Al meer dan 20 jaar leunen OT-omgevingen op patches als primaire control. De patchcyclus was altijd al de bottleneck, en die bottleneck wordt in een steeds hoger tempo groter.
De race is al voorbij
Twee tijdlijnen bewegen al tien jaar in tegengestelde richting, en ze liggen nu zo ver uit elkaar dat de discussie voorbij is.
Aan de ene kant: de snelheid van aanvallers. Uit de meest recente incident response-rapportage van Unit 42, gebaseerd op meer dan 750 grote incidenten in meer dan 50 landen, blijkt dat het snelste kwart van de aanvallen binnen zo'n 72 minuten data buitensmokkelde. Vier keer zo snel als een jaar eerder. Vulnerability scanning gebeurt inmiddels geautomatiseerd, binnen minuten nadat een CVE openbaar wordt. In een gecontroleerde labsimulatie doorliep een AI-gestuurde agent een complete ransomware-keten, van eerste inbraak tot exfiltratie, in 25 minuten.
Aan de andere kant: jouw patchcyclus. Een controller die in 2011 in gebruik is genomen, met een ontwerplevensduur van twintig jaar. Een leverancier die firmware certificeert op zijn eigen schema, soms nooit. Een onderhoudsvenster dat twee keer per jaar opengaat. Een safety case die opnieuw moet worden gevalideerd voordat er iets wordt aangeraakt. Niets daarvan is nalatigheid. Het is wat het betekent om een fabriek te draaien waar een verkeerde wijziging iemand kan verwonden.
Je gaat een snelheidswedstrijd tegen automatisering niet winnen met een proces dat wordt bepaald door een safety review. Stop met plannen alsof dat wel zou kunnen.
De houdbaarheidsdatum van netwerksegmentatie als compenserende control is verstreken
Twintig jaar lang omschreef de industrie netwerksegmentatie in OT als een compenserende control: iets wat je inzet in de tussentijd, terwijl je wacht op de patch die het probleem echt oplost.
Die omschrijving is achterhaald. Als de patch niet binnen het tijdsvenster van de aanvaller komt, en bij grote delen van een industriële omgeving komt hij helemaal nooit, dan compenseert containment niet meer voor iets. Containment is de control. Al het andere in je programma compenseert voor het feit dat je niet hebt gecontained.
Dit is de Zero Trust-redenering, toegepast op een omgeving die altijd als uitzondering is behandeld: ga uit van een compromise, verifieer expliciet, houd de blast radius klein, en inspecteer het verkeer dat je intern noemt omdat het toevallig achter een firewall staat.
De ongemakkelijke consequentie zit in het budget. Een compenserende control krijgt één keer projectfinanciering. Een primaire control heeft een operationeel budget nodig, een eigenaar, en een plek in het organogram. Voorgoed.
Wat er echt nodig is om segmentatie te laten draaien
De meeste organisaties hebben wel een segmentatietekening van hun OT-omgeving. Veel minder hebben die ook echt geïmplementeerd. Precies in dat gat gebeurt het volgende incident. Dat gat dichten heeft minder met technologie te doen dan de meeste leveranciers je willen laten geloven.
Er zijn vier dingen nodig om van segmentatie een control te maken in plaats van een project, en geen van die vier is een product:
Control 01 · Inventaris
Een levende inventaris. Je kunt geen policy schrijven voor een device dat je niet kunt benoemen. In OT is dat lastiger dan in IT: het device draait geen agent, reageert misschien niet op een scan, en kan omvallen als je verkeerd scant. Passieve identificatie vanuit het verkeer zelf is meestal de enige veilige route, en dat moet continu draaien, niet als eenmalige assessment, want de omgeving verandert onder je handen.
Control 02 · Protect Surface
Een afgebakende beschermingseenheid. Hier doet de Protect Surface het werk. Een Protect Surface is het kleinste ding dat het echt waard is om te verdedigen, beschreven in termen van data, applicaties, assets en services, niet in termen van een subnet. In een industriële omgeving is die vrijwel altijd veel kleiner en veel specifieker dan een VLAN. Het safety instrumented system is er een. De historian is er nog een. Net als het engineering workstation dat logica naar een controller kan pushen, meestal het gevaarlijkste device op de plantvloer en bijna nooit zo behandeld. Elke surface krijgt zijn eigen set legitieme flows en zijn eigen policy, en elke surface heeft een eigenaar die vragen erover kan beantwoorden.
Control 03 · Observatie
Continue observatie. Zodra east-west traffic wordt geïnspecteerd, levert dat signalen op, en signalen die niemand bekijkt zijn niets meer dan opslagkosten. Dit is het onderdeel dat in stilte beslist of het programma werkt, want hier zie je ook de drift: de nieuwe gateway, de flow die niet in het ontwerp stond, het device dat is verplaatst.
Control 04 · Ownership
Organisatorische verandering. Een segmentatieproject krijgt budget. Een integrator brengt het netwerk in kaart, ontwerpt zones, schrijft policy, levert een set diagrammen op, en vertrekt. Een half jaar lang kloppen de tekeningen nog met de fabriek. Dan wordt een lijn omgebouwd. Een leverancier plaatst een remote-access gateway zodat ze een machine kunnen ondersteunen zonder iemand te moeten invliegen. Tijdens een shutdown komt er een tijdelijke verbinding tussen twee cellen bij, die nooit meer wordt verwijderd. Een engineering-laptop die in één zone had moeten blijven, duikt plotseling op in drie.
