Bastion Host

Wat is een bastion host?

Een bastion host is een speciaal geharde server op de grens van een netwerk die als enige gecontroleerde toegangspoort dient tussen een onvertrouwd netwerk, zoals internet of het kantoornetwerk (IT), en een beschermd netwerk, zoals een OT-omgeving. Omdat de bastion host bewust aan het onvertrouwde netwerk wordt blootgesteld, draait hij zo min mogelijk software, is hij streng geconfigureerd en wordt alles wat er gebeurt gelogd. In industriële omgevingen voorkomt een bastion host dat beheerders of leveranciers rechtstreeks verbinding maken met een PLC, een SCADA-server of een engineering station vanuit een minder vertrouwde zone.

🧠 Waar komt de term bastion host vandaan?

Een bastion is in de vestingbouw het vooruitstekende bolwerk dat de eerste aanval opvangt en daarom extra sterk is gebouwd. De netwerkterm wordt toegeschreven aan Marcus J. Ranum, die in 1990 in een artikel over firewalls een bastion host omschreef als een systeem dat de firewallbeheerder aanwijst als een kritiek sterk punt in de netwerkbeveiliging.

In de oorspronkelijke betekenis is een bastion host dus elk systeem dat bewust bereikbaar is vanaf een onvertrouwd netwerk: een webserver, mailserver, DNS-server, proxy of VPN-concentrator in de DMZ. Tegenwoordig gebruiken de meeste mensen de term in engere zin: een beheertoegangspunt waarlangs beheerders via SSH of RDP in een afgeschermd netwerk komen. In die betekenis overlapt bastion host vrijwel volledig met jump server.

🔧 Hoe werkt een bastion host?

Een typische beheersessie via een bastion host verloopt in vijf stappen:

1. Verbinding maken - de gebruiker maakt verbinding met de bastion host via SSH (poort 22), RDP (poort 3389) of een webinterface over HTTPS (poort 443). Vaak ligt er nog een VPN-gateway voor.
2. Authenticatie - de gebruiker logt in met een persoonlijk account en MFA; gedeelde accounts zijn niet toegestaan.
3. Autorisatie - via toegangscontrole op basis van RBAC en least privilege bepaalt de bastion host welke doelsystemen en protocollen deze gebruiker mag benaderen, eventueel alleen binnen een goedgekeurd tijdvenster.
4. Doorverbinden - de bastion host opent de sessie naar het doelsysteem namens de gebruiker. De firewall laat alleen verkeer van de bastion host naar dat doelsysteem toe.
5. Registratie - de sessie wordt gelogd, vaak opgenomen met session recording en doorgestuurd naar een SIEM. Na inactiviteit of afloop van het tijdvenster wordt de sessie verbroken.

Denk aan een bastion host als een digitale beveiligingssluis: wie naar binnen wil, gaat altijd door dezelfde deur, wordt gecontroleerd en laat sporen na.

🔄 Wat is het verschil tussen een bastion host en een jump server?

In de praktijk worden beide termen vaak als synoniemen gebruikt. Het verschil zit vooral in de reikwijdte van het begrip.

Belangrijk: een goed ingerichte jump server is een bastion host. Logging is bij geen van beide optioneel. Het oude idee dat een jump server minder streng beveiligd hoeft te worden, klopt niet.

🏭 Hoe wordt een bastion host in OT-netwerken gebruikt?

In industriële netwerken volgens het Purdue Model staat de bastion host meestal in de IDMZ, op niveau 3.5 tussen het bedrijfsnetwerk en de besturingsnetwerken. Veel voorkomende toepassingen:

• Toegang op afstand voor leveranciers - een machinebouwer logt eerst in op de bastion host en krijgt pas daarna een sessie naar zijn eigen installatie, gekoppeld aan een werkvergunning of change.
• Beheer door interne engineers - vanaf de kantoorwerkplek naar een engineering station of HMI in de productieomgeving, zonder dat er een directe route bestaat.
• Onderhoud op afstand - storingsdiagnose buiten kantoortijd, met goedkeuring door de dienstdoende operator.
• Bestandsoverdracht - gecontroleerd uitwisselen van PLC-programma’s of patches, met een virusscan op de bastion host.
• Toezicht - sessielogs en opnames voeden anomaliedetectie en incidentonderzoek.

Grotere installaties werken vaak met twee niveaus: een bastion host in de IDMZ voor toegang vanuit IT, en een jump host of engineering station in de OT-zone met de zware engineeringsoftware. Zo ontstaat defense in depth.

🔐 Hoe beveiligt u een bastion host?

