De meeste beveiligingspakketten bewaken de voordeur. Firewalls inspecteren het noord-zuid verkeer, VPN’s controleren wie er binnenkomt en web gateways filteren wat er weggaat. Maar het verkeer dat zijwaarts beweegt, van server naar server, van apparaat naar applicatie, van werklast naar werklast, wordt vaak niet gecontroleerd. Aanvallers weten dit. Eenmaal binnen, bewegen ze zijwaarts via interne paden waar geen enkel perimeterhulpmiddel voor ontworpen is. <\/p>\n
Bewaking van oost-westverkeer dicht dat gat. Het geeft IT-teams inzicht in interne communicatiestromen, legt afwijkend gedrag bloot en maakt indamming mogelijk voordat \u00e9\u00e9n gecompromitteerd endpoint een bedrijfsbrede inbreuk wordt. Deze handleiding legt uit hoe oost-westmonitoring er in de praktijk uitziet, welke signalen van belang zijn en hoe u detectie kunt inbouwen in uw bestaande beveiligingsarchitectuur zonder de operationele complexiteit te vergroten. <\/p>\n
Oost-West verkeer is de data die beweegt tussen apparaten, applicaties en diensten binnen je netwerk. Het omvat server-naar-server API-aanroepen, database queries, authenticatieverzoeken tussen interne systemen en machine-naar-machine communicatie op productieverdiepingen. <\/p>\n
Noord-zuidverkeer steekt de perimeter over: gebruikers die het internet bereiken, externe clients die een webserver benaderen. Het oost-westverkeer blijft binnen. En in de meeste omgevingen in het middensegment van de markt is dat verkeer veel groter dan de noord-zuidstromen. <\/p>\n
Het probleem is eenvoudig. Traditionele firewalls staan aan de perimeter en inspecteren het noord-zuidverkeer. Ze hebben beperkt of geen zicht op wat er gebeurt tussen twee servers in hetzelfde datacenter, tussen een werkstation en een interne file share, of tussen een IoT-sensor en een historicus op de productievloer. Dit maakt oost-westverkeer de voorkeursroute voor aanvallers die een laterale beweging uitvoeren. <\/p>\n
Laterale beweging is de techniek die aanvallers gebruiken om zich te verspreiden van een eerste steunpunt naar doelwitten met een hogere waarde. Met een vervalst wachtwoord komen ze op \u00e9\u00e9n werkstation terecht. Van daaruit brengen ze het netwerk in kaart, verzamelen aanvullende referenties en verplaatsen zich zijwaarts totdat ze databases, back-upsystemen of domeincontrollers bereiken. <\/p>\n
De cijfers zijn ontnuchterend. Volgens Illumio’s 2025 Global Cloud Detection and Response Report heeft bijna 90% van de organisaties het afgelopen jaar een beveiligingsincident meegemaakt waarbij sprake was van een laterale beweging, waarbij elk incident gemiddeld meer dan zeven uur downtime veroorzaakte. In het CrowdStrike 2026 Global Threat Report werd de gemiddelde uitbraaktijd van eCrime gemeten op 29 minuten, met het snelst waargenomen geval op slechts 27 seconden. Dat is de tijdspanne tussen de eerste toegang en de laterale beweging. <\/p>\n
Wat detectie extra moeilijk maakt, is dat aanvallers steeds vaker legitieme tools gebruiken. In hetzelfde CrowdStrike-rapport werd vastgesteld dat 82% van de detecties nu malwarevrij is, waarbij tegenstanders vertrouwen op geldige referenties en ingebouwde beheerprogramma’s. PowerShell, Remote Desktop Protocol en WMI triggeren geen antiviruswaarschuwingen omdat het standaard IT-tools zijn. Alleen analyse van oost-west verkeer kan onderscheid maken tussen een legitieme beheerder die verbinding maakt met een server en een aanvaller die hetzelfde protocol misbruikt. <\/p>\n
Niet al het oost-west verkeer is verdacht. De uitdaging is om normale interne communicatie te scheiden van afwijkend gedrag. Concentreer je op deze categorie\u00ebn signalen. <\/p>\n
Let op of een enkele identiteit zich snel na elkaar authentiseert op meerdere systemen, vooral op systemen die nog nooit eerder zijn gebruikt. Mislukte authenticatiepogingen gevolgd door een succesvolle aanmelding op een andere host kunnen duiden op credential spraying of pass-the-hash aanvallen. <\/p>\n
Als een werkstation in marketing plotseling een verbinding start met een databaseserver in financi\u00ebn, dan verdient dat pad aandacht. Baseline eerst je normale oost-west stromen en markeer dan afwijkingen. Nieuwe server-naar-server verbindingen, met name naar infrastructuurdiensten zoals Active Directory of DNS, zijn signalen met hoge prioriteit. <\/p>\n
