Eerlijk Inzicht.
Sterkere Beveiliging.

Example: a per-user VPN with OpenVPN. One certificate per person, mutual TLS, modern ciphers only:

# server.conf (excerpt)
proto udp
port 1194
tls-version-min 1.2
data-ciphers AES-256-GCM
remote-cert-tls client        # mutual TLS: every user has a cert
crl-verify crl.pem            # revoked certificate = no access
push "redirect-gateway def1"  # all traffic through the tunnel

Offboarding is part of the design: revoke the certificate and the connection dies. Tested before go-live.

Example: security zones, each with its own network range and a firewall between every zone. Traffic only crosses a border through an explicit rule; the default is deny:

An incident in the office zone stays in the office zone. Delivered with the segmentation test that proves it holds.

Example: the baseline as code, applied with Ansible, scored against the CIS Benchmark:

# ansible (excerpt)
- name: Disable root SSH login (CIS 5.2.8)
  lineinfile:
    path: /etc/ssh/sshd_config
    regexp: '^#?PermitRootLogin'
    line: 'PermitRootLogin no'
  notify: restart sshd

A compliance scan before and after; the delta is the report. Rerunnable on every new server.

Example: a dependency walk of one critical service. Typical findings and fixes:

A backup that has never been restored is a hope, not a control.

Example: the chain of custody, from readable data down to the people who guard the keys. Every layer is unlocked by the layer below it:

Reconstructing the KEK takes two custodians from each group, four people in total. No single person ever holds a complete key, so nobody can decrypt alone.

Example: automate the boring 95% with unattended upgrades, and explicitly exclude what can break things:

# 50unattended-upgrades (excerpt)
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};
Unattended-Upgrade::Package-Blacklist {
    "postgresql-";   // databases: maintenance window only
    "openvpn";       // remote access: never break your own door
};
Unattended-Upgrade::Automatic-Reboot "false";

The excluded packages get a monthly window with a rollback plan. Scanner findings feed the priorities.

Example: three filters, each removing what the next one should never have to see:

The WAF knows the application, so it allows exactly what is used and nothing else.

Example: rights per role, never per person, with one accountable owner per system (the A in RACI):

Reviewed quarterly, and leavers lose access on their last day automatically, not at the next cleanup.

Example: real MFA is two factors from two different rows, never two from the same row:

A password plus a second password is not MFA. Enforced at the identity provider so no application can opt out, with a sealed, monitored break-glass account for the day a phone is lost.

Example: one log flow with the jobs kept apart. Every system ships its logs over syslog to a central log server. That server does retention: write once, keep long, change never. From there the logs replicate to an analysis server, for example Wazuh, where the detection rules and alerts live:

all systems --syslog--> central log server (retention)
central log server --replicate--> analysis server, e.g. Wazuh (rules, alerts)

An attacker who wipes a server cannot wipe its history, and tuning the analysis side never touches retention. Every alert lands in a channel a human actually reads.

Example: evidence as a pipeline. Write a small check script per control, run it on a schedule, and let every run append to a dataset:

# cron (excerpt)
0 2 * * * checks.py --run mfa-coverage,patch-lag,open-ports \
    --append /srv/evidence/metrics.csv --sign

Each run adds a row, and rows become graphs: patch lag going down, MFA coverage going up. The auditor gets twelve months of signed data; the board gets a trend line.

Voorbeeld: een VPN per gebruiker met OpenVPN. Eén certificaat per persoon, wederzijdse TLS, alleen moderne ciphers:

# server.conf (excerpt)
proto udp
port 1194
tls-version-min 1.2
data-ciphers AES-256-GCM
remote-cert-tls client        # mutual TLS: every user has a cert
crl-verify crl.pem            # revoked certificate = no access
push "redirect-gateway def1"  # all traffic through the tunnel

Offboarding zit in het ontwerp: certificaat intrekken en de verbinding stopt. Getest vóór livegang.

