Lespakket 11 - Beveiliging

5.1 Veiligheidsproblemen van een netwerk

Belangrijkste risico's

• Gegevens die over netwerken lopen kunnen door buitenstaanders worden uitgelezen of gestolen.
• Bedrijfsspionage, afpersing door cybercriminelen en inzet door staatsactoren komen voor.
• Cyberoorlogen: inbreuken en ontregeling van systemen als nieuw wapengebied.
• Amateurhackers vs criminele hackers; crackers zijn hackers met kwaadaardige bedoelingen.
• IoT vergroot het aanvalsoppervlak; gecompromitteerde apparaten kunnen deel uitmaken van botnets. (Een schema van een netwerk met normale apparaten en gecompromitteerde IoT-toestellen is hier nuttig.)

Scan deze qr-code om de video te bekijken

Toegangsvectoren

• Netwerkverbinding (internet of draadloos) is doorgaans vereist om vanop afstand in te breken.
• Draadloze netwerken: aanvallers met laptop in de buurt kunnen proberen toegang te verkrijgen via een access point.
• Fysieke scheiding (air gapping) vermindert risico maar is niet waterdicht (USB/social engineering).

Scan deze qr-code om de video te bekijken

Zie ook de film Zero days over Stuxnet https://www.imdb.com/title/tt5446858/

IP-adressen, poorten en sockets

• Een aanvaller heeft vaak het IP‑adres en een open poort nodig; combinatie = socket (IP:poort).
• Poorten zijn genummerd tussen 0 en 65.535; sommige poorten zijn permanent open voor diensten, andere tijdelijk.
• nslookup kan het IP‑adres van een webserver tonen; netstat -a toont lokale openstaande poorten.
• Poortscanners detecteren open poorten en vormen een veelgebruikte verkenningstechniek.

Scan deze qr-code om de video te bekijken

Veelvoorkomende exploits en aanvallen

• Datawijziging of -verwijdering (bijv. defacing van websites) — aanval op integriteit.
• DOS/DDoS: servers overspoelen met gelijktijdige verzoeken; DDoS gebruikt botnets.
• Botnet-terminologie: bots/zombies (geïnfecteerde devices), botherder (command & control).

Man‑in‑the‑middle (MITM)

• MITM onderschept en kan berichten wijzigen tussen twee partijen zonder dat zij het merken.
• Sterke versleuteling (bijv. TLS) bemoeilijkt MITM-aanvallen aanzienlijk.

Social engineering, phishing en pharming

• Social engineering misbruikt menselijke argeloosheid (bv. valse helpdeskgesprekken).
• Phishing: misleidende e-mails lokken gebruikers naar nagemaakte sites; let op afwijkende URL's.
• Pharming: omleiding naar malafide sites via DNS‑manipulatie (cache poisoning) of geïnfecteerde systemen.

Scan deze qr-code om de video te bekijken

Detectie en mitigatie (basis)

• Firewalls kunnen openstaande poorten verbergen voor de buitenwereld en fungeren als “mistgordijn”.
• Firewalllogs en waarschuwingssoftware tonen poortscans en inbraakpogingen; proxyservers bemoeilijken opsporing.
• Ethisch hacken / penetration testing en responsible disclosure helpen kwetsbaarheden blootleggen. (Een voorbeeldworkflow voor responsible disclosure kan nuttig zijn.)

Scan deze qr-code om de video te bekijken

Test jezelf !

Scan deze qr-code om de inhoud te bekijken

5.2 Beveiligingsbeleid

Principes van beveiligingsbeleid

• Veiligheid op een lokaal netwerk start met een duidelijk beveiligingsbeleid.
• De netwerkbeheerder gebruikt serverdiensten om het beveiligingsniveau in te stellen.
• Toegang wordt beperkt tot mensen binnen de organisatie; gasten hebben beperkte rechten.
• Identificatie, authenticatie en autorisatie vormen de kern van toegangsbeheer.
• Beleid bevat regels voor wachtwoorden, authenticatiemethoden en rechtenbeheer.

Identificatie

• Gebruikers moeten zich kunnen identificeren met een gebruikersnaam.
• Gastaccounts kunnen bestaan maar hebben sterk beperkte mogelijkheden.
• Alleen geautoriseerde personen krijgen netwerktoegang.

