CompTIA SY0-701: Netwerkbeveiliging & Architectuur — Studiegids

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Onderdeel van de CompTIA Security+ SY0-701 — Studiegids. Oefen met geverifieerde antwoorden in het CompTIA-examencentrum, of doe getimede oefentests op ExamRoll.io.

Netwerkbeveiligingsarchitectuur is de discipline van het inrichten van apparaten, controles en verkeersstromen zodat kwaadaardige activiteiten worden ingeperkt, gemonitord en geblokkeerd, terwijl legitieme bedrijfscommunicatie onbelemmerd doorgaat. Het combineert beleid uitgedrukt in regels, structurele grenzen uitgedrukt als segmentatie, en cryptografische bescherming uitgedrukt als tunnels — allemaal versterkt door hardening op host- en poortniveau.

Firewallregels en Access Control Lists

Een firewallregel, of deze nu op een stateful appliance of als een router-ACL is geschreven, evalueert verkeer aan de hand van een vijf-tuple: bronadres, doeladres, bronpoort, doelpoort en protocol. Regels worden van boven naar beneden verwerkt, en de eerste match heeft voorrang. Deze volgorde is van enorm belang. Een regel die any any-verkeer toestaat en boven een specifieke ‘deny’-regel wordt geplaatst, maakt die ‘deny’-regel betekenisloos. Evenzo eindigt elke goed ontworpen regelset met een impliciete deny — een ongeschreven ‘catch-all’ die alles wat niet expliciet is toegestaan, weggooit.

Beschouw een beleid dat uitgaand DNS-verkeer beperkt, zodat alleen een aangewezen interne resolver op 10.50.10.25 externe servers op UDP/53 mag bevragen:

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

De volgorde is cruciaal: de specifieke ‘permit’-regel gaat vooraf aan de brede ‘deny’-regel, en geen enkele andere host kan externe DNS bereiken. Om een bekende kwaadaardige inkomende bron zoals 10.1.4.9 te blokkeren, is de corresponderende inkomende regel eenvoudig:

access-list INBOUND deny ip host 10.1.4.9 any

Wanneer deze bovenaan de lijst met inkomende regels wordt geplaatst, zorgt het ervoor dat het adres wordt geweigerd voordat enige ‘permit’-regel kan matchen.

Firewalls kunnen worden geconfigureerd om fail-open (verkeer toestaan als het apparaat faalt) of fail-closed (al het verkeer weigeren) te zijn. Fail-open behoudt de beschikbaarheid maar offert beveiliging op; fail-closed doet het tegenovergestelde. De keuze moet weloverwogen zijn, gebaseerd op of het segment prioriteit geeft aan uptime (een productievloer) of aan vertrouwelijkheid (een enclave voor betalingsverwerking).

Segmentatie, VLAN’s en Geolocatiecontroles

Segmentatie verdeelt een plat netwerk in kleinere broadcast- en vertrouwensdomeinen. VLAN’s dwingen scheiding op Layer 2 af op gedeelde switches, terwijl gerouteerde subnetten en firewalls grenzen op Layer 3 afdwingen. Een typische onderneming scheidt werkstations van gebruikers, servers, VoIP-telefoons, gast-wifi, IoT-apparaten en beheerinterfaces in afzonderlijke VLAN’s, elk beheerst door inter-VLAN ACL’s. Segmentatie beperkt laterale beweging: als ransomware op een gebruikers-VLAN detoneert, kan het niet onmiddellijk naar het database-VLAN pivoteren zonder gefilterde grenzen te passeren.

IP-geolocatie breidt segmentatie logisch uit. Als het bedrijf alleen in Noord-Amerika actief is, kunnen firewallregels of geo-IP-feeds verbindingen uit andere regio’s weigeren, waardoor het aanvalsoppervlak voor brute-force- en verkenningsverkeer drastisch wordt verkleind. Geolocatie is geen vervanging voor authenticatie — aanvallers gebruiken VPN’s en proxy’s — maar het is een effectief grofmazig filter.

Perimeterapparaten: NGFW, IDS/IPS en WAF

Een next-generation firewall (NGFW) breidt traditionele stateful inspectie uit met applicatiebewustzijn, integratie van gebruikersidentiteit, TLS-decryptie en threat intelligence feeds. Waar een legacy firewall ‘TCP/443 naar 8.8.8.8’ ziet, ziet een NGFW ‘gebruiker jsmith gebruikt Dropbox om een bestand te uploaden dat is geclassificeerd als PII’.

