Om op afstand toegang te krijgen tot een PLC, een HMI of een SCADA-systeem mag het nooit nodig zijn om een poort op het internet open te stellen. Een moderne OT-netwerkbeveiligingsarchitectuur geeft de voorkeur aan uitgaande verbindingen, versleutelde VPN-tunnels, sterke authenticatie, segmentatie en volledige logboekregistratie van toegangen. Het doel is eenvoudig: industrieel onderhoud op afstand mogelijk maken zonder het productienetwerk tot een kwetsbaar doelwit te maken.
Waarom openbare poorten gevaarlijk zijn in een OT-omgeving
Industriële netwerken werden lange tijd beschouwd als geïsoleerde omgevingen. PLC’s, frequentieregelaars, HMI’s, robots, engineeringwerkstations en SCADA-servers communiceerden via lokale netwerken, vaak zonder strenge authenticatiemechanismen, omdat men ervan uitging dat ze van buitenaf niet bereikbaar waren.
Deze aanname gaat niet langer op. Door onderhoud op afstand, toezicht op meerdere locaties, cloudverbindingen, externe integrators en de convergentie van IT en OT is het aantal toegangspunten sterk toegenomen. Wanneer een openbare poort naar industriële apparatuur wordt geopend, doen zich onmiddellijk verschillende risico’s voor:
- automatische detectie via een internetscan;
- blootstelling van RDP-, VNC-, SSH-, HTTP-, HTTPS-, Modbus TCP- of OPC UA-diensten;
- pogingen tot inloggen met zwakke of hergebruikte inloggegevens;
- misbruik van niet-gepatchte firmware;
- ontbreken van bruikbare logbestanden;
- te ruime toegang tot het OT-netwerk na compromittering;
- moeilijkheden bij het correct intrekken van de toegang van een onderaannemer;
- mogelijke verspreiding van IT naar OT bij onvoldoende segmentatie.
Het probleem is niet alleen van technische aard. Het heeft ook betrekking op naleving, exploitatieverantwoordelijkheid en het vermogen om aan te tonen wie er inlogde, wanneer, vanaf welke locatie en op welke apparatuur.
Het principe: geen inkomende openingen
De beste aanpak is om ervoor te zorgen dat er geen openbare poort hoeft te worden blootgesteld. In plaats van te wachten op een verbinding via het internet, zet de industriële gateway in de fabriek of op de externe locatie zelf een uitgaande tunnel op naar een gecontroleerde infrastructuur.
Dit model wordt vaak outbound only genoemd. Het voldoet goed aan de OT-vereisten, omdat het zelfs achter een NAT van een provider, een 4G-verbinding, een strenge firewall of een beveiligde bedrijfsverbinding werkt.
In deze architectuur publiceert het OT-netwerk niets op het internet. De tunnel wordt van binnenuit geïnitieerd, is versleuteld, geauthenticeerd en wordt gecontroleerd door middel van toegangsbeleidsregels.
Zero Trust-architectuur afgestemd op OT
Zero Trust toegepast op de industrie houdt niet in dat er klassieke IT-tools op elkaar worden gestapeld. Het gaat erom het principe van minimale rechten toe te passen in een context waarin apparatuur soms verouderd, kwetsbaar, niet te patchen of verstoken van ingebouwde authenticatie is.
Een Zero Trust OT-architectuur is gebaseerd op vier vragen:
- Wie vraagt toegang aan?
- Tot welke apparatuur?
- Voor hoe lang?
- Met welk niveau van bewijsvoering en logboekregistratie?
Een technicus hoeft geen toegang te hebben tot het gehele industriële netwerk. Een PLC-integrator kan tijdelijke toegang nodig hebben tot een specifieke PLC. Een leverancier van supervisiesystemen kan toegang nodig hebben tot een HMI of een SCADA-server, maar niet tot de frequentieregelaars, camera’s of kantoorcomputers.
tip Leidraad Toegang op afstand in een industriële omgeving mag nooit een algemene netwerktoegang zijn. Het moet een gerichte, tijdelijk geldige, gelogde en herroepbare toestemming zijn.
