Een plat netwerk werkt prima, tot er iets misgaat. Dan blijkt dat de laptop van een medewerker, de camera bij de achteringang en de besturing van productielijn drie in hetzelfde netwerk hangen en vrij met elkaar kunnen communiceren. SolidBE helpt organisaties met netwerksegmentatie voor IT, OT en IoT.
Wij verzorgen het ontwerp, de VLAN- en VRF-structuur, de firewalling tussen zones, network access control (NAC) en een gefaseerde implementatie waarbij de dagelijkse operatie gewoon doorloopt.
Wat is netwerksegmentatie?
Netwerksegmentatie is het opdelen van een netwerk in afzonderlijke zones. Verkeer tussen die zones mag alleen wat u daar expliciet voor toestaat. Vergelijk het met brandcompartimenten in een gebouw: een brand in de ene ruimte blijft daar, omdat de deuren ertussen dicht zijn en alleen opengaan voor wie er echt doorheen moet. In een netwerk zijn die compartimenten bijvoorbeeld de werkplekken, de servers, het gastennetwerk, de beveiligingscamera’s en de productieomgeving. Elk compartiment krijgt eigen regels voor wat er in en uit mag. Wie een apparaat in de ene zone overneemt, heeft dan nog geen toegang tot alle andere.
VLAN, VRF en firewall als bouwstenen van een gesegmenteerd netwerk
Technisch gebeurt segmentatie op meerdere lagen. Een VLAN scheidt verkeer op laag 2 van het netwerk. Apparaten in verschillende VLAN’s zien elkaars broadcastverkeer niet en kunnen elkaar niet rechtstreeks bereiken. Een VRF (Virtual Routing and Forwarding) werkt een niveau hoger en geeft een groep netwerken een eigen, volledig gescheiden routeringstabel op dezelfde switch of router. Zo kunnen het beheernetwerk, het gastennetwerk en de OT-omgeving als afzonderlijke routeringsdomeinen bestaan op gedeelde hardware. De firewall bepaalt vervolgens welk verkeer tussen zones en VRF’s mag passeren, en houdt bij wat er gebeurt. In gesprekken lopen twee begrippen nogal eens door elkaar. Bij macrosegmentatie verdeelt u het netwerk in een beperkt aantal grote zones. Microsegmentatie gaat verder en begrenst verkeer tot op het niveau van individuele servers, werklasten of apparaten. Voor de meeste organisaties levert een goed doordachte macrosegmentatie verreweg het meeste op, met microsegmentatie op de plekken waar het risico het hoogst is.
Waarom netwerksegmentatie?
Het zwaarste argument heet laterale beweging. Ransomwaregroepen komen zelden binnen op het systeem dat ze uiteindelijk versleutelen. Ze starten bij een phishingmail, een gelekt VPN-wachtwoord of een kwetsbaar apparaat aan de rand van het netwerk en zoeken van daaruit hun weg naar domeincontrollers, back-ups en bestandsservers. In een plat netwerk staat daar weinig tegenover. In een gesegmenteerd netwerk moet een aanvaller langs meerdere controlepunten, en elk controlepunt levert logging op waar een SOC iets mee kan. Daarbij blijft de schade van een incident beter beperkt. Een besmette werkplek op kantoor hoeft de productie niet stil te leggen als de OT-zone goed is afgeschermd.Â
Compliance speelt ook mee. ISO/IEC 27001:2022 noemt het scheiden van netwerken expliciet als beheersmaatregel (A.8.22). En sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn. Organisaties die onder deze wet vallen, hebben een zorgplicht om passende maatregelen te nemen voor de beveiliging van hun netwerk- en informatiesystemen. Een specifieke netwerkarchitectuur schrijft de wet niet voor. Toch is een gedocumenteerde segmentatie in de praktijk een van de duidelijkste manieren om te laten zien dat één incident niet meteen het hele netwerk raakt. En dan is er nog een minder spannend voordeel. Kleinere broadcastdomeinen, voorspelbare verkeersstromen en duidelijke regels maken storingen sneller te vinden.
