Van het einde van de ondersteuning tot SASE: het 30-dagenplan voor het vervangen van de firewall

Een vervanging van de firewall binnen dertig dagen is alleen haalbaar als we ons beperken tot risicobeperkende maatregelen: identiteitsintegratie, uitgaande bemiddeling voor privétoepassingen en basis-DNS- en webfiltering, waarbij de vervanging van de hardware in de vestigingen en de volledige TLS-inspectie worden uitgesteld. Een vervanging van de hardware door gelijkwaardige apparatuur is geen optie, omdat de aanschaf van de apparatuur alleen al vier tot acht weken in beslag neemt voordat de technische werkzaamheden kunnen beginnen.

Jij hebt dit project niet gekozen. Dat heeft een date gedaan.

Er is iets in je omgeving waarvan de ondersteuning binnen enkele weken afloopt; een vervanging door een gelijkwaardig product is niet zonder meer de juiste oplossing, en je hebt een stappenplan nodig om de organisatie op tijd in een verdedigbare positie te brengen. Dat is een ander probleem dan het evalueren van een platform, en het is ook een ander probleem dan een volledige uitrol. Deze pagina behandelt het eerste: “>de implementatietermijn van 90 dagen is bedoeld voor de volledige uitrol over meerdere locaties. In beide gevallen is sprake van dertig dagen. Alleen hier wordt ervan uitgegaan dat de datum niet onderhandelbaar is.

Het hele plan staat op de pagina. Geen formulier, geen download achter een betaalmuur — hoewel dat, eerlijk gezegd, minder een onderscheidend kenmerk is dan we hadden verwacht. We hebben op de eerste pagina gezocht naar ‘plan voor het vervangen van een firewall’, ‘vervangen van een firewall aan het einde van de levensduur’, ‘SASE-migratie binnen 30 dagen’ en ‘noodmigratie van een firewall’, en de drempel is laag: minder dan 5% bij de zoekopdracht over ‘einde levensduur’, 10 tot 15% bij de zoekopdracht over het vervangingsplan, en helemaal niets bij de zoekopdracht over noodsituaties, waarbij pagina één volledig bestaat uit discussiethreads op het communityforum.

De echte tekortkoming ligt elders, en er zijn er twee. Ten eerste bevat elke checklist voor rangschikking mijlpalen – de regels doornemen, de hardware klaarzetten, de overgang uitvoeren, de logbestanden controleren – zonder ook maar één kwantitatief afsluitingscriterium. Nergens wordt vermeld welk helpdeskvolume betekent dat de overgang mislukt, welk percentage mislukte authenticaties aanleiding geeft tot afbreken, of hoe je bepaalt of een applicatie veilig kan worden overgezet als de documentatie ontbreekt.

Ten tweede gaan ze er stuk voor stuk van uit dat het plan slaagt. Geen enkele biedt een verdedigbaar alternatief voor het geval dat dertig dagen niet voldoende zijn, wat — als je een OT-site of een niet-gedocumenteerd applicatiepark hebt — eerder een realistisch dan een pessimistisch scenario is.

Dit plan is dus opgebouwd rond fasen in plaats van taken, en het eindigt met het scenario waarin het misgaat, in plaats van dat scenario te negeren.

De realistische voorwaarde voor een firewallvervanging binnen 30 dagen

Allereerst: een vervanging door identieke hardware is binnen dertig dagen niet mogelijk. De toeleveringsketens voor beveiligingsapparatuur voor bedrijven hebben een doorlooptijd van vier tot acht weken voor inkoop en voorbereiding, en bij conventionele firewallvervangingen op één locatie is gemiddeld vijf tot zeven weken nodig voor de technische implementatie, plus twee tot vier weken voor het opstellen van nalevingsdocumentatie. Als de vervangende apparaten nog niet in het gebouw aanwezig zijn, past de hardware-aanpak niet binnen het tijdsbestek. Dat is de beperking die dit plan noodzakelijk maakt, niet een voorkeur voor de ene architectuur boven de andere.