Vergelijking van OT-benaderingen voor toegang op afstand
Niet alle methoden voor toegang op afstand brengen hetzelfde risiconiveau met zich mee. In de volgende tabel worden de belangrijkste verschillen samengevat.
| Aanpak | Online zichtbaarheid | Traceerbaarheid | OT-risico | Aanbevolen gebruik |
|---|---|---|---|---|
| Poortdoorsturing naar PLC | Zeer hoog | Laag | Kritiek | Te vermijden |
| Openbare RDP of VNC | Zeer hoog | Variabel | Kritiek | Te vermijden |
| Algemeen VPN zonder segmentatie | Gemiddeld | Gemiddeld | Hoog | Sterk te beperken |
| Uitgaand VPN met OT-filtering | Laag | Goed | Onder controle | Aanbevolen |
| Zero Trust-toegang per apparaat | Zeer laag | Sterk | Onder controle | Aanbevolen voor kritieke locaties |
Het belangrijkste verschil zit hem in de mate van gedetailleerdheid. Een algemene VPN wekt vaak het gevoel van veiligheid omdat de tunnel versleuteld is, maar kan een te ruime toegang verlenen zodra de gebruiker is ingelogd.
OpenVPN en IPsec: de rol van de versleutelde tunnel
OpenVPN en IPsec zijn twee beproefde technologieën voor het opzetten van versleutelde tunnels. In een Eziwan-architectuur kunnen ze worden gebruikt om industriële datastromen tussen de gateway en de concentrator te transporteren, zonder dat de OT-apparatuur direct zichtbaar wordt.
De tunnel biedt verschillende voordelen:
- versleuteling van de communicatie;
- authenticatie via certificaten;
- stabiele privéadressering;
- doorlaten van verkeer door firewalls via een uitgaande verbinding;
- centralisatie van toegangsregels;
- intrekken van de toegang voor een site of een gebruiker zonder ingreep op de PLC’s.
OpenVPN wordt vaak gewaardeerd om zijn gebruiksgemak, zijn goede NAT-doorlaatbaarheid en de mogelijkheid om via TCP 443 te werken. IPsec wordt veel gebruikt in bedrijfsnetwerkinfrastructuren en kan uitstekende prestaties leveren met hardwareversnelling. De keuze hangt af van de IT-beperkingen, de centrale firewall, het beschikbare beheersniveau en het interne beleid.
Sterke authenticatie en X.509-certificaten
Gedeelde wachtwoorden vormen een van de meest voorkomende zwakke plekken bij industrieel onderhoud op afstand. Ze worden doorgegeven tussen interne teams, systeemintegrators, leveranciers en oproepdiensten. Ze worden zelden op het juiste moment gewijzigd en zijn daardoor moeilijk aan een specifieke persoon toe te wijzen.
Een gezondere architectuur is gebaseerd op individuele identiteiten:
- één certificaat per gebruiker of per apparaat;
- onafhankelijke intrekking;
- een beperkte geldigheidsduur;
- meervoudige authenticatie voor gevoelige toegangen;
- rechten die gekoppeld zijn aan een rol, een locatie, een apparaat of een tijdsperiode.
Het certificaat bevestigt de technische identiteit. MFA vermindert het risico op diefstal van een apparaat of een geheim. Het toegangsbeleid beperkt wat de gebruiker daadwerkelijk kan doen zodra hij is ingelogd.
OT/IT-segmentatie: zones en kanalen
OT-beveiliging beperkt zich niet tot het VPN. Er moet ook worden gecontroleerd wat via de tunnel bereikbaar is. De best practices, geïnspireerd op de IEC 62443, maken gebruik van de begrippen zones en kanalen: apparatuur met een vergelijkbaar risiconiveau wordt gegroepeerd en datastromen tussen zones worden expliciet toegestaan.
Door deze scheiding wordt voorkomen dat een onderhoudstoegang een algemene verbinding tussen het informatiesysteem en de werkplaats wordt. Het beperkt ook de laterale bewegingen in geval van een inbreuk.
