Soms is één voorbeeld overtuigender dan tien argumenten.
In het kort
- Bij een test bij een productiebedrijf bleek een gewone, veelgebruikte VPN-verbinding rechtstreeks toegang te geven tot de console van een productiemachine.
- Dat betekende: geen aparte afscherming tussen "toegang tot het netwerk" en "toegang tot de machine zelf".
- Dit is geen uitzonderlijk lek, maar een patroon dat vaker voorkomt bij bedrijven die VPN-toegang ooit hebben ingericht voor gemak, niet voor beveiliging.
- De oplossing zat niet in een dure verbouwing, maar in het scheiden van "wie mag op het netwerk" en "wie mag bij welke machine".
- Dit artikel is bewust op hoofdlijnen gehouden. De volledige, geanonimiseerde details van dit soort bevindingen horen thuis in een aparte case study.
De vorige blogs in deze reeks waren vooral uitleg: wat een plat netwerk is, wat micro-segmentatie doet en hoe OT verschilt van IT. Deze keer een concreet voorbeeld, om te laten zien dat dit geen ver-van-je-bedshow is.
Wat ging hier concreet mis?
Tijdens een test bij een productiebedrijf bleek dat een verbinding die bedoeld was voor algemene toegang tot het netwerk, in de praktijk ook rechtstreeks uitkwam bij de bedieningsconsole van een productiemachine.
Met andere woorden: wie op de juiste manier inlogde op die VPN-verbinding, kwam niet alleen "op het netwerk", maar kon van daaruit ook bij de plek waar een machine wordt aangestuurd. Zonder dat daar nog een aparte controle of afscherming tussenzat.
Dat is precies het patroon dat ik in de vorige blogs beschreef: geen scheiding tussen "erbij kunnen" en "overal bij kunnen".
Hoe kon dat, via een heel gewone VPN-verbinding?
Simpel: die verbinding was ooit ingericht om iemand snel en makkelijk op afstand te laten meekijken, bijvoorbeeld voor onderhoud. Op het moment dat die verbinding werd opgezet, lag de nadruk op "werkt het", niet op "is dit ook afgeschermd tot alleen wat nodig is".
Meer over hoe een VPN in de basis werkt en waar de risico's zitten, lees je in wat is een VPN en hoe kan het mijn cybersecurity verbeteren.
Dat is geen unieke fout. Het is een patroon dat ontstaat wanneer toegang wordt ingericht voor gemak op een moment dat er haast bij was, en niemand er later nog naar heeft omgekeken.
Had de productie hier iets van gemerkt als dit een echte aanval was geweest?
Op het moment zelf niet per se. Dat is nou juist het ongemakkelijke van dit soort bevindingen: de toegang was er, zonder dat er een storing, melding of ander signaal was dat erop wees.
Pas als iemand met kwade bedoelingen die toegang daadwerkelijk had gebruikt om iets te veranderen aan de besturing, was het zichtbaar geworden. En dan vaak op het moment dat het al te laat was om het rustig op te lossen.
Was dit bedrijf zich hiervan bewust vóór de test?
Nee, en dat is precies waarom dit soort tests waardevol zijn. Op papier leek de toegang geregeld: er stond een VPN-verbinding, er was een wachtwoord, het werkte zoals bedoeld voor onderhoud.
Wat niet in beeld was: dat "het werkt" en "het is afgeschermd tot wat nodig is" twee heel verschillende dingen zijn. Die tweede vraag was simpelweg nooit expliciet getest.
Wat was de eerste, snelste maatregel om dit te verhelpen?
De toegang splitsen. In plaats van één brede verbinding die bij het hele netwerk uitkwam, is de toegang voor onderhoud beperkt tot precies de machine waarvoor die bedoeld was, met een aparte controle op wie daarbij mag.
Dat is meteen de kern van micro-segmentatie uit de vorige blog, maar dan in de praktijk: niet één sleutel tot het hele huis, maar een pasje per deur. Hetzelfde onderscheid tussen "sleutel tot het huis" en "pasje per deur" leg ik uit in Zero Trust netwerktoegang vs microsegmentatie.
Hoe vaak kom je dit soort dingen tegen bij productiebedrijven?
Dit specifieke voorbeeld staat niet op zichzelf als patroon: toegang die ooit voor gemak is ingericht en nooit meer is herzien, zie ik vaker terugkomen. Hoe vaak dat exact voorkomt, en in welke mate, durf ik hier niet in een cijfer te vangen zonder dat hard te kunnen maken.
Wat ik wel met zekerheid kan zeggen: de kans dat een oude, ooit snel ingerichte toegang nooit meer is gecontroleerd, is bij de meeste bedrijven groter dan ze zelf denken.
Is dit een uitzondering, of vrij normaal?
Eerlijk antwoord: eerder normaal dan uitzonderlijk. Niet omdat bedrijven onzorgvuldig zijn, maar omdat toegang die ooit is ingericht, zelden opnieuw wordt bekeken zodra hij eenmaal werkt.
Dat is precies waarom een test zo waardevol is. Niet om iemand iets te verwijten, maar om te zien wat er in de loop der tijd is blijven hangen zonder dat iemand het nog wist.
Tot slot
Dit voorbeeld laat in de praktijk zien wat de vorige blogs in theorie beschreven: een netwerk dat op papier geregeld lijkt, kan in de praktijk toch één ongecontroleerde route naar je machines hebben. Vaak ontstaan uit gemak, niet uit onzorgvuldigheid.
De oplossing was geen grote verbouwing, maar het scheiden van toegang tot het netwerk en toegang tot een specifieke machine.
Volgende week gaan we in op wat dit betekent voor regelgeving zoals NIS2, en of een hacker hier ook echt schade kan aanrichten.
Benieuwd of jouw toegang op afstand ook zo breed is als hij lijkt?
Met een Cyber Threat Assessment testen we precies dit soort routes: wie kan waar écht bij, niet alleen wie er op papier toegang heeft. We doen dat een week lang, meekijkend, zonder impact op je productie.
Vraag een Cyber Threat Assessment aan →
Vind je dat een te grote stap? Plan dan eerst een kwartiertje met mij, zonder verplichtingen.
Plan een kwartiertje met Marcel →
Wat we vonden tijdens een pentest bij een productiebedrijf