse NIST definieert de zero-trustarchitectuur in SP 800-207 (2020). Zero trust verspreidde zich doordat clouddiensten en toegang van buiten het kantoor toenamen en wat beschermd moest worden buiten de perimeter kwam te liggen.

KenmerkPerimeterbeveiligingZero trust
VertrouwensaannameDe binnenkant van het bedrijfsnetwerk wordt vertrouwd, de buitenkant nietDe plaats in het netwerk geeft geen vertrouwen; toegang van binnenuit wordt elke keer gecontroleerd, net als toegang van buitenaf
Plaats van de controlesOp de grens met internet (firewalls, VPN-apparatuur, proxy's enzovoort)Op elk toegangspad tussen gebruikers of apparaten en resources (applicaties en data), met een punt dat beslist of toegang wordt toegestaan (policy decision point) en een punt dat de beslissing afdwingt (policy enforcement point)
Moment van authenticatie en autorisatieEén keer, bij het binnenkomen van het bedrijfsnetwerk (bijvoorbeeld bij het verbinden met de VPN)Per resource en per sessie, op basis van gebruikersauthenticatie (zoals multifactorauthenticatie), apparaatstatus, locatie en tijdstip, en opnieuw beoordeeld als de omstandigheden veranderen
Toegang op afstandEen VPN verbindt gebruikers met het bedrijfsnetwerk en behandelt ze alsof ze op kantoor zijnZTNA (zero trust network access) en vergelijkbare aanpakken verbinden gebruikers alleen met de applicaties die ze mogen gebruiken, nooit met het hele netwerk
Laterale beweging na een inbraakEenmaal binnen kent verkeer tussen interne machines weinig beperkingen, dus een aanvaller kan zich makkelijk verspreidenToegang is fijn opgedeeld en alleen de noodzakelijke rechten worden verleend (minimale rechten), dus verspreiden is moeilijker
Omgang met apparatenApparaten die op het interne netwerk zijn aangesloten, worden doorgaans vertrouwdOf een apparaat beheerd wordt en of de updates van het besturingssysteem en de antimalware in orde zijn, wordt bij elke toegangsbeslissing meegewogen
Zichtbaarheid en loggingVerkeer dat de grens passeert wordt gelogd, maar verkeer tussen interne machines is moeilijk te zienElk toegangsverzoek en elke beslissing wordt gelogd en gebruikt voor continue bewaking en verbetering van het beleid
Aansluiting op de cloudNaarmate het gebruik van clouddiensten en thuiswerken toeneemt, komt wat beschermd moet worden buiten de grens te liggen; al het verkeer via de VPN naar kantoor leiden raakt verbindingen en apparatuur snel overbelastBeslissingen volgen hetzelfde beleid, ongeacht de locatie, wat goed past bij clouddiensten en werken op afstand
Moeilijkheid van de overstapMakkelijk te begrijpen, en de meeste organisaties hebben het alVraagt identiteitsbeheer, apparaatbeheer, een inventaris van assets en een ontworpen toegangsbeleid, en wordt stap voor stap ingevoerd; het installeren van één product volstaat niet

De getalswaarden zijn typische ordegroottes en variëren per procesgeneratie en product.

Wanneer welke variant?

Perimeterbeveiliging
Omgevingen waar gebruikers en de te beschermen systemen vooral op het interne netwerk zitten en het beperken van de toegangspunten volstaat. Ook na de overstap naar zero trust blijft de firewall op de grens als één laag van defense in depth.
Zero trust
Omgevingen die draaien om clouddiensten en werken op afstand, waar de grens tussen binnen en buiten vervaagd is. Het past ook wanneer je ervan uitgaat dat een inbraak zal plaatsvinden en wilt beperken hoe ver de schade zich kan verspreiden.
Geleidelijke overstap
De meeste organisaties stappen geleidelijk over terwijl ze perimetermechanismen blijven gebruiken: multifactorauthenticatie verplichten, apparaten beheren en belangrijke applicaties een voor een naar ZTNA verhuizen.

Veelgestelde vragen

Maakt zero trust VPN's overbodig?