Scan deze qr-code om de video te bekijken

Authenticatie

• Authenticatie: de gebruiker moet bewijzen dat hij is wie hij zegt te zijn.
• Standaardmethode: gebruikersnaam + wachtwoord; toegang alleen bij juiste combinatie.
• Wachtwoordbeleid kan eisen stellen aan tekens, lengte, geldigheidsduur en hergebruik.
• Alternatieven: biometrie (vingerafdruk, irisscan, gezichtsherkenning) en smartcards.
• Twee‑trapsverificatie (2FA): extra korte‑tijdscode via sms, e‑mail of een persoonlijk toestel.
• Multifactor authentication (MFA): combinatie van meerdere factoren voor hogere veiligheid.

Scan deze qr-code om de video te bekijken

Scan deze qr-code om de video te bekijken

Opmerkingen over implementatie

• Beheer bepaalt welke authenticatiemethoden worden toegestaan en hoe gebruiksvriendelijkheid en veiligheid worden afgewogen.

Autorisatie

• Na aanmelding krijgt een gebruiker rechten en machtigingen op serverdiensten.
• Machtigingsniveau hangt af van functie binnen de organisatie (leerling vs leerkracht vs directie).
• Toekenning gebeurt vaak op groepsniveau, met aanpassingen per gebruiker indien nodig.
• Autorisatiebeleid bepaalt welke resources en acties voor elke groep of gebruiker toegestaan zijn.

Test jezelf

Scan deze qr-code om de inhoud te bekijken

5.3 Beveiliging van draadloze netwerken

Risico's

• Signalen van een draadloos netwerk reiken buiten het gebouw en kunnen zo door een aanvaller worden opgevangen.
• Een aanvaller heeft vaak alleen een laptop met draadloze netwerkkaart en eventueel een versterkende antenne nodig.
• NAP's (access points) zenden voortdurend hun netwerknaam (SSID) uit; scanners kunnen deze oppikken.
• Wardriving: zoeken naar onbeveiligde netwerken vanaf de openbare weg.
• Sniffing: afluisteren van netwerkverkeer om gegevens te onderscheppen.

Versleutelingsprotocollen

• WEP: versleutelt met een statische sleutel (64/128‑bit) maar is gebroken en makkelijk te kraken.
• WPA: gebruikt een wachtzin (8–63 tekens) en dynamische sleutels die regelmatig wijzigen; veiliger dan WEP maar heeft ook kwetsbaarheden gekend.
• WPA2: veelgebruikte standaard met AES‑versleuteling; neerwaarts compatibel met WPA.
• WPA3: aangekondigd in 2018; biedt sterkere per‑verbinding beveiliging en gebruikt het Dragonfly‑(SAE) protocol om brute‑force te bemoeilijken.
• Veel nieuwe apparaten ondersteunen zowel WPA2 als WPA3 naast elkaar; oudere toestellen kunnen soms vervangen moeten worden.

WPS en gebruiksvriendelijkheid

• WPS (Wi‑Fi Protected Setup) maakt het eenvoudiger nieuwe apparaten toe te voegen zonder lange wachtzinnen.
• WPS vermindert echter de veiligheid omdat het omzeilen van wachtzinnen makkelijker maakt.

MAC‑filtering en ACL's

• NAP's kunnen een ACL bijhouden met toegestane MAC‑adressen (MAC‑filtering).
• Maar ... MAC‑adressen worden onversleuteld verzonden en kunnen worden onderschept.
• Met MAC‑spoofing kan een aanvaller een toegestaan adres namaken en zo toegang krijgen.
• MAC‑filtering is alleen praktisch in kleine netwerken en beschermt niet tegen sniffing.

Scan deze qr-code om de video te bekijken

NAP‑configuratie en firewall

• Veel NAP's hebben een ingebouwde firewall; hiermee kun je diensten/poorten beperken (bijv. alleen webverkeer toestaan).
• Aanbevelingen bij configuratie:
  • Stel altijd een eigen administrator‑wachtwoord in (verwijder standaardwachtwoord).
  • Kies een unieke SSID; verberg SSID‑uitzending waar mogelijk.
  • Gebruik WPA2 of bij voorkeur WPA3; vertrouw niet op WEP of alleen MAC‑filtering.
  • Schakel de firewall‑functie van de NAP in om openstaande poorten te verbergen.
  • Plaats de NAP centraal in het gebouw (niet bij buitenmuren/ramen); gebruik unidirectionele antennes voor verbindingen tussen gebouwen.

