Netwerksegmentatie behoort tot de meest effectieve maatregelen om de gevolgen van een aanval in een industriële omgeving te beperken. Toch functioneren veel OT-netwerken nog als één plat netwerk, waarin kantoorautomatisering, productiesystemen en soms zelfs een internetverbinding aan hetzelfde segment hangen. Hieronder hoe segmentatie werkt en hoe u haar toepast conform IEC 62443.

Kernprincipe: bij netwerksegmentatie verdeelt u het netwerk in zones met elk een eigen beveiligingsniveau. Communicatie tussen zones verloopt uitsluitend via gecontroleerde conduits, oftewel vooraf gedefinieerde verbindingspaden.

Het Purdue-model als basis

Het Purdue Enterprise Reference Architecture-model is de gangbare referentie voor het structureren van industriële netwerken. Het onderscheidt lagen, van het fysieke proces tot aan het bedrijfsnetwerk:

L0

Fysiek proces
(sensoren, actuatoren)

L1

Besturing
(PLC's, RTU's)

L2

Supervisie
(HMI, SCADA)

L3

Operations
(MES, historians)

DMZ

IT/OT-grens
(firewalls, proxies)

L4-5

Enterprise IT
(ERP, e-mail, internet)

De waarde van het model zit niet in de indeling zelf, maar in de vraag die het afdwingt: welk verkeer moet werkelijk van de ene laag naar de andere, en waarom?

Zones en conduits (IEC 62443)

IEC 62443-3-2 beschrijft het werken met zones en conduits:

  • Zone: een logische groepering van assets met hetzelfde vereiste beveiligingsniveau. Alle PLC's van productielijn A vormen bijvoorbeeld samen één zone.
  • Conduit: een gedefinieerd communicatiepad tussen twee zones, beheerst met firewalls, toegangslijsten of datadiodes.

Het oogmerk is de gevolgen van een compromittering te beperken tot één zone en laterale beweging tussen zones te blokkeren.

Praktische aanpak in 5 stappen

  1. Inventariseer assets en datastromen. Segmenteren van wat u niet in kaart heeft, leidt onvermijdelijk tot verstoring.
  2. Definieer zones op basis van functie, locatie en het vereiste beveiligingsniveau.
  3. Bepaal het security level per zone, van SL-1 voor bescherming tegen toevallige schending tot SL-4 voor bescherming tegen statelijke actoren.
  4. Ontwerp de conduits. Stel vast welke communicatie tussen zones noodzakelijk is en sluit al het overige af.
  5. Voer in en houd toezicht met firewalls, VLAN's, datadiodes en detectie op het netwerkverkeer.

Veelgemaakte fouten

  • Uitsluitend een firewall tussen IT en OT. Ook binnen het OT-netwerk is segmentatie nodig; anders verplaatst u de grens zonder de verspreiding te beperken.
  • VLAN's zonder toegangslijsten. Een VLAN zonder access control scheidt het verkeer administratief, niet feitelijk.
  • Uitzonderingen voor leveranciers. Onderhoudstoegang op afstand hoort via een jump server in de DMZ te lopen, nooit rechtstreeks naar de productieomgeving.
  • Segmentatie als eenmalig project. Netwerken veranderen voortdurend; zonder onderhoud verwatert de indeling binnen enkele jaren.

Let op: bij segmentatie in een bestaande OT-omgeving is een grondige impactanalyse onmisbaar. Een onjuiste firewallregel kan een productieproces stilleggen, en de kans daarop is het grootst bij verkeer waarvan niemand nog wist dat het bestond.

Hulp nodig bij netwerksegmentatie?

Resotech ontwerpt en implementeert segmentatieplannen conform IEC 62443 voor industriële omgevingen, gefaseerd en afgestemd op uw onderhoudsvensters.

Plan een gesprek   Gratis OT-scan