Wat is een any-any-regel?
Een any-any-regel is een firewall- of toegangsregel die alle bronnen en alle bestemmingen tegelijk omvat, vaak ook alle diensten. Daarmee is het de breedst mogelijke vorm van een regel in het regelwerk. Het effect hangt af van de actie: als toestaan-regel geeft ze in één keer heel veel vrij, als afsluitende blokkeerregel vormt ze een zinvolle basishouding in de geest van Default Deny. Vooral brede toestemmingen zijn riskant, omdat ze het principe van de minste rechten ondermijnen, het aanvalsoppervlak vergroten en analyses onscherp maken. Any-any-regels ontstaan meestal als overgangsoplossing en blijven daarna onbedoeld in het regelwerk staan.
Any-any-regel in detail
De term komt uit de klassieke firewallwereld en beschrijft een regel waarvan de voorwaarden bewust open zijn gelaten: willekeurige bron, willekeurige bestemming, vaak ook willekeurige dienst. In een Zscaler-regelwerk, bijvoorbeeld in de Cloud Firewall van ZIA, is zo'n regel snel ingesteld en werkt ze meteen door op heel veel verkeer. Doorslaggevend is wat de regel doet: een brede toestemming opent in één klap, een brede blokkade aan het einde van het regelwerk vangt alles op wat geen specifiekere regel heeft geraakt.
De any-any-regel is dus niet per se slecht, maar contextafhankelijk. Ze wordt problematisch wanneer een brede toestemming permanent blijft staan en niemand meer weet waarvoor ze bedoeld was. Ook de positie telt: een brede regel hoog in de lijst kan specifiekere regels daaronder buiten werking stellen, omdat het regelwerk volgens het first-match-principe werkt.
Waarom tellen any-any-regels in de Zscaler-praktijk?
Brede toestemmingen zijn de tegenpool van Zero Trust. Hoe any-to-any-toegang als eigen kengetal meeweegt in de totaalscore, laat onze video over de configuratiescore zien. Wie toegang strak aan rollen en behoefte wil koppelen, kan een generieke any-any-toestemming nauwelijks onderbouwen. Voor de beveiliging betekent dat: meer open wegen dan iemand actief overziet. Voor het beheer betekent het: elke foutzoektocht duurt langer, omdat een brede regel veel gevallen tegelijk beïnvloedt en andere regels kan overlappen.
Op het gebied van bewijsvoering zijn any-any-regels een klassiek controlepunt. Wie volgens NIS2 of DORA moet aantonen dat toegangs- en filterpolicies het least-privilege-principe volgen, moet brede toestemmingen verklaren of afbouwen. Belangrijk daarbij is de volgorde: eerst alle any-any-regels zichtbaar maken en beoordelen, dan elke riskante toestemming stap voor stap verkleinen als losse, onderbouwde en goedgekeurde wijziging, in plaats van als verzamelactie.
Veelvoorkomende foutbronnen
- Brede toestemming als noodoplossing: een regel voor de migratie blijft staan en opent blijvend meer dan nodig.
- Verkeerde positie: een brede regel hoog in de lijst overschaduwt specifiekere regels, die daardoor nooit worden toegepast.
- Voorbarig verwijderen: wie een brede toestemming verwijdert zonder afhankelijkheidscontrole, riskeert een storing.
- Default-blokkade verward met risicoregel: een afsluitende any-any-blokkade is gewenst, een brede toestemming niet.
Any-any-regels in de praktijk: wat CentaurNexus bijdraagt
De Policy Rule Map van CentaurNexus brengt het ZIA-regelwerk grafisch in beeld en licht any-any-regels zichtbaar uit, zodat brede regels niet verdwijnen in lange lijsten. De analyse is puur lezend en verandert niets: elke bevinding blijft een voorstel, en elke aanpassing gebeurt als losse, navolgbare wijziging, optioneel goedgekeurd via het vierogenprincipe en vastgelegd in de append-only audit trail. Zo wordt van een diffuse verzameling brede regels een afhandelbaar, onderbouwd traject. Hoe zo'n regel-review stap voor stap verloopt, laat deze gids zien: Ongebruikte Zscaler-regels vinden en opruimen.
Verwante begrippen
Veelgestelde vragen over de any-any-regel
Een any-any-regel omvat alle bronnen en alle bestemmingen tegelijk, vaak ook alle diensten. Daarmee is het de breedste vorm van een firewall- of toegangsregel. Het effect hangt af van de actie: als toestaan-regel opent ze heel veel, als afsluitende blokkeerregel vormt ze een zinvolle basishouding.
Dat hangt af van de actie en de positie. Een brede toestaan-regel vergroot het aanvalsoppervlak en maakt analyses onscherp. Een any-any-blokkade aan het einde van het regelwerk is daarentegen de klassieke Default-Deny-beveiliging. Vooral brede toestemmingen die niemand meer kan onderbouwen, zijn kritiek.
Vaak door tijdsdruk: bij migraties, tests of storingen wordt een brede regel als overgangsoplossing ingesteld en later niet teruggedraaid. Ook gemak speelt een rol, wanneer een brede toestemming sneller gaat dan nette, smalle regels. Zo blijft er technische schuld staan die het eigenlijke doel aan het zicht onttrekt.
Eerst zichtbaar maken, dan beoordelen: is de regel een gewenste default-blokkade of een riskante brede toestemming? Brede toestemmingen worden stap voor stap verkleind, onderbouwd en één voor één gewijzigd, idealiter met het vierogenprincipe en vooraf een snapshot. Zo daalt het risico zonder dat een aanpassing nieuwe storingen veroorzaakt.
Least Privilege vereist dat alleen zoveel toegang wordt verleend als nodig. Een brede any-any-toestemming staat daar haaks op, omdat ze generiek opent in plaats van gericht vrij te geven. Audits volgens NIS2 of DORA letten daarom op dit soort regels: ze zijn moeilijk te onderbouwen en een klassieke bevinding bij een regelwerk-review.
- NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy - csrc.nist.gov
- BSI IT-Grundschutz, Baustein NET.3.2 Firewall - bsi.bund.de/.../NET_3_2_Firewall
- Zscaler Help Portal: ZIA Cloud Firewall Policy - help.zscaler.com
Let op: CentaurNexus is een onafhankelijk product van SourcingBlox GmbH en geen aanbod van Zscaler, Inc. Product- en merknamen behoren toe aan hun respectieve eigenaren.