Werknemers loggen tegenwoordig net zo makkelijk in vanaf de keukentafel, de trein of een hotelkamer als vanaf kantoor. Tegelijk melden zich dagelijks nieuwe IoT apparaten aan het bedrijfsnetwerk, van slimme camera’s tot sensoren op de productievloer. Voor netwerkbeheerders betekent dat voortdurend controleren wie of wat er toegang zoekt tot bedrijfstoepassingen en gegevens, en dan niet alleen op het moment dat iemand voor het eerst inlogt.
Zero trust toegang opzetten met SolidBE
De losse onderdelen, van netwerktoegang tot bevoorrechte accounts, werken pas goed samen als ze ook zo worden ingericht. Een zero trust benadering gaat uit van wantrouwen. Elk apparaat en elke gebruiker moet zich eerst bewijzen voordat er toegang volgt, en krijgt daarna zo min mogelijk rechten. Dat principe staat bekend als Zero Trust Network Access, meestal afgekort tot ZTNA. Het vraagt om sterke authenticatie, controle op netwerkniveau en een consistent toegangsbeleid per applicatie.
Bij SolidBE vormt dit de kern van onze secure access oplossingen. We vullen die uitgangspunten concreet in met Fortinet technologie, en werken daarbij met een vaste set bouwstenen: FortiClient EMS, FortiGate, FortiAuthenticator, FortiToken, FortiNAC en waar nodig FortiPAM. SolidBE is Fortinet Advanced Partner en begeleidt organisaties bij het ontwerp, de implementatie en het beheer van deze oplossingen, afgestemd op de bestaande infrastructuur.
Wat is Fortinet ZTNA en hoe werkt het?
Met ZTNA krijgt een gebruiker toegang tot één specifieke applicatie, niet tot een heel netwerksegment. Bij Fortinet werken daarvoor drie onderdelen samen. FortiClient op de laptop of werkplek verzamelt informatie over de staat van het apparaat en bouwt de versleutelde verbinding op. FortiClient EMS beheert al die clients, beoordeelt hun status en geeft elk apparaat een eigen certificaat. De FortiGate staat als access proxy vóór de applicaties en beslist per verzoek of een verbinding doorgaat. De identiteit van de gebruiker komt uit de bestaande directory of een identity provider, met meervoudige authenticatie erbovenop.
Fortinet noemt dit Universal ZTNA. Hetzelfde toegangsbeleid geldt dan voor een medewerker op kantoor en voor iemand die thuis werkt. ZTNA zit sinds FortiOS 7.0 in de FortiGate, dus organisaties die al FortiGates en FortiClient gebruiken hoeven geen nieuw platform aan te schaffen. Wie de toegang liever vanuit de cloud regelt, kan dezelfde functionaliteit afnemen via FortiSASE.
ZTNA versus traditionele VPN
Een VPN zet het apparaat van de gebruiker als het ware midden in het bedrijfsnetwerk. Na het inloggen kan een laptop vaak veel meer bereiken dan strikt nodig is, en de controle vindt één keer plaats, bij het opzetten van de tunnel. Raakt die laptop besmet of belandt een wachtwoord in verkeerde handen, dan heeft een aanvaller meteen een ruime uitvalsbasis.
ZTNA werkt per applicatie en per sessie. De FortiGate controleert bij elk verzoek wie de gebruiker is, of het apparaat een geldig certificaat van EMS heeft en welke status het op dat moment heeft. Wordt halverwege de werkdag de antivirus uitgeschakeld, dan kan de toegang tot gevoelige applicaties direct vervallen. De gebruiker merkt er weinig van: er hoeft geen tunnel handmatig te worden gestart, want FortiClient legt de verbinding zodra de applicatie wordt geopend.
Voor veel Fortinet klanten speelt er ook een heel praktische reden. Vanaf FortiOS 7.6.3 is SSL VPN tunnel mode verdwenen en vervangen door IPsec VPN, terwijl de oude webmodus verder gaat onder de naam Agentless VPN. Wie toch een migratie moet plannen, kan dat moment goed gebruiken om te bekijken welke applicaties via ZTNA kunnen lopen.
Eerlijk is eerlijk, de VPN verdwijnt daarmee niet overal. Voor beheerders die brede netwerktoegang nodig hebben of voor oudere toepassingen blijft een tunnel soms de meest werkbare keuze.
FortiClient EMS en endpoint posture
FortiClient is meer dan een antivirusprogramma op de werkplek. De software werkt als Fabric Agent binnen de Security Fabric van Fortinet en deelt telemetrie over elk endpoint, van laptop tot server. Het beheer loopt via FortiClient EMS. Daarin legt de beheerder vast wanneer een apparaat een bepaald label krijgt, bijvoorbeeld bij een actuele versie van het besturingssysteem, ingeschakelde schijfversleuteling, lidmaatschap van het juiste domein of het ontbreken van bekende kwetsbaarheden. In recente FortiOS versies heten die labels security posture tags, eerder ZTNA tags. EMS treedt ook op als certificaatautoriteit voor ZTNA en geeft elk apparaat een eigen clientcertificaat.