Voorbeeld: securityzones, elk met een eigen netwerkreeks en een firewall tussen elke zone. Verkeer passeert een grens alleen via een expliciete regel; de standaard is deny:

Een incident in de kantoorzone blijft in de kantoorzone. Opgeleverd met de segmentatietest die bewijst dat het houdt.

Voorbeeld: de baseline als code, uitgerold met Ansible, gescoord tegen de CIS Benchmark:

# ansible (excerpt)
- name: Disable root SSH login (CIS 5.2.8)
  lineinfile:
    path: /etc/ssh/sshd_config
    regexp: '^#?PermitRootLogin'
    line: 'PermitRootLogin no'
  notify: restart sshd

Een compliance-scan vooraf en achteraf; de delta is de rapportage. Herhaalbaar op elke nieuwe server.

Voorbeeld: een afhankelijkheidsanalyse van één kritieke dienst. Typische bevindingen en oplossingen:

Een back-up die nooit is teruggezet is hoop, geen control.

Voorbeeld: de keten van leesbare data tot aan de mensen die de sleutels bewaken. Elke laag wordt ontsloten door de laag eronder:

De KEK samenstellen vraagt twee beheerders uit elke groep, vier mensen in totaal. Niemand heeft ooit een complete sleutel in handen, dus niemand kan alleen ontsleutelen.

Voorbeeld: automatiseer de saaie 95% met unattended upgrades, en sluit expliciet uit wat stuk kan gaan:

# 50unattended-upgrades (excerpt)
Unattended-Upgrade::Allowed-Origins {
    "${distro_id}:${distro_codename}-security";
};
Unattended-Upgrade::Package-Blacklist {
    "postgresql-";   // databases: maintenance window only
    "openvpn";       // remote access: never break your own door
};
Unattended-Upgrade::Automatic-Reboot "false";

De uitgesloten pakketten krijgen een maandelijks onderhoudsvenster met een terugvalplan. Scannerbevindingen voeden de prioriteiten.

Voorbeeld: drie filters, die elk weghalen wat het volgende filter nooit hoeft te zien:

De WAF kent de applicatie en staat daardoor precies toe wat wordt gebruikt, en niets anders.

Voorbeeld: rechten per rol, nooit per persoon, met één eindverantwoordelijke per systeem (de A uit RACI):

Elk kwartaal beoordeeld, en vertrekkende medewerkers verliezen hun toegang automatisch op de laatste werkdag, niet bij de volgende opschoonactie.

Voorbeeld: echte MFA is twee factoren uit twee verschillende rijen, nooit twee uit dezelfde rij:

Een wachtwoord plus een tweede wachtwoord is geen MFA. Afgedwongen bij de identity provider zodat geen applicatie eromheen kan, met een verzegeld, gemonitord break-glass-account voor de dag dat een telefoon zoekraakt.

Voorbeeld: één logstroom met gescheiden taken. Elk systeem stuurt zijn logs via syslog naar een centrale logserver. Die server doet retentie: één keer schrijven, lang bewaren, nooit wijzigen. Vandaar repliceren de logs naar een analyseserver, bijvoorbeeld Wazuh, waar de detectieregels en alerts leven:

alle systemen --syslog--> centrale logserver (retentie)
centrale logserver --repliceer--> analyseserver, bijv. Wazuh (regels, alerts)

Een aanvaller die een server wist, wist daarmee niet de historie, en tunen aan de analysekant raakt de retentie nooit. Elke alert komt uit in een kanaal dat een mens echt leest.

Voorbeeld: bewijs als pijplijn. Schrijf per control een klein controlescript, draai het volgens schema, en laat elke run aan een dataset toevoegen:

# cron (excerpt)
0 2 * * * checks.py --run mfa-coverage,patch-lag,open-ports \
    --append /srv/evidence/metrics.csv --sign

Elke run voegt een rij toe, en rijen worden grafieken: patch-achterstand omlaag, MFA-dekking omhoog. De auditor krijgt twaalf maanden ondertekende data; de directie een trendlijn.