How segmented is my network?

Each language version is independently generated for its own context, not a direct translation.

De "Gescheidenheid" van je Netwerk: Een Simpele Maatstaf voor Veiligheid

Stel je voor dat je bedrijf een enorm kasteel is. In dit kasteel zitten duizenden kamers (de computers en servers). De vraag is: Hoe goed zijn deze kamers van elkaar gescheiden?

Als een dief in één kamer binnenkomt, kan hij dan makkelijk naar de andere kamers rennen? Of zitten er overal gesloten deuren en muren tussen?

In de wereld van cyberveiligheid noemen we dit netwerksegmentatie. Het idee is simpel: als hackers één deur openbreken, moeten ze niet direct toegang hebben tot het hele kasteel. Maar tot nu toe hadden beveiligingsexperts geen goede manier om dit te meten. Ze konden alleen maar zeggen: "Het ziet er goed uit" of "We hebben veel muren gebouwd." Dat is als een leraar die zegt: "Je hebt veel huiswerk gemaakt," zonder te weten hoeveel bladzijden er precies zijn.

De auteur van dit artikel, Rohit Dube, heeft een oplossing bedacht: een simpele, wiskundige manier om te zeggen: "Hoe gescheiden is mijn netwerk?"

1. Het Probleem: "Het Kasteel zonder Kaart"

Veel bedrijven denken dat ze veilig zijn omdat ze firewall-regels hebben. Maar vaak is het kasteel toch te open.

Huidige situatie: Beveiligingsexperts kijken naar tekeningen of lijsten met regels. Dat is lastig, subjectief en moeilijk te vergelijken. "Is mijn kasteel veiliger dan dat van de buren?" is een vraag waar niemand een goed antwoord op heeft.
De oplossing: We hebben een cijfer nodig. Een getal tussen 0 en 1 dat precies aangeeft hoe gesloten het netwerk is.

2. De Oplossing: De "Gescheidenheids-Score"

De auteur bedacht een nieuwe maatstaf die hij "Segmentedness" noemt (in het Nederlands: Gescheidenheid).

De Analogie van de Deuren:
Stel je hebt een gebouw met 100 kamers.

Als er geen muren zijn en iedereen kan naar iedereen toe, is de "Gescheidenheid" 0. Dit is een "plat" netwerk (gevaarlijk!).
Als er tussen elke kamer een gesloten deur zit, is de "Gescheidenheid" 1. Dit is een perfect gescheiden netwerk (zeer veilig!).

Deze score is eigenlijk heel simpel: Hoeveel procent van de mogelijke verbindingen tussen computers is verboden?

Veel verboden verbindingen = Hoge score = Veilig.
Weinig verboden verbindingen = Lage score = Gevaarlijk.

3. Het Magische Trucje: Je hoeft niet alles te tellen!

Je zou denken: "Om dit te weten, moet ik controleren of er tussen elke paar computers in mijn bedrijf (bijvoorbeeld 10.000 stuks) een deur open of dicht zit."
Dat zijn bijna 50 miljoen combinaties! Dat is onmogelijk om allemaal te testen.

De oplossing is als het gokken in een casino:
Stel je wilt weten of een munt eerlijk is. Je hoeft niet 1 miljoen keer te gooien. Als je 100 keer gooit en 50 keer kop en 50 keer staart, weet je al vrij zeker hoe de munt is.

De auteur bewijst wiskundig dat je slechts 97 willekeurige paren computers hoeft te testen om een heel betrouwbaar antwoord te krijgen, ongeacht hoe groot je bedrijf is.

Of je nu 1.000 of 1.000.000 computers hebt: je hoeft maar 97 keer te controleren of twee willekeurige computers met elkaar kunnen praten.
Als 97% van die 97 tests zegt "Nee, ze mogen niet praten", dan weet je dat je netwerk goed gescheiden is.

4. Waarom is dit zo belangrijk?

Met deze simpele score kunnen bedrijven nu echt dingen doen die ze eerder niet konden:

Vergelijken: "Onze afdeling Financiën heeft een score van 0,8 (zeer veilig), maar Marketing heeft 0,3 (te open). Laten we Marketing verbeteren."
Trend volgen: "Vorig jaar was onze score 0,4. Na het bouwen van nieuwe muren is het nu 0,6. We gaan de goede kant op!"
Fusies: Als twee bedrijven samengaan, kunnen ze direct meten of de nieuwe "grote kasteel" niet per ongeluk te open is geworden.
Zero Trust: Dit is een moderne beveiligingsstrategie waarbij je niemand vertrouwt. Deze score is de perfecte thermometer om te zien of je die strategie echt werkt.

