Bibliotheek
VPN-verbindingen zijn al jaren de standaardmanier waarop externe medewerkers toegang krijgen tot interne bedrijfsnetwerken. Vanuit beveiligingsperspectief vormen ze echter een structureel risico binnen hybride omgevingen. Niet zozeer vanwege de netwerktoegang zelf, maar vooral door de impliciete vertrouwensrelatie die een VPN met zich meebrengt. Die relatie zorgt voor te ruime toegang en voor blinde vlekken in detectie en respons. Naarmate werken op afstand de norm werd, is dat structurele risico alleen maar groter geworden.
Zodra een gebruiker via VPN inlogt, krijgt het externe apparaat vaak directe toegang tot het interne netwerk op IP-niveau (Layer 3). Het systeem behandelt dat apparaat alsof het lokaal op kantoor staat, inclusief toegang tot meerdere systemen, databases of OT-omgevingen. Een traditionele VPN kijkt daarbij nauwelijks naar context: wie de gebruiker is, of het apparaat veilig is, vanaf welke locatie wordt gewerkt en waarvoor toegang nodig is. Een medewerker op een onbeheerd apparaat krijgt zo vaak evenveel rechten als iemand op kantoor met een bedrijfslaptop. Bovendien blijft een eenmaal opgezette VPN-sessie vaak lang geldig, ook wanneer de context van de gebruiker intussen verandert. Moderne architecturen verschuiven daarom naar Zero Trust Network Access, waarbij toegang per applicatie wordt verleend.
Aanvallers benutten de VPN op meerdere manieren. Via phishingkits zoals Evilginx2 onderscheppen zij niet alleen wachtwoorden maar ook tijdelijke sessietokens, waarmee zij de tweede factor omzeilen en de verbinding overnemen. Kwetsbare VPN-appliances van onder andere Fortinet, Citrix en Pulse Secure zijn direct vanaf internet bereikbaar en daardoor een geliefd doelwit, soms tot aan wachtwoorden die in het geheugen van het apparaat staan. Daar komt bij dat veel organisaties hun VPN-appliances niet tijdig patchen, terwijl kwetsbaarheden hierin vaak binnen enkele dagen na publicatie actief worden misbruikt. Omdat VPN-verkeer vaak als vertrouwd wordt gezien, controleren firewalls en SIEM het minder streng. Daardoor blijven laterale beweging en data-exfiltratie via versleutelde, vertrouwde kanalen lang onopgemerkt, ook buiten het zicht van DLP en NDR.
De oplossing ligt in een model waarin toegang wordt toegekend op basis van identiteit, apparaatstatus en gedrag. Regel toegang per applicatie of dienst, laat uitsluitend gecontroleerde en veilige apparaten verbinden en herken afwijkend gedrag direct via UEBA en gekoppelde logging van VPN, endpoint en netwerk. Verdacht gedrag wordt dan niet alleen gezien, maar ook direct geblokkeerd. Behandel de overstap als een geleidelijk traject: begin met de meest kritische applicaties en bouw van daaruit verder, zodat gebruikers niet in één keer met een nieuw toegangsmodel worden geconfronteerd. Zo ontstaat een controleerbaar en fijnmazig toegangsmodel dat past bij de complexiteit van moderne IT- en OT-omgevingen.
De traditionele VPN past niet meer binnen een beveiligingsarchitectuur waarin zero trust centraal staat. De brede toegang, het gebrek aan contextuele verificatie en de beperkte zichtbaarheid maken dat organisaties die er nog volledig op leunen verhoogd risico lopen. De overstap naar identiteitsgebonden, contextbewuste toegang is geen luxe maar noodzaak. Wie nu begint met die verschuiving, voorkomt dat een verouderd toegangsmodel de zwakke plek in een verder moderne architectuur wordt.
Wilt u weten hoe dit binnen uw eigen omgeving speelt? Neem contact op met de specialisten van DeepBlue Security & Intelligence via info@deepbluesecurity.nl of +31 (0) 70 290 6 290.
Bespreek een securityvraagstuk, actueel risico of complexe IT- of OT-omgeving met een van onze senior specialisten. Het eerste gesprek richt zich op de technische context, operationele randvoorwaarden en de meest passende vervolgstappen.
Kan het niet wachten?
Bel ons op +31 (0) 70 290 6 290
of stuur een email naar info@deepbluesecurity.nl
