Firewall/IDS/IPS

[cdr]

Wij zijn een kleine nonprofit-organisatie die werkt met vertrouwelijke gegevens. In het kader van onze cybersecurity overwegen we de aankoop van een gecombineerd systeem firewall/IDS/IPS (op dit ogenblik hebben we nog niets op dat gebied).
Deze appliance moet zijn werk doen, niet te complex zijn (noch inzake installatie noch inzake onderhoud) en toch betaalbaar zijn (we vragen niet weinig maar hebben wel weinig geld ;-)
Heeft iemand suggesties? Kwestie dat ik niet in het wilde weg begin te prospecteren.

Thanks!

[vanisher]

Onafhankelijk van wat je kiest valt en staat de veiligheid met regelmatig updates, log controles e.d. Het is nooit een "set and forget" apparaat.

[laurens0619]

Een IDS/IPS doet anno 2026 niet meer zo heel veel tenzij je hem heel scherp gaat inregelen en TLS decryptie gaat doen. Dat geeft ook direct meer onderhoud. Als het voor compliance redenen nodig is kan ik wel wat adviseren maar ik zou het niet doen om simpel veel veiliger van te worden.

Basis stappen in security zijn veel meer:
- Je accounts op orde met MFA en het liefst Passkeys
- EDR op je endpoints zoals Microsoft Defender

[sh4d0wman]

Is er een dedicated security persoon of is het een eenpitter die alles op IT gebied doet? De kennis om een intrusion te detecteren en opvolgen is "iets" anders dan beheer. Een magisch doosje geeft wellicht onterecht een veilig gevoel.

Als NGO heb je wel vaak de optie om zaken gratis of tegen gereduceerde prijs te krijgen.

[Frogmen]

Het is ook sterk afhankelijk van wat er achter zit, heb je achter de router alleen clients dan heeft het niet het meeste nut. Ik zou dan ook zeker kijken naar welke DNS gebruik je. Hiermee kan je al weer wat risico's verminderen. Met een Unifi cloud kan je redelijk eenvoudig toch ook nog weer wat risico's wegnemen zonder grote complexiteit. Maar zo zijn er meer merken Zyxel Nebula omgeving is een ander.
Je zit dan in het midden segment investering 300 tot 600 euro let op voor bijkomende abonnementen. Maar zorg ook dat het meteen wel een compleet beheerde netwerk omgeving wordt dus ook de switches en wifi meenemen.

[cdr]

vanisher schreef op dinsdag 6 januari 2026 @ 10:35:
Onafhankelijk van wat je kiest valt en staat de veiligheid met regelmatig updates, log controles e.d. Het is nooit een "set and forget" apparaat.

Dat begrijp ik maar wat ik niet wil (wegens te weinig expertise in huis) is een kale box waarin we alles via cli moeten installeren en configureren. Een overzichtelijke GUI, e-mail en/of sms-notificaties e.d. lijken me noodzakelijk in ons geval.

[cdr]

laurens0619 schreef op dinsdag 6 januari 2026 @ 10:57:
Een IDS/IPS doet anno 2026 niet meer zo heel veel tenzij je hem heel scherp gaat inregelen en TLS decryptie gaat doen. Dat geeft ook direct meer onderhoud. Als het voor compliance redenen nodig is kan ik wel wat adviseren maar ik zou het niet doen om simpel veel veiliger van te worden.

Basis stappen in security zijn veel meer:
- Je accounts op orde met MFA en het liefst Passkeys
- EDR op je endpoints zoals Microsoft Defender

Met die andere basisstappen zijn we al een heel eind gevorderd en ook nog bezig.
Het heeft te maken met zowel compliance redenen als security an sich.
Kan je jouw punt dat IDP/IDS anno 2026 niet veel meer doet, wat toelichten? Bedankt!

[cdr]

sh4d0wman schreef op dinsdag 6 januari 2026 @ 11:07:
Is er een dedicated security persoon of is het een eenpitter die alles op IT gebied doet? De kennis om een intrusion te detecteren en opvolgen is "iets" anders dan beheer. Een magisch doosje geeft wellicht onterecht een veilig gevoel.

Als NGO heb je wel vaak de optie om zaken gratis of tegen gereduceerde prijs te krijgen.

Ik vrees dat het de eenpitter is, en dan nog een vrijwilliger Dedicated security persoon is absoluut niet haalbaar.
Als we de intrusion niete correct zelf kunnen opvolgen, kunnen we eventueel een beroep doen op externe (betalende) expertise.
We zijn actief in België. Ik heb geen idee of daar ook gratis oplossingen of met discount te vinden zijn, nog geen werk van gemaakt.