5. Hoe werkt het in de praktijk?

Je hoeft geen dure software te kopen.

Maak een lijst van alle computers.
Kies er willekeurig 97 paren uit (bijvoorbeeld met een computerprogramma).
Test of die paren met elkaar kunnen praten (een simpele "ping" of verbindingstest).
Tel hoeveel er niet konden praten.
Deel dat door 97. Dat is je score!

Een kleine waarschuwing:
Soms kan het zijn dat je in die 97 tests geen enkele verbinding vindt. Dan zou je denken: "Perfect, 100% gescheiden!" Maar wiskundig gezien kan het zijn dat je gewoon pech had met je willekeurige keuze. De auteur heeft een slimme "Bayese" methode bedacht om dit op te lossen, zodat je niet denkt dat je 100% veilig bent als je dat misschien niet bent.

Conclusie

Dit onderzoek geeft beveiligingsexperts eindelijk een simpele, betrouwbare meetlat. Het is alsof ze eindelijk een thermometer hebben om de temperatuur van hun beveiliging te meten, in plaats van alleen maar te voelen of het "heet" of "koud" aanvoelt.

Met slechts 97 metingen kunnen bedrijven hun veiligheid kwantificeren, verbeteren en bewijzen dat ze hun kasteel goed bewaken.

Each language version is independently generated for its own context, not a direct translation.

Hier is een gedetailleerde technische samenvatting van het artikel "How segmented is my network?" van Rohit Dube, vertaald en samengevat in het Nederlands.

Titel: Hoe gesegmenteerd is mijn netwerk?

Auteur: Rohit Dube (Onafhankelijk Onderzoeker, Californië, VS)
Doel: Het introduceren van de eerste statistisch onderbouwde, scalare metric voor het kwantificeren van netwerksegmentatie.

1. Het Probleem

Netwerksegmentatie is een fundamentele beveiligingspraktijk om laterale beweging (lateral movement) van aanvallen te beperken. Hoewel beveiligingskaders zoals NIST en Zero Trust Architecture (ZTA) segmentatie sterk aanbevelen, ontbreekt het beveiligingsteams aan een kwantitatieve, herhaalbare metric om te meten hoe goed een netwerk daadwerkelijk is gesegmenteerd.

Huidige situatie: Beoordeling gebeurt kwalitatief via architectuurdiagrammen, beleidsreviews of expertoordeel.
Gevolg: Organisaties kunnen geen objectieve vergelijking maken tussen business units, kunnen niet verifiëren of architectuurveranderingen de isolatie hebben verbeterd, en hebben geen harde data om investeringen te rechtvaardigen.
De lacune: Er bestaat geen enkele, interpreteerbare scalare maatstaf die de "gesegmenteerdheid" (of het tegenovergestelde: de "vlakheid" van het netwerk) meet, onafhankelijk van specifieke bedreigingsmodellen.

2. Methodologie en Formele Definitie

De auteur modelleert het netwerk als een ongerichte graaf $G = (V, E)$ , waarbij knopen eindsystemen zijn en randen (edges) toestemming voor communicatie tussen twee systemen vertegenwoordigen.

Definitie van Gesegmenteerdheid (Segmentedness)

De kern van de paper is de definitie van Segmentedness ( $S$ ) als het complement van Flatness ( $F$ ) (of randdichtheid):

Flatness ( $F$ ): De fractie van alle mogelijke knopenparen die toegestaan zijn om met elkaar te communiceren.
$F(G) = \frac{|E|}{\binom{n}{2}}$
Segmentedness ( $S$ ): De fractie van alle mogelijke knopenparen die verboden zijn door het beleid.
$S(G) = 1 - F(G)$

Een waarde van $S=0$ betekent een volledig verbonden (onveilig) netwerk, terwijl $S=1$ een volledig geïsoleerd netwerk betekent.

Schattingsmethode (Empirische Benadering)

Omdat het testen van alle $\binom{n}{2}$ paren in grote netwerken ondoenlijk is, wordt een stochastische schattingsmethode voorgesteld:

Random Sampling: Er worden $M$ paren knopen willekeurig en uniform uit het netwerk geselecteerd.
Connectiviteitstest: Voor elk paar wordt een testsuite uitgevoerd (bijv. ICMP, TCP, UDP) om te bepalen of communicatie mogelijk is.
Schatter: De geschatte flatness $\hat{F}$ is het gemiddelde van de geslaagde tests. De geschatte segmentedness is $\hat{S} = 1 - \hat{F}$ .
Statistische Garantie: Er worden betrouwbaarheidsintervallen (Confidence Intervals - CI) berekend.

