Een apparaat op een publiek IP-adres beveiligen

Een vast publiek IP-adres maakt een apparaat overal vandaan bereikbaar, en daar gaat het ook om: je bekijkt de camera of beheert de router vanaf je bureau. Het betekent ook dat geautomatiseerde scanners het vinden, meestal binnen een paar uur. Een apparaat op een publiek adres moet je beveiligen voordat het live gaat, niet erna.

Waarom dit bij mobiele data extra telt

Elke ThingSIM heeft standaard een privé-IP-adres, dat niets op internet kan bereiken. Voeg je een vast publiek IP-adres toe (€ 9,49 per maand per simkaart), dan haal je die bescherming bewust weg. Vanaf dat moment staat alleen de beveiliging van het apparaat zelf nog tussen het apparaat en internet.

De checklist

Loop dit voor elk apparaat door voordat het een publiek adres krijgt:

1. Wijzig standaardwachtwoorden. Standaard gebruikersnamen en wachtwoorden van camera's en routers zijn openbaar en worden voortdurend geprobeerd. Gebruik voor elk apparaat een lang, uniek wachtwoord.
2. Werk de firmware bij. Installeer de nieuwste firmware van de fabrikant en zet automatische updates aan als het apparaat die biedt.
3. Sluit wat je niet nodig hebt. Zet diensten uit die je niet gebruikt, zoals oude webinterfaces, Telnet of UPnP, en stuur alleen de poorten door die je nodig hebt.
4. Stel de beheerpagina nooit open. Houd de beheerinterface van de router of het apparaat waar mogelijk weg van het publieke adres.
5. Beperk wie verbinding mag maken. Kan het apparaat of de router toegang beperken tot bepaalde bronadressen, zoals je kantoor, gebruik dat dan.
6. Kies voor versleutelde toegang. Gebruik HTTPS of de beveiligde app van de fabrikant in plaats van onversleutelde web- of videopoorten.
7. Houd de data in de gaten. Een gehackt apparaat valt vaak op door onverwacht dataverbruik. Verbruiksmeldingen in het portaal of de verbruikswebhooks signaleren dat; zie verbruikswebhooks.

Weet wanneer je geen publiek IP-adres gebruikt

Een publiek adres is het juiste middel voor een of twee apparaten waarmee je zelf verbinding maakt. Voor alles wat niet blootgesteld mag worden, zoals pinautomaten, alarmoverdragers en vloten die een backoffice beheert, is een privénetwerk de betere opzet: een private APN houdt apparaten onbereikbaar vanaf internet, en met een IPsec-VPN bereiken je systemen ze via een privéverbinding. De vergelijkingsgids helpt je kiezen.

Als er iets niet klopt

Gebruikt een apparaat ineens veel meer data dan normaal, of gedraagt het zich vreemd, haal het dan eerst van het publieke adres af en zoek het daarna uit. Je kunt de simkaart direct in het portaal pauzeren, zodat hij geen data meer doorgeeft terwijl je het apparaat controleert, en het vaste IP-adres verwijderen als je het niet meer nodig hebt.

Veelgestelde vragen

Is een apparaat op een vast publiek IP-adres veilig?

Zo veilig als zijn eigen beveiliging. Wijzig standaardwachtwoorden, werk de firmware bij, sluit ongebruikte diensten en beperk de toegang voordat het live gaat.

Wat is de veiligste manier om apparaten op afstand te bereiken?

Houd ze van internet af met een private APN, een IPsec-VPN of cloud interconnect, zodat je systemen ze via een privéverbinding bereiken en niets blootgesteld is.

Hoe herken ik een gehackt apparaat?

Onverwacht dataverbruik is een veelvoorkomend teken. Stel verbruiksmeldingen in het portaal in of abonneer je op de verbruikswebhooks, zodat een plotselinge stijging wordt gesignaleerd.