Cyberpediadoor Brain
NLDEENESFRIT

Netwerksegmentatie en VLAN tegen ransomware

Het netwerk opdelen in zones (VLAN, interne firewalls, microsegmentatie) beperkt ransomware. Wat medewerkers doen om dat te laten werken.

In 30 seconden

Waar het gebeurt
Op het interne netwerk van het bedrijf, zodra een werkplek of een account is gecompromitteerd.
Wat de aanvaller wil
Van de ene machine naar de andere gaan om zoveel mogelijk gegevens te versleutelen1.
Als het al is gebeurd
Waarschuw meteen IT of beveiliging, die de werkplek isoleren; als daarom wordt gevraagd, trekt u de kabel eruit of schakelt u wifi uit2.
De reflex
Sluit geen enkel niet-toegestaan apparaat of opslagmedium aan, blijf op het netwerk dat voor uw gebruik bedoeld is en meld snel een werkplek die zich vreemd gedraagt, zodat die geïsoleerd kan worden.

Waar gaat het over

Ransomware blijft zelden bij de eerste getroffen computer. Volgens MITRE ATT&CK kan versleutelingssoftware zich als een worm door een netwerk verspreiden, om de gegevens van veel machines te versleutelen en zo de schade te vergroten1. Het netwerk opdelen in afgesloten zones is een van de antwoorden op dit risico.

Deze pagina legt uit wat de termen VLAN, interne firewall en microsegmentatie inhouden, wat een medewerker kan doen om die opdeling te laten werken, en welke valkuilen haar ondoeltreffend maken.

Directe vragen

Wat is netwerksegmentatie?

Dat is het opdelen van een netwerk in kleinere, geïsoleerde segmenten, om het verkeer tussen apparaten, systemen en toepassingen te beheersen. MITRE ATT&CK stelt dat dit het aanvalsoppervlak verkleint, de bewegingen van de aanvaller afremt en kritieke bedrijfsmiddelen beschermt3.

Wat zijn een VLAN en een interne firewall?

MITRE ATT&CK beschrijft een scheiding die bestaat uit fysieke grenzen, logische scheiding per VLAN en toegangsregels die worden afgedwongen door apparatuur zoals firewalls en routers3. Een VLAN is dus een logische scheiding, en de interne firewall controleert wat van het ene segment naar het andere gaat.

En microsegmentatie?

Het is hetzelfde principe, maar op het niveau van elke afzonderlijke workload. MITRE ATT&CK beveelt software-defined networking aan om op dat niveau te segmenteren en laterale beweging te voorkomen3.

Waarom betreft dit een medewerker?

Omdat segmentatie kan worden omzeild door een fout van een gebruiker. CISA geeft aan dat segmentatie ondoeltreffend kan worden als de regels van de organisatie niet worden nageleefd, bijvoorbeeld door verwisselbare media of andere apparaten op meerdere segmenten aan te sluiten2.

1Hoe het werkt1 min

Het principe is om systemen te groeperen naar functie, gevoeligheid en risico. MITRE ATT&CK noemt als voorbeelden betalingssystemen, hr-databases, productiesystemen en servers die vanaf internet bereikbaar zijn3. Web-, DNS- en mailservers die van buitenaf bereikbaar zijn, worden in een gedemilitariseerde zone (DMZ) geplaatst, met strikte filterregels richting het interne netwerk3.

De regels volgen een logica van standaard weigeren: toegangscontrolelijsten op netwerkapparatuur en firewalls die zowel het verkeer tussen buiten en binnen beperken als het verkeer tussen interne machines3. MITRE ATT&CK beveelt ook aan wifi- en bekabelde netwerken te scheiden, met name wanneer het bekabelde netwerk toegang geeft tot gevoelige bronnen3.

CISA beveelt aan de diensten of afdelingen van de organisatie te scheiden en een scheiding te handhaven tussen gewone IT en industriële systemen. De gids toont een schema van een "plat" (niet-gesegmenteerd) netwerk en een schema van een gesegmenteerd netwerk2.

De Britse NCSC gaat met "zero trust" een stap verder: het vertrouwen dat inherent is aan het netwerk wordt weggenomen, het netwerk wordt als vijandig beschouwd en elk verzoek wordt getoetst aan een toegangsbeleid4. Volgens NIST verschuift deze aanpak de verdediging van statische perimeters naar gebruikers, bedrijfsmiddelen en bronnen5. NIST zegt dat zero trust bronnen beschermt, en geen netwerksegmenten5.