Publieke hotspots en gedrag van gebruikers

• Vertrouw niet blind op de beveiliging van publieke hotspots; mede‑gebruikers kunnen hetzelfde netwerk misbruiken om verkeer af te luisteren.
• Bescherm je eigen apparaat en maak waar mogelijk alleen verbinding via beveiligde protocollen (bijv. HTTPS).

Test jezelf!

Scan deze qr-code om de inhoud te bekijken

5.4 De firewall

Basis van een firewall

• Een firewall is een programma dat al het netwerkverkeer controleert en alleen communicatie toelaat die als veilig wordt beschouwd.
• Hardware-firewall: apparaat dat uitsluitend firewallfuncties heeft, lijkt uiterlijk op een switch, wordt meestal tussen lokaal netwerk en internet geplaatst; beheerder stelt het beveiligingsniveau in.
• Software-firewall: geïnstalleerd op systemen met meerdere functies (servers, routers, NAP's); een personal firewall beschermt alleen het apparaat waarop hij draait (Windows en MacOS hebben standaard een personal firewall).
• (Een schematische afbeelding van een hardware-firewall tussen internet en lokaal netwerk zou hier nuttig zijn.)

Pakketjes en packet filtering

• Netwerkgegevens worden in pakketjes verstuurd; in de header staan IP-adres en poortnummer van verzender en ontvanger.
• Firewalls kunnen pakketjes tegenhouden op verschillende niveaus (packet filtering):
  • Poortniveau (poortfiltering): regels bepalen welke poortnummers toegestaan zijn.
  • IP-niveau (IP-filtering): regels blokkeren of toestaan op basis van IP-adres.
  • URL-niveau (web-filtering): toegang tot bepaalde webadressen toestaan of blokkeren.
  • Toepassingsniveau (applicatiefiltering): bepalen welke toepassingen mogen verzenden/ontvangen (next‑generation firewall).

Extra filters, logging en regels

• Firewalls kunnen extra filters bevatten: spamfilters, virusfilters en contentfilters (bijv. blokkeren van sites met gevaarlijke of ongepaste inhoud).
• Firewalls leggen logbestanden aan met IP-adressen van partijen die verkeer verzenden of ontvangen; logs helpen bij opsporing en tegenmaatregelen bij herhaalde aanvallen.
• Beheer stelt inkomende en uitgaande regels in; sommige poorten kunnen slechts in één richting opengezet worden.
• Eenvoudige routerfirewalls bieden beperkte configuratie; professionele firewalls maken zeer gedetailleerde regels mogelijk.
• Twee basisconfiguraties bij inschakelen: "alles behalve" (alles toegestaan behalve geblokkeerd) en "niets behalve" (alles geweigerd behalve expliciet toegestaan—veiliger).

DMZ (demilitarized zone)

• Met een firewall kan een DMZ gecreëerd worden: een afgescheiden, streng beveiligd netwerkdeel voor systemen die publiek toegankelijk moeten zijn.
• Webservers en mailservers worden vaak in een DMZ geplaatst om ze bereikbaar te maken vanaf internet maar te isoleren van het interne netwerk.
• (Een diagram van LAN — DMZ — internet is hier nuttig.)

Scan deze qr-code om de video te bekijken

Test jezelf!

Scan deze qr-code om de inhoud te bekijken

5.5 De proxyserver

Functie en werking

Scan deze qr-code om de video te bekijken

Soorten proxyservers

• Web proxy (web proxy): cachet webpagina's en deelt toegang voor clients.
• Open proxy / URL proxyserver: publiek beschikbare proxy waarmee blokkades omzeild kunnen worden (gebruiker voert doel‑URL in op de open proxy).
• Anonieme proxy: verbergt het IP‑adres van de gebruiker voor buitenstaanders.
• Distorting proxy: geeft een vals IP‑adres door om het echte IP te maskeren.
• Reverse proxy: geplaatst tussen internet en webservers voor load balancing en om webservers te verbergen; maakt servers minder direct zichtbaar voor aanvallen.

Scan deze qr-code om de video te bekijken

Transparantie, gebruik en beperkingen

• Proxyservers zijn soms transparant: gebruikers merken niet dat verkeer via een proxy loopt (geen aanpassing in browser/instellingen nodig).
• Web proxy's en reverse proxy's zijn vaak transparant; open proxyservers zijn dat meestal niet omdat gebruikers ze bewust gebruiken.
• Blokkering via een interne web proxy is niet waterdicht: het grote aantal open proxyservers maakt het lastig om alle omwegen te blokkeren.
• Proxy's bieden centrale controle (filtering, caching, load balancing) maar vormen ook een single point of control/failure.

