Technische handleiding

Beveiligde externe toegang tot PLC’s — Siemens S7, Schneider, Allen-Bradley

Beveilig de toegang op afstand tot Siemens S7-, Schneider- en Allen-Bradley-PLC’s met een industrieel VPN, MFA, IT/OT-segmentatie en auditlogs.

Toegang op afstand tot een Siemens S7-, Schneider Electric Modicon- of Rockwell Allen-Bradley-PLC is onmisbaar geworden voor het diagnosticeren van een storing, het aanpassen van een programma, het ondersteunen van een klant of het onderhouden van een productielijn. Maar een slecht ontworpen toegang op afstand kan ook een directe toegangspoort tot het OT-netwerk worden. Het doel is dus niet alleen om “verbinding te maken met de PLC”, maar om tijdelijke, geauthenticeerde, gesegmenteerde, gelogde en door de industriële locatie controleerbare toegang te bieden.

Het probleem van toegang op afstand tot PLC’s​

In veel industriële omgevingen is de toegang op afstand tot PLC’s in de loop der tijd machine voor machine toegevoegd, vaak om een spoedeisende onderhoudssituatie op te lossen. Het resultaat is zelden uniform: een 4G-modem van de fabrikant, een lokale VPN-router, een blootgestelde RDP-sessie, een gedeeld account, een bewakingsstation dat als tussenstation wordt gebruikt, of permanente toegang die ‘voor het geval dat’ actief is gelaten.

Deze praktijken brengen een aantal grote risico’s met zich mee.

  • RDP-, VNC- of VPN-configuraties die via het internet toegankelijk zijn, vormen een belangrijk doelwit voor ransomwarecampagnes die gericht zijn op industriële locaties.

  • Machinefabrikanten beschikken soms per apparaat over hun eigen 3G-, 4G- of 5G-toegang, wat terugkerende kosten met zich meebrengt en waarbij de exploitant slechts beperkt toezicht kan uitoefenen.

  • De rechten worden zelden door een technicus beheerd: er wordt één wachtwoord gedeeld tussen automatiseringsspecialisten, integrators, onderaannemers en interne teams.

  • De traceerbaarheid is ontoereikend: bij een incident is het moeilijk om aan te tonen wie er inlogde, wanneer, op welke computer en voor hoe lang.

  • De scheiding tussen IT en OT wordt verzwakt wanneer via externe toegang meer bronnen bereikbaar zijn dan nodig is.

  • Productieteams hebben vaak geen realtime inzicht in de actieve verbindingen.

Een veilige industriële toegang op afstand moet deze problemen oplossen zonder de reeds gebruikte bedrijfsapplicaties te verstoren: TIA Portal, STEP 7, EcoStruxure Control Expert, Unity Pro, Studio 5000 Logix Designer, FactoryTalk, OPC UA-clients, netwerkdiagnosetools of ingebouwde webinterfaces.

Waarom een klassieke VPN niet altijd volstaat​

Een traditionele bedrijfs-VPN is vaak bedoeld om een gebruiker verbinding te laten maken met het informatiesysteem. In een OT-context ligt de uitdaging anders: er moet toegang worden verleend tot een specifiek gebied, voor een beperkte tijd, met strikte regels inzake apparatuur, protocollen en geautoriseerde gebruikers.

Een te breed opgezet VPN kan toegang verlenen tot complete subnetten, terwijl de technicus slechts één PLC, één HMI en één bewakingsserver nodig heeft. Dit model vergroot het aanvalsoppervlak en bemoeilijkt het onderzoek na een incident.

AanpakVoordeelBeperking in OT-omgeving
RDP naar een lokale werkstationEenvoudig te implementerenHoog risico bij blootstelling, afhankelijk van het werkstation, beperkte traceerbaarheid
4G-modem per machineOnafhankelijk van het klantnetwerkVerspreide toegang, meervoudige kosten, moeilijke monitoring
Algemeen bedrijfs-VPNGecentraliseerd IT-beheerToegang vaak te breed voor OT
Speciale industriële gatewayFijne segmentatie, logboeken, lokale controleVereist vanaf het begin een eigen architectuur

De juiste aanpak bestaat erin een gecontroleerde gateway tussen de externe gebruiker en het industriële netwerk te plaatsen en vervolgens het principe van minimale rechten toe te passen.

