Applicatiecontrole met Zenarmor: zicht op shadow IT en grip op 5.000+ apps in uw bedrijfsnetwerk

Applicatiecontrole herkent welke applicatie achter een netwerkverbinding zit en laat u die app toestaan of blokkeren, ongeacht poort of IP-adres. Zenarmor doet dat op laag 7 met een applicatiedatabase van meer dan 5.000 apps en dynamisch bijgewerkte signatures. U ziet eerst welke apps er werkelijk worden gebruikt (shadow IT) en stelt daarna beleid in per gebruiker, groep, VLAN, apparaat en tijdvak.

In dit artikel leest u waarom klassieke poort- en IP-regels niet meer volstaan, hoe u applicatiecontrole stap voor stap invoert zonder de organisatie stil te leggen, hoe u generatieve-AI- en file-sharingdiensten beheerst, en hoe u de instellingen koppelt aan ISO 27001:2022, NIS2 en de VDA ISA (TISAX). We schrijven vanuit twee rollen: als onafhankelijk ISO 27001 Lead Auditor en als officiële Zenarmor-partner in Nederland.

Waarom poort- en IP-regels niet meer genoeg zijn

Een traditionele firewall beslist op basis van bron, bestemming, poort en protocol. Dat werkte toen applicaties eigen poorten gebruikten. Vandaag loopt vrijwel alles over HTTPS op poort 443: Microsoft 365, WhatsApp Web, Dropbox, ChatGPT, online games en remote-accesstools. Een regel als “sta poort 443 toe” zegt dus niets meer over wat er over die verbinding gaat.

• Cloudapps delen infrastructuur. Veel diensten draaien op dezelfde CDN’s en cloudplatformen. IP-lijsten zijn daardoor grof, verouderen snel en blokkeren soms legitieme diensten mee.
• Apps wisselen van poort en protocol. Peer-to-peer-, VPN- en remote-accesssoftware zoeken automatisch een open route als een poort dicht staat.
• Gebruikers installeren zelf tools. Een gratis vertaaldienst, een AI-assistent of een privé-filesharingdienst is in seconden in gebruik, zonder dat IT het weet.

Een layer 7 firewall kijkt daarom naar de applicatie zelf. Zenarmor classificeert elke verbinding met de Zenarmor Application Database, die met dynamische signatures wordt bijgewerkt. Volgens Zenarmor herkent de engine 5.000+ applicaties op naam, niet alleen op poort en protocol. Applicatiecontrole werkt als extra laag bovenop uw bestaande L3/L4-regels op OPNsense, pfSense CE of Linux, niet als vervanging ervan.

Eerst zicht, dan beleid: shadow IT ontdekken

De grootste fout bij applicatiecontrole is direct gaan blokkeren. U weet dan niet welke bedrijfsprocessen u raakt, en de helpdesk krijgt de rekening. Begin daarom met zichtbaarheid. Zenarmor toont in rapportages en in Live Sessions welke applicaties en categorieën er per gebruiker, apparaat en segment worden gebruikt.

Twee manieren om zonder risico te starten:

• Routed mode met een ruime policy. Zenarmor draait inline, maar u staat in eerste instantie alle app-categorieën toe en verzamelt alleen rapportagedata. Later zet u blokkades aan zonder herinstallatie.
• Passive mode. Zenarmor analyseert een kopie van het verkeer (bijvoorbeeld via een SPAN-poort). In deze modus kunt u volgens de documentatie over deployment modes niet blokkeren, maar wel uitgebreid rapporteren. Handig als u eerst een nulmeting wilt zonder ingreep in de netwerkroute.

Na twee tot vier weken heeft u een realistisch beeld. Typische bevindingen in een eerste meting zijn persoonlijke cloudopslag naast de zakelijke tenant, meerdere AI-chatdiensten, remote-accesstools die niemand heeft goedgekeurd, torrentverkeer op het gastennetwerk en streaming die op drukke momenten bandbreedte opslokt. Dat is uw shadow IT-inventaris, en meteen input voor uw risicoanalyse.

Blokkeren en toestaan per app en per categorie

In Zenconsole en in de lokale Zenarmor-interface zijn applicaties gegroepeerd in categorieën met subcategorieën. Per categorie ziet u de status Allowed, Blocked of Custom (een deel van de apps geblokkeerd). U kunt:

• een volledige categorie blokkeren, bijvoorbeeld games of peer-to-peer;
• binnen een geblokkeerde categorie één app toestaan die u wel heeft goedgekeurd;
• apps op naam zoeken en individueel blokkeren of toestaan.