2Wat u doet1 min
  • Sluit geen niet-toegestane apparaten aan, niet op een netwerkpoort en niet op een werkplek. CISA noemt het aansluiten van verwisselbare media of apparaten op meerdere segmenten als een oorzaak van falende segmentatie2.
  • Gebruik het netwerk dat voor uw gebruik bedoeld is. MITRE ATT&CK beveelt aan wifi- en bekabelde omgevingen te scheiden wanneer de tweede toegang geeft tot gevoelige bronnen3.
  • Meld een verdachte werkplek snel aan IT of beveiliging, die de getroffen systemen op een gecoördineerde manier isoleren. Als daarom wordt gevraagd, trekt u de netwerkkabel eruit of schakelt u wifi uit: CISA presenteert het loskoppelen van apparaten als terugvaloptie wanneer offline halen niet direct mogelijk is2.
  • Schakel het apparaat niet op eigen houtje uit zonder instructie. CISA geeft aan dat het afsluiten van de stroom sporen in het geheugen doet verdwijnen en alleen gebeurt als loskoppelen op een andere manier onmogelijk is2.
3De valkuilen2 min

Het platte netwerk. Als alles met alles kan communiceren, geeft één gecompromitteerde werkplek toegang tot de rest. MITRE ATT&CK merkt op dat een aanvaller met geldige domeinreferenties verbinding kan maken met veel machines via protocollen voor toegang op afstand zoals SSH of RDP6.

Een VLAN zonder filtering. Scheiden is niet genoeg als niets controleert wat er doorheen gaat. MITRE ATT&CK vraagt om firewallregels die RDP-verkeer tussen beveiligingszones blokkeren en om standaard weigeren op toegangscontrolelijsten3. Het beveelt ook aan de regels regelmatig te herzien, de verkeersstromen te bewaken en de segmentatie te testen met periodieke penetratietests3.

Te ruime regels. MITRE ATT&CK beveelt aan alleen de noodzakelijke poorten en het noodzakelijke verkeer toe te staan3. Een regel die alles doorlaat, haalt het nut van de zone weg.

Beheer zonder afscherming. De verborgen beheerdersshares van Windows (C$, ADMIN$, IPC$) maken het kopiëren van bestanden op afstand en andere beheerfuncties mogelijk, en een aanvaller kan ze gebruiken met een geldig beheerdersaccount7. Voor WinRM adviseert MITRE ATT&CK kritieke enclaves te isoleren met een aparte infrastructuur en de toegang te beperken tot specifieke apparaten3.

Kwetsbare servers die overal bereikbaar zijn. Er bestaan bekende kwetsbaarheden in gangbare diensten zoals SMB en RDP, en in interne toepassingen zoals MySQL8. MITRE ATT&CK beveelt aan te segmenteren om de toegang tot kritieke systemen te beperken tot gecontroleerde methoden3.

Kopieën van hulpmiddelen van de ene machine naar de andere. Een aanvaller kan bestanden tussen interne systemen kopiëren met protocollen voor bestandsdeling zoals SMB of een geauthenticeerde RDP-verbinding9.

4Praktijkgevallen1 min

2016: aanval op het Oekraïense elektriciteitsnet

Volgens MITRE ATT&CK gebruikte de groep Sandworm Team tijdens de aanval op het Oekraïense elektriciteitsnet in 2016 de opdracht net use om verbinding te maken met netwerkshares7. De hier aangehaalde bronnen geven geen verdere details over deze gebeurtenis.

De APT28-campagne "Nearest Neighbor"

MITRE ATT&CK geeft aan dat APT28 tijdens de campagne "Nearest Neighbor" SMB gebruikte om bestanden over te brengen en zich lateraal te verplaatsen7. De hier aangehaalde bronnen geven geen datum voor deze campagne.

Fiche

Identificatie
CP-228
Vleugel
3. Protocollen en verdediging
Brain-competentie
Veilig surfen (browse_safely)
Brain-reflex
cr-079
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
9 bronnen gecontroleerd op 3 november 2026
Bronnen9 bronnen
  1. MITRE ATT&CK, “Data Encrypted for Impact, Technique T1486 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1486/ (geraadpleegd op 3 november 2026)
  2. CISA, “#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Network Segmentation, Mitigation M1030 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1030/ (geraadpleegd op 3 november 2026)
  4. NCSC (Royaume-Uni), “Zero trust architecture design principles”. https://www.ncsc.gov.uk/collection/zero-trust/architecture-design-principles (geraadpleegd op 3 november 2026)
  5. NIST, “SP 800-207, Zero Trust Architecture | CSRC”. https://csrc.nist.gov/pubs/sp/800/207/final (geraadpleegd op 3 november 2026)
  6. MITRE ATT&CK, “Remote Services, Technique T1021 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/ (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Remote Services: SMB/Windows Admin Shares, Sub-technique T1021.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1021/002/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Exploitation of Remote Services, Technique T1210 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1210/ (geraadpleegd op 3 november 2026)
  9. MITRE ATT&CK, “Lateral Tool Transfer, Technique T1570 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1570/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Netwerksegmentatie en VLAN tegen ransomware”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/

BibTeX 
@misc{brain_cp228_nl_2026,
  author = {Brain},
  title = {Netwerksegmentatie en VLAN tegen ransomware},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/netwerksegmentatie-vlan-microsegmentatie/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0