Aanbevolen architectuur voor een beveiligde PLC-toegang​

Een robuuste architectuur is gebaseerd op drie duidelijk gescheiden zones: de externe gebruiker, de beveiligde toegangszone en het OT-netwerk. De gateway mag niet louter een transparante tunnel zijn; hij moet toegangsregels toepassen, logbestanden genereren en ervoor zorgen dat de locatie de controle over de verbindingen behoudt.

Door deze scheiding kunnen onderhoud op afstand en de eisen op het gebied van industriële cyberbeveiliging met elkaar worden verzoend. De technicus werkt met zijn gebruikelijke tools, maar krijgt alleen de expliciet toegestane bronnen te zien.

Typische toepassingen​

Toegang op afstand via automatisering is van toepassing op verschillende operationele scenario’s, die elk hun eigen beperkingen hebben.

Onderhoud van een Siemens S7-besturingsautomaat​

Voor de Siemens S7-1200 en S7-1500 maken automatiseringsspecialisten doorgaans gebruik van TIA Portal. De toegang kan dienen voor het downloaden van een programma, het raadplegen van blokken, het uitvoeren van een diagnose van een CPU, het analyseren van een I/O-module of het bewaken van een PROFINET-communicatie.

De datastromen moeten worden beperkt tot de betreffende PLC’s en de strikt noodzakelijke werkstations. Het wordt aanbevolen om niet het gehele industriële VLAN te openen als er slechts één CPU moet worden bereikt.

Voorbeelden van bronnen die naar behoefte moeten worden toegestaan:

  • Siemens S7-1200- of S7-1500-CPU.

  • Siemens Comfort Panel of Unified Panel (gebruikersinterface).

  • Lokale engineering-server, alleen als het project niet vanaf de externe werkplek kan worden geopend.

  • IP-adres voor netwerkdiagnose, indien een PROFINET-analyse nodig is.

Onderhoud aan Schneider M340 of M580​

De Schneider Modicon M340- en M580-PLC’s worden in oudere installaties vaak onderhouden met EcoStruxure Control Expert of Unity Pro. Toegang op afstand kan worden gebruikt om de status van een PLC af te lezen, de redundantie te controleren, de Modbus/TCP-communicatie te verifiëren of de proceslogica aan te passen.

Het is belangrijk om onderscheid te maken tussen toegang tot de PLC en toegang tot de rest van het industriële netwerk. Een dienstverlener die werkzaamheden uitvoert aan een bepaalde lijn, mag zonder uitdrukkelijke toestemming geen toegang krijgen tot de apparatuur van een andere lijn.

Diagnose van Allen-Bradley ControlLogix of CompactLogix​

Binnen het Rockwell Automation-ecosysteem worden interventies vaak uitgevoerd via Studio 5000 Logix Designer, RSLinx Classic, FactoryTalk of EtherNet/IP-diagnosetools. De architecturen kunnen bestaan uit ControlLogix-, CompactLogix- en PanelView-controllers, PowerFlex-frequentieregelaars en externe I/O-modules.

Bij toegang op afstand moet rekening worden gehouden met de netwerkdetectie die door bepaalde tools wordt gebruikt. Waar mogelijk is het beter om expliciete paden naar de apparaten te configureren in plaats van een te brede detectie toe te staan.

Onze aanpak​

De aanpak van Eziwan bestaat erin de verspreide toegangspunten te vervangen door één enkele gateway, die wordt beheerd en gecontroleerd. Deze gateway bestrijkt het OT-netwerk van de locatie of een specifiek industriegebied, afhankelijk van de gekozen segmentatie.

  • Vervanging van merkgebonden 4G-modems door apparatuur: één enkele Eziwan-gateway kan meerdere besturingsautomaten, HMI’s en industriële apparaten bedienen.

  • Beveiligde verbindingen: de toegang verloopt via een versleutelde VPN-tunnel, met sterke authenticatie en gebruikersspecifieke rechten.

  • Controle op basis van rol: een automatiseerder van Siemens, een integrator van Schneider en een dienstverlener van Rockwell kunnen verschillende bevoegdheden hebben.

  • Bewijsstukken in geval van een geschil: de sessies worden vastgelegd in logbestanden met tijdstempels, die nuttig zijn voor audits, incidentanalyse en interne naleving.