[cdr]

Frogmen schreef op dinsdag 6 januari 2026 @ 11:25:
Het is ook sterk afhankelijk van wat er achter zit, heb je achter de router alleen clients dan heeft het niet het meeste nut. Ik zou dan ook zeker kijken naar welke DNS gebruik je. Hiermee kan je al weer wat risico's verminderen. Met een Unifi cloud kan je redelijk eenvoudig toch ook nog weer wat risico's wegnemen zonder grote complexiteit. Maar zo zijn er meer merken Zyxel Nebula omgeving is een ander.
Je zit dan in het midden segment investering 300 tot 600 euro let op voor bijkomende abonnementen. Maar zorg ook dat het meteen wel een compleet beheerde netwerk omgeving wordt dus ook de switches en wifi meenemen.

We zijn een kleine organisatie: 15-tal medewerkers waarvan de helft altijd op verplaatsing werkt. Op dit ogenblik hebben we in onze centrale locatie gewoon de ISP-router en daarachter een aantal laptops, een printer/copier en een Synology NAS. Maar we zijn in expansie en verhuizen ook binnenkort naar een nieuwe locatie, dus ik overweeg daar ineens werk te maken van netwerksegmentatie, een professioneler wifi-netwerk en dus ook van een firewall/IDPS.

[laurens0619]

@cdr
Een IDS werkt op grofweg 2 manieren:
A. Signatures om inhoud van malicious verkeer te detecteren
B. IP reputatielijsten waar bekende C&C/malicious urls op bestaan

Het meeste verkeer is tegenwoordig versleuteld, daardoor kan een IDS de inhoud niet meer zien en werkt A niet meer.
B is ook lastig, aanvallers wisselen enorm snel van ip reeksen en gebruiken ook vaak cloud diensten. Daar krijg je vaak false positives van omdat er dan ip adressen op staan die niet meer malicious zijn.

Daarbij, als je ervoor zorgt dat al je clients EDR hebben, dan kan de client zelf A en B doen, op momenten dat het verkeer wel inzichtelijk is.

Helemaal zinloos is het natuurlijk niet maar als je hem als "setup and forget" afstelt, dan is de kans heel klein dat je er iets malicious mee gaat vangen.
Wel zou je nog DNS filtering kunnen overwegen. Dat doet eigenlijk voor B, reputatielijsten, maar is wel een aardige als additional layer bovenop je EDR. Die dns servers kun je dan meegeven in de dhcp van je router.

Bv: https://www.opendns.com/home-internet-security/

[Freeaqingme]

cdr schreef op dinsdag 6 januari 2026 @ 14:20:
[...]
Een overzichtelijke GUI, e-mail en/of sms-notificaties e.d. lijken me noodzakelijk in ons geval.

En stel nou dat je op een gegeven 15 SMS'jes per dag krijgt. Wie gaat die dan allemaal analyseren en opvolgen?

Het ding met IDS is dat je altijd false positives krijgt, en je vervolgens iemand moet hebben die genoeg verstand er van heeft om daar iets zinvols mee te doen. Wat dat betreft is zo'n apparaat als dit eerder het sluitstuk van je security dan iets dat datalekken voorkomt.

[cdr]

laurens0619 schreef op dinsdag 6 januari 2026 @ 14:38:
@cdr
Een IDS werkt op grofweg 2 manieren:
A. Signatures om inhoud van malicious verkeer te detecteren
B. IP reputatielijsten waar bekende C&C/malicious urls op bestaan

Het meeste verkeer is tegenwoordig versleuteld, daardoor kan een IDS de inhoud niet meer zien en werkt A niet meer.
B is ook lastig, aanvallers wisselen enorm snel van ip reeksen en gebruiken ook vaak cloud diensten. Daar krijg je vaak false positives van omdat er dan ip adressen op staan die niet meer malicious zijn.

Daarbij, als je ervoor zorgt dat al je clients EDR hebben, dan kan de client zelf A en B doen, op momenten dat het verkeer wel inzichtelijk is.

Helemaal zinloos is het natuurlijk niet maar als je hem als "setup and forget" afstelt, dan is de kans heel klein dat je er iets malicious mee gaat vangen.
Wel zou je nog DNS filtering kunnen overwegen. Dat doet eigenlijk voor B, reputatielijsten, maar is wel een aardige als additional layer bovenop je EDR. Die dns servers kun je dan meegeven in de dhcp van je router.

