--- id: CP-228 slug: netwerksegmentatie-vlan-microsegmentatie lang: nl title: Netwerksegmentatie en VLAN tegen ransomware description: Het netwerk opdelen in zones (VLAN, interne firewalls, microsegmentatie) beperkt ransomware. Wat medewerkers doen om dat te laten werken. canonical_url: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Netwerksegmentatie en VLAN tegen ransomware”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-079 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ fr: https://startbrain.io/cyberpedia/fr/articles/segmentation-reseau-vlan-micro-segmentation/ en: https://startbrain.io/cyberpedia/en/articles/network-segmentation-vlan-micro-segmentation/ de: https://startbrain.io/cyberpedia/de/articles/netzwerksegmentierung-vlan-mikrosegmentierung/ es: https://startbrain.io/cyberpedia/es/articles/segmentacion-red-vlan-microsegmentacion/ it: https://startbrain.io/cyberpedia/it/articles/segmentazione-rete-vlan-microsegmentazione/ sources: - "n": 1 title: Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1486/ accessed: "2026-11-03" - "n": 2 title: "#StopRansomware Guide | CISA" publisher: CISA url: https://www.cisa.gov/stopransomware/ransomware-guide accessed: "2026-11-03" - "n": 3 title: Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1030/ accessed: "2026-11-03" - "n": 4 title: Zero trust architecture design principles publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles accessed: "2026-11-03" - "n": 5 title: SP 800-207, Zero Trust Architecture | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/207/final accessed: "2026-11-03" - "n": 6 title: Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/ accessed: "2026-11-03" - "n": 7 title: "Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1021/002/ accessed: "2026-11-03" - "n": 8 title: Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1210/ accessed: "2026-11-03" - "n": 9 title: Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1570/ accessed: "2026-11-03" --- # Netwerksegmentatie en VLAN tegen ransomware Ransomware blijft zelden bij de eerste getroffen computer. Volgens MITRE ATT&CK kan versleutelingssoftware zich als een worm door een netwerk verspreiden, om de gegevens van veel machines te versleutelen en zo de schade te vergroten [1]. Het netwerk opdelen in afgesloten zones is een van de antwoorden op dit risico. Deze pagina legt uit wat de termen VLAN, interne firewall en microsegmentatie inhouden, wat een medewerker kan doen om die opdeling te laten werken, en welke valkuilen haar ondoeltreffend maken. ## In 30 seconden - Waar het gebeurt: op het interne netwerk van het bedrijf, zodra een werkplek of een account is gecompromitteerd. - Wat de aanvaller wil: van de ene machine naar de andere gaan om zoveel mogelijk gegevens te versleutelen [1]. - Als het al is gebeurd: waarschuw meteen IT of beveiliging, die de werkplek isoleren; als daarom wordt gevraagd, trekt u de kabel eruit of schakelt u wifi uit [2]. - De reflex: sluit geen enkel niet-toegestaan apparaat of opslagmedium aan, blijf op het netwerk dat voor uw gebruik bedoeld is en meld snel een werkplek die zich vreemd gedraagt, zodat die geïsoleerd kan worden. ## Directe vragen ### Wat is netwerksegmentatie? Dat is het opdelen van een netwerk in kleinere, geïsoleerde segmenten, om het verkeer tussen apparaten, systemen en toepassingen te beheersen. MITRE ATT&CK stelt dat dit het aanvalsoppervlak verkleint, de bewegingen van de aanvaller afremt en kritieke bedrijfsmiddelen beschermt [3]. ### Wat zijn een VLAN en een interne firewall? MITRE ATT&CK beschrijft een scheiding die bestaat uit fysieke grenzen, logische scheiding per VLAN en toegangsregels die worden afgedwongen door apparatuur zoals firewalls en routers [3]. Een VLAN is dus een logische scheiding, en de interne firewall controleert wat van het ene segment naar het andere gaat. ### En microsegmentatie? Het is hetzelfde principe, maar op het niveau van elke afzonderlijke workload. MITRE ATT&CK beveelt software-defined networking aan om op dat niveau te segmenteren en laterale beweging te voorkomen [3]. ### Waarom betreft dit een medewerker? Omdat segmentatie kan worden omzeild door een fout van een gebruiker. CISA geeft aan dat segmentatie ondoeltreffend kan worden als de regels van de organisatie niet worden nageleefd, bijvoorbeeld door verwisselbare media of andere apparaten op meerdere segmenten aan te sluiten [2]. ## Hoe het werkt Het principe is om systemen te groeperen naar functie, gevoeligheid en risico. MITRE ATT&CK noemt als voorbeelden betalingssystemen, hr-databases, productiesystemen en servers die vanaf internet bereikbaar zijn [3]. Web-, DNS- en mailservers die van buitenaf bereikbaar zijn, worden in een gedemilitariseerde zone (DMZ) geplaatst, met strikte filterregels richting het interne netwerk [3]. De regels volgen een logica van standaard weigeren: toegangscontrolelijsten op netwerkapparatuur en firewalls die zowel het verkeer tussen buiten en binnen beperken als het verkeer