Hoe beveilig je een out-of-band managementnetwerk?

Een out-of-band managementnetwerk geeft je toegang tot je netwerkinfrastructuur op het moment dat het productienetwerk niet bereikbaar is. Dat klinkt als een vangnet, maar het is ook een aantrekkelijk doelwit: wie toegang heeft tot je OoBM-netwerk, heeft toegang tot je meest kritieke apparatuur. Een slecht beveiligd OoBM-netwerk is daarmee een achterdeur die je liever gesloten houdt.

In deze handleiding doorloop je stap voor stap hoe je een out-of-band managementnetwerk beveiligt. Van de juiste voorbereiding tot een afsluitende configuratieaudit. Volg de stappen in volgorde, want elke laag bouwt voort op de vorige.

Wat je nodig hebt vóór je begint

Goede voorbereiding voorkomt dat je halverwege vastloopt. Zorg dat je de volgende zaken op orde hebt voordat je aan de configuratie begint:

• Een volledig en actueel overzicht van alle apparaten die je via OoBM wilt beheren (routers, switches, servers, firewalls)
• Toegang tot de beheerconsoles van die apparaten, inclusief out-of-band toegangspoorten zoals seriële poorten of dedicated managementpoorten
• Een netwerktopologietekening waarop je het managementnetwerk afzonderlijk kunt weergeven
• Beslissingen over welke beheerders toegang krijgen en via welke methode
• Een duidelijk authenticatiebeleid, inclusief afspraken over wachtwoordsterkte en meerfactorauthenticatie

Heb je alle bovenstaande punten in kaart gebracht, dan kun je beginnen met de eerste stap: isolatie van het managementnetwerk.

Isoleer het managementnetwerk van productieverkeer

Isolatie is de basis van OoBM-netwerkbeveiliging. Zolang beheerverkeer en productieverkeer over dezelfde infrastructuur lopen, is een aanvaller die één segment compromitteert potentieel in staat het andere te bereiken. Strikte scheiding voorkomt dat.

1. Wijs een apart fysiek netwerksegment of een dedicated VLAN toe aan het managementnetwerk. Gebruik geen gedeelde uplinks met het productienetwerk.
2. Configureer ACL’s (Access Control Lists) op de grens tussen het managementsegment en de rest van de infrastructuur. Sta alleen expliciet gedefinieerd beheerverkeer toe.
3. Schakel alle onnodige poorten en interfaces op managementapparaten uit. Elke open poort die je niet gebruikt, is een potentieel aanvalsoppervlak.
4. Controleer of out-of-band managementapparaten uitsluitend bereikbaar zijn via het geïsoleerde segment en niet via het productienetwerk.

Verifieer de isolatie door vanaf een apparaat in het productienetwerk te proberen een beheerpoort te bereiken. Die verbinding moet worden geblokkeerd. Lukt dat, dan is de segmentatie correct ingesteld.

Stel sterke toegangscontrole en authenticatie in

Isolatie beperkt wie het managementnetwerk kan bereiken. Toegangscontrole bepaalt wie er daadwerkelijk in mag. Beide lagen zijn noodzakelijk, want zonder sterke authenticatie is een geïsoleerd netwerk alsnog kwetsbaar zodra iemand de grens passeert.

1. Implementeer meerfactorauthenticatie (MFA) voor alle beheeraccounts. Een sterk wachtwoord alleen is niet voldoende voor toegang tot kritieke infrastructuur.
2. Gebruik een gecentraliseerde authenticatieoplossing zoals RADIUS of TACACS+ om gebruikersbeheer te centraliseren en audittrails bij te houden.
3. Pas het principe van minimale rechten toe: geef elke beheerder alleen toegang tot de systemen en functies die nodig zijn voor zijn rol.
4. Stel automatische sessietime-outs in op alle beheersessies. Een onbeheerde sessie is een open deur.
5. Verwijder alle standaardgebruikersnamen en wachtwoorden op apparaten voordat ze in gebruik worden genomen.

Controleer na configuratie of een testgebruiker met beperkte rechten geen toegang kan krijgen tot systemen buiten zijn bevoegdheid. Pas de rechten aan waar nodig.