Bv: https://www.opendns.com/home-internet-security/

Ok, helder, bedankt voor de toelichting.

[lier]

Ik neem aan dat je vraag voortkomt uit een behoefte? Waarom hebben jullie een firewall/IDS/IPS nodig? Of beter...wie zegt dat jullie die nodig hebben? Mocht hier een risico analyse aan ten grondslag liggen, op welk risico is dit een mitigerende maatregel?

[F_J_K]

Inderdaad: wat is de vraag achter de vraag?

Goede kans dat de beveiliging op andere vlakken aanscherpen veel effectiever is. Des te meer als men vaak niet op locatie is. Te beginnen met, voor zover niet al actief, basale zaken als MFA, (in jullie geval auto-)updates, backups, hardening van de server en werkplekken.

In het algemeen is netwerksegmentatie natuurlijk heel verstandig. Maar (muv. gast/IOT/productie) vooral bij grotere netwerken: hoe zie je dat hier concreet voor je? Dan kan je wellicht op die twee devices (NAS, printer) zelf al voldoende regelen.

[Kabouterplop01]

wat zijn je te beschermen belangen? Wat gaat er kapot als je een breach hebt?
Wat is je aanvalsoppervlak? Wat zijn je aanvalspaden?
Als je daar een IPS voor nodig hebt en je hebt alleen de eenpitter en is een dedicated securitypersoon absoluut niet mogelijk, zit je hier ook niet goed. (En moet je je iets afvragen over de prioriteit.)
We kunnen je wel wat vertellen, maar stel je voor dat we je iets voorhouden en het gaat mis, wat dan?
Kost een breach jullie meer dan die securitypersoon?

edit: Wat de security tweakers hierboven al schetsen is maar een klein stukje, een mogelijke basis.

[ Voor 15% gewijzigd door Kabouterplop01 op 06-01-2026 17:44 ]

[revolution-nl]

Security maatregelen zijn een gevolg van een risico wat je wilt afdekken. Anno 2026 is het maar de vraag of kantoor zonder on-premise server omgeving of VPN tunnels een hoger risicoprofiel heeft als een thuiswerkplek waar de firewall ook niet bekend of beheert is.

Als het risico gelijk is en je past een maatregel wel toe op kantoor maar niet op een andere locatie zonder tegenmaatregelen dan is je beveiligingsbeleid en implementatie niet gebalanceerd. Dus, welk risico wil je met een IPS/IDS afdichten, en is een centrale locatie afhankelijk appliance dan wel doelmatig of zijn er andere maatregelen die effectiever zijn?

Misschien iets over na te denken

[ Voor 14% gewijzigd door revolution-nl op 06-01-2026 17:53 ]

[Microkid]

Je kan natuurlijk een kant en klare pfSense firewall kopen (https://www.netgate.com/appliances), maar ook die hebben een leer-curve. Het is niet zo dat je het ding even aansluit en het werkt. Je zal echt e.e.a. moeten inregelen en affiniteit hebben met het onderwerp.
Afhankelijk van het budget kan je ook nog kijken naar Palo Alto, Fortinate, CheckPoint, Cisco.

[ Voor 15% gewijzigd door Microkid op 06-01-2026 18:34 ]

[cdr]

lier schreef op dinsdag 6 januari 2026 @ 16:39:
Ik neem aan dat je vraag voortkomt uit een behoefte? Waarom hebben jullie een firewall/IDS/IPS nodig? Of beter...wie zegt dat jullie die nodig hebben? Mocht hier een risico analyse aan ten grondslag liggen, op welk risico is dit een mitigerende maatregel?

Er is inderdaad een risico-analyse gebeurd. Daarbij kwam 'Ransomware-verspreiding door gebrek aan netwerksegmentatie en detectie' naar boven.

[cdr]

F_J_K schreef op dinsdag 6 januari 2026 @ 17:13:
Inderdaad: wat is de vraag achter de vraag?

Goede kans dat de beveiliging op andere vlakken aanscherpen veel effectiever is. Des te meer als men vaak niet op locatie is. Te beginnen met, voor zover niet al actief, basale zaken als MFA, (in jullie geval auto-)updates, backups, hardening van de server en werkplekken.

In het algemeen is netwerksegmentatie natuurlijk heel verstandig. Maar (muv. gast/IOT/productie) vooral bij grotere netwerken: hoe zie je dat hier concreet voor je? Dan kan je wellicht op die twee devices (NAS, printer) zelf al voldoende regelen.