De FortiGate haalt de tags via een Fabric connector op en gebruikt ze direct in het toegangsbeleid. Zo wordt posture heel concreet. Een laptop zonder schijfversleuteling komt nog wel bij het intranet, maar niet bij de financiële administratie.
Bescherming en toegang in één agent
Op het gebied van bescherming combineert FortiClient signatuurgebaseerde antimalware met gedragsanalyse tegen exploits, webfiltering en een applicatiefirewall. Voor onbekende dreigingen is er een koppeling met FortiSandbox, waarmee verdachte bestanden in een afgeschermde omgeving worden geanalyseerd. Voor toegang op afstand biedt dezelfde agent zowel VPN als ZTNA, aangevuld met single sign on en tweefactorauthenticatie. Dat is handig tijdens een overgangsperiode, omdat gebruikers geen tweede programma nodig hebben. Organisaties die dit willen combineren met bredere eindpuntbeveiliging, bijvoorbeeld detectie en respons op endpoint niveau met FortiEDR, kunnen dat bij SolidBE in één pakket onderbrengen.
FortiGate als ZTNA access proxy
Op de FortiGate komt alles samen. De beheerder maakt een ZTNA server aan, een virtueel adres waarop gebruikers zich via HTTPS melden, en koppelt daar de achterliggende applicaties aan. Webapplicaties lopen via de HTTP access proxy. Voor andere protocollen, zoals RDP, SSH of een bestandsserver, gebruikt Fortinet TCP forwarding. FortiClient vangt het verkeer naar de bestemming dan lokaal op en stuurt het versleuteld door naar de proxy.
Omdat de applicaties zelf niet meer rechtstreeks bereikbaar zijn vanaf internet, wordt het aanvalsoppervlak flink kleiner. De proxy draait bovendien op een volwaardige next generation firewall, waardoor het ZTNA verkeer ook door IPS, antivirus en andere beveiligingsprofielen kan worden gecontroleerd. Bestaande FortiGate firewalls kunnen deze rol meestal gewoon op zich nemen.
Een praktisch advies uit onze eigen projecten: zorg voor een publiek vertrouwd certificaat op de proxy, regel de DNS namen vooraf en houd FortiOS, EMS en FortiClient op versies die volgens Fortinet met elkaar compatibel zijn. Juist in die combinatie zitten de meeste verrassingen.
FortiAuthenticator en MFA tegen gestolen wachtwoorden
Een wachtwoord alleen is allang geen betrouwbare drempel meer. FortiToken voegt een tweede factor toe aan het inloggen, als eenmalige code via een hardware token of als pushmelding in de FortiToken Mobile app. Elke FortiGate kan zelf als authenticatieserver optreden en wordt geleverd met twee gratis FortiToken Mobile licenties. Voor een kleine groep beheerders of een handvol thuiswerkers is dan geen aparte authenticatieserver nodig.
FortiAuthenticator voor centrale identiteit en single sign on
Zodra de omvang groeit, komt FortiAuthenticator in beeld. Het platform breidt ondersteuning voor FortiToken uit over meerdere FortiGates en over apparatuur van derden die RADIUS of LDAP ondersteunt. Authenticatie blijft zo centraal geregeld, ook als het aantal gebruikers en systemen toeneemt. Voor ZTNA is vooral de rol als SAML identity provider interessant. FortiAuthenticator kan zelf als identity provider werken of als proxy richting een bestaande identity provider, zodat gebruikers met één aanmelding bij meerdere applicaties terechtkomen. Daarnaast kan het als certificaatautoriteit dienen, sluit het aan op Active Directory en ondersteunt het naast FortiToken ook SMS, e-mail en FIDO als tweede factor. Samen leggen FortiAuthenticator en FortiToken sterke authenticatie over de volledige infrastructuur, zonder dat elk systeem apart moet worden ingericht.
FortiNAC en netwerktoegang op locatie
ZTNA draait om gebruikers met een agent op hun apparaat. Een printer, beveiligingscamera of sensor op de productievloer kan geen FortiClient draaien, en toch wil je weten wat er op het netwerk zit. Daarvoor is FortiNAC bedoeld, de NAC oplossing binnen de Fortinet Security Fabric. Het systeem herkent nieuwe apparaten zodra ze zich melden en kan er direct op reageren, door toegang toe te staan, te beperken tot een klein aantal netwerkbronnen of volledig te weigeren.
Een goed ingerichte NAC oplossing regelt meer dan de eerste controle bij binnenkomst. Het gaat om de authenticatie en autorisatie van gebruikers en apparaten, het profileren van wat er op het netwerk actief is en het in quarantaine plaatsen van apparatuur die niet aan het beveiligingsbeleid voldoet. Ook de levenscyclus van dat beleid hoort erbij, net als de beoordeling van de beveiligingsstatus, de opvolging van incidenten en de manier waarop gasten toegang krijgen tot een apart deel van het netwerk.