VPN's die worden gebruikt om interne applicaties van buitenaf te bereiken, worden vaak vervangen door ZTNA, omdat een VPN na verbinding toegang geeft tot het hele netwerk, terwijl ZTNA gebruikers alleen met toegestane applicaties verbindt en elke toegang controleert. Sommige VPN's, zoals die tussen vestigingen, blijven voor andere doelen in gebruik.

Is zero trust een productnaam?

Nee, het is een benadering van beveiligingsontwerp, geen product. NIST SP 800-207 (2020) beschrijft zero trust en de bijbehorende architectuur als een aanpak die geen vertrouwen verleent alleen op basis van de plaats in het netwerk of het eigendom van een asset, en die bij elke toegang tot een resource authenticatie en autorisatie uitvoert. De invoering combineert identiteitsbeheer, multifactorauthenticatie, apparaatbeheer, ZTNA, logging en bewaking.

Maakt zero trust firewalls overbodig?

Nee. Zero trust betekent dat iets niet wordt vertrouwd alleen omdat het binnen de grens zit; het betekent niet dat verdediging op de grens verdwijnt. Firewalls blijven in gebruik als laag die ongewenst verkeer bij de ingang afsnijdt en als middel om het netwerk in fijne segmenten op te delen.

Test uw begrip

Welke van de volgende authenticatiemethoden is multifactorauthenticatie?

  1. AEen wachtwoord invoeren en daarna een eenmalig wachtwoord invoeren dat in een app op de eigen smartphone van de gebruiker wordt getoond
  2. BEen wachtwoord invoeren en daarna ook het antwoord op een beveiligingsvraag invoeren
  3. CEen complexer wachtwoord invoeren dat twee keer zo lang is
Antwoord en toelichting tonen

Antwoord: A. Een wachtwoord invoeren en daarna een eenmalig wachtwoord invoeren dat in een app op de eigen smartphone van de gebruiker wordt getoond

Multifactorauthenticatie combineert twee of meer verschillende factoren uit kennis, bezit en inherentie. Een wachtwoord (kennis) gecombineerd met een eenmalig wachtwoord dat op de eigen smartphone van de gebruiker wordt gegenereerd (bezit) gebruikt twee verschillende factoren en is dus multifactorauthenticatie. Ook als het wachtwoord uitlekt, kan een aanvaller zonder de smartphone van de gebruiker niet inloggen. Een wachtwoord en een beveiligingsvraag zijn allebei kennisfactoren, dus ook al worden ze in twee stappen gecontroleerd, het is geen multifactorauthenticatie (het wordt soms verificatie in twee stappen genoemd). Factoren van dezelfde soort stapelen betekent dat ze met dezelfde methode samen kunnen worden gestolen, bijvoorbeeld door de gebruiker via phishing te misleiden. Ook eenmalige wachtwoorden kunnen worden misbruikt door aanvallen die de gebruiker ze in realtime op een nepsite laten invoeren, en daarom winnen halverwege de jaren 2020 methoden terrein waarbij authenticatie op een nepsite niet werkt (zoals passkeys van FIDO2).

Welke uitspraak over single sign-on (SSO) is juist?

  1. AEen mechanisme waarmee één authenticatie toegang geeft tot meerdere gekoppelde diensten zonder opnieuw in te loggen; het verhoogt het gemak, maar omdat het doorbreken van die authenticatie veel diensten raakt, wordt het bij voorkeur met multifactorauthenticatie gecombineerd
  2. BHetzelfde wachtwoord voor alle diensten hergebruiken, wat wordt aanbevolen om de veiligheid te verhogen
  3. CEen mechanisme waarmee per dienst maar één persoon tegelijk kan inloggen
Antwoord en toelichting tonen

Antwoord: A. Een mechanisme waarmee één authenticatie toegang geeft tot meerdere gekoppelde diensten zonder opnieuw in te loggen; het verhoogt het gemak, maar omdat het doorbreken van die authenticatie veel diensten raakt, wordt het bij voorkeur met multifactorauthenticatie gecombineerd