Tweede voorwaarde, en dit is degene die de meeste gecomprimeerde projecten de das omdoet: je identiteitsdirectory moet in redelijk goede staat verkeren. Een Zero Trust-platform beoordeelt toegang op basis van identiteit, groepslidmaatschap en de status van het apparaat, in plaats van op basis van IP-adressen. Als Active Directory of Entra ID verweesde beheerdersaccounts, niet-toegewezen geneste groepen, serviceaccounts zonder eigenaar of onvolledige MFA-registratie bevat, kan de beleidsengine het principe van ‘minimale rechten’ niet toepassen en ontstaan er authenticatielussen of lock-outs.

Volgens onafhankelijke praktijkgegevens duurt het opstellen van de identiteits- en beleidsontwerpen twee tot vier weken. Via de spoedprocedure wordt dit teruggebracht tot zeven dagen, maar niet verder. Als je directory een maand nodig heeft om opgeschoond te worden, gaat het dertig-dagenplan pas van start als dat klaar is, en door te doen alsof dat niet zo is, mislukken deze projecten al in week drie.

Hier wordt de spanning duidelijk benoemd in plaats van verdoezeld, want je zult dit nodig hebben wanneer je voor een stuurgroep staat.

Elke termijn in het spoedtraject is korter dan de onafhankelijke veldgegevens. Dat is wat „spoed” inhoudt, en dit wordt bereikt door de reikwijdte te beperken, niet door optimisme. Volledige SASE-programma’s voor grote ondernemingen duren gemiddeld zes tot twaalf maanden; versnelde projecten voor het middensegment lopen van scoping tot buitengebruikstelling 60 tot 90 dagen. Dertig dagen is het versnelde traject, dat wordt bereikt door alles uit te stellen wat geen risicobeperking betreft.

De vijf fasen en hun mijlpalen

Vijf fasen verspreid over dertig dagen: verkenning en afbakening tot dag 5, basisconfiguratie tot dag 12, een pilot van 10 tot 15 procent tot dag 19, gefaseerde overgang tot dag 26, en hypercare met buitengebruikstelling tot dag 30. De kolom met de mijlpaalcriteria vormt het plan – zonder deze kolom is dit slechts een checklist, en een checklist kan je niet vertellen of je verder moet gaan.

Drie gate-drempels worden bewust aangeduid als “de overeengekomen drempel” in plaats van als concrete getallen, omdat deze moeten worden afgestemd op uw gemeten referentiewaarde uit fase 1 en met het bedrijf moeten worden overeengekomen voordat de pilot van start gaat. Een latentieplafond heeft geen betekenis zonder de bestaande referentie om het mee te vergelijken. Leg deze schriftelijk vast bij Gate 0 en pas ze later niet aan om een fase toch door te laten gaan.

De rollback wordt geactiveerd

op basis v
. Hierover valt niet te onderhandelen en het zijn geen beoordelingskwesties. De migratiecoördinator stopt de overgang en voert de rollback van 15 minuten uit als zich binnen de eerste 120 minuten na de livegang een van de volgende situaties voordoet:

• Pakketverlies van meer dan 3% of onoplosbare verslechtering van de latentie in de kernsystemen voor ERP, klinische of financiële transacties.
• Fouten bij de validatie van tokens van identiteitsproviders van meer dan 2% binnen de overgangscohort, ongeacht of deze worden veroorzaakt door vertraging bij de synchronisatie van de directory of door SAML-time-outs.
• Aantal incidenten bij de servicedesk van meer dan 15% van de migrerende gebruikerspopulatie binnen twee uur na de livegang.
• Ernstige verslechtering van de realtime mediakwaliteit bij bedrijfsgesprekken of -videocommunicatie — jitter en pakketverlies buiten de tolerantiegrenzen — veroorzaakt door defecte SIP-verwerking of verlies van de UDP-status.

Neem deze op in het runbook voordat het venster opengaat, en wijs een specifieke persoon aan die bevoegd is om het runbook te activeren. Het terugdraaien is een voorwaarde voor het welslagen van het plan, geen tekortkoming ervan.

Wat je in de eerste week inschakelt, en wat je nog te wachten staat.