Omdat de bastion host het eerste doelwit van een aanvaller is, verdient hij meer aandacht dan elke andere server. De tabel koppelt de belangrijkste maatregelen aan de systeemeisen (SR’s) uit IEC 62443-3-3.

Aanvullend: zet geen engineeringsoftware, e-mail of browser op een bastion host die direct aan internet hangt, en voeg hem niet zomaar toe aan het Active Directory-domein van kantoor. Een gecompromitteerd domein geeft anders direct toegang tot de toegangspoort zelf.

🧭 Hoe richt u een bastion host stap voor stap in?

1. Inventariseer toegangsbehoeften - welke gebruikers en leveranciers hebben toegang nodig, tot welke systemen en hoe vaak?
2. Bepaal de plaats - meestal de IDMZ, met een firewall naar IT en een firewall naar OT, conform netwerksegmentatie volgens IEC 62443.
3. Kies de technologie - een geharde Linux- of Windows-server, een open-sourcegateway zoals Apache Guacamole (RDP, SSH en VNC via de browser), of een PAM-oplossing met ingebouwde bastionfunctie, zoals WALLIX Bastion.
4. Richt identiteit en rechten in - MFA, rolgebaseerde rechten, tijdelijke accounts voor leveranciers en wachtwoordkluizen die inloggegevens injecteren.
5. Regel logging en opname - koppel aan het SIEM en bewaar opnames lang genoeg voor incidentonderzoek.
6. Test en evalueer - controleer periodiek of er geen omwegen naast de bastion host bestaan, zoals vergeten modems of remote-supporttools van leveranciers.

Cloud. In cloudomgevingen bestaan beheerde varianten. Azure Bastion biedt RDP- en SSH-toegang via TLS op poort 443, zodat virtuele machines geen publiek IP-adres nodig hebben; sessie-opname zit in de Premium-variant.

Nederlandse context. Organisaties die onder NIS2 en de Cyberbeveiligingswet vallen (van kracht sinds 15 augustus 2026) moeten passende maatregelen nemen voor toegangsbeheer en multifactorauthenticatie. Een bastion host met MFA en sessielogging is een concrete manier om dat voor beheer- en leverancierstoegang aan te tonen, ook richting compliance en audits. Zie ook Supplier Security voor de afspraken met leveranciers.

❓ Veelgestelde vragen

Is een bastion host hetzelfde als een firewall?

Nee, een bastion host is een geharde server, terwijl een firewall verkeer filtert op basis van regels. Ze werken wel samen: de firewall zorgt dat alleen de bastion host verbinding mag maken met het beschermde netwerk, en de bastion host controleert en registreert wie die verbinding gebruikt.

Waar plaatst u een bastion host in een OT-netwerk?

Een bastion host voor OT-toegang staat meestal in de IDMZ, op niveau 3.5 van het Purdue Model, tussen twee firewalls. Zo bestaat er geen directe route van het kantoornetwerk of internet naar de besturingssystemen.

Heeft een bastion host altijd MFA nodig?

Een bastion host die bereikbaar is vanuit een onvertrouwd netwerk hoort altijd MFA te gebruiken. IEC 62443-3-3 vraagt vanaf security level 3 multifactorauthenticatie voor toegang via onvertrouwde netwerken, en NIS2 noemt multifactor- of continue authenticatie expliciet als maatregel.

Kan een bastion host een VPN vervangen?

Een bastion host kan een VPN deels vervangen, omdat hij toegang geeft tot specifieke systemen in plaats van tot een heel netwerk. In de praktijk worden ze vaak gecombineerd: de VPN geeft toegang tot de IDMZ, en de bastion host bepaalt welke OT-systemen een gebruiker mag benaderen.

Wat is Azure Bastion?

Azure Bastion is een beheerde bastion-hostdienst van Microsoft waarmee u via RDP of SSH over TLS op poort 443 verbinding maakt met virtuele machines in Azure. De virtuele machines hebben daardoor geen publiek IP-adres nodig, en in de Premium-variant kunnen sessies worden opgenomen.

Past een bastion host binnen Zero Trust?

Een bastion host kan een bouwsteen zijn van een Zero Trust-aanpak, omdat hij elke sessie controleert en registreert. Zero Trust gaat echter verder: ook na inloggen wordt toegang per verzoek beoordeeld, terwijl een klassieke bastion host vooral een vast controlepunt op de netwerkgrens is.

📌 Samengevat

Een bastion host is het geharde, goed bewaakte toegangspunt waarlangs alle beheer- en leverancierstoegang tot een beschermd OT-netwerk loopt. Met MFA, rolgebaseerde rechten, strenge firewallregels en volledige sessielogging voorkomt een bastion host directe verbindingen en versterkt hij het toegangsbeheer op één centrale plek.