Na het opslaan synchroniseert Zenconsole de policy naar de gateways. Via Live Sessions en de rapportages controleert u welke policy, app of categorie een verbinding heeft geblokkeerd. Dat is handig voor de helpdesk en levert direct bewijs op voor een audit.

Beleid per gebruiker, groep, VLAN, apparaat en tijdvak

Een Zenarmor-policy kan worden afgebakend op interface, VLAN, IP-adres of subnet, MAC-adres, ontdekte apparaten en apparaatcategorieën, gebruikers en groepen, en een tijdschema (dagen en uren). Alle criteria worden volgens de policy-documentatie met een logische EN gecombineerd. Zo kunt u bijvoorbeeld zeggen: “groep Productie, VLAN 30, maandag tot en met vrijdag 07:00–17:00”.

Voor gebruikers en groepen koppelt u een identiteitsbron, zoals Microsoft Entra ID, Google Workspace, Okta of een SAML 2.0-provider. Sinds Zenarmor 2.7 kunnen organisatiebrede policies ook op Active Directory- en LDAP-gebruikers en -groepen matchen. Op OPNsense is daarnaast gebruikersfiltering via de captive portal mogelijk, bijvoorbeeld voor gasten of gedeelde werkplekken.

Voor IoT en OT gebruikt u device identification: Zenarmor herkent apparaattypen en u kunt apparaatcategorieën in een policy opnemen. Een camera of PLC heeft geen gebruiker die inlogt, maar wel een duidelijk verwacht verkeerspatroon.

Generatieve AI en file-sharing: wat kan wel en wat niet

De meest gestelde vraag op dit moment: “kunnen we ChatGPT en andere AI-tools beheersen?” Het eerlijke antwoord heeft twee lagen.

Laag 1: app- en categorieniveau (applicatiecontrole)

De App DB bevat een categorie A.I. Tools; de documentatie noemt Google Gemini als voorbeeld. U kunt de hele categorie blokkeren en daarna de goedgekeurde dienst, bijvoorbeeld uw zakelijke Copilot- of ChatGPT-omgeving, weer toestaan. Hetzelfde geldt voor file-sharing en persoonlijke cloudopslag: als app of categorie blokkeren of toestaan, per groep en per segment. Controleer per dienst in uw eigen Zenconsole hoe die geclassificeerd is, want de database verandert mee met het aanbod.

Laag 2: actieniveau (CASB, vanaf SSE)

Wilt u een dienst toestaan, maar alleen bepaalde handelingen tegenhouden, zoals uploaden, delen of verwijderen, dan heeft u Cloud Access Rules (CASB) nodig. Die zijn beschikbaar vanaf de SSE-edities en vereisen volledige TLS-inspectie. De documentatie noemt daarbij categorie-gebaseerde TLS-inspectie voor bijvoorbeeld de categorie Generative AI, en dat QUIC-verbindingen niet toegestaan mogen blijven. Welke acties per app te sturen zijn, verschilt per dienst. Een uitgewerkt voorbeeld voor uploads naar WeTransfer leest u in ons artikel SSE, CASB en DLP: uploads naar WeTransfer stoppen.

Wees ook helder over wat niet kan: Zenarmor beoordeelt niet de inhoud van wat een medewerker in een AI-prompt typt. Voor inhoudsbewuste DLP zijn aanvullende maatregelen nodig, zoals classificatie, awareness en afspraken in uw AI-beleid.

Praktische policyvoorbeelden

Onderstaande tabel geeft startpunten die wij in projecten gebruiken. Het zijn voorbeelden: de juiste keuzes volgen uit uw risicoanalyse en uw beleid voor aanvaardbaar gebruik.

Omgeving	Toestaan	Blokkeren of beperken	Afbakening
Kantoor (medewerkers)	Microsoft 365 of Google Workspace, goedgekeurde AI-dienst, videobellen, bedrijfsapplicaties	Peer-to-peer, niet-goedgekeurde remote-accesstools, overige A.I. Tools, persoonlijke cloudopslag	Groep “Medewerkers” via Entra ID of LDAP, kantoor-VLAN
Gasten-wifi	Web, e-mail, gangbare streaming	Peer-to-peer en torrents, remote-accesstools, anonimiserings- en proxydiensten (voor zover herkend)	Gasten-VLAN, captive portal, eventueel tijdschema
Productie / OT	Alleen de benodigde industriële en onderhoudsapplicaties	Alle overige categorieën; remote-onderhoudstool alleen in het onderhoudsvenster	OT-VLAN, apparaatcategorieën, tijdschema
Onderwijs (leerlingen)	Leerplatformen, kantoorapps, toetsomgeving	Games, sociale media en streaming tijdens lesuren; A.I. Tools tijdens toetsen	Leerlingen-VLAN of groep, tijdschema lesrooster

Combineer applicatiecontrole altijd met netwerksegmentatie. Segmentatie bepaalt welke zones elkaar mogen bereiken; applicatiecontrole bepaalt welke apps binnen en vanuit die zones zijn toegestaan. Voor het webverkeer zelf, zoals phishing, malware en categorieën als gokken, gebruikt u de Zenarmor-webfilter.