Week één verwijdert de blootstelling aan inkomende verbindingen. Week twee voegt cloud-DNS en webfiltering toe. Week drie zet thuiswerkers over naar een broker voor toegang. Week vier implementeert basisidentiteitscontroles. Hardware in de vestiging, volledige TLS-inspectie en het overzetten van de oude regelset worden allemaal uitgesteld. Compressie werkt door prioriteit te geven aan fouten, niet door sneller te werken.

Die laatste regel verdient extra aandacht, omdat het onder tijdsdruk tegenintuïtief is. Het instinct is om de migratietool te gebruiken en de regelbasis over te nemen, omdat dat aanvoelt als de snelste manier. Dat is het echter niet. Conversietools zorgen voor syntaxisvertaling, niet voor architecturale vertaling, en ze falen met name bij complexe bron-NAT, hiërarchieën van adresobjecten en de volgorde van regelevaluatie — de onderdelen die stille applicatiefouten veroorzaken die niemand ontdekt tot maandag. Publiceer de applicaties die je kunt verifiëren, weiger de rest standaard en voeg uitzonderingen toe zodra ze aan het licht komen tijdens de hypercare-fase.

Bestaande site-to-site IPsec-tunnels kunnen gedurende het hele proces in stand blijven. Het vervangen van branch-to-branch-tunnels binnen dertig dagen vormt een onnodig risico; faseren deze geleidelijk uit tijdens normaal onderhoud zodra de toegang op afstand en het uitgaande verkeer stabiel zijn.

Wanneer dertig dagen niet voldoende zijn

Vijf omstandigheden maken een veilige overgang binnen de gestelde termijn onhaalbaar: operationele technologieomgevingen, monolithische verouderde client-server-toepassingen, achterstand in de identiteitsinfrastructuur, verplichte wijzigingsstop en contractuele opzegtermijn voor de huidige leverancier. Voor elk daarvan bestaat een gedocumenteerde tijdelijke compenserende controlemaatregel. Door de datum te forceren ondanks een van deze factoren, verandert een probleem met het einde van de ondersteuning in een storing.

Operationele technologie. Industriële netwerken waarop SCADA, PLC’s of veiligheidsgeïnstrumenteerde systemen draaien volgens ISA/IEC 62443 of het Purdue-model, kunnen schommelingen in de latentie van cloud-WAN’s niet opvangen, en verouderde HMI’s ondersteunen geen software-agents.
Tussentijdse maatregel: isoleer de verouderde apparatuur achter een industriële DMZ. Externe netwerken mogen nooit inkomende verbindingen naar de OT-zone tot stand brengen. Communicatie verloopt uitgaand van OT naar IT via gestandaardiseerde, beveiligde protocollen zoals OPC UA via TLS, en proceshistoriën worden uitgaand gerepliceerd via unidirectionele proxyservers, zodat er geen verbinding van IT naar OT bestaat.

Monolithische legacy-client-servertoepassingen. Systemen met hardgecodeerde IP-adressen, IP-binding aan de clientzijde, niet-routeerbare protocollen, dynamische RPC-onderhandelingen of door de server geïnitieerde backchannels — zoals oudere terminalemulators en gespecialiseerde productie-uitvoeringssystemen — werken niet meer binnen een broker-architectuur.
Tussentijdse maatregel: implementeer een softwareconnector binnen het eigen netwerksegment van de applicatie, zodat gebruikers uitsluitend die dienst bereiken in plaats van een volledige Layer-3-tunnel naar het bedrijfsnetwerk tot stand te brengen. Wanneer de front-end bestaat uit een webinterface op een niet-gepatcht besturingssysteem, plaats dan een browserisolatielaag ervoor: het exploitpad aan de clientzijde wordt afgesloten zonder dat de applicatiecode wordt aangeraakt.

Tekortkomingen in de identiteitsinfrastructuur. Lokale directory’s op verouderde functionele niveaus, domeincontrollers zonder patches, niet-toegewezen geneste groepen, geen federatie, geen MFA.
Tussentijdse maatregel: dit kan niet worden gecompenseerd, maar alleen in fasen worden uitgevoerd. Los eerst het probleem met de directory op en verschuif de deadline, want een Zero Trust-beleidsengine die een defecte directory beoordeelt, leidt tot uitsluitingen in plaats van tot beveiliging.