Achttien maanden later handhaaft de policy nog steeds iets, maar niet meer het iets dat je hebt ontworpen. Niemand merkt het, want er gaat niets kapot. Segmentatie faalt in stilte. Anders dan een patch, die wel of niet is toegepast, kan een segment jarenlang stilletjes verkeerd zijn terwijl het dashboard groen blijft.
Dat is het verschil tussen een project en een control. Een project heeft een einddatum. Een control heeft een hartslag.
Wees eerlijk over de beperkingen
Wie je vertelt dat een netwerkwijziging complete microsegmentatie van een industriële cel oplevert, heeft niet goed gekeken naar wat er echt over de kabel gaat. Real-time en Layer 2 industriële protocollen gedragen zich niet als IP-verkeer en zijn vaak helemaal niet om te leiden via een policy enforcement point. Cyclisch controleverkeer is latency-gevoelig, dus verkeer via een inspectiepunt leiden is niet altijd veilig. Veel geïnstalleerde industriële switching hardware kan de port-level isolation niet leveren die fijnmazigere handhaving vereist, waardoor het een hardwarevervanging wordt in plaats van een configuratiewijziging.
Niets hiervan is een argument tegen segmentatie. Het is een argument om de scope eerlijk te bepalen: begin waar het risico zich echt concentreert, meestal de overgang van IT naar OT en remote access, niet het deterministische verkeer binnen een cel. En beloof de board nooit iets wat de natuurkunde niet kan leveren.
En wees ook eerlijk over de operationele kosten. Continue ownership is niet gratis: het kost iemands tijd om de signalen te bekijken, tooling om east-west traffic te inspecteren, en een vaste post op de begroting in plaats van een eenmalige projectuitgave.
Waar je begint
Pak één cel of één lijn en beantwoord drie vragen. Wat staat er eigenlijk op dit segment. Waarmee moet het legitiem kunnen communiceren. Wat verliezen we, in productietermen, als het stilvalt.
Dat geeft je je eerste Protect Surface. Draai de resulterende policy lang genoeg in monitoring mode om een volledige productiecyclus te zien voordat je iets handhaaft, want de snelste manier om een OT-securityprogramma te beëindigen is een lijn stilleggen in week één. Herhaal dat, en zet de surfaces onder de continue ownership van iemand, niet in een document.
Over twaalf maanden gaat de vraag die bepaalt of je fabriek écht weerbaarder is niet over welke controls je hebt uitgerold. Die vraag is of iemand er sindsdien nog naar heeft gekeken.
Heb je niet de mensen om te blijven kijken? Dat is een service die iemand anders voor je kan draaien.
Weet je niet zeker hoe je OT-segmentatie er in het echt voor staat, versus je tekeningen? Stuur ons wat je hebt, een diagram, een asset-lijst, een policy-export, wat er ook is, en we vertellen je eerlijk waar de gaten zitten en wat je als eerste moet oplossen.
Laat je huidige situatie beoordelenFAQ
Waarom kan patchen niet de primaire control zijn in OT?
Omdat aanvallers structureel sneller zijn dan de OT-patchcyclus. Uit incident response-data van Unit 42 blijkt dat het snelste kwart van de aanvallen binnen ongeveer 72 minuten data buitensmokkelt, terwijl OT-onderhoudsvensters in maanden of jaren worden gemeten. Een proces dat wordt bepaald door een safety review wint geen snelheidswedstrijd tegen automatisering.
Is netwerksegmentatie nog steeds slechts een compenserende control?
Nee. Als de patch niet binnen het tijdsvenster van de aanvaller komt, compenseert containment niet meer voor iets: het is de control zelf. Al het andere in een OT-securityprogramma compenseert voor het feit dat containment niet heeft plaatsgevonden.
Wat is een Protect Surface in een OT-context?
Het kleinste ding dat het echt waard is om te verdedigen, beschreven in termen van data, applicaties, assets en services, niet in termen van een subnet. In een industriële omgeving is dat meestal veel kleiner en specifieker dan een VLAN, zoals een safety instrumented system, een historian, of een engineering workstation dat logica naar een controller kan pushen.
Kan netwerksegmentatie OT-protocollen volledig isoleren?
Nee. Real-time en Layer 2 industriële protocollen zijn vaak niet om te leiden via een policy enforcement point, en latency-gevoelig cyclisch controleverkeer is niet altijd veilig via een inspectiepunt te routeren. Bepaal de scope eerlijk en begin waar het risico zich concentreert: de overgang van IT naar OT en remote access.
Waar begint een team met OT-segmentatie?
Pak één cel of één lijn en beantwoord wat erop staat, waarmee het legitiem moet kunnen communiceren, en wat je verliest in productietermen als het stilvalt. Draai de resulterende policy in monitoring mode gedurende een volledige productiecyclus voordat je iets handhaaft, herhaal dat, en geef elke Protect Surface een continue eigenaar.