Versleutel al het beheerverkeer end-to-end

Zelfs binnen een geïsoleerd netwerk kan verkeer worden onderschept als het onversleuteld reist. Netwerkbeveiliging voor OoBM vereist dat alle communicatie tussen beheerder en beheerd apparaat versleuteld is, van begin tot eind.

1. Gebruik uitsluitend versleutelde beheerprotocollen. SSH vervangt Telnet, HTTPS vervangt HTTP. Schakel onversleutelde protocollen volledig uit op alle apparaten.
2. Configureer sterke cipher suites en schakel verouderde versies van TLS en SSH uit. TLS 1.0 en 1.1 bieden onvoldoende bescherming.
3. Gebruik certificaatgebaseerde authenticatie waar mogelijk, in plaats van alleen wachtwoorden. Dit verhoogt de beveiliging van de versleutelde verbinding aanzienlijk.

Voor organisaties die werken met bijzonder gevoelige data of kritieke infrastructuur bieden encryptieoplossingen op laag 1 en laag 2 bescherming op het diepste niveau van het netwerk, nog voordat data hogere protocollen bereikt. Dit is relevant wanneer standaardversleuteling niet volstaat.

Verifieer de versleuteling door een pakketanalyse uit te voeren op het managementsegment. Beheerverkeer moet onleesbaar zijn zonder de juiste sleutels.

Monitor en log alle beheeractiviteit

Met isolatie, toegangscontrole en versleuteling op orde is de volgende stap zichtbaarheid. Zonder monitoring weet je niet wat er in je managementnetwerk gebeurt en ontdek je afwijkingen pas als het te laat is.

1. Centraliseer alle logbestanden van beheeractiviteit in een SIEM of een centrale logserver. Zorg dat logs niet lokaal op het apparaat worden opgeslagen, zodat ze niet kunnen worden gemanipuleerd.
2. Stel alerts in voor afwijkend gedrag: mislukte inlogpogingen, ongebruikelijke sessietijden, toegang buiten kantooruren of verbindingen vanuit onbekende bronnen.
3. Log niet alleen succesvolle acties, maar ook gefaalde pogingen. Herhaalde mislukte inlogpogingen kunnen wijzen op een brute-forceaanval.
4. Stel een bewaarperiode in voor logbestanden die aansluit bij je beveiligingsbeleid en eventuele compliancevereisten.

Bekijk na inrichting of alle apparaten in het managementnetwerk logs doorsturen naar de centrale locatie. Een apparaat dat niet logt, is een blinde vlek. Overweeg ook gespecialiseerde monitoringoplossingen als je infrastructuur complex is of hoge beschikbaarheidseisen stelt.

Valideer de beveiliging met een configuratieaudit

De laatste stap is verificatie. Een goed geconfigureerd netwerk is alleen veilig als de configuratie ook daadwerkelijk klopt. Een configuratieaudit legt eventuele afwijkingen, vergeten instellingen of kwetsbaarheden bloot voordat een aanvaller dat doet.

1. Loop systematisch door alle apparaten in het managementnetwerk en controleer of de instellingen overeenkomen met je beveiligingsbeleid. Gebruik een checklist op basis van de voorgaande stappen.
2. Voer een kwetsbaarhedenscan uit op het managementsegment. Let op open poorten, verouderde firmware en zwakke cipher suites.
3. Test de toegangscontrole door inlogpogingen te simuleren met accounts die geen toegang zouden mogen hebben.
4. Controleer of alle logs correct worden doorgestuurd en of alerts functioneren zoals bedoeld.
5. Documenteer de bevindingen en verwerk ze in een actieplan voor eventuele herstelmaatregelen.

Plan audits niet als eenmalige activiteit, maar als terugkerend onderdeel van je beveiligingsbeheer. Netwerken veranderen, firmware wordt bijgewerkt en beheerders wisselen. Een periodieke audit zorgt dat de beveiliging van je out-of-band managementnetwerk actueel blijft. Wil je weten welke beveiligingsoplossingen aansluiten bij jouw infrastructuur, bekijk dan ons security-aanbod of neem contact op voor een adviesgesprek.