Bij single sign-on (SSO) wordt, zodra een gebruiker heeft ingelogd bij het systeem dat de authenticatie uitvoert (de IdP, identity provider), het resultaat veilig aan elke gekoppelde dienst doorgegeven, zodat de gebruiker ze kan gebruiken zonder per dienst opnieuw in te loggen. Typische protocollen zijn SAML en OpenID Connect. Omdat wachtwoorden niet aan elke dienst worden overhandigd, zijn er minder wachtwoorden te beheren, en er zijn ook voordelen voor het beheer, zoals het op één plek kunnen blokkeren van het account van een vertrokken medewerker. Wordt het IdP-account echter overgenomen, dan komt de aanvaller in elke gekoppelde dienst binnen, dus multifactorauthenticatie bij de IdP is bijzonder belangrijk. Hergebruik van wachtwoorden is iets heel anders: daardoor kan een wachtwoord dat bij één dienst is uitgelekt worden gebruikt om bij andere binnen te komen (credential stuffing).

Welke werkwijze volgt het principe van minimale rechten?

  1. AIedereen beheerdersrechten geven om moeite te besparen
  2. BIedereen alle bestanden laten lezen en schrijven om de instelling van rechten te vereenvoudigen
  3. CGebruikers en programma's alleen de minimale rechten geven die voor hun werk nodig zijn, en het dagelijkse werk doen met een account zonder beheerdersrechten
Antwoord en toelichting tonen

Antwoord: C. Gebruikers en programma's alleen de minimale rechten geven die voor hun werk nodig zijn, en het dagelijkse werk doen met een account zonder beheerdersrechten

Het principe van minimale rechten (least privilege) houdt in dat gebruikers, programma's en serviceaccounts alleen de minimale rechten krijgen die nodig zijn om hun taak te doen. Met beperkte rechten blijft de schade klein, ook als een account wordt overgenomen, er malware draait of iemand een fout maakt. Dagelijks e-mailen en surfen gebeurt bijvoorbeeld met een standaardaccount, en beheerdersrechten worden alleen gebruikt voor taken die ze vereisen. Voor informatie bestaat het verwante idee van need-to-know, waarbij alleen mensen die de informatie voor hun werk nodig hebben er toegang toe krijgen. Ook is het belangrijk rechten die na een overplaatsing of vertrek niet meer nodig zijn snel in te trekken.

  1. Welke beschrijving van de basisfunctie van een firewall (met pakketfiltering) is juist?
  2. Welke beschrijving van een internet-VPN is juist?
  3. Welke uitspraak over mutual TLS (mTLS) is juist?

Oefenvragen over Basis van informatiebeveiliging

Belangrijke termen uitgelegd

Multifactorauthenticatie (MFA)
Authenticatie die een persoon verifieert door twee of meer verschillende factoren te combineren uit kennis (zoals een wachtwoord), bezit (zoals een smartphone of smartcard) en inherentie (zoals een vingerafdruk of gezicht). Ook als het wachtwoord uitlekt, is inloggen zonder de andere factoren onmogelijk. Wordt ook MFA genoemd.
Principe van minimale rechten (least privilege)
Het idee om gebruikers, programma's en diensten alleen de minimale rechten te geven die nodig zijn om hun taak te doen. Het houdt de omvang van de schade klein, ook als een account wordt overgenomen, er malware draait of iemand een fout maakt.
TLS (Transport Layer Security)
Protocol dat communicatie versleutelt, manipulatie detecteert en servers met certificaten authenticeert. HTTPS is HTTP beveiligd met TLS.
VLAN (virtueel LAN)
Virtueel LAN. Functie die op dezelfde fysieke apparatuur logisch gescheiden netwerken (broadcastdomeinen) maakt, meestal per switchpoort. Tussen switches worden VLAN's onderscheiden met tags volgens IEEE 802.1Q.
Ransomware
Malware die bestanden op een computer onbruikbaar maakt, bijvoorbeeld door ze te versleutelen, en losgeld eist in ruil voor het herstel. Sommige aanvallers dreigen ook gestolen gegevens te publiceren. Back-ups die van het netwerk zijn losgekoppeld, zijn een belangrijke voorzorg.

Verwante vergelijkingen