3. Belangrijkste Bijdragen en Resultaten

A. De "97-paar" Regel (Sample Size)

Een van de meest opmerkelijke bevindingen is dat de benodigde steekproefgrootte onafhankelijk is van de totale netwerkgrootte ( $n$ ), zolang de steekproef uniform willekeurig is.

Voor een 95% betrouwbaarheidsinterval met een marge van fout van ±0.1, is een minimum van $M = 97$ willekeurig geselecteerde knopenparen voldoende.
Dit geldt voor netwerken van 1.000 tot 100.000+ knopen. Dit maakt de metric praktisch toepasbaar in grote enterprise-omgevingen zonder volledige inventarisatie nodig te hebben.

B. Validatie en Robuustheid

De schatter is gevalideerd via Monte Carlo-simulaties en real-world data:

Synthetische Netwerken: Getest op Erdős–Rényi-modellen (willekeurige netwerken) en Stochastic Block Models (netwerken met gemeenschapsstructuren). De schatter bleek onbevooroordeeld (unbiased) en de betrouwbaarheidsintervallen hadden de juiste dekking (close to 0.95).
Real-world Data: Toepassing op datasets van Cisco Secure Workload (echte enterprise-netwerken). De resultaten bevestigden dat de schatter nauwkeurig is, zelfs bij complexe, gedeeltelijk gesegmenteerde netwerken.

C. Omgaan met "Zero" Connecties (Bayesiaanse Benadering)

In uiterst goed gesegmenteerde netwerken kunnen alle 97 geteste paren geen verbinding hebben ( $k=0$ ). De standaard frequentistische methode (Wald-interval) zou dan een interval van breedte 0 geven (100% zekerheid), wat misleidend is.

Oplossing: De auteur introduceert een Bayesiaanse Beta-binomiale benadering met een prior (uitgaande van minimaal 1% connectiviteit in enterprise-netwerken).
Resultaat: Zelfs bij 0 waargenomen connecties, is de 95% bovengrens voor flatness ongeveer 0.015. Dit geeft een realistischere, conservatieve risicoschatting.

4. Operationele Gebruiksscenario's

De paper schetst concrete toepassingen voor beveiligingspractici:

Baseline en Trendvolging: Kwartiervolgende metingen om te zien of segmentatie verbetert of verslechtert (policy drift).
Zero Trust Assessments: Kwantificeren van de voortgang bij de implementatie van micro-segmentatie (stijgende $S$ -waarden).
Fusies en Overnames: Meten van de impact van het samenvoegen van netwerken op de totale beveiligingspositie.
Benchmarking: Toekomstige ontwikkeling van sector-specifieke benchmarks (bijv. financiële sector vs. onderwijs).

5. Beperkingen en Praktische Overwegingen

Binair Model: De metric ziet communicatie als "toegestaan" of "niet toegestaan", zonder rekening te houden met beperkingen op poorten of protocollen (gewogen randen zijn toekomstwerk).
Statisch: Het meet het beleid op een specifiek moment, niet dynamische context-afhankelijke regels.
Symmetrie: Het model gaat uit van symmetrische communicatie (twee richtingen), wat niet altijd het geval is in client-server architecturen.
Steekproefbias: In de praktijk is het moeilijk om perfect willekeurig te steekproeven vanwege onvolledige asset-inventarissen of tooling-beperkingen. Dit kan de meting beïnvloeden, maar is acceptabel voor het volgen van trends.

6. Conclusie en Betekenis

Dit artikel vult een cruciale gat in de cybersecurity-metriek door "Segmentedness" te introduceren als de eerste statistisch onderbouwde, scalare maatstaf voor netwerkisolatie.

Kernwaarde:

Eenvoud: Geen complexe ML-modellen of diepgaande kennis van applicatiesemantiek vereist.
Efficiëntie: Met slechts ~100 steekproeven kan een betrouwbare schatting worden gemaakt voor netwerken van elke grootte.
Actiegericht: Het stelt organisaties in staat om beveiligingsinvesteringen en Zero Trust-initiatieven te onderbouwen met harde, kwantitatieve data in plaats van kwalitatieve inschattingen.

De paper biedt een direct toepasbare methode (met een bijlage voor implementatie) om de vraag "Hoe gesegmenteerd is mijn netwerk?" eindelijk objectief te beantwoorden.