Brontekst bekijken van Patroon voor interne koppelvlakken voor de productieomgeving

{{Beveiligingspatronen
|Gerelateerd aan={{#ask:[[Categorie:normen voor scheidingsfuncties]] OR [[Categorie:normen voor filterfuncties]]|link=none}}}}{{#set:Is gerelateerd aan=Beveiliging/Scheiding}}

== Context ==
De omgeving van ‘interne koppelvlakken’ is alles wat zich in de productieomgeving bevindt. De koppelvlakken van Beheer/Audit horen hier niet bij. Die koppelvlakken worden apart beschreven in het patroon [[Patroon voor interne koppelvlakken met beheer en audit|interne koppelvlakken met beheer en audit]].

[[Image:internekoppelvlakkenvoordeproductieomgeving.png|thumb|700px|none|Interne koppelvlakken voor de productieomgeving]]

==Probleem==
Bedrijfsprocessen moeten met elkaar kunnen communiceren zonder dat ongewenste beïnvloeding de continuïteit van de bedrijfsvoering in gevaar kan brengen.
De problemen worden samengevat in punten 1, 2 en 3 uit de probleembeschrijving van het [[themapatroon koppelvlakken]]:
{{#ask:[[Categorie:Problemen]][[ID::Koppelvlakken1]] OR [[ID::Koppelvlakken2]] OR [[ID::Koppelvlakken3]]
|?Beschrijving= 
|format=ol
|mainlabel=-
|sort=ID
}}

==Oplossing==
Voor alle koppelvlakken geeft onderstaande tabel een overzicht van mogelijke maatregelen per intern koppelvlak. Zie verder de figuren in het themapatroon voor de positionering van het koppelvlak.

{| class="wikitable"
|-
! 

! [[Bestand:IcoonContinuiteit.png|120px]] !! [[Bestand:IcoonZonering.png|120px]] !! [[Bestand:IcoonFiltering.png|120px]] !! [[Bestand:IcoonVastleggenGebeurtenissen.png|120px]] !! [[Bestand:IcoonAlarmering.png|120px]] !! [[Bestand:IcoonSysteemintegriteit.png|120px]]
|-
|style="background-color:#00ffff;"| 2 || Dubbele netwerkverbinding || Proxy (WAF)<br />Pakket-/Appl. inspectie<br />SSL-eindpunt|| Poortfiltering <br />IP-adresfiltering || Van policy afwijkend communicatiegedrag || Intrusion detection <br /> IB-events <br /> Drempelwaarden <br /> Handhaving IB-funct. || Hardening <br /> Patches
|-
|style="background-color:#00ffff;"| 3 || Dubbele netwerkverbinding || ACL <br /> VPN || Poortfiltering || Van policy afwijkend communicatiegedrag || Alarm op afwijkend communicatiegedrag en drempelwaarden || Hardening <br /> Patches
|-
|style="background-color:#0000ff; color:#ffffff"| 6 || Dubbele netwerkverbinding || ACL <br /> VPN || Poortfiltering || Van policy afwijkend communicatiegedrag || Alarm op afwijkend communicatiegedrag en drempelwaarden || Hardening <br /> Patches
|-
|style="background-color:#000000; color:#ffffff"| 9 || Dubbele uitvoering van infrastructurele voorziening <br /> Load balancing || SSL beginpunt <br /> ACL || Poortfiltering <br />IP-adresfiltering || Van policy afwijkend communicatiegedrag || Intrusion detection <br /> Alarm op events en drempelwaarden || Hardening <br /> Patches
|-
|style="background-color:#000000; color:#ffffff"| 10 || nvt || ACL <br /> VPN || Poortfiltering <br />IP-adresfiltering || Van policy afwijkend communicatiegedrag || Alarm op afwijkend communicatiegedrag en drempelwaarden || Hardening <br /> Patches
|-
|style="background-color:#000000; color:#ffffff"| 11 || nvt || ACL <br /> VPN || Port based Network Access Control 802.1x || Van policy afwijkend communicatiegedrag || Alarm op afwijkend communicatiegedrag en drempelwaarden || Hardening <br /> Patches
|-
|style="background-color:#000000; color:#ffffff"| 16 || nvt || ACL <br /> Media-encryptie || Virus-/malwarescan || USB access <br /> media access || Alarm op afwijkend communicatiegedrag en drempelwaarden || Hardening <br /> Patches
|}

Voor de inrichting van koppelvlak 11 zijn twee oplossingsrichtingen mogelijk: 
# Beveiligingsfuncties inrichten per LAN segment waaraan de clients gekoppeld zijn.
# Beveiligingsfuncties inrichten voor elke client afzonderlijk.
Koppelvlak 11 ondersteunt de datastromen: Bestand, Bericht (mail) en Web verkeer. Aanvullend moet dit koppelvlak voor de legacy systemen ook terminal verkeer ondersteunen zoals b.v. IBM-3270 of leverancier specifieke Client-Server protocollen. Dit laatste geldt ook voor koppelvlakken 3 en 6.
Koppelvlak 16 omvat de externe (hardware-) interfaces van de client. Dit zijn o.a. USB poorten die beveiligd of uitgeschakeld zijn en centraal worden beheerd. In dit patroon is aangenomen dat de Wi-Fi functie is uitgeschakeld. Wanneer draadloze netwerken gebruikt worden, dan moeten de koppelvlakken 11 en 16 aanvullende beveiligingsfuncties bevatten om ‘backdoors’ in het bedrijfsnetwerk te voorkomen. 

==Afwegingen==
Welke oplossingsrichting (1 of 2) voor koppelvlak 11 gekozen wordt, hangt af van het aantal clients (1000 clients of meer), de acceptabele beheerlast, en draagbaarheid van licentiekosten voor de objecten die de IB-functies uitvoeren. 

Versleuteld bestands- of berichtenverkeer moet voor zover toegepast, worden ondersteund door de koppelvlakken 2, 3, 6, 9, 10 en optioneel ook 11. Hierboven wordt aangenomen dat web services in de DMZ of in de frontoffice zijn gesitueerd.

De te nemen maatregelen voor de inrichting van interne koppelvlakken (productieomgeving) zullen vanwege risicoacceptatie per organisatie doorgaans meer verschillen dan het geval is voor externe koppelvlakken. Vaak bestaat er geen zonering van Frontoffice-Backoffice, maar is daar sprake van één vertrouwde zone. In dat geval vervalt koppelvlak 6 en zullen er evenredig meer eisen gesteld worden aan koppelvlak 9. 

Koppelvlak 11, die het kantoornetwerk en de netwerksegmenten van de productieomgeving verbindt, is om netwerktechnische redenen zoals performance niet altijd voorzien van beveiligingsfuncties. Omdat een netwerk van eindgebruikers feitelijk als een semi-vertrouwde omgeving beschouwd moet worden, heeft het niet beveiligen van koppelvlak 11 zowel impact op de benodigde maatregelen binnen de vertrouwde omgeving van FO/BO als voor de logische toegang tot zeer vertrouwde zones als de Kluis.

==Gerelateerde patronen==
* [[Themapatroon koppelvlakken]]
* [[Patroon voor externe koppelvlakken]]
* [[Patroon voor interne koppelvlakken voor de ontwikkelomgeving]]
* [[Patroon voor interne koppelvlakken met beheer en audit]]
* [[Patroon voor koppelnetwerken met vertrouwde organisaties]]
[[Categorie:Patronen voor scheiding]]
{{Beveiligingspatronen Staart}}