Minimale filterregels
Een OT-gateway moet standaard alle verkeer weigeren en alleen het noodzakelijke verkeer toestaan. De regels moeten begrijpelijk, gedocumenteerd en herzienbaar zijn.
| Bron | Bestemming | Protocol | Actie | Motivering |
|---|---|---|---|---|
| Bevoegde technicus | PLC lijn 1 | Modbus TCP 502 | Toestaan | Onderhoud PLC goedgekeurd |
| Bevoegde technicus | Werkplaats-HMI | HTTPS 443 | Toestaan | Diagnose lokale interface |
| SCADA-server | PLC lijn 2 | OPC UA 4840 | Toestaan | Industriële supervisie |
| Eziwan-gateway | VPN-concentrator | OpenVPN of IPsec | Toestaan | Versleutelde uitgaande tunnel |
| IT-netwerk | Volledig OT-netwerk | Alle | Blokkeren | Toegang tussen netwerken geweigerd |
| Internet | PLC’s | Alle | Blokkeren | Geen openbare poorten blootgesteld |
Deze redenering is eenvoudig, maar verandert alles: het OT-netwerk is niet langer standaard toegankelijk. Elke gegevensstroom wordt een expliciete beslissing.
Logboekregistratie en traceerbaarheid NIS2
De NIS2-richtlijn stelt voor veel Europese organisaties strengere eisen op het gebied van cybergovernance, risicobeheer, bedrijfscontinuïteit en incidentafhandeling. In Frankrijk ondersteunt het ANSSI dit traject met hulpmiddelen zoals het Référentiel Cyber France.
Voor een OT-netwerk wordt de traceerbaarheid van externe toegangen een cruciaal element. Het volstaat niet om te weten dat er een VPN actief was. Men moet een sessie kunnen reconstrueren.
Een bruikbaar auditlogboek moet het volgende bevatten:
- identiteit van de gebruiker;
- authenticatiemethode;
- startdatum en -tijd;
- einddatum en -tijd;
- betreffende site;
- doelapparaat;
- gebruikt protocol;
- bron-IP-adres;
- bestemmings-IP-adres;
- toegepaste beleidsbeslissing;
- resultaat van de verbinding;
- gebeurtenissen met betrekking tot intrekking of mislukking.
Auditinformatie De logbestanden moeten kunnen worden geëxporteerd, van een tijdstempel worden voorzien en worden bewaard volgens het interne beleid van het bedrijf. Hun waarde hangt zowel af van hun nauwkeurigheid als van de mogelijkheid om ze tijdens een audit of na een incident opnieuw te kunnen raadplegen.
Detectie van afwijkingen
De beveiliging van een externe toegang houdt niet op bij de authenticatie. Een technisch geldige sessie kan toch afwijkend zijn. Het is daarom nuttig om waarschuwingen te genereren bij ongebruikelijk gedrag.
Voorbeelden van relevante afwijkingen in OT:
- verbinding buiten de toegestane tijdsperiode;
- toegang vanuit een ongebruikelijke geografische locatie;
- poging tot verbinding met niet-toegestane apparatuur;
- gegevensvolume dat afwijkt van het gebruikelijke patroon;
- herhaalde mislukte MFA-pogingen;
- plotselinge wijziging van protocol;
- langdurige activiteit tijdens een niet-geplande periode;
- verbinding door een onderaannemer na afloop van het contract;
- toegang tot meerdere OT-zones zonder rechtvaardiging.
Deze waarschuwingen moeten bruikbaar zijn. Te veel algemene waarschuwingen worden uiteindelijk genegeerd. Een goede afwijkingsregel moet aangeven wie erbij betrokken is, welke apparatuur het doelwit is en waarom de gebeurtenis afwijkt van het verwachte gedrag.
Toegangsrechten intrekken: de test die vaak over het hoofd wordt gezien
Een beveiligde toegang op afstand moet eenvoudig kunnen worden opgeheven. Dit is met name belangrijk in industriële omgevingen waar meerdere dienstverleners aan dezelfde productielijn kunnen werken.
De herroeping moet betrekking hebben op:
- vertrek van een medewerker;
- beëindiging van het contract van een onderaannemer;
- verlies of diefstal van een werkstation;
- vermoeden van inbreuk op de beveiliging;
- wijziging van het werkgebied;
- beëindiging van een oproepdienst of een onderhoudsperiode.
Intrekking via een certificaat is een nettere oplossing dan een gedeeld wachtwoord. Hiermee kan een identiteit ongeldig worden gemaakt zonder dat alle andere gebruikers worden gestoord en zonder dat de industriële apparatuur opnieuw moet worden geconfigureerd.