Wijzigingen worden opgeschort. Financiële rapportagecycli, piekperiodes in de detailhandel en wettelijk voorgeschreven controleperiodes maken wijzigingen aan de kerninfrastructuur wettelijk onmogelijk.
Tussentijdse maatregel: voer de beveiligingsmaatregelen van week één uit — dit betreft een configuratie op een bestaand apparaat, geen wijziging van de architectuur — en plan de overgang in voor het eerste tijdvenster na de bevriezing, met de uitzondering zoals vastgelegd in het risicoregister.

Contractuele opzegtermijn en binding aan een provider. Bestaande telecom- of beveiligingscontracten met een opzegtermijn van 60 tot 90 dagen, of extern beheerde BGP-toewijzingen waarvoor afstemming met de provider nodig is om de route te wijzigen.
Tussentijdse maatregel: stuur onmiddellijk een kennisgeving en voer vervolgens het nieuwe traject parallel uit. Je betaalt gedurende een bepaalde periode dubbel; dat is goedkoper dan het niet naleven van de kennisgeving of het missen van de beveiligingsdatum.

In alle vijf gevallen is de verplichte basisvereiste dezelfde, en dit is waar een beoordelaar daadwerkelijk naar zal vragen: pas de ACL’s van de edge-routers aan om al het inkomende internetverkeer op externe interfaces te blokkeren, koppel de beheer-GUI en SSH-eindpunten los van het internet, beperk alle beheer tot een geïsoleerd intern VLAN dat bereikbaar is via een beveiligde jump-host met MFA, en leg de uitzondering formeel vast in het risicoregister van de onderneming met een gedateerd herstelplan. Niet-ondersteunde hardware waarvan de externe zichtbaarheid is verwijderd en die als zodanig is gedocumenteerd, is een verdedigbaar standpunt. Niet-ondersteunde hardware met een openbare beheerinterface is dat onder geen enkel kader.

Wat het kost, vergeleken met de verlenging die het vervangt

Een verlenging van de OEM-noodondersteuning voor één jaar kost € 11.000 tot € 31.000 all-in en leidt twaalf maanden later tot dezelfde beslissing. De versnelde migratie kost in het eerste jaar tussen de € 40.000 en € 91.000 en zorgt ervoor dat de hardware-installatie definitief wordt afgeschaft. Beide bedragen zijn gebaseerd op een Europese middelgrote onderneming met 150 tot 500 gebruikers, verspreid over twee tot vijf locaties.

Twee eerlijke kanttekeningen bij die tabel. De prijzen voor noodondersteuning buiten de garantieperiode lopen per leverancier enorm uiteen — de gemelde toeslagen variëren van de standaard vernieuwingsprijs tot wel 200% — dus vraag zelf een offerte aan in plaats van uit te gaan van de aangegeven bandbreedte. En de kolom ‘migratie’ bundelt de uitgaven die momenteel in afzonderlijke regels staan voor VPN, webfiltering en beveiliging van filialen; vergelijk deze dus met uw totaalbedrag in plaats van alleen met de verlenging van de firewall. De kosten die pas na het project verschijnen in plaats van tijdens het project, behoren tot “>systemen die het einde van hun levensduur naderen in het kader van NIS2, en als u nog bezig bent met het in kaart brengen van uw IT-landschap, is de verouderde leveranciersonafhankelijke referentie “>het migratieplan van VPN naar ZTNA, en waar projecten vaak vastlopen, wordt beschreven in “>Neem contact met ons op.

Of bekijk het platform eerst aan de hand van uw eigen applicaties. Een werksessie over uw tien belangrijkste applicaties en uw directory, zodat Gate 0 en Gate 1 niet langer hypothetisch blijven. “>jimber.io/sase en “>het standpunt inzake het einde van de ondersteuning voor FortiOS 7.2 en