Een medewerker klikt op een link en zijn laptop raakt besmet. Vanaf dat moment bepaalt één ding hoe groot het probleem wordt: waar die laptop allemaal bij kan. In de meeste netwerken is het antwoord vrijwel alles, omdat werkplekken, fileservers, printers en beheerpoorten in dezelfde zone zitten. Zo is het ooit gegroeid en daarna is er nooit een rustig moment geweest om het anders in te richten.

Netwerksegmentatie is het antwoord op dat probleem, alleen wordt het zelden zo gepresenteerd. Zoek erop en je vindt artikelen over VLAN’s, subnetten, access control lists en een implementatie in zes of zeven stappen. Dat klopt allemaal en het maakt er een ontwerpvraag van. Ontwerpvragen belanden op de stapel bij IT en blijven daar liggen, omdat ze concurreren met werk dat vandaag af moet.

Er is een andere ingang. Begin bij de vraag hoe ver iemand komt na die eerste stap. Dan gaat segmentatie over afstand. Dat is een vraag die een directeur kan stellen zonder één VLAN te begrijpen. In deze blog lees je wat netwerksegmentatie is, waarin het verschilt van microsegmentatie, hoe je het aanbrengt zonder je productie stil te leggen en hoe je controleert dat het houdt.

 

Wat is netwerksegmentatie?

Netwerksegmentatie is het opdelen van een netwerk in afgescheiden zones, waarbij verkeer tussen die zones alleen doorgaat als een regel dat toestaat. Zonder segmentatie kan elk apparaat elk ander apparaat bereiken.

Klassiek gebeurt dat met VLAN’s en subnetten, met een firewall of toegangslijsten op de overgangen. Je maakt bijvoorbeeld een aparte zone voor werkplekken, een voor servers en een voor het beheer van je netwerkapparatuur. Verkeer binnen een zone loopt vrij, verkeer tussen zones loopt langs een regel.

Segmentatie houdt niemand buiten de deur. Die eerste stap gaat via een phishingmail, een kwetsbaar systeem dat aan internet hangt of een gestolen wachtwoord. Een netwerkzone staat daar los van. Wat segmentatie bepaalt is wat die eerste stap oplevert: toegang tot één zone of toegang tot het hele netwerk.

 

Wat is laterale beweging in een netwerk?

Laterale beweging is de stap waarbij een aanvaller zich vanaf het eerst besmette systeem verplaatst naar andere systemen in hetzelfde netwerk. Die besmette laptop is zelden het doel. Hij is het beginpunt. Wat erop staat aan opgeslagen wachtwoorden, gekoppelde netwerkschijven en actieve sessies bepaalt waar de volgende stap heen gaat.

CrowdStrike meet hoe lang die stap op zich laat wachten en noemt dat breakout time: de tijd tussen de eerste toegang en de eerste beweging naar een ander systeem. In het Global Threat Report van 24 februari 2026 komt dat over 2025 uit op gemiddeld 29 minuten. De snelste waargenomen breakout time was 27 seconden.

Leg daar je eigen reactietijd naast. Er moet een melding binnenkomen, iemand moet ernaar kijken, iemand moet besluiten wat er gebeurt en dan moet er iets worden afgesloten of losgekoppeld. Bij de meeste organisaties duurt dat langer dan 29 minuten, ook als het netjes is ingericht en zeker buiten kantooruren.

Horizon3 legt uit waarom dat niet vanzelf beter wordt. AI verandert hoe kwetsbaarheden gevonden worden. Het verandert niet hoe inbraken verlopen: er komt altijd een volgende kwetsbaarheid en een volgend pad naar binnen. De afstand die iemand na die eerste stap kan afleggen, is daarmee het deel van het probleem waar je vooraf iets aan kunt doen.

 

Wat is het verschil tussen netwerksegmentatie en microsegmentatie?

Het verschil zit in de grootte van de eenheid die je afschermt. Netwerksegmentatie werkt met zones waar meerdere apparaten in zitten. Microsegmentatie neemt het apparaat zelf als eenheid.

Traditionele segmentatie: zones op basis van VLAN’s en subnetten

Je deelt het netwerk op in een handvol zones en zet regels op de overgangen ertussen. Binnen een zone blijft alles bij alles kunnen. Een besmetting in de werkplekzone bereikt dus nog steeds elke andere werkplek in diezelfde zone.

