STD-0010: Gecontroleerde netwerktoegang¶

Documentgegevens¶

Doel en reikwijdte¶

Deze standaard beperkt het publieke aanvalsoppervlak en maakt inkomend, intern en uitgaand netwerkverkeer beheersbaar. Zij geldt voor cloud-, datacenter- en leveranciersworkloads die met CIZ-netwerken, gebruikers of ketenpartners communiceren.

Normatieve bepalingen¶

• Workloads MOETEN in logisch gescheiden netwerksegmenten worden geplaatst.
• Applicaties, containers, databases en beheerinterfaces MOGEN NIET standaard een rechtstreeks publiek endpoint hebben.
• Publiek inkomend verkeer MOET via een centraal beheerde, hoog beschikbare ingresslaag verlopen.
• De ingresslaag MOET passende gateway- of reverse-proxyfuncties, TLS, authenticatie, autorisatie, throttling, requestvalidatie, logging en aanvalsbescherming bieden.
• Achterliggende services MOGEN alleen vanuit de ingresslaag of expliciet toegestane private segmenten bereikbaar zijn.
• Intern en service-to-serviceverkeer BEHOORT private verbindingen en private naamresolutie te gebruiken waar ondersteund.
• Private bereikbaarheid MAG NIET als vertrouwen worden beschouwd; identiteit, authenticatie, autorisatie, least privilege en STD-0003 blijven van toepassing.
• Uitgaand internetverkeer MOET via een centraal beheerde egresslaag verlopen. Rechtstreeks internet-egress vanaf workloads MOET standaard geblokkeerd zijn.
• Per omgeving en regio BEHOORT één logisch egresspunt met een zo klein mogelijke stabiele set publieke bron-IP-adressen te worden gebruikt.
• Extra publieke IP-adressen MOGEN alleen worden gebruikt voor beschikbaarheid, capaciteit, failover of aantoonbare platformbeperkingen.
• Ingress- en egressbeleid MOET declaratief, versiebeheerd, gereviewd en gekoppeld aan dienst en eigenaar zijn.
• Verkeer en beleidswijzigingen MOETEN passend worden gelogd en gemonitord volgens STD-0004 en STD-0007.

Rationale¶

Centrale toegangspunten maken consistent beleid, een beperkt publiek IP-oppervlak en beter inzicht mogelijk. Hoge beschikbaarheid en capaciteitsbeheer voorkomen dat centralisatie een single point of failure wordt. Private verbindingen reduceren blootstelling maar vervangen geen Zero Trust-controles.

Uitzonderingen en risicoacceptatie¶

Een publiek endpoint of rechtstreekse egress MOET vooraf worden gemotiveerd met gegevensstroom, dreigingsmodel, bron- en doelbeperking, logging, eigenaar en eind- of evaluatiedatum. De bevoegde risico-eigenaar accepteert het restrisico.

Naleving en vereiste bewijslast¶

• netwerk- en gegevensstroomdiagram;
• inventaris van publieke endpoints en bron-IP-adressen;
• firewall-, proxy-, gateway- en DNS-configuratiereview;
• tests op blokkeren van ongeautoriseerde ingress en egress;
• failover-, capaciteit- en hersteltest van centrale lagen;
• logging-, monitoring- en afwijkingsbewijs.

Implementatieprofielen¶

Een hub-spoke-model of een functioneel gelijkwaardige netwerkarchitectuur KAN worden toegepast. Afhankelijk van het dreigingsmodel en de gegevensclassificatie KUNNEN private endpoints, private DNS, API-gateways, WAF's, firewalls, proxy's en NAT-voorzieningen worden ingezet. Het implementatieprofiel MOET per omgeving en regio de redundantie, schaalgrenzen, DNS-inrichting, het certificaatbeheer en de functiescheiding beschrijven. Deze standaard schrijft geen specifiek product voor.

Externe mappings en bronnen¶

Wijzigingshistorie¶