RDP, SMB, SSH en WinRM zijn veel voorkomende laterale bewegingsvectoren. Controleer of deze protocollen verschijnen op hosts of segmenten waar ze niet worden verwacht. Een IoT-sensor die een SMB-verbinding initieert is een duidelijke rode vlag. Een werkstation dat RDP uitvoert naar een server buiten de gedefinieerde applicatieset is een ander. <\/p>\n
Voordat ze gegevens exfiltreren, zetten aanvallers deze vaak op een intern systeem in sc\u00e8ne. Let op ongebruikelijke volumetoenames op interne bestandsshares, onverwachte compressieactiviteit of grote gegevensoverdrachten tussen hosts die gewoonlijk kleine payloads uitwisselen. <\/p>\n
Serviceaccounts met brede toegang en weinig menselijk toezicht zijn de belangrijkste doelwitten. Controleer op serviceaccounts die interactief worden gebruikt, vanaf nieuwe bron-IP’s of buiten hun verwachte schema. <\/p>\n
Firewalls in de omgeving zijn niet ontworpen om verkeer tussen twee hosts in hetzelfde subnet te inspecteren. Zelfs interne firewalls werken meestal op de VLAN-grens en gebruiken IP-gebaseerde regels die geen onderscheid kunnen maken tussen geautoriseerd en ongeautoriseerd gebruik van hetzelfde protocol. <\/p>\n
Netwerksegmentatie helpt, maar klassieke segmentatie op basis van VLAN’s<\/a> regelt alleen verkeer tussen zones. Binnen een zone is de communicatie vaak onbeperkt. Een aanvaller die een server in een zone compromitteert, kan elke andere server in dezelfde zone bereiken zonder een firewall te passeren. <\/p>\n Daarom is microsegmentatie<\/a> de standaardaanpak geworden voor organisaties die laterale beweging serieus nemen. In plaats van alles binnen een zone te vertrouwen, verifieert microsegmentatie elke verbinding tussen elke identiteit en elke bron. Het verandert oost-westmonitoring van een passieve detectieoefening in een actief handhavingsmechanisme. <\/p>\n Je kunt geen afwijkingen detecteren zonder te weten hoe normaal eruitziet. Begin met je meest kritieke applicaties. Documenteer welke identiteiten, apparaten en diensten met elk systeem communiceren. Betrek hierbij ook de stromen van machine naar machine, niet alleen de menselijke toegang. <\/p>\n Voor omgevingen met agentless apparaten, printers, camera’s, industri\u00eble PLC’s, hebt u inline zichtbaarheid nodig. Deze apparaten genereren niet dezelfde telemetrie als beheerde endpoints. NIAC-hardware tussen agentloze apparaten en het netwerk legt hun communicatiepatronen vast en dwingt tegelijkertijd toegangscontroles af. <\/p>\n IP-adressen veranderen. Apparaatnamen worden hergebruikt. Het enige stabiele anker voor oost-westmonitoring is identiteit: gebruikersidentiteit, apparaatidentiteit en werklastidentiteit. Bouw uw basislijnen rond wie communiceert, niet alleen welk IP-adres pakketten verstuurt. <\/p>\n Een Zero Trust architectuur<\/a> biedt deze basis van nature. Wanneer elk toegangsverzoek gekoppeld is aan een geverifieerde identiteit en ge\u00ebvalueerd wordt aan de hand van een beleid, worden de toegangslogs een betrouwbaar oost-west verkeersrecord. Elke toegestane of geweigerde verbinding vertelt je precies wie wat heeft bereikt, vanaf welk apparaat, onder welke omstandigheden. <\/p>\n De meest effectieve oost-west monitoring gebeurt op de punten waar toegangsbeslissingen worden genomen. In een SASE architectuur<\/a> zijn dat de ZTNA gateway, de Secure Web Gateway en de netwerkcontrollers. Deze componenten zien reeds elke verbinding. Het toevoegen van detectielogica op deze punten vermijdt het inzetten van een aparte monitoring overlay. <\/p>\n Belangrijkste detectieregels om vroeg te implementeren:<\/p>\n Oost-west monitoring genereert gegevens. Om deze bruikbaar te maken, stroomt u toegangslogs, beleidsbeslissingen en waarschuwingen naar een centraal platform. Correleer oost-west gebeurtenissen met noord-zuid telemetrie. Een verdachte inkomende verbinding gevolgd door een ongebruikelijke interne scan is een signaal met een hogere betrouwbaarheid dan een van beide gebeurtenissen alleen. <\/p>\n Voor NIS2-compliance biedt het centraal vastleggen van toegangsbeslissingen het auditbewijs dat toezichthouders verwachten. Elke beleidswijziging, elke toegangsverlening, elke weigering wordt vastgelegd en is traceerbaar. Dit ondersteunt het aantoonbare