Dit werkt met de apparatuur die je al hebt en het is bekende techniek voor elke netwerkbeheerder. Het knelpunt zit in de praktijk: elke uitzondering die niet meteen op te lossen is, wordt opgelost door de zone iets ruimer te maken. Na een paar jaar zitten er meer apparaten in dan bij het ontwerp de bedoeling was.

Microsegmentatie: een eigen segment per apparaat

Elk apparaat krijgt zijn eigen segment en een lijst van wat het mag bereiken. Een pomp praat met zijn besturingssysteem en verder met niemand. Een printer neemt printopdrachten aan en heeft geen enkele reden om bij een fileserver te komen.

Een besmet apparaat heeft daarmee alleen datgene binnen handbereik dat het in normaal gebruik ook nodig heeft. De aanvaller staat dan wel binnen, alleen komt hij niet verder dan dat ene apparaat kan.

Voor de meeste organisaties is dit geen keuze tussen twee dingen. Zones zijn de grove indeling en microsegmentatie is de fijne. Je kunt met zones beginnen en daarna de apparaten apart zetten die het zwaarst wegen.

 

Wat is Zero Trust en hoe past segmentatie daarin?

Zero Trust is het uitgangspunt dat een gebruiker of apparaat geen rechten krijgt op grond van waar hij zich bevindt. Of iemand op kantoor zit of thuis, elk verzoek om toegang wordt afzonderlijk beoordeeld.

Het oudere model ging uit van een buitengrens: binnen het netwerk was je vertrouwd en daarbuiten niet. Dat werkte zolang alles op één locatie stond. Met thuiswerken, clouddiensten en leveranciers die op afstand met hun eigen apparatuur meekijken, is die grens niet meer aan te wijzen.

Segmentatie is het deel van Zero Trust dat zich in het netwerk zelf afspeelt. Zonder segmentatie blijft het uitgangspunt een regel op papier: je controleert wie er binnenkomt en daarna kan dat apparaat alsnog overal bij. Microsegmentatie maakt de regel afdwingbaar, omdat per apparaat vastligt wat is toegestaan.

Daarnaast bestaat ZTNA, voluit Zero Trust Network Access. Dat past hetzelfde principe toe op toegang van buitenaf: een gebruiker krijgt verbinding met de ene toepassing die hij nodig heeft. Bij een klassieke VPN krijgt hij het hele netwerk erbij. In die volgorde is segmentatie de basis onder Zero Trust en is ZTNA het stuk dat aan de buitenkant hangt.

 

Hoe breng je microsegmentatie aan zonder de productie stil te leggen?

Twee bezwaren houden dit bij de meeste organisaties tegen. Ze zijn allebei terecht. Op een pomp, een PLC of een camera kun je geen software installeren, want het apparaat is er niet op gebouwd en de leverancier staat het vaak niet toe. Daarnaast kun je de productie niet stilleggen om het netwerk opnieuw in te delen.

Agentless werken neemt het eerste bezwaar weg. De segmentatie wordt in het netwerk afgedwongen, dus er komt geen software op het apparaat en er hoeft geen extra hardware bij. Voor het apparaat zelf verandert er niets aan hoe het draait.

Het tweede bezwaar los je op met de volgorde. Je begint met weten wat er staat en met wie het praat. Dat inventariseren is een stap op zichzelf en hij gaat aan alles vooraf, want een regel voor een apparaat dat niemand in beeld heeft, komt er nooit. Hoe je dat doet in een omgeving met apparatuur die niet tegen een scan kan, staat in onze blog over OT security in kaart brengen.

Daarna zet je de regels eerst in meekijkstand. Het systeem registreert wat er normaal over de lijn gaat en laat zien welk verkeer het zou tegenhouden. Zo zie je vóór het afsluiten welk verkeer je zou raken, inclusief het verkeer waarvan niemand wist dat het er was. Pas als dat beeld klopt, zet je het handhaven aan.

Daarmee wordt invoeren een reeks kleine stappen. Je begint bij één groep apparaten, je controleert of alles blijft draaien en daarna pak je de volgende groep. Er hoeft geen onderhoudsvenster omheen en er is geen moment waarop het hele netwerk tegelijk omgaat.

 

Welke apparaten krijgen als eerste een eigen segment?