  • Meldingen bij het inloggen: de locatiemanager kan een melding ontvangen wanneer een technicus of een dienstverlener inlogt op een PLC.

  • Verkleining van het aanvalsoppervlak: er hoeft geen RDP of automatiseringsdienst rechtstreeks op het internet te worden blootgesteld.

Deze aanpak sluit naadloos aan bij een strategie voor industriële connectiviteit en kan steunen op gecentraliseerd toezicht in de Eziwan-cloud, zonder dat het OT-netwerk wordt omgevormd tot een open uitbreiding van het informatiesysteem.

Het principe van het minste voorrecht toegepast op de OT​

Het principe van minimale rechten is eenvoudig te formuleren: een gebruiker mag alleen toegang hebben tot de benodigde middelen, op het moment dat dat nodig is, met het vereiste bevoegdheidsniveau. In OT moet dit principe worden vertaald in concrete regels.

Te controleren puntGoede praktijkVoorbeeld
GebruikerAccount op naamprenom.nom@entreprise.fr
DuurTijdelijk beperkte sessieToegang toegestaan tijdens een geplande interventie
NetwerkbereikBeperkt tot IP of subnetAlleen toegang tot 192.168.10.20
ProtocolStrikt noodzakelijke poortenPLC-engineering, HTTPS HMI, OPC UA indien nodig
ValidatieLokale goedkeuring of interne procedureToegang verlenen door de onderhoudsverantwoordelijke
LogboekregistratieGecentraliseerde logboekenTijdstip, gebruiker, bestemming, duur

Door deze gedetailleerde aanpak wordt de valkuil van het „universele VPN“ vermeden, dat technisch weliswaar werkt, maar het industriële netwerk te veel blootstelt.

Voorbeeld van een toegangsbeleid​

Een toegangsbeleid kan eenvoudig worden beschreven voordat het in de gateway wordt geïmplementeerd. Het is belangrijk om elk recht te koppelen aan een concreet gebruiksscenario.

profils:
  automaticien_siemens:
    utilisateurs:
      - technicien.siemens@example.com
    ressources:
      - nom: CPU_S7_1500_Ligne_1
        ip: 192.168.10.20
        protocoles:
          - tia_portal
      - nom: IHM_Ligne_1
        ip: 192.168.10.30
        protocoles:
          - https
    duree_session: 4h
    journalisation: obligatoire

  prestataire_schneider:
    utilisateurs:
      - support.machine@example.com
    ressources:
      - nom: M580_Process
        ip: 192.168.20.15
        protocoles:
          - control_expert
          - modbus_tcp
    validation_site: obligatoire
    journalisation: obligatoire

Dit soort model maakt de toegang begrijpelijk voor de IT-, OT- en onderhoudsteams. Het voorkomt impliciete regels die moeilijk te controleren zijn.

Verloop van een onderhoudssessie op afstand​

Een beveiligde sessie moet een duidelijke cyclus volgen: aanvraag, validatie, verbinding, bewerking, logboekregistratie, afsluiting. Deze cyclus is net zo belangrijk als de versleuteling van de tunnel.

Deze werkwijze biedt de site een operationeel overzicht: wie grijpt in, waar en hoe lang.

IT/OT-segmentatie: het kritieke controlepunt​

De IT/OT-segmentatie is een van de pijlers van de industriële cyberbeveiliging. Deze beperkt de verspreiding van een incident tussen het informatiesysteem en de productieomgeving.

Een beveiligde automatische toegang op afstand moet aan deze segmentatie voldoen.

  • De VPN-tunnel mag geen algemene route naar het gehele OT-netwerk tot stand brengen.

  • De datastromen moeten worden gefilterd op bestemming, protocol en gebruiker.

  • De toegangen voor dienstverleners moeten gescheiden zijn van de interne toegangen.

  • Verbindingen moeten snel kunnen worden beëindigd.

  • De logbestanden moeten worden bewaard op een locatie die niet door de externe gebruiker kan worden gewijzigd.

Deze aanpak sluit aan bij de aanbevolen beste praktijken voor ‘defence in depth’ in de richtlijnen voor industriële cyberbeveiliging, met name de handleidingen van de ANSSI en de principes van de norm IEC 62443. Zonder te beweren dat dit een volledige risicoanalyse vervangt, biedt het een concrete basis om de blootstelling te verminderen.