Compliance: koppeling aan ISO 27001, TISAX en NIS2

Applicatiecontrole is geen doel op zich. Auditors willen zien dat u beleid heeft en dat de techniek dat beleid aantoonbaar uitvoert. Zenarmor ondersteunt dat; het maakt u niet vanzelf compliant. Zo koppelt u de instellingen aan de normen:

Kader / control	Wat applicatiecontrole bijdraagt	Bewijs voor de auditor
ISO 27001:2022 A.5.10 – Aanvaardbaar gebruik	Technische handhaving van het beleid voor aanvaardbaar gebruik	Beleid plus policy-export met geblokkeerde categorieën
ISO 27001:2022 A.8.20 – Netwerkbeveiliging	Beheerst netwerkverkeer op applicatieniveau	Configuratie, wijzigingshistorie, rapportages
ISO 27001:2022 A.8.22 – Scheiding in netwerken	Andere app-policies per VLAN of segment	Policy-overzicht per segment
ISO 27001:2022 A.5.23 – Gebruik van clouddiensten	Zicht op welke clouddiensten feitelijk worden gebruikt	Rapport met de meest gebruikte apps, vergeleken met de goedgekeurde lijst
VDA ISA 1.3.3 / 1.3.4 – goedgekeurde externe IT-diensten en software	Niet-goedgekeurde diensten detecteren en blokkeren	Periodieke vergelijking van het app-rapport met de goedgekeurde lijst
NIS2 art. 21 lid 2 (a), (g), (i)	Beveiligingsbeleid, cyberhygiëne, toegangsbeleid en assetbeheer	Beleid, rapportages, review-notulen

Voor ISO 27001 verwijst u in uw Verklaring van Toepasselijkheid naar deze maatregelen. Voor de automotive-keten: TISAX® werkt met labels, niet met certificaten. De VDA ISA-controls 1.3.3 en 1.3.4 vragen dat alleen beoordeelde en goedgekeurde externe IT-diensten en software worden gebruikt (zie bijvoorbeeld deze toelichting op ISA 1.3.3). Nummering kan in ISA2027 verschuiven. Meer daarover in ons artikel over TISAX-voorbereiding en netwerkbeveiliging. Voor NIS2 vindt u de zorgplicht in artikel 21 van Richtlijn (EU) 2022/2555; in Nederland uitgewerkt in de zorgplicht van de Cyberbeveiligingswet. Hoe u de rapportages als bewijs inzet, leest u in Zenarmor-rapportage voor NIS2 en ISO 27001.

Uitrol in vijf stappen

Zo voeren wij applicatiecontrole in, van nulmeting tot structurele review:

Beheert u meerdere locaties of klanten? Dan rolt u dezelfde policy centraal uit via Zenconsole, met audittrail en back-up van policies.

Grenzen: versleuteld verkeer en eerlijke verwachtingen

Applicatiecontrole is krachtig, maar niet magisch. Houd rekening met het volgende:

• TLS zonder decryptie. Met lichte, certificaatgebaseerde TLS-inspectie leest Zenarmor uit de handshake de hostnaam, webcategorie en het applicatietype. Dat volstaat voor veel app-beslissingen. Als browsers Encrypted Client Hello (ECH) gebruiken, is de hostnaam niet meer zichtbaar, aldus de TLS-documentatie.
• Diepere controle vraagt volledige TLS-inspectie. Actiecontrole (CASB) en URL-niveau vereisen decryptie, met een eigen CA-certificaat op de endpoints. Dat heeft privacy- en arbeidsrechtelijke gevolgen. Lees eerst ons artikel over TLS-inspectie met Zenarmor.
• QUIC. Zenarmor adviseert het QUIC-protocol te blokkeren; browsers vallen dan terug op TCP, waarop de inspectie betrouwbaarder is.
• Apparaten buiten het netwerk. Een laptop thuis of een telefoon op 5G passeert uw gateway niet. Daarvoor zijn de endpoint-agents bedoeld (Windows, macOS, Linux, Android, iOS).
• Classificatie is nooit 100%. Nieuwe apps verschijnen dagelijks. Plan daarom de maandelijkse review en het uitzonderingsproces in.