risicobeheer dat NIS2 voorschrijft voor essenti\u00eble en belangrijke entiteiten. <\/p>\n Detectie zonder reactie is een kijksport. De waarde van oost-westmonitoring wordt gerealiseerd wanneer verdacht gedrag leidt tot automatische inperking. Dat kan betekenen dat een sessie wordt ingetrokken, een apparaat van het netwerk wordt ge\u00efsoleerd of een identiteit wordt beperkt tot een beperkte reeks toepassingen terwijl het beveiligingsteam onderzoek doet. <\/p>\n In een verenigd SASE-platform kunnen insluitingsacties worden uitgevoerd vanaf dezelfde console die de anomalie heeft gedetecteerd. Er hoeft niet te worden gewisseld tussen tools, er hoeven geen handmatige firewallregels te worden gewijzigd en er hoeft niet te worden gewacht tot een netwerkengineer een ACL heeft bijgewerkt. Het ransomwarepreventie draaiboek<\/a> behandelt in detail insluitingsstrategie\u00ebn, inclusief hoe microsegmentatie de straal van de explosie beperkt tijdens een actief incident. <\/p>\n Oost-west monitoring en microsegmentatie zijn twee zijden van dezelfde medaille. Monitoring toont je wat er in je netwerk gebeurt. Microsegmentatie controleert wat er mag gebeuren. <\/p>\n Wanneer je beide combineert, is het resultaat een gesloten lus. Microsegmentatie policies defini\u00ebren welke communicatiepaden legitiem zijn. Oost-west monitoring markeert alles buiten deze gedefinieerde paden. Geautomatiseerde insluiting sluit de lus door afwijkende verbindingen te blokkeren of te isoleren. <\/p>\n Het verschil tussen traditionele segmentatie en microsegmentatie<\/a> is hier het begrijpen waard. Traditionele segmentatie cre\u00ebert brede zones. Microsegmentatie werkt op identiteit- en applicatieniveau, wat betekent dat aan elke oost-west stroom een beleidsbeslissing gekoppeld is. Die beleidsbeslissing is ook een monitoring event. <\/p>\n Productiebedrijf met IT-OT convergentie.<\/strong> Een Belgische fabrikant sluit zijn HMI’s en PLC’s aan op het bedrijfsnetwerk voor onderhoud en gegevensverzameling. NIAC-hardware isoleert elk industrieel apparaat en staat alleen gedefinieerde upstreamstromen naar historians en updateservers toe. Wanneer een gecompromitteerde laptop aan de IT-kant een PLC probeert te bereiken, wordt de verbinding geweigerd en gelogd. Het beveiligingsteam ontvangt binnen enkele seconden een waarschuwing en niet pas na zeven uur onopgemerkte zijwaartse beweging. <\/p>\n Professionele dienstverlener met hybride werknemers.<\/strong> Een adviesbureau met 200 werknemers gebruikt zijn ERP-, documentbeheer- en financi\u00eble systemen op servers op locatie en in de cloud. ZTNA biedt toegang per applicatie voor alle gebruikers. Wanneer een gecompromitteerde identiteit toegang begint te krijgen tot bestandsshares die hij nog nooit heeft aangeraakt, wijkt het toegangspatroon af van de basislijn en wordt er een waarschuwing geactiveerd. De sessie wordt automatisch opgeschort terwijl het team onderzoek doet. <\/p>\n Lokale overheid met verspreide sites.<\/strong> Een gemeente beheert diensten op twaalf locaties. SD-WAN verbindt de locaties en gecentraliseerd beleid zorgt voor consistente toegangscontrole. Uit oost-west-monitoring tussen de locaties blijkt dat een apparaat op een extern kantoor interne services aan het scannen is. Het apparaat wordt ge\u00efsoleerd voordat het de centrale burgerdatabase kan bereiken. <\/p>\n Jimber levert Real SASE in \u00e9\u00e9n cloud-beheerd platform. Elke toegangsbeslissing, of deze nu van een gebruiker, een apparaat of een agentloze machine afkomstig is, passeert een beleidsengine die de identiteit, de bron, de apparaatstatus en de ondernomen actie registreert. Dit zorgt voor een volledig overzicht van het oost-west verkeer zonder dat er een aparte tool voor netwerkbewaking nodig is. <\/p>\nEen oost-west-monitoringstrategie bouwen in vijf stappen<\/h2>\n
Stap 1: Breng uw interne communicatiestromen in kaart<\/h3>\n
Stap 2: Identiteitsgebaseerde basislijnen vaststellen<\/h3>\n
Stap 3: Detectie inzetten op handhavingspunten<\/h3>\n
\n
Stap 4: Integreren met uw SIEM of logging platform<\/h3>\n
Stap 5: Inperking automatiseren<\/h3>\n
De rol van microsegmentatie in oost-westbeveiliging<\/h2>\n
Praktische voorbeelden in Europese middenmarktomgevingen<\/h2>\n
Hoe Jimber oost-west-monitoring werkbaar maakt<\/h2>\n