Tijdelijke toegang en tijdsvakken
Niet alle OT-toegangen hoeven permanent te zijn. Om het risico te beperken, verdient het de voorkeur om tijdelijke rechten toe te kennen:
- toegang geldt uitsluitend tijdens een interventie;
- tijdslot gekoppeld aan een werkopdracht;
- beperkt tot werkdagen;
- voorafgaande goedkeuring voor kritieke zones;
- automatisch verlopen na afloop van de interventie;
- handmatige verlenging indien de werkzaamheden langer duren dan verwacht.
Dit model is bijzonder nuttig voor systeemintegrators, machineonderhoudstechnici, leveranciers van besturingssystemen en storingsdiensten.
Veelvoorkomende toepassingen
OT-beveiliging zonder openbare poort is van toepassing op talrijke industriële omgevingen.
| Toepassingsgeval | Behoefte | Aanbevolen architectuur |
|---|---|---|
| Onderhoud op afstand van PLC’s | Eenmalige toegang tot een PLC | Uitgaande VPN, MFA, IP- en poortfiltering |
| SCADA-monitoring op meerdere locaties | Continue gegevensverzameling | Permanente tunnel, segmentatie, netwerkmonitoring |
| Onderhoud door leverancier | Beperkte toegang tot één machine | Tijdelijke toegang, automatische intrekking, logboekregistratie |
| Afgelegen locatie met 4G | Geen glasvezel | Industriële gateway, dubbele SIM, uitgaande VPN |
| Cybersecurity-audit | Toegangsbewijs | Exporteerbare logboeken, tijdstempels, gedocumenteerd beleid |
| Scheiding tussen IT en OT | Beperking van laterale bewegingen | Industriële DMZ, zones en kanalen, standaard weigering |
Voor afgelegen locaties zonder glasvezel kan deze architectuur worden gecombineerd met een Eziwan-gateway en een oplossing voor industriële connectiviteit. Voor organisaties die de toegang voor meerdere locaties willen centraliseren, biedt de Eziwan-cloud de mogelijkheid om tunnels, beleidsregels en logbestanden te bundelen.
Aanbevolen werkwijzen voor het uitharden
Een architectuur zonder open poort vermindert de blootstelling aanzienlijk, maar moet worden aangevuld met beveiligingsmaatregelen.
- onnodige diensten op de gateway uitschakelen;
- alle standaard inloggegevens wijzigen;
- beheer, toezicht en onderhoud van elkaar scheiden;
- individuele certificaten gebruiken;
- MFA inschakelen voor kritieke toegangen;
- datastromen beperken per IP-adres, poort en protocol;
- geaccepteerde en geweigerde verbindingen loggen;
- de intrekking regelmatig testen;
- de firmware updaten volgens een gevalideerde procedure;
- een back-up maken van de configuratie van de gateway;
- routes, VLAN’s, regels en accounts documenteren;
- de logbestanden integreren in het SIEM-systeem, indien aanwezig.
Let op: veelgemaakte fout Een versleutelde VPN is niet voldoende als de aangemelde gebruiker toegang heeft tot het gehele OT-netwerk. Beveiliging is het resultaat van een combinatie van versleuteling, identiteitscontrole, segmentatie, filtering en traceerbaarheid.
Voorbeeld van een toegangsbeleid
Hier volgt een voorbeeld van een eenvoudig beleid voor een fabriek met een geautomatiseerde productielijn.
Functie: PLC-integrator
Toegestane locaties: fabriek A
Toegestane apparatuur: PLC-L1, HMI-L1
Toegestane protocollen: Modbus TCP 502, HTTPS 443
Openingstijden: maandag tot en met vrijdag, 08:00-18:00
MFA : obligatoire
Maximale sessieduur: 2 uur
Logboekregistratie: volledig
Vervaldatum: automatisch na 7 dagen
Dit beleid biedt voldoende toegang om te kunnen werken, zonder de rest van het netwerk open te stellen. Het is bovendien begrijpelijk voor de OT, de IT, de RSSI en een auditor.
Hoe Eziwan de OT-toegang op afstand beveiligt
Eziwan implementeert een architectuur voor toegang op afstand die speciaal is ontworpen voor industriële omgevingen: uitgaande tunnel, OpenVPN- of IPsec-VPN, sterke authenticatie, segmentatie, filtering en gecentraliseerde controle. De gateway wordt zo dicht mogelijk bij het OT-netwerk geïnstalleerd, terwijl de toegang van gebruikers wordt beheerd vanuit een gecentraliseerde infrastructuur.