Test jezelf

Scan deze qr-code om de inhoud te bekijken

5.6 Virtuele netwerken

5.6.1 VLAN

5.6.1 VLAN

Definitie en doel

• Een VLAN (Virtual Local Area Network) is een logisch netwerk binnen één of meer fysieke netwerken.
• Segmenteren van gegevensstromen verhoogt beveiliging zonder extra apparatuur of bekabeling.
• Moderne managed switches ondersteunen tot 4096 VLAN's theoretisch; praktisch vaak beperkt tot 256.
• VLAN's zijn de modernere vorm van subnetting met betere beveiliging en eenvoudiger configuratie.

Toepassingen

• Afdelingsscheidingen in grote bedrijfsnetwerken zonder fysieke scheiding.
• Performantieverbetering door reductie van broadcast-overhead.
• Draadloos vs. bekabeld: hackers die draadlos toegang krijgen, bereiken het beveiligde bekabelde netwerk niet.
• VoIP-scheiding: netwerkverkeer apart van spraakverkeer.
• IPv4 en IPv6: gescheiden configuraties met DHCP en SLAAC op verschillende VLAN's.

VLAN-tags, trunks en poorttypen

• Ethernet-frames krijgen een VLAN-tag zodat switches en routers het VLAN bepalen.
• Een trunk is een verbinding tussen switches die meerdere VLAN's draagt.
• Untagged poorten (toegangspoorten): voor één VLAN, geen tag nodig; configuratie via PVID (Port VLAN Identifier).
• Tagged poorten: voor meerdere VLAN's (op trunk-verbindingen).

Scan deze qr-code om de video te bekijken

Statische en dynamische VLAN's

• Statisch VLAN: beheerder configureert poorten handmatig; geschikt voor vaste opstelling.
• Dynamisch VLAN: VMPS (VLAN Management Policy Server) wijst computers toe op basis van MAC-adres, onafhankelijk van fysieke poort.
• Dynamische VLAN's voorkomen herconfiguratie bij verplaatsing van toestellen.

Test je kennis!

Scan deze qr-code om de inhoud te bekijken

5.6.2 VPN

5.6.2 VPN

Definitie en soorten

• Een VPN (Virtual Private Network) is een beveiligde verbinding tussen computers in verschillende lokale netwerken via een publiek netwerk (meestal internet).
• Computers kunnen communiceren alsof zij deel uitmaken van hetzelfde netwerk.
• Remote-access VPN: thuiswerkende gebruikers verbinden met het bedrijfsnetwerk voor toegang tot mappen, toepassingen en netwerkbronnen.
• Site-to-site VPN (intranet VPN): verbindt lokale netwerken van verschillende bedrijfsvestigingen via internet, elimineert dure huurlijnen tussen vestigingen.
• Extranet VPN: verbinding tussen netwerken van verschillende bedrijven (bijv. bedrijf en belangrijkste afnemers).

VPN-server, VPN-client en installatie

• Een VPN-server is software die VPN-omgeving opzet; meestal ingebouwd in serverbesturingssystemen, professionele routers en firewalls.
• Een VPN-client is nodig op de computer om verbinding met VPN-server te maken; moderne besturingssystemen (Windows, MacOS) hebben deze standaard ingebouwd.
• Ook mobiele apps voor smartphones maken VPN-verbindingen mogelijk.

Tunneling en encryptie

• Tunneling is het inkapselingproces: netwerkpakketjes voor het lokale netwerk worden verpakt in nieuwe internetpakketjes met extra header en footer.
• Pakketten worden geëncrypteerd zodat onderschepte gegevens niet ontcijferd kunnen worden.
• Een VPN-terminator (router met tunneling-mogelijkheid) voert het inkapselings- en encryptieproces uit.
• Firewalls beschermen tegen ongeautoriseerde toegang via de VPN-tunnel naar het lokale netwerk.

Scan deze qr-code om de video te bekijken

Publieke VPN-diensten

• Publieke VPN-diensten stellen gebruikers in staat relatief veilig te surfen op openbare netwerken.
• Verbergen het werkelijke IP-adres voor de bestemmeling; helpen geografische blokkades of internetprovider-beperkingen te omzeilen.
• VPN-software wordt op de computer geïnstalleerd (geen apart apparaat nodig).
• Deze diensten zijn betalend; kosten komen bovenop internetabonnement.

Test je kennis!

Scan deze qr-code om de inhoud te bekijken