Firewall alleen, of firewall met monitoring erbovenop. Wat het verschil is in wat je daadwerkelijk ziet gebeuren, en wanneer dat tweede echt iets toevoegt.
In het kort
- Een firewall blokkeert wat hij herkent op het moment zelf. Monitoring kijkt ook naar wat daarna gebeurt, en naar patronen die pas over tijd zichtbaar worden.
- Zonder monitoring kan iets dat de firewall passeert, wekenlang onopgemerkt blijven.
- Monitoring is niet alleen voor grote bedrijven, het risico van "niemand kijkt mee" geldt voor elk bedrijf met iets te verliezen.
- Bij een incident maakt monitoring het verschil tussen zelf ontdekken via schade, of vroeg gewaarschuwd worden.
- Een compleet netwerk met 24/7 bewaking erbij komt in de huur uit op zo'n € 563 per maand; dezelfde apparatuur kopen kost ruim € 10.800 in één keer, maar dan zonder die bewaking.
Een firewall is je poortwachter: hij beoordeelt wat er langskomt en houdt tegen wat hij herkent als gevaarlijk. Maar een poortwachter kijkt niet automatisch mee naar wat er ná de deur gebeurt. Daar komt monitoring in beeld.
[eye] Wat mis ik als ik alleen een firewall heb, zonder monitoring erbij?
Je mist het overzicht over wat er ná de deur gebeurt. Een firewall stopt wat hij als bekend gevaarlijk herkent. Maar niet alles wordt bij binnenkomst herkend, soms lijkt iets onschuldig, en wordt pas later duidelijk dat het dat niet was. Zonder iemand die dat gedrag in de gaten houdt, blijft zoiets onopgemerkt tot het zich laat zien, bijvoorbeeld doordat systemen vastlopen of data verdwijnt.
[shield] Wat doet een SOC concreet dat een firewall zelf niet doet?
Een SOC (Security Operations Center) kijkt naar gedrag over tijd, niet alleen naar het moment van binnenkomst. Denk aan: ongebruikelijk inlogpatroon, verkeer dat 's nachts vanaf een vreemde locatie vandaan komt, of een apparaat dat ineens veel meer data verstuurt dan normaal. Dat zijn dingen die een firewall op zichzelf niet als "gevaarlijk" herkent, omdat er geen duidelijke regel voor is, het valt pas op als iemand het patroon bekijkt.
Een firewall is de deur. Monitoring is iemand die ook binnen blijft rondkijken.
[eye] Is monitoring iets wat elk bedrijf nodig heeft, of vooral grotere bedrijven?
Het risico geldt voor elk bedrijf, niet alleen grote. Wat verschilt, is hoeveel er op het spel staat als iets weken onopgemerkt blijft: bij een productiebedrijf kan dat oplopen tot stilstand op de vloer, bij een kantoororganisatie tot gestolen gegevens. De vraag is dus niet "ben ik groot genoeg om hierom te vragen", maar "wat kost het mij als iets drie weken onopgemerkt blijft".
[search] Wordt een incident sneller opgemerkt met monitoring, en scheelt dat downtime?
Ja. Zonder monitoring ontdek je een incident meestal via de gevolgen: systemen die niet meer werken, of een melding van een klant of leverancier. Met monitoring wordt een afwijkend patroon vaak al opgemerkt vóórdat het zich zo ver heeft opgebouwd dat je er iets van merkt. Hoe eerder iets wordt opgepikt, hoe kleiner de kans dat het uitgroeit tot een storing die je productie of werk echt raakt.
[euro] Wat kost monitoring erbij, ruwweg, tegenover alleen een firewall?
Eerlijk antwoord: dat hangt af van wat er bij je staat. Daarom zetten we hier geen prijslijst neer, maar twee voorbeelden uit de praktijk, één klant die huurt, één die koopt. Dan weet je in elk geval over welke orde van grootte we het hebben.
Huren, inclusief bewaking. Deze klant huurt het hele netwerk bij ons. Wat daarin zit:
- een firewall, inclusief vijf jaar licenties en support
- SOC as a Service: 24/7 bewaking van de logging, meldingen die door mensen worden beoordeeld, escalatie als er echt iets speelt
- een switch van 48 poorten, met stroom over de netwerkkabel
- vijf accesspoints voor de wifi
- maandelijks onderhoud: controleren op updates en die buiten kantoortijd installeren
- monitoring op vier punten in het netwerk
Daar betaalt dit bedrijf € 563 per maand voor, exclusief btw. Compleet, en zonder investering vooraf, alleen de kabels en modules bij de installatie waren eenmalig.
Kopen, zonder bewaking. Een andere klant koos voor hetzelfde soort set, firewall, switch, vier accesspoints, maar dan gekocht in plaats van gehuurd. Inclusief het eerste jaar licenties en support, de kabels en het installeren kwam dat op ruim € 10.800 in één keer. Daarna betaal je de licenties elk jaar opnieuw, en gaat het onderhoud op nacalculatie. Hoe die aanschafbedragen zijn opgebouwd, lieten we eerder zien in Waarom is een goede firewall zo duur?
Het verschil zit hem dus niet alleen in de manier van betalen. In die tweede opstelling zit geen bewakingsdienst. De apparatuur beschermt je op het moment zelf, maar er kijkt 's nachts niemand mee naar wat er daarna gebeurt. Dat kun je er los bij nemen; in het eerste voorbeeld is het ook niet de grootste post.
Wat er in geen van beide zit, is het werk dat uit een melding voortkomt. Komt er iets uit de SOC waar we achteraan moeten, dan pakken we dat op en rekenen we dat op nacalculatie af. Hetzelfde geldt voor wijzigingen in de configuratie.
Wat het bij jou wordt, hangt af van je firewall, het aantal locaties en hoeveel accesspoints je nodig hebt. In een kwartier hebben we het voor jouw situatie uitgerekend.
[search] Hoe weet ik of onze firewall alleen niet al genoeg is?
Dat weet je pas echt als iemand meekijkt naar wat er in de praktijk over je netwerk gaat, in plaats van uit te gaan van wat de firewall al blokkeert. Een Cyber Threat Assessment laat precies zien of er dingen gebeuren die je firewall alleen niet had opgemerkt.
[clock] Tot slot
Een firewall zonder monitoring is niet fout, maar wel onvolledig: hij beoordeelt het moment van binnenkomst, niet wat daarna gebeurt. Hoe groter het risico als iets weken onopgemerkt blijft, bijvoorbeeld omdat je productie ervan afhangt, hoe belangrijker het wordt dat er ook iemand meekijkt.
Benieuwd of er bij jou iets over het hoofd wordt gezien?
Wil je eerst weten waar jullie nu staan?
Vraag een Cyber Threat Assessment aan →
Firewall alleen, of firewall met monitoring: wat is het verschil in bescherming?