De volgorde volgt uit twee eigenschappen van het apparaat: hoeveel het kan bereiken en welke andere maatregel er nog op werkt. Een apparaat dat veel kan bereiken en waar verder niets op past, staat bovenaan.

1. Apparatuur waar je geen software op kunt zetten. Pompen, PLC’s, camera’s, gebouwbeheersystemen en medische apparatuur. Endpointbescherming werkt er niet op en patchen kan vaak alleen bij een geplande stop. Segmentatie is daarmee de enige maatregel die overblijft.
2. Systemen die met veel andere systemen praten. Fileservers, beheerservers en back-upomgevingen. Ze staan per definitie met alles in verbinding, dus wie daar komt heeft de grootste reikwijdte van iedereen.
3. Alles waar een leverancier op inbelt. Onderhoudsverbindingen zijn bijna altijd breder dan nodig, omdat ze zijn ingericht op het moment dat er snel iets gefikst moest worden.
4. Werkplekken van mensen met brede rechten. Beheerders en applicatiebeheerders hebben de wachtwoorden waar een aanvaller naar op zoek is. Een besmetting daar slaat meteen een paar stappen over.
5. Apparaten die niemand kan plaatsen. Uit een inventarisatie komt altijd een restcategorie van apparatuur die wel meepraat en die niemand kan thuisbrengen. Zolang je niet weet wat het is, weet je ook niet wat het mag.

Dit is dezelfde manier van kijken als bij kwetsbaarheden, waar je eerst filtert op wat werkelijk bereikbaar is voordat je op technische ernst weegt. Hoe dat gaat lees je in de blog over welke kwetsbaarheid je als eerste dichtzet.

 

Hoe controleer je of je netwerksegmentatie houdt?

Een segment dat je hebt aangelegd en nooit hebt getest, is een aanname. Dat is een praktisch punt, want segmentatie loopt vanzelf leeg. Er komt een leverancier bij die toegang nodig heeft. Er wordt een regel verruimd voor een project dat drie maanden zou duren. Er wordt apparatuur bijgeplaatst die in de standaardzone belandt omdat dat het snelste was. Elke stap is op zichzelf verdedigbaar en samen maken ze de zone weer zo groot als hij ooit was.

De configuratie nakijken helpt daar beperkt bij, want die laat zien wat er is bedoeld. Of het ook zo werkt, blijkt pas als iemand het vanaf een werkplek probeert.

Dat is wat een autonome pentest doet. Je zet hem op een werkplek neer alsof daar een besmetting zit en je kijkt hoe ver hij komt: welke systemen hij kan bereiken, welke inloggegevens hij onderweg oppikt en waar hij uiteindelijk uitkomt. Wat je terugkrijgt zijn de paden die op dat moment open staan. Hoe dat in zijn werk gaat staat in Van 20 uur naar 10 minuten: waarom je volgende pentester een AI is.

Daarmee wordt controleren een terugkerend ritme. Je brengt in kaart wat er mis kan gaan, je dicht wat bovenaan staat en daarna controleer je of dat pad werkelijk weg is. Zonder die derde stap weet je alleen dat er iets is aangepast.

Het logische moment om opnieuw te testen is na elke wijziging die het netwerk raakt. Verandert er bij jou weinig, dan is een vaste ronde per kwartaal genoeg om te zien of het beeld nog klopt.

 

Waar begin je met netwerksegmentatie?

Segmentatie begint bij weten wat er staat. Zolang een deel van je apparatuur niet in beeld is, schrijf je regels voor apparaten waarvan je het normale gedrag niet kent. Elke regel is dan een gok.

Daarna komt de volgorde. Begin bij de apparatuur waar geen andere maatregel op werkt en bij de systemen die met alles in verbinding staan. Zet de regels eerst in meekijkstand, zodat je ziet welk verkeer je zou raken voordat je iets afsluit. Vervolgens zet je het handhaven per groep aan.

De derde stap is de stap die het vaakst blijft liggen. Een aanvaller heeft na de eerste besmetting gemiddeld 29 minuten nodig om zich naar een volgend systeem te bewegen. De afstand die je hebt ingebouwd, moet dus kloppen op het moment dat het gebeurt. Of dat zo is, weet je pas als iemand het heeft geprobeerd.

Wil je weten hoe ver iemand in jouw netwerk komt vanaf één werkplek? Dat is te testen.

Ga naar netboss.nl

“We Got Your Back”

Veelgestelde vragen over netwerksegmentatie