tussen interne machines [3]. MITRE ATT&CK beveelt ook aan wifi- en bekabelde netwerken te scheiden, met name wanneer het bekabelde netwerk toegang geeft tot gevoelige bronnen [3]. CISA beveelt aan de diensten of afdelingen van de organisatie te scheiden en een scheiding te handhaven tussen gewone IT en industriële systemen. De gids toont een schema van een "plat" (niet-gesegmenteerd) netwerk en een schema van een gesegmenteerd netwerk [2]. De Britse NCSC gaat met "zero trust" een stap verder: het vertrouwen dat inherent is aan het netwerk wordt weggenomen, het netwerk wordt als vijandig beschouwd en elk verzoek wordt getoetst aan een toegangsbeleid [4]. Volgens NIST verschuift deze aanpak de verdediging van statische perimeters naar gebruikers, bedrijfsmiddelen en bronnen [5]. NIST zegt dat zero trust bronnen beschermt, en geen netwerksegmenten [5]. ## Wat u doet - Sluit geen niet-toegestane apparaten aan, niet op een netwerkpoort en niet op een werkplek. CISA noemt het aansluiten van verwisselbare media of apparaten op meerdere segmenten als een oorzaak van falende segmentatie [2]. - Gebruik het netwerk dat voor uw gebruik bedoeld is. MITRE ATT&CK beveelt aan wifi- en bekabelde omgevingen te scheiden wanneer de tweede toegang geeft tot gevoelige bronnen [3]. - Meld een verdachte werkplek snel aan IT of beveiliging, die de getroffen systemen op een gecoördineerde manier isoleren. Als daarom wordt gevraagd, trekt u de netwerkkabel eruit of schakelt u wifi uit: CISA presenteert het loskoppelen van apparaten als terugvaloptie wanneer offline halen niet direct mogelijk is [2]. - Schakel het apparaat niet op eigen houtje uit zonder instructie. CISA geeft aan dat het afsluiten van de stroom sporen in het geheugen doet verdwijnen en alleen gebeurt als loskoppelen op een andere manier onmogelijk is [2]. ## De valkuilen Het platte netwerk. Als alles met alles kan communiceren, geeft één gecompromitteerde werkplek toegang tot de rest. MITRE ATT&CK merkt op dat een aanvaller met geldige domeinreferenties verbinding kan maken met veel machines via protocollen voor toegang op afstand zoals SSH of RDP [6]. Een VLAN zonder filtering. Scheiden is niet genoeg als niets controleert wat er doorheen gaat. MITRE ATT&CK vraagt om firewallregels die RDP-verkeer tussen beveiligingszones blokkeren en om standaard weigeren op toegangscontrolelijsten [3]. Het beveelt ook aan de regels regelmatig te herzien, de verkeersstromen te bewaken en de segmentatie te testen met periodieke penetratietests [3]. Te ruime regels. MITRE ATT&CK beveelt aan alleen de noodzakelijke poorten en het noodzakelijke verkeer toe te staan [3]. Een regel die alles doorlaat, haalt het nut van de zone weg. Beheer zonder afscherming. De verborgen beheerdersshares van Windows (C$, ADMIN$, IPC$) maken het kopiëren van bestanden op afstand en andere beheerfuncties mogelijk, en een aanvaller kan ze gebruiken met een geldig beheerdersaccount [7]. Voor WinRM adviseert MITRE ATT&CK kritieke enclaves te isoleren met een aparte infrastructuur en de toegang te beperken tot specifieke apparaten [3]. Kwetsbare servers die overal bereikbaar zijn. Er bestaan bekende kwetsbaarheden in gangbare diensten zoals SMB en RDP, en in interne toepassingen zoals MySQL [8]. MITRE ATT&CK beveelt aan te segmenteren om de toegang tot kritieke systemen te beperken tot gecontroleerde methoden [3]. Kopieën van hulpmiddelen van de ene machine naar de andere. Een aanvaller kan bestanden tussen interne systemen kopiëren met protocollen voor bestandsdeling zoals SMB of een geauthenticeerde RDP-verbinding [9]. ## Praktijkgevallen ### 2016: aanval op het Oekraïense elektriciteitsnet Volgens MITRE ATT&CK gebruikte de groep Sandworm Team tijdens de aanval op het Oekraïense elektriciteitsnet in 2016 de opdracht net use om verbinding te maken met netwerkshares [7]. De hier aangehaalde bronnen geven geen verdere details over deze gebeurtenis. ### De APT28-campagne "Nearest Neighbor" MITRE ATT&CK geeft aan dat APT28 tijdens de campagne "Nearest Neighbor" SMB gebruikte om bestanden over te brengen en zich lateraal te verplaatsen [7]. De hier aangehaalde bronnen geven geen datum voor deze campagne. ## Bronnen 1. MITRE ATT&CK, “Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1486/ (geraadpleegd op 3 november 2026) 2. CISA, “#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1030/ (geraadpleegd op 3 november 2026) 4. NCSC (Royaume-Uni), “Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (geraadpleegd op 3 november 2026) 5. NIST, “SP 800-207, Zero Trust Architecture | CSRC”. https://csrc.nist.gov/pubs/sp/800/207/final (geraadpleegd op 3 november 2026) 6. MITRE ATT&CK, “Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/ (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/002/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1210/ (geraadpleegd op 3 november 2026) 9. MITRE ATT&CK, “Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1570/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.