Industriële protocollen en aandachtspunten​

PLC-ontwerptools maken gebruik van verschillende protocollen, afhankelijk van het merk en de generatie van de apparatuur. Te algemene regels moeten daarom worden vermeden.

EcosysteemVeelgebruikte hulpmiddelenAandachtspunten
Siemens S7TIA Portal, STEP 7Routing naar CPU, HMI, PROFINET-diagnose
Schneider ElectricControl Expert, Unity ProToegang tot Modicon M340/M580, Modbus/TCP, redundantie
Rockwell AutomationStudio 5000, RSLinx, FactoryTalkEtherNet/IP-paden, netwerkdetectie, PanelView
SupervisieSCADA, OPC UA, webinterfacesApplicatiepoorten, certificaten, applicatieaccounts
NetwerkPing, SNMP, gerichte scanAlleen noodzakelijke diagnostiek toestaan

Automatische detectiestreams kunnen handig zijn, maar ze kunnen ook de toegang onnodig verruimen. Geef waar mogelijk de voorkeur aan vaste IP-adressen, expliciete paden en gedocumenteerde regels.

Auditlogs: wat er moet worden vastgelegd​

Logboekregistratie is essentieel voor de bedrijfsvoering, de veiligheid en als bewijs in geval van een geschil. Een bruikbaar logboek beperkt zich niet tot de melding „verbinding tot stand gebracht“.

Een goed toegangslogboek moet minimaal het volgende bevatten:

  • De naam van de gebruiker.

  • Het bedrijf of de bijbehorende functie.

  • Het begin- en eindtijdstip van de sessie.

  • Het bron-IP-adres en de OT-bron die is bereikt.

  • De geldende toegangsregels.

  • De meldingen die naar de website worden verzonden.

  • Verbindingsfouten of afgewezen pogingen.

  • Het ticketnummer of het nummer van de serviceaanvraag, indien de organisatie hiervan gebruikmaakt.

Het doel is niet om de inhoud van elke PLC-actie te controleren, maar om over een betrouwbaar bewijs van de verbindingscontext te beschikken.

Veelvoorkomende fouten die je moet vermijden​

Bepaalde fouten komen vaak voor in OT-projecten voor toegang op afstand.

Een Windows-werkstation via RDP beschikbaar maken​

Een Windows-computer die als tussenstation wordt gebruikt, lijkt misschien handig. Maar als deze direct toegankelijk is of slecht beveiligd, wordt hij een voor de hand liggend doelwit. Zelfs als hij via een VPN wordt beveiligd, moet je rekening houden met updates, lokale accounts, beheerdersrechten, logbestanden en het risico dat er een doorsturing naar andere gebieden plaatsvindt.

Een VPN-account delen met meerdere technici​

Een gedeeld account maakt traceerbaarheid onmogelijk. Het is dan onmogelijk om te achterhalen wie een ingreep heeft uitgevoerd. In geval van een fout in het PLC-programma, een ongeoorloofde wijziging of een contractueel geschil vormt dit gebrek aan naamsvermelding een groot probleem.

De toegangen altijd open laten​

Permanente toegang verhoogt het risico op misbruik of inbreuken. Toegang moet worden verleend voor een specifieke ingreep en daarna weer worden ingetrokken. Wanneer permanente toegang gerechtvaardigd is, moet dit worden gecompenseerd door strengere regels, verscherpt toezicht en regelmatige evaluatie.

Het volledige OT-subnet toestaan​

Het is zelden nodig om 192.168.0.0/16 of een volledig VLAN toe te staan voor een gerichte ingreep. De regel moet worden afgestemd op de behoefte: welke PLC, welke HMI, welke server, welk protocol, voor hoe lang.

Goede praktijken bij de implementatie​

Samen met de teams van onderhoud, automatisering, IT en cyberbeveiliging wordt er gewerkt aan een project voor beveiligde PLC-toegang op afstand. Technologie alleen is niet voldoende als het bedrijfsmodel onduidelijk blijft.

  • De betreffende PLC’s, HMI’s, frequentieregelaars, SCADA-servers en netwerkapparatuur in kaart brengen.

  • Toegangsrechten indelen per profiel: interne automatiseerder, machinebouwer, systeemintegrator, ondersteuning door de softwareontwikkelaar, onderhoud op meerdere locaties.

  • Stel de regels per bron in in plaats van voor het hele netwerk.