De belangrijkste functies zijn onder meer:
- geen inkomende poorten gepubliceerd op de industriële site;
- versleutelde uitgaande tunnel vanaf de gateway;
- individuele X.509-certificaten;
- MFA (TOTP) voor gevoelige toegangen;
- toegangsbeleidsregels per gebruiker, locatie en apparaat;
- filtering van industriële datastromen;
- exporteerbaar auditlogboek;
- snelle intrekking van toegangsrechten;
- monitoring van de status van de tunnels;
- waarschuwingen bij afwijkend gedrag.
Met deze aanpak kunnen de operationele eisen van de sector worden gehandhaafd, terwijl de blootstelling aan het internet aanzienlijk wordt beperkt.
Uitvoeringsplan
De beveiliging van een OT-netwerk zonder openbare poort kan stapsgewijs worden doorgevoerd.
1. De bestaande toegangswegen in kaart brengen
Breng open poorten, bestaande VPN’s, gedeelde accounts, dienstverleners, toegankelijke automatiseringssystemen en SCADA-stromen in kaart. Deze stap brengt vaak vergeten toegangswegen aan het licht.
2. Directe blootstelling vermijden
Schakel poortdoorsturingen naar PLC’s, HMI’s, Windows-werkstations, SCADA-servers en beheerinterfaces uit. Vervang deze door een gecontroleerde uitgaande tunnel.
3. De OT-zones vaststellen
Groepeer de apparatuur op basis van kriticiteit, productielijn, werkplaats of functie. Een pompruimte, een verwerkingsruimte, een verpakkingsruimte of een energieruimte hoeven niet per se dezelfde rechten te hebben.
4. Toegangsbeleid opstellen
Stel de rechten per rol vast: interne automatiseerder, onderhoudsmedewerker van de leverancier, exploitant, netwerkbeheerder, supervisor. Elke rol moet een duidelijk takenpakket hebben.
5. MFA en certificaten inschakelen
Vervang gedeelde geheimen door individuele identiteiten. Schakel MFA in voor kritieke automatiseringssystemen, SCADA-servers en toegang voor dienstverleners.
6. De logboekregistratie testen
Controleer of elke sessie een bruikbaar logboek oplevert: gebruiker, apparatuur, protocol, tijdstip, beveiligingsbeslissing en resultaat.
7. De intrekking testen
Verwijder bewust een testaccount en controleer of deze niet meer werkt. Deze eenvoudige controle voorkomt dat u te laat ontdekt dat een oud account nog steeds actief is.
Conclusie
Het beveiligen van een industrieel OT-netwerk houdt niet in dat een openbare poort minder opvallend wordt gemaakt. De juiste strategie bestaat erin inkomend verkeer te blokkeren, versleutelde uitgaande tunnels tot stand te brengen, elke gebruiker te authenticeren, de industriële zones te segmenteren en alle belangrijke acties te loggen.
Met een Eziwan-architectuur hebben technici en dienstverleners toegang tot de PLC’s, HMI’s en SCADA-systemen die ze daadwerkelijk nodig hebben, zonder poorten naar het internet te openen en zonder algemene toegang tot het productienetwerk te verlenen. Dit vormt een solide basis om cyberrisico’s te verminderen, de traceerbaarheid te verbeteren en te voldoen aan de nalevingsvereisten in verband met NIS2, IEC 62443 en de beste praktijken op het gebied van industriële cyberbeveiliging.
Meer informatie
- Industriële cyberbeveiliging — best practices om uw OT-netwerken van begin tot eind te beveiligen
- Industriële VPN — versleutel de communicatie met uw PLC’s zonder openbare poorten bloot te stellen
- NIS2 voor de industrie — breng uw OT-beveiliging in overeenstemming met de NIS2-richtlijn
- Industriële toegang op afstand — beveiligde toegang tot OT-apparatuur zonder een VPN dat aan het internet is blootgesteld
- Cyberbeveiliging van OT-toegang op afstand — beveilig specifiek de toegangsstromen op afstand naar uw industriële netwerken