Intrusion Detection Systems (IDS) en Intrusion Prevention Systems (IPS) analyseren verkeer aan de hand van signatures en gedragsbaselines. Het cruciale onderscheid: een IDS is out-of-band en passief — doorgaans gevoed door een SPAN-poort of netwerktap — en kan alleen waarschuwen. Een IPS is inline, bevindt zich in het verkeerspad, en kan kwaadaardige stromen in realtime weigeren, resetten of in quarantaine plaatsen. Het implementeren van een IDS waar preventie vereist is, maakt aanvallen zichtbaar maar niet verholpen; het implementeren van een IPS zonder zorgvuldige afstemming riskeert het blokkeren van legitiem verkeer. Kies op basis van de missie: monitoring en forensisch onderzoek vragen om een IDS, actieve handhaving vraagt om een IPS.

Een Web Application Firewall (WAF) werkt op Layer 7 en begrijpt specifiek HTTP/HTTPS-semantiek. Het parseert verzoeken om SQL-injectie, cross-site scripting en misbruik van applicatielogica te detecteren. Een WAF is geen algemeen inzetbare IPS: het beschermt specifiek webapplicaties en wordt direct voor webservers geplaatst of ingebed in een reverse proxy of CDN. Omgekeerd dekt een IPS bredere protocollen, maar mist het de diepe applicatiecontext die nodig is om een gefabriceerde UNION SELECT-payload te vangen die verborgen zit in een POST-body.

Load Balancers en Content Filtering

Load balancers verdelen clientverbindingen over een pool van backend-servers met behulp van algoritmen zoals round-robin, least-connections of weighted hashing. Naast prestaties maken ze elastische beschikbaarheid mogelijk: het toevoegen of vervangen van een backend-server vereist alleen het bijwerken van de pool, zonder voor de client zichtbare onderbreking. Dit maakt load balancers de aangewezen oplossing wanneer de vereiste minimale operationele inspanning is om capaciteit toe te voegen of te vervangen. Moderne load balancers beëindigen ook TLS, voeren health checks uit en integreren met WAF- en DDoS-scrubbing-diensten.

Contentfilters en secure web gateways inspecteren uitgaand gebruikersverkeer, blokkeren de toegang tot categorieën zoals malware, phishing of inhoud die het beleid schendt, en dwingen vaak filtering op de DNS-laag af als een extra verdedigingslinie.

VPN’s en Versleutelde Tunnels

Virtual Private Networks (VPN’s) bieden vertrouwelijkheid en integriteit voor verkeer dat over onbetrouwbare netwerken gaat. IPsec werkt op Laag 3 en kan al het IP-verkeer beveiligen; het gebruikt IKE (Internet Key Exchange) voor de onderhandeling en ofwel AH (Authentication Header, alleen integriteit) of ESP (Encapsulating Security Payload, integriteit en vertrouwelijkheid). SSL/TLS VPN’s werken op Laag 4–7, doorgaans via een webbrowser of een lichtgewicht client, en zijn eenvoudiger te implementeren via NAT en firewalls dan IPsec. WireGuard is een modern VPN-protocol met een minimale codebase dat Curve25519 gebruikt voor sleuteluitwisseling en ChaCha20-Poly1305 voor versleuteling. Het biedt in veel scenario’s aanzienlijk betere prestaties dan OpenVPN of IPsec.

Split tunneling routeert alleen verkeer met een bedrijfsbestemming via de VPN, terwijl internetverkeer lokaal het netwerk verlaat. Dit vermindert de bandbreedtebelasting van de VPN, maar betekent dat bedreigingen vanaf het internet de bedrijfsbeveiligingscontroles omzeilen. Full-tunnel VPN routeert al het verkeer via de corporate gateway, wat content filtering en DLP-inspectie mogelijk maakt ten koste van hogere latency en bandbreedte.

Praktijkscenario: Laterale Verplaatsing via een Vlak Netwerk

Een professioneel dienstverlenend bedrijf had al zijn werkstations, servers en printers draaien op één enkel /16-subnet zonder interne segmentatie. Toen een aanvaller via een phishing-e-mail initiële toegang kreeg tot het werkstation van een junior analist, gebruikte hij nmap om 847 bereikbare hosts te ontdekken. Hij identificeerde een niet-gepatchte Windows Server 2012 R2-bestandsserver, misbruikte MS17-010 (EternalBlue) om SYSTEM-toegang te krijgen en gebruikte die positie vervolgens om de domain controller te bereiken. De hele fase van laterale verplaatsing (lateral movement) duurde minder dan vier uur. Als het netwerk gesegmenteerd was geweest — werkstations op een apart VLAN van de servers, met inter-VLAN firewallregels die alleen de noodzakelijke protocollen toestaan — dan had het werkstation van de analist de bestandsserver niet kunnen bereiken op SMB/445, en zou de aanvalsketen bij de eerste ‘pivot’ zijn doorbroken.

← Bedreigingen · Alle domeinen · Beveiligingsoperaties →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →