Een kritieke kwetsbaarheid raakt bekend, maar een beveiligingsupdate ontbreekt nog. Je IT-team onderzoekt welke applicaties risico lopen. Ondertussen moet de dienstverlening verder. Hoe beperk je dan de blootstelling? En hoe voorkom je dat een eerste inbraak zich verspreidt?
De recente PHP2Shell-kwetsbaarheden (CVE-2026-109618 & CVE-2026-109619) illustreren die uitdaging. Aanvallers kunnen daarmee onder bepaalde omstandigheden code uitvoeren op een kwetsbare server, zonder eerst in te loggen. Inmiddels zijn patches beschikbaar. Toch blijft de periode vóór een update een belangrijk aandachtspunt voor elke beveiligingsstrategie.
Wanneer patchen nog niet kan, krijgt breach containment extra belang: een aanval begrenzen en verdere verspreiding tegengaan. Microsegmentatie helpt om die bescherming vooraf in te bouwen.
Wat kun je doen zolang een patch ontbreekt?
Zodra een kwetsbaarheid bekend raakt, moeten organisaties snel handelen. Eerst brengen teams de getroffen systemen in kaart. Vervolgens beoordelen ze welke tijdelijke maatregelen het risico verkleinen.
Soms kunnen ze de toegang beperken. In andere gevallen moeten ze een kwetsbare dienst tijdelijk offline halen. CERT-EU adviseerde die isolatie ook voor PHP2Shell wanneer organisaties niet onmiddellijk konden patchen.
Maar ook zodra een update verschijnt, vraagt herstel tijd. Teams controleren afhankelijkheden, testen de compatibiliteit en rollen de patch uit. Daarom verdienen ook de verbindingen achter een kwetsbare applicatie aandacht.
Welke systemen kan die applicatie bereiken? En zijn al die verbindingen werkelijk nodig?
Minder verbindingen, minder aanvalswegen
Een applicatie communiceert vaak met databanken, API’s en andere diensten. Sommige verbindingen ondersteunen essentiële functies. Andere blijven echter bestaan na een migratie of tijdelijke interventie.
Microsegmentatie begrenst die communicatie. Je bepaalt per applicatie of workload welke verbindingen je toestaat. Zo verklein je de ruimte voor laterale bewegingen: de verplaatsing van een aanvaller tussen systemen. Ook CISA benadrukt dat voordeel binnen een Zero Trust-aanpak.
Neem bijvoorbeeld een klantenportaal dat één databank nodig heeft. Je laat de noodzakelijke verbinding toe en blokkeert toegang tot andere databanken, back-upservers en beheeromgevingen.
Als een aanvaller het portaal overneemt, beperken die grenzen de bereikbare doelwitten. Daardoor kan de aanvaller minder gemakkelijk andere systemen aanvallen vanuit die eerste toegang.
Blast radius: hoeveel schade blijft mogelijk?
Microsegmentatie verkleint de blast radius: het geheel van systemen, gegevens en diensten dat een aanvaller kan bereiken vanaf één gecompromitteerd systeem. Dat is iets anders dan het risico wegnemen. Wie het klantenportaal overneemt, bereikt nog steeds de databank waarmee het portaal mag praten, vaak met de credentials die op de server staan.
Bepaal daarom per applicatie wat in het slechtste geval bereikbaar blijft en wat dat betekent voor je beveiliging. Beperk ook de rechten op die ene toegestane verbinding, met een databankaccount met minimale rechten in plaats van een beheerdersaccount, en filter het uitgaande verkeer. Zo wordt de blast radius een meetbaar criterium om te prioriteren: begin bij de applicaties waarvan de blast radius het grootst is.
Bereid de grenzen vooraf voor
Tijdens een incident telt elke minuut. Toch kun je niet zomaar verbindingen blokkeren. Zonder inzicht in afhankelijkheden riskeer je ook essentiële bedrijfsprocessen te onderbreken.
Daarom begint microsegmentatie vóór de volgende kwetsbaarheid. Breng eerst de verbindingen tussen applicaties in kaart. Laat vervolgens de applicatie-eigenaars bevestigen welke communicatie ze nodig hebben. Test daarna de regels voordat je ze activeert.
Zo bouw je stap voor stap duidelijke grenzen in. Bovendien helpt die voorbereiding je teams om tijdens een incident gerichter in te grijpen. Ze weten dan welke verbindingen noodzakelijk zijn en welke ze kunnen afsluiten.
Microsegmentatie vervangt de patch niet
Microsegmentatie herstelt geen softwarefout. Een aanvaller kan nog steeds een publiek bereikbare applicatie aanvallen. Ook kan die proberen om toegestane verbindingen te misbruiken. Gegevens op de getroffen server blijven daarom risico lopen.
Beveiligingsupdates, beperkte toegangsrechten en monitoring blijven dus noodzakelijk. Vermoed je een inbraak? Dan moet je team ook onderzoeken wat er gebeurde en welke systemen of gegevens de aanvaller bereikte.
Bij ACEN zien we microsegmentatie daarom als een structureel onderdeel van digitale weerbaarheid. De aanpak helpt organisaties om de bewegingsruimte van aanvallers te beperken, ook wanneer technisch herstel nog op zich laat wachten.