Fortinet omschrijft de waarde van FortiNAC voor IoT apparatuur als drie zaken die elkaar aanvullen. Zicht op elk apparaat en elke gebruiker die verbinding maakt, controle over waar die apparaten mogen komen, en een geautomatiseerde respons die volgens Fortinet de reactietijd op incidenten terugbrengt van dagen naar seconden. FortiNAC beschermt bekabelde en draadloze netwerken vanuit één centrale architectuur, ook wanneer switches en access points van andere fabrikanten komen. Implementaties over meerdere vestigingen zijn daardoor centraal aan te sturen. De huidige generatie draait op het FortiNAC-F platform, als hardware appliance of virtuele machine.
FortiPAM en privileged access
Niet elk account weegt even zwaar. Een IT beheerder, een database engineer of een externe leverancier met toegang tot kritieke systemen heeft rechten die in verkeerde handen veel schade kunnen aanrichten. FortiPAM is binnen de Security Fabric specifiek gebouwd om dit soort bevoorrechte accounts te beveiligen, te beheren en te monitoren.
De oplossing bewaart gevoelige inloggegevens, zoals wachtwoorden en SSH sleutels, versleuteld in een centrale kluis. Beheerders loggen in via het platform en worden doorgezet naar het doelsysteem, zonder dat ze het onderliggende wachtwoord te zien krijgen. Wachtwoorden worden automatisch ontdekt en op vaste momenten ververst, zodat er geen vergeten credentials blijven rondslingeren.
Voor compliance, denk aan de eisen die de NIS2 richtlijn stelt aan toegangsbeheer, worden sessies live gevolgd en op video vastgelegd. Een verdachte sessie kan direct worden afgebroken. Met just in time toegang vraagt een beheerder toegang aan en moet die eerst worden goedgekeurd, in plaats van dat rechten permanent klaarstaan. Doordat FortiPAM aansluit op FortiClient EMS voor ZTNA controles en op FortiToken voor tweefactorauthenticatie, ontstaat er één samenhangende beveiligingslaag rond precies de accounts met het meeste risico. Let wel: voor de ZTNA controle moet de gebruiker de standaard FortiClient draaien, geregistreerd bij dezelfde EMS als FortiPAM.
Hoe ziet een goed ZTNA ontwerp eruit?
Het begint zelden bij de techniek. Eerst moet duidelijk zijn welke applicaties er zijn, wie ze gebruikt en hoe gevoelig de gegevens zijn. Uit die inventarisatie volgen de toegangsregels en de posture eisen per groep. Een salesmedewerker die het CRM gebruikt, heeft andere eisen nodig dan een engineer met toegang tot de productieomgeving.
Daarna volgen de keuzes in de infrastructuur. Draait de access proxy op de FortiGate in het eigen datacenter, op meerdere locaties of in de cloud? Moet de proxy redundant worden uitgevoerd? Waar komt de identiteit vandaan, en draait EMS on premise of als clouddienst? Ons advies is om het ontwerp klein te houden en het aantal tags overzichtelijk. Tientallen fijnmazige tags lijken mooi op papier, maar maken het beheer en de foutopsporing onnodig lastig.
Migreren van VPN naar ZTNA in fasen
Een overstap in één keer raden we af. Omdat FortiClient zowel VPN als ZTNA ondersteunt, kunnen beide een tijd naast elkaar draaien. Begin met een pilotgroep en een paar webapplicaties, die zijn via de HTTP access proxy het eenvoudigst te ontsluiten. Werkt dat stabiel, dan volgen applicaties via TCP forwarding, zoals extern bureaublad en SSH. Houd de posture eisen in het begin ruim en maak ze strenger zodra je ziet hoe de apparaten in de praktijk scoren. Fortinet publiceert hiervoor een eigen migratiehandleiding van SSL VPN naar ZTNA, die in de praktijk goed bruikbaar is als leidraad.
Pas wanneer de belangrijkste applicaties via ZTNA lopen, kan de VPN worden teruggebracht tot de uitzonderingen die er echt een nodig hebben.
Beheer en monitoring van zero trust toegang
ZTNA is na de implementatie niet klaar. Tags veranderen, certificaten verlopen, nieuwe applicaties komen erbij en FortiClient krijgt regelmatig updates. In EMS is per endpoint te zien welke tags het heeft en waarom het wel of geen toegang krijgt. De FortiGate logt al het ZTNA verkeer, en met FortiAnalyzer zijn die logs centraal te bewaren, te doorzoeken en om te zetten in rapportages. Dat helpt bij het oplossen van storingen en levert ook het bewijs dat auditors willen zien.
Plan daarom vaste momenten om het beleid te herzien en test nieuwe versies van FortiClient eerst bij een kleine groep. SolidBE kan dat beheer en de monitoring volledig of gedeeltelijk overnemen.
Twijfelt u welke onderdelen voor uw organisatie voorrang verdienen, of wilt u weten hoe FortiClient EMS, FortiNAC, FortiAuthenticator en FortiPAM zich verhouden tot wat u al in huis heeft? Bel naar 088 88 99 000. Onze technici denken graag met u mee over een opzet die past bij uw netwerk.
