- Bij Edex Food zit de beveiliging in elke laag: Intune-baseline met BitLocker, Defender en MFA op de werkplek, een eigen firewall en gesegmenteerd netwerk bij de servers, en Defender for Office 365 op de mail.
- Nimbus Shield filtert het DNS van het kantoor met acht blocklists, tegen phishing, malware, cryptominers, advertenties en trackers.
- Nimbus Sentry bewaakt de beschikbaarheid en Nimbus Hunt spoort aanvallen op, op de servers, de werkstations en de websites.
Dit artikel is het vervolg op de IT-migratie bij Edex Food, waar we back-up, netwerk, e-mail, servers, werkplekken, telefonie en internet in zeven onderdelen hebben omgezet. Hier lees je welke beveiliging we daarbij hebben toegepast.
De beveiligingslagen op een rij
Beveiliging is niet een los onderdeel van de migratie, maar zit in elke laag. Bij elke laag staat vast wat er is ingericht en wie het beheert.
| Laag | Wat is toegepast |
|---|---|
| Clients (laptops en pc's) | Entra joined en beheerd via Intune volgens de Nimbus-baseline. BitLocker, Windows Hello, Defender, LAPS (beheerderswachtwoord per apparaat) en de firewall. Updates in vaste ringen. Compliancebeleid (Defender, BitLocker, Secure Boot en firewall) met Conditional Access en MFA. Elke werkplek is op afstand te vergrendelen of te wissen. |
| Toegang van buiten | Een VPN met MFA, via Intune uitgerold. Het RemoteApp-certificaat staat als vertrouwd op elke werkplek, zodat medewerkers niet leren om beveiligingswaarschuwingen weg te klikken. |
| Servers | Een eigen firewall in het datacenter. De servers zijn niet direct vanaf internet bereikbaar. Eén identiteit voor alles, rechten per groep, een aparte beheerserver van Nimbus en twee keer per dag een back-up. Alles is gedocumenteerd, met een wijzigingslog. |
| Netwerk | Een opgesplitst kantoornetwerk met aparte netwerken voor personeel, gasten, beveiliging en scanners, achter OPNsense. |
| MFA op alle accounts, Defender for Office 365 (Safe Links en Safe Attachments), bescherming tegen phishing, spoofing en malware, centrale controle op aanmeldingen, en SPF, DKIM en DMARC voor het domein. | |
| Bewaking | Nimbus Sentry voor beschikbaarheid van sites en domeinen, Nimbus Hunt voor het opsporen van aanvallen op servers, werkstations en websites, en Nimbus Shield voor DNS-filtering. |
| Gegevens bij de overstap | Alle bestanden zijn bij de overdracht naar OneDrive en SharePoint door Defender gescand. |
DNS-filtering met Nimbus Shield
Nimbus Shield is ons eigen DNS-filter. Het kantoor van Edex Food gebruikt het: de OPNsense-firewall stuurt de DNS-vragen via Unbound door naar Shield. Een apparaat vraagt dus eerst aan Shield waar een domein naartoe wijst. Staat het domein op een blocklist, dan komt er geen verbinding tot stand.
| Blocklist | Waarvoor |
|---|---|
| Phishing Army (Extended) | Bekende phishingdomeinen, ruim 150.000 regels |
| URLhaus (Malware) | Domeinen die malware verspreiden |
| NoCoin | Cryptominers |
| AdGuard DNS filter, HaGeZi Multi Light, OISD Small en StevenBlack Unified | Advertenties, trackers en bekende kwaadwillende domeinen |
| StevenBlack (Adult) | Volwassen content |
De lijsten worden elke 24 uur opnieuw opgehaald, zodat nieuwe dreigingen vanzelf meekomen. In de query-log zie je per clientgroep, hier "Kantoor Breda", welke aanvragen zijn geblokkeerd en door welke lijst. Een blokkade of uitzondering is na ongeveer 15 seconden actief op de resolvers. In die log staan veel geblokkeerde aanvragen van trackers en advertentiediensten, per regel met de naam van de lijst die ze tegenhield.
Bewaken en opsporen met Nimbus Sentry en Nimbus Hunt
Beveiligen is niet genoeg: je wilt ook zien wanneer er iets misgaat. Daar gebruiken we twee eigen platforms voor, beide met Edex Food als eigen klant ingericht.
- Nimbus Sentry bewaakt de beschikbaarheid. Sentry controleert voortdurend of de sites en domeinen van Edex Food bereikbaar zijn, ook de DNS-records van het domein. Een storing wordt als incident vastgelegd en de beschikbaarheid wordt per controle uitgerekend, zodat achteraf zichtbaar is hoe lang iets uit de lucht was.
- Nimbus Hunt spoort aanvallen op. Hunt is ons platform voor threat hunting en draait bij Edex Food op de servers, de werkstations en de websites. Verdachte activiteit op die plekken komt samen op één plek binnen, onder de klant Edex Food. Een mislukte inlogpoging op een website zie je daardoor direct, voordat een bezoeker er last van heeft.
Een goed beveiligde werkplek begint bij beheer: als je weet welke apparaten er zijn, hoe ze zijn ingesteld en dat het overal hetzelfde is, kun je er beleid op zetten. Zonder centraal beheer is elke beveiligingsmaatregel handwerk, en handwerk blijft liggen.
Wil je weten waar jouw omgeving staat? Onze Security en Monitoring begint met een controle van de huidige situatie. Het e-maildomein kun je zelf direct nalopen met de domeinanalyse.
Veelgestelde vragen
Welke beveiliging hoort bij een migratie als deze?
MFA en Conditional Access voor de identiteit, een centraal beheerde baseline op de werkplek met versleuteling en Defender, een afgeschermde serveromgeving met een eigen firewall, een gesegmenteerd netwerk, beveiligde mail met SPF, DKIM en DMARC, en een back-up die je kunt terugzetten.
Wat doet DNS-filtering?
Een apparaat vraagt eerst aan het DNS waar een domein naartoe wijst. Een DNS-filter weigert die vraag als het domein op een blocklist staat, bijvoorbeeld voor phishing of malware, zodat er geen verbinding tot stand komt.
Wat is het verschil tussen Nimbus Sentry en Nimbus Hunt?
Sentry controleert of sites en domeinen bereikbaar zijn en berekent de beschikbaarheid. Hunt zoekt naar verdachte activiteit, zoals een mislukte inlogpoging op een website, op servers, werkstations en websites.
Waarom een centraal beheerde baseline op werkplekken?
Als elk apparaat hetzelfde is ingesteld en je weet welke apparaten er zijn, kun je er beleid op zetten. Zonder centraal beheer is elke beveiligingsmaatregel handwerk.
Kan Nimbus Cloudworks onze beveiliging ook nalopen?
Ja. We beginnen met een controle van de huidige situatie en stellen daarna samen een volgorde van maatregelen op.
Start de IT-assessment of lees meer over Security en Monitoring.