Op die andere beveiligingsvlakken zijn we ook actief en zijn ook verbeterpunten uit de security audit /risicoanalyse gekomen.
Ivm netwerksegmentatie denk ik ook dat dat misschien overkill is voor onze kleine organisatie. Anderzijds is de aankomende verhuis naar een nieuwe locatie misschien het ideale moment om een aantal zaken structureel te veranderen, ook met een mogelijke toekomstige expansie in het achterhoofd.

[cdr]

Kabouterplop01 schreef op dinsdag 6 januari 2026 @ 17:42:
wat zijn je te beschermen belangen? Wat gaat er kapot als je een breach hebt?
Wat is je aanvalsoppervlak? Wat zijn je aanvalspaden?
Als je daar een IPS voor nodig hebt en je hebt alleen de eenpitter en is een dedicated securitypersoon absoluut niet mogelijk, zit je hier ook niet goed. (En moet je je iets afvragen over de prioriteit.)
We kunnen je wel wat vertellen, maar stel je voor dat we je iets voorhouden en het gaat mis, wat dan?
Kost een breach jullie meer dan die securitypersoon?

edit: Wat de security tweakers hierboven al schetsen is maar een klein stukje, een mogelijke basis.

We werken met vertrouwelijke gegevens en een breach zou kunnen leiden tot stevige reputatieschade en AVG/GDPR-boetes. Ik weet dat het risico op een breach door phishing/uitgelekte credentials e.d. groter is en we zijn dan ook op die vlakken aan het werken. Gezien de grootte en financiële draagkracht van de organisatie is een dedicated security persoon helaas geen optie. Maar ik probeer wel mijn eenpitterschap uit te breiden met een (deeltijdse) collega zodat we toch al 2 pitjes hebben ;-)

[Frogmen]

Een punt wat je zijdelings noemt is eigenlijk je allergrootste risico. Dat is die NAS, die moet je goed beveiligen etc. Waarom niet in de cloud? Kijk eens op Techsoup of jullie niet gebruik kunnen maken van gratis of goedkope licenties. Want als die NAS jullie data bevat en ook van buitenaf te bereiken is dan heb je nog wel een uitdaging te gaan.

[cdr]

revolution-nl schreef op dinsdag 6 januari 2026 @ 17:52:
Security maatregelen zijn een gevolg van een risico wat je wilt afdekken. Anno 2026 is het maar de vraag of kantoor zonder on-premise server omgeving of VPN tunnels een hoger risicoprofiel heeft als een thuiswerkplek waar de firewall ook niet bekend of beheert is.

Als het risico gelijk is en je past een maatregel wel toe op kantoor maar niet op een andere locatie zonder tegenmaatregelen dan is je beveiligingsbeleid en implementatie niet gebalanceerd. Dus, welk risico wil je met een IPS/IDS afdichten, en is een centrale locatie afhankelijk appliance dan wel doelmatig of zijn er andere maatregelen die effectiever zijn?

Misschien iets over na te denken

Het feit dat heel wat collega's uitsluitend van thuis of op locatie werken kan inderdaad leiden tot een ongebalanceerde beveiliging, daar ben ik me van bewust. Op hun devices zal het vooral softwarematige beveiliging zijn.

[cdr]

Frogmen schreef op woensdag 7 januari 2026 @ 09:42:
Een punt wat je zijdelings noemt is eigenlijk je allergrootste risico. Dat is die NAS, die moet je goed beveiligen etc. Waarom niet in de cloud? Kijk eens op Techsoup of jullie niet gebruik kunnen maken van gratis of goedkope licenties. Want als die NAS jullie data bevat en ook van buitenaf te bereiken is dan heb je nog wel een uitdaging te gaan.

Onze gegevens staan in de cloud. De NAS dient enkel voor back-ups.

[laurens0619]

Wat is het doel?

Wil je compliant worden aan je framework?
Wil je veiliger worden?

Waarschijnlijk gaat het antwoord beide zijn maar ik ben bang dat dat niet realistisch is zonder er significant geld/personeel tegenaan te gooien.

[Frogmen]

Oke gezien deze informatie zou ik investeren in een goede config van de Windows safety omgeving en training om phising te herkennen. Zeker in een kleine organisatie die met iedereen vaak moet kunnen communiceren en samenwerken geeft een zware beveiliging zoveel onrust en ongemak dat je dat niet gaat redden om te handhaven. Bedenk wel dat mensen vooral hun werk moeten kunnen doen, iets wat soms wel eens vergeten wordt in de drive naar veiligheid.

