Netwerksegmentatie testen betekent controleren of een scheiding die op de tekening staat, ook houdt als iemand er actief tegenaan duwt. De claim is vaak: “dat systeem zit in een eigen VLAN en is niet bereikbaar vanuit het kantoornetwerk.” Of dat klopt, weet je pas als iemand het vanuit dat kantoornetwerk probeert.
Kort samengevat
- Een VLAN scheidt alleen wat de regels ertussen daadwerkelijk blokkeren.
- Netwerksegmentatie testen start als insider in het ene segment en probeert het andere te bereiken.
- De uitkomst is bijna altijd dat de scheiding minder streng is dan beloofd, door opgestapelde uitzonderingen.
- Het is een afgebakende test die een concrete leveranciersclaim bevestigt of ontkracht.
Het is een van de vaakst geteste claims in scopegesprekken, en om een goede reden. Organisaties hebben hun kritieke systemen bewust apart gezet: het ERP in een eigen segment, de productiebesturing achter een eigen firewall, de financiële administratie op een afgeschermd netwerk. De leverancier bevestigt dat het geïsoleerd is. En niemand heeft het ooit geprobeerd.
Waarom is een VLAN geen garantie?
Een VLAN is een administratieve scheiding. Het verkeer tussen segmenten wordt geblokkeerd voor zover de regels op de router of firewall dat afdwingen. En die regels groeien:
- Uitzonderingen voor beheer. De IT-partij moet erbij kunnen, dus er is een regel die beheerverkeer doorlaat. Vanaf welke adressen? Vaak: vanaf meer dan bedoeld.
- Koppelingen die ooit nodig waren. Een printer, een monitoringtool, een koppeling met een applicatie die inmiddels is vervangen. De regel bleef staan.
- Systemen met twee netwerkkaarten. Een server die in beide segmenten hangt, is een brug. Wie die server bereikt, bereikt het andere segment.
- Een router die te veel doorlaat. De segmentatie is aangelegd, maar de regel die het verkeer moet blokkeren, staat er niet of staat in de verkeerde volgorde.
Elke uitzondering had een reden. Samen maken ze een scheiding op papier tot een open deur in de praktijk.
Hoe werkt netwerksegmentatie testen?
De test simuleert wat een insider of een gecompromitteerde werkplek zou doen, en bestaat uit drie stappen:
- Startpunt kiezen. De tester krijgt toegang tot het segment waar de dreiging vandaan komt: meestal het werkpleknetwerk, soms een gastnetwerk of een leveranciersaansluiting. Fysiek op locatie of via een beheerde werkplek.
- Routes inventariseren. Welke systemen in het beschermde segment zijn vanaf hier zichtbaar? Welke poorten reageren? Zijn er tussenliggende systemen die in beide segmenten hangen? Dit is passief en raakt niets.
- Gecontroleerd proberen. Kan de tester daadwerkelijk verbinding maken met het beschermde systeem, inloggen, of via een tussenstap het segment binnenkomen? Bij productiesystemen gebeurt dit buiten productietijd of alleen lezend.
De vraag is nadrukkelijk niet of het beschermde systeem zelf kwetsbaar is. De vraag is of je er komt. Dat maakt netwerksegmentatie testen afgebakend en relatief goedkoop: één tot drie dagen, met een ja of een nee als uitkomst.
Wat komt er meestal uit?
Dat de scheiding minder streng is dan gedacht. Zelden door één grote fout; bijna altijd door een reeks kleine uitzonderingen die elk verdedigbaar waren. Een beheerregel die vanaf het hele kantoornetwerk werkt in plaats van vanaf één beheerstation. Een oude koppeling. Een server met een tweede netwerkkaart waar niemand meer aan dacht. Dat is goed nieuws, want zulke bevindingen zijn met een regelwijziging te repareren, niet met een project.
Waarom je leverancier dit niet zelf kan aantonen
Niet uit onwil. De partij die de segmentatie heeft aangelegd, kent de bedoelde inrichting en toetst daartegen. Een tester kent de bedoeling niet en probeert gewoon alles. Dat is een ander perspectief, en het is precies het perspectief van degene waar je je tegen beschermt. Betrek je leverancier wel bij het scopegesprek en de rapportbespreking: de uitkomst is een lijst met regels die zij kunnen aanscherpen, en meestal wilden ze dat allang.
Wil je weten of jouw kritieke systeem echt zo gescheiden is als de tekening zegt? Netwerksegmentatie testen is een van de gerichte modules in een scopegesprek.
BOEM voert pentesten uit met EHGI, het bedrijf achter de EHGN-community van 2.500+ ethische hackers, waaronder specialisten van Politie, Defensie en DIVD. Welke tester bij jouw omgeving past, bepalen we in het scopegesprek.
Veelgestelde vragen
Wat is netwerksegmentatie testen?
Een test die controleert of de scheiding tussen netwerksegmenten in de praktijk houdt. De tester start in het ene segment (bijvoorbeeld een werkpleknetwerk) en probeert een systeem in een ander segment (bijvoorbeeld het ERP in een eigen VLAN) te bereiken, zoals een insider of een gecompromitteerde werkplek dat zou doen.
Waarom is een VLAN op zich geen bewijs van scheiding?
Een VLAN scheidt verkeer alleen als de regels ertussen dat afdwingen. Uitzonderingen voor beheer, printers of koppelingen, een router die alles doorlaat, of een systeem met twee netwerkkaarten maken een scheiding op papier tot een open deur in de praktijk.
Hoe test je segmentatie zonder productie te raken?
Passief en gericht. De tester inventariseert eerst welke routes er bestaan en probeert daarna gecontroleerd verbinding te maken met de systemen in het beschermde segment, zonder ze te belasten. Bij productiesystemen gebeurt dat buiten productietijd of alleen lezend.
Wat is de meest voorkomende uitkomst?
Dat de scheiding minder streng is dan de tekening suggereert. Meestal niet door één grote fout, maar door een opgestapelde reeks uitzonderingen die elk ooit een goede reden hadden.
