Waarom een camera niet met de printer hoort te praten

Een beveiligingsnetwerk van enige omvang bestaat al snel uit honderden apparaten: camera's, kaartlezers, deurcontrollers, intercoms, detectiepanelen. Ze staan verspreid over een terrein, ze zijn vaak fysiek bereikbaar, en ze draaien software die zelden wordt bijgewerkt. Precies dat maakt ze aantrekkelijk als startpunt.

De vraag is dus niet alleen of iemand binnenkomt, maar hoe ver hij komt als dat lukt.

Wat segmentatie oplost

Een aanval op een netwerk verloopt zelden in één stap. Het begint bij het zwakste apparaat en beweegt van daaruit naar iets waardevollers. Dat heet laterale beweging, en segmentatie is het antwoord erop: het netwerk opdelen zodat een apparaat alleen kan bereiken wat het nodig heeft.

De vraag die je per apparaat stelt is simpel. Met wie moet dit ding praten om zijn werk te doen? Een camera moet bij de opnameserver. Een kaartlezer bij de toegangscontroller. Verder niets. Zeker niet bij elkaar, en al helemaal niet bij het kantoornetwerk.

Zones en conduits

IEC 62443, de norm voor cybersecurity van industriële en beveiligingssystemen, geeft daar taal voor. Apparaten met een vergelijkbare functie en een vergelijkbaar risico horen in dezelfde zone. Verkeer tussen zones loopt uitsluitend via een conduit: een gecontroleerde en expliciet beschreven verbinding. Alles wat niet in een conduit staat beschreven, gaat niet.

Dat klinkt abstract, maar het dwingt een praktische oefening af. Je moet per zone opschrijven welk verkeer eruit mag en waarheen. Die oefening is meestal het waardevolste deel van het hele traject: het is doorgaans de eerste keer dat iemand precies in kaart brengt wat er over dat netwerk gaat.

VLAN's zijn een begin, geen oplossing

De gebruikelijke eerste stap is elk type apparaat in een eigen VLAN zetten. Dat helpt, maar het lost minder op dan het lijkt:

• Binnen een VLAN is alles nog steeds open. Duizend camera's in één cameravlan betekent dat één overgenomen camera bij negenhonderdnegenennegentig andere kan.
• Een VLAN zegt niets over wie de poort gebruikt. Zonder toegangscontrole kan iemand de kabel van een camera lostrekken en er zijn eigen apparaat in hangen; dat komt in hetzelfde VLAN terecht.
• De routering ertussen doet het werk. Als het verkeer tussen VLAN's ongefilterd door een router loopt, is de scheiding administratief en niet werkelijk.

Daarom hoort er bij segmentatie altijd filtering. Op poortniveau, waar de switch per aangesloten apparaat bepaalt met welk adres en welke poort het mag praten, is dat het scherpst: een camera bereikt de opnameserver op één poort en verder niets, ook geen andere camera.

De koppeling met identiteit

Segmentatie die met de hand wordt bijgehouden, loopt binnen een jaar achter. Iemand verplaatst een camera, een monteur hangt een apparaat aan een andere poort, en de indeling klopt niet meer. Wordt de zone toegewezen op grond van wie het apparaat is — via 802.1X of, voor apparaten die dat niet kunnen, via MAB met profilering — dan volgt de segmentatie het apparaat vanzelf.

Dat is de reden dat toegangscontrole en segmentatie in de praktijk één project zijn en geen twee.

Waar het meestal op stukloopt

Onbekend verkeer. Er blijkt altijd een koppeling te zijn die niemand kende: een leverancier die op afstand meekijkt, een oud systeem dat een gedeelde map benadert. Meten voordat je afsluit, en in monitorstand beginnen, is geen luxe.

Beheerverkeer. Wie een netwerk strak segmenteert, sluit vaak per ongeluk ook zichzelf buiten. Beheer hoort een eigen zone te zijn met eigen conduits, en die moet je expliciet ontwerpen in plaats van hem gaandeweg open te laten staan.

Documentatie die niet meegroeit. Een zonebeschrijving die na oplevering niet meer wordt bijgewerkt, is na twee wijzigingen fictie. Wie beheert het netwerk, en waar staat vastgelegd wat er mag? Die vraag hoort bij het ontwerp, niet bij de oplevering.