IT-netwerksegmentatie
In een kantooromgeving begint segmentatie meestal bij een indeling op functie. Werkplekken, servers, printers, VoIP, draadloze gasten, beheerinterfaces en een DMZ voor publiek bereikbare diensten krijgen elk een eigen VLAN en een eigen subnet. Bij grotere organisaties en omgevingen met meerdere locaties komen daar VRF’s bij, zodat gastverkeer en beheerverkeer al op de core gescheiden blijven van het bedrijfsnetwerk.
Hier gaat het in de praktijk het meest mis. Veel netwerken hebben keurige VLAN’s, maar laten de coreswitch al het verkeer daartussen routeren zonder enige filtering. Dan is de scheiding vooral cosmetisch.Â
Tussen de belangrijkste zones is het aan te raden om een firewall te gebruiken die als interne segmentatiefirewall dienst doet. Een FortiGate kan die rol vervullen naast zijn taak aan de buitenrand en controleert dan ook het verkeer tussen bijvoorbeeld werkplekken en servers. Hoe die firewall past in de bredere beveiliging van uw netwerk, leest u op onze pagina over netwerk security.Â
OT-netwerksegmentatie
Operationele technologie stelt andere eisen. In een productieomgeving draaien PLC’s, HMI’s, SCADA-servers en engineeringwerkplekken die jaren meegaan, soms op besturingssystemen waarvoor al lang geen updates meer verschijnen. Patchen betekent stilstand en vaak ook afstemming met de machineleverancier. In OT gaat beschikbaarheid voor alles, en dat bepaalt hoe u segmenteert.
Voor OT-ontwerpen gebruiken wij twee gangbare kaders. Het Purdue-model verdeelt een industriële omgeving in niveaus, van sensoren en actuatoren op niveau 0, via besturing en procesbewaking, tot de bedrijfssystemen op niveau 4 en 5. IEC 62443, de internationale normreeks voor industriële cybersecurity, werkt met zones en conduits. Een zone is een groep systemen met dezelfde beveiligingseisen, een conduit is de gecontroleerde verbinding daartussen. Samen geven ze een taal waarin IT, OT en de machineleverancier dezelfde tekening kunnen lezen.Â
De belangrijkste regel uit beide kaders is eenvoudig. Vanaf het kantoornetwerk loopt geen direct verkeer naar de besturingslagen. Daartussen komt een IT/OT-DMZ, vaak niveau 3,5 genoemd, met bijvoorbeeld een kopie van de historian, een patchserver en een jumpserver voor onderhoud op afstand. Leveranciers die op afstand willen inloggen, komen via die jumpserver binnen, met MFA en toegang die na afloop vanzelf vervalt. Meer over hoe wij werken met productiebedrijven vindt u op onze pagina over de maakindustrie.
Hoe NAC IoT-apparaten automatisch in het juiste segment plaatst
Handmatig per switchpoort een VLAN toewijzen houdt geen stand zodra er tientallen of honderden apparaten bijkomen. Network access control neemt dat werk over. Op het moment dat een apparaat verbinding maakt, stelt de NAC-oplossing vast wat het is. Voor beheerde apparaten gebeurt dat via 802.1X-authenticatie. Apparaten die 802.1X niet ondersteunen, worden geprofileerd op kenmerken zoals de fabrikant achter het MAC-adres, DHCP-gegevens en het verkeerspatroon. Op basis daarvan krijgt het apparaat automatisch het juiste VLAN of de juiste policy. Een camera komt in de camerazone terecht, een onbekend apparaat in quarantaine. Hoe FortiNAC dit bijvoorbeeld samen met FortiGate, FortiSwitch en FortiAP regelt, staat op onze pagina over secure access.
Netwerksegmentatie met SolidBE in uw eigen omgeving
Voor firewalling en NAC werken wij voornamelijk met Fortinet. Voor switching en wifi kunnen we ook terecht bij onder meer Arista, HPE Networking, Cisco, Extreme Networks en Ruckus, afhankelijk van wat er al staat en wat past. Het ontwerp volgt uw situatie, de leverancierskeuze komt daarna. Wilt u weten hoe gesegmenteerd uw netwerk werkelijk is? Stel uzelf één vraag: als morgen één werkplek besmet raakt, welke systemen kan die dan bereiken? Weet u het antwoord niet zeker, bel dan 088 88 99 000. Dan kijken we samen waar quick wins te vinden zijn.