Zero trust op het apparaat: Hoe ver kun je gaan zonder extra budget?

In een zero trust-model is het apparaat zelf een belangrijk onderdeel van de beveiliging. Waarom? Omdat zelfs de beste identiteitscontrole ondermijnd kan worden als malware op het apparaat draait. Denk aan een aanvaller die meelift op ‘Single Sign On’-toegang die een gebruiker heeft tot applicaties. Natuurlijk hebben we standaard al antivirus en EDR, maar zero trust gaat verder dan dat. Pardon? Antivirus is niet goed genoeg? Het houdt wel veel tegen, maar in 'hackerland' is het bijna een sport om de antivirus te omzeilen en helaas lukt dit ook regelmatig.

Bij zero trust vertrouwen we niets en verifiëren we alles. Dit geldt ook voor software: alleen programma’s die vooraf zijn goedgekeurd mogen worden opgestart. Zelfs malware die antivirus weet te omzeilen, wordt geblokkeerd omdat het programma niet vooraf is goedgekeurd. Dit heet application allowlisting. Het kost wat moeite om dit in te richten en je processen aan te passen, maar qua licentiekosten valt het mee: Windows levert het standaard mee bij bepaalde licenties. Dit allowlisting-principe kun je op veel plekken toepassen, bijvoorbeeld op browserextensies, mobiele apps, scripts op servers en zelfs USB-sticks.

Wat als malware tóch binnenkomt?

Zelfs wanneer malware actief is, heeft het vaak internettoegang nodig om opdrachten te ontvangen. Vanuit het zero trust-principe, waarbij niets wordt vertrouwd en alles wordt geverifieerd, geldt dit ook voor uitgaand netwerkverkeer. Met de softwarematige firewall van het apparaat zelf kun je per applicatie bepalen of deze toegang tot het internet krijgt. In de praktijk hebben alleen de browser en enkele specifieke applicaties internettoegang nodig; de rest kun je blokkeren. Op servers is dit vaak nog eenvoudiger: die hebben doorgaans helemaal geen internettoegang nodig.

De browser is vaak het startpunt van een aanval. Ook hier geldt assume compromise: we gaan ervan uit dat aanvallen via de browser zullen plaatsvinden én slagen. In de praktijk zien we bijvoorbeeld dat legitieme websites worden misbruikt om malware aan te bieden. Daarom is het verstandig om kwaadaardige websites te blokkeren, bijvoorbeeld via plug-ins of ingebouwde functies zoals Microsoft Defender SmartScreen. Voor maximale bescherming kan de browser volledig worden geïsoleerd van het systeem, bijvoorbeeld via (Remote)Browser Isolation. Dit biedt sterke beveiliging, maar brengt extra beheerlast en technische integratie met zich mee, wat niet voor elke zorginstelling of situatie haalbaar is.
Daarnaast hebben moderne browsers zelf waardevolle beveiligingsopties zoals automatische updates en ingebouwde functionaliteit om risicovolle downloads te blokkeren.

Bij zero trust gaan we ervan uit dat er inbreuk heeft plaatsgevonden op onze systemen, daarom zijn we extra gemotiveerd configuratie-opties te gebruiken die het hackers moeilijk te maken met de hoop dat ze het opgeven of vertraagd worden. In Windows zitten bijvoorbeeld krachtige beveiligingsfuncties die vaak ongebruikt blijven, zoals: de 'Attack Surface Reduction' regels en credential guard. Maak hier gebruik van!
Ook netwerkapparatuur kan vaak veiliger worden geconfigureerd. Sommige apparaten slaan bijvoorbeeld wachtwoorden op zonder encryptie; een instelling die eenvoudig aan te passen is. Voor vrijwel elke oplossing zijn er lijsten met aanbevolen beveiligingsinstellingen (baselines) beschikbaar waarmee je soms zelfs automatisch beveiligingsfunctionaliteit kunt inschakelen. Zo voorkom je dat je belangrijke configuratie-opties over het hoofd ziet.

Besturingssystemen, applicaties en firmware moeten regelmatig updates ontvangen om bekende kwetsbaarheden te verhelpen. In een zero trust-model is dit geen bijzaak, maar een voorwaarde: alleen apparaten die aantoonbaar up-to-date zijn, inclusief de laatste antivirusdefinities, mogen toegang krijgen tot gevoelige data (zie ook het vorige artikel over identiteit). Sommige systemen zoals domotica, gebouwbeheersystemen of medische apparatuur vallen vaak buiten de standaard IT-processen. Dat kan komen door technische beperkingen, afhankelijkheid van leveranciers of het risico dat updates de werking verstoren. Juist deze systemen vragen extra aandacht wat betreft beveiliging, omdat kwetsbaarheden daar vaak langer blijven bestaan. In een toekomstige blog over zero trust in het netwerk gaan we hier dieper op in.

Het toepassen van zero trust-beleid op apparaten vereist gecentraliseerd beheer. Daarmee kun je beleid afdwingen op het gebied van bijvoorbeeld configuraties, allowlisting en authenticatie. In dit model fungeert het gecentraliseerd beheersysteem als Policy Decision Point (PDP): het bepaalt welk beleid geldt op basis van vooraf ingestelde regels en (verdachte) activiteiten op het apparaat. De handhaving vindt plaats op het apparaat zelf, dat optreedt als Policy Enforcement Point (PEP). Door besluitvorming (PDP) en handhaving (PEP) te scheiden, kun je beveiligingsbeleid centraal en consistent toepassen.

Wat betekent dat concreet? Of het nu om een Windows-laptop, MacBook of cloudgebaseerde desktop gaat: elk apparaat voert het beleid lokaal uit, met platform-specifieke middelen maar volgens dezelfde centrale regels. De hoeveelheid apparaten doet er niet toe: elk apparaat past het beleid toe. Een voorbeeld: wanneer een gebruiker op een apparaat een niet-goedgekeurde USB-stick aansluit, kan het centrale systeem dit detecteren als een afwijking van het beleid. Het apparaat blokkeert vervolgens automatisch de USB-stick, conform de centrale regels.

Bewuste keuzes

Zero trust op het apparaat hoeft geen enorme financiële drempel te zijn. Veel van wat je nodig hebt, is al aanwezig in je bestaande systemen en oplossingen. Het draait om bewuste keuzes, gecentraliseerd beheer en het benutten van wat je al hebt. Begin klein, pak het stap voor stap aan, en je zult merken dat je zonder extra budget toch grote stappen kunt zetten richting een veiliger IT-landschap.

Zero trust kost tijd, maar als beheerder bepaal jij wanneer. Incidenten bepalen dat voor jou.