  • Multifactorauthenticatie instellen voor externe accounts.

  • Zorg voor een gedocumenteerde noodprocedure, met een beperkte looptijd en, indien nodig, validatie achteraf.

  • De daadwerkelijke bedrijfsapplicaties testen: TIA Portal, Control Expert, Studio 5000, webclients, supervisiesystemen.

  • Controleer of de logbestanden bruikbaar zijn voor de betrokken teams.

  • De rekeningen van dienstverleners regelmatig controleren en de rekeningen verwijderen die niet meer nodig zijn.

Voorbeeld van een checklist vóór de ingebruikname​

Voordat de toegang op afstand tot de PLC’s wordt geopend, kan met een eenvoudige controle worden voorkomen dat er blinde vlekken ontstaan.

ControleTe controleren puntVerwachte status
IdentiteitHeeft elke technicus een account op naam?Verplicht
MFAIs sterke authenticatie ingeschakeld?Verplicht
ToegangsbereikZijn de toegestane IP-adressen gedocumenteerd?Verplicht
DuurZijn de sessies beperkt?Aanbevolen
LogboekenZijn de verbindingen voorzien van een tijdstempel?Verplicht
MeldingWordt de site op de hoogte gebracht van aanmeldingen?Aanbevolen
IntrekkingKan de toegang snel worden geblokkeerd?Verplicht
FunctietestWerken de automatiseringstools daadwerkelijk?Verplicht

Deze checklist moet worden aangepast aan de kriticiteit van de locatie, maar biedt een praktische basis om mee te beginnen.

Integratie met een industriële Zero Trust-strategie​

Zero Trust toegepast op OT betekent niet dat alle onderhoud op afstand wordt geblokkeerd. Het betekent dat elke toegang moet worden gecontroleerd, beperkt en traceerbaar moet zijn. Het netwerk wordt niet langer standaard als betrouwbaar beschouwd, louter omdat een gebruiker een VPN heeft geopend.

In het kader van een industriële zero-trust-benadering:

  • De identiteit van de gebruiker wordt bij elke toegang gecontroleerd.

  • Er wordt rekening gehouden met de verbindingscontext.

  • De rechten worden zo strikt mogelijk toegekend.

  • De sessies worden geregistreerd.

  • De toegangen worden regelmatig gecontroleerd.

  • De uitzonderingen zijn gedocumenteerd.

Deze aanpak is bijzonder geschikt voor omgevingen met meerdere dienstverleners, speciale machines, afgelegen locaties en organisaties die moeten aantonen dat ze de toegang tot OT onder controle hebben.

Wanneer moet je een gateway per locatie of per zone gebruiken?​

Eén gateway kan meerdere apparaten bedienen, maar vereenvoudiging mag niet worden verward met overmatige centralisatie. De juiste indeling hangt af van de industriële architectuur.

Eén gateway per locatie is geschikt wanneer de lijnen tot dezelfde OT-zone behoren en de toegangsregels eenvoudig te onderhouden blijven. Eén gateway per zone verdient de voorkeur wanneer de kriticiteitsniveaus verschillen, bijvoorbeeld tussen een verpakkingslijn, een kritieke proceszone en een afgezonderde robotcel.

Het belangrijkste selectiecriterium is de operationele beheersbaarheid: de architectuur moet begrijpelijk blijven voor de teams die ermee werken.

Conclusie​

Toegang op afstand tot PLC’s is niet langer een luxe die alleen voor machinebouwers is weggelegd: het is een operationele noodzaak om de responstijden te verkorten, productielijnen te beveiligen en industriële apparatuur te onderhouden die verspreid is over meerdere locaties. Maar dit moet worden opgevat als een gevoelige OT-toegang, niet als een eenvoudig, generiek VPN.

Een architectuur op basis van een industriële gateway, op naam gestelde accounts, sterke authenticatie, gedetailleerde segmentatie en auditlogs maakt het mogelijk om automatiseerders te verbinden met Siemens S7-, Schneider M340/M580- of Allen-Bradley-PLC’s, zonder het industriële netwerk onnodig bloot te stellen. Voor meer informatie kunt u de Eziwan-oplossingen bekijken die zijn gericht op de industriële gateway, de beveiligde cloud en OT-connectiviteit.

Meer informatie​

Veelgestelde vragen

Zie ook