[F_J_K]

Firewall/IDS/IPS op netwerkniveau: IDS heeft geen zin als er niemand is om (ook na 17u) de detectie op te volgen. Ik denk nu te lezen dat er een pentest / security audit is geweest waar een lijst adviezen uit voort kwam. Zo'n rapport wil je altijd spiegelen aan wat jij als organisatie kan en wat jullie zelf aan daadwerkelijke dreiging zien. Bijv. voor jullie active-active uitwijk waarschijnlijk heel veel minder belangrijk dan dat jullie data niet kan worden 'gejat'.

Voor een advies een IDS/IPS te nemen kan je waarschijnlijk prima in een alinea uitleggen waarom dat advies niet gaat worden opgevolgd. Risico accepteren wegens budget (in euro en uren) kan soms een goede keuze zijn. In een adviesrapport schrijven dat een Rolls Royce nodig is, is makkelijker dan die kopen en onderhouden.

Ze heb ik uit mijn meest recente pentest ook een lijstje 'wont fix wegens reden X/Y/Z', 'plannen we in kwartaalX want nu geen tijd', etc. naast de hoge prio dingen die nu moeten en de laaghangend fruit dingen die nu moeiteloos kunnen.

Ultieme beveiliging bestaat niet, het is altijd een risicoafweging.

Wel goed om een externe te hebben laten meedenken.

cdr schreef op woensdag 7 januari 2026 @ 09:44:
Onze gegevens staan in de cloud. De NAS dient enkel voor back-ups.

NAS is backup van de data die in de cloud staat? Verstandig om dat inderdaad op een ander medium te doen. Hier is wel een soort-van segmentatie aan de orde: geen van de laptops hoeft dan de NAS te kunnen bereiken, blokkeer alle verkeer van en naar de NAS met de laptops en printers.

[cdr]

F_J_K schreef op woensdag 7 januari 2026 @ 11:04:
Firewall/IDS/IPS op netwerkniveau: IDS heeft geen zin als er niemand is om (ook na 17u) de detectie op te volgen. Ik denk nu te lezen dat er een pentest / security audit is geweest waar een lijst adviezen uit voort kwam. Zo'n rapport wil je altijd spiegelen aan wat jij als organisatie kan en wat jullie zelf aan daadwerkelijke dreiging zien. Bijv. voor jullie active-active uitwijk waarschijnlijk heel veel minder belangrijk dan dat jullie data niet kan worden 'gejat'.

Voor een advies een IDS/IPS te nemen kan je waarschijnlijk prima in een alinea uitleggen waarom dat advies niet gaat worden opgevolgd. Risico accepteren wegens budget (in euro en uren) kan soms een goede keuze zijn. In een adviesrapport schrijven dat een Rolls Royce nodig is, is makkelijker dan die kopen en onderhouden.

Ze heb ik uit mijn meest recente pentest ook een lijstje 'wont fix wegens reden X/Y/Z', 'plannen we in kwartaalX want nu geen tijd', etc. naast de hoge prio dingen die nu moeten en de laaghangend fruit dingen die nu moeiteloos kunnen.

Ultieme beveiliging bestaat niet, het is altijd een risicoafweging.

Wel goed om een externe te hebben laten meedenken.


[...]

NAS is backup van de data die in de cloud staat? Verstandig om dat inderdaad op een ander medium te doen. Hier is wel een soort-van segmentatie aan de orde: geen van de laptops hoeft dan de NAS te kunnen bereiken, blokkeer alle verkeer van en naar de NAS met de laptops en printers.

Van onze clouddata hebben we een sync en een back-up op de NAS en ook nog een offline back-up in een andere cloud.
De NAS bevat ook nog een map waarin de scans van de copier komen, dus ik kan hem niet helemaal dichtzetten.

[cdr]

Ik wou nog even alle bijdragers bedanken voor de zinvolle reacties en het gezond verstand.
Ik onthou vooral:
[list]
• dat we het zo eenvoudig mogelijk gaan houden
• dat we een aantal dingen gaan verbeteren met andere endpoint beveiligingssoftware
• dat we niet per se alle aanbevelingen uit de risico-analyse op korte termijn gaan uitvoeren
• dat een firewall/IDPS momenteel voor ons overkill en niet haalbaar/zinvol is omwille van gebrek aan budget en expertise
• dat we nog meer gaan inzetten op security awareness en best practices bij de collega's

Thanks!