Anomaliedetectie

Wat is anomaliedetectie?

Anomaliedetectie is een detectiemethode die eerst vastlegt wat normaal gedrag is van een netwerk, systeem of proces en vervolgens elke significante afwijking van die baseline als mogelijk verdacht meldt, in plaats van alleen te zoeken naar bekende aanvalspatronen. In OT-omgevingen werkt dat bijzonder goed, omdat industriële netwerken voorspelbaar zijn: dezelfde PLC’s praten jarenlang met dezelfde HMI’s en SCADA-servers, met vaste protocollen en vaste intervallen. Daardoor valt een nieuw apparaat, een onbekend commando of een onverwachte zero-day-aanval sneller op dan in een kantoornetwerk.

🧠 Hoe werkt anomaliedetectie?

Anomaliedetectie verloopt in vier stappen:

1. Baselining - het systeem leert wat normaal is:
   • de netwerktopologie en de aanwezige assets
   • communicatiepatronen tussen apparaten, bijvoorbeeld PLC ↔ HMI
   • gebruikte protocollen, functiecodes, frequentie en timing van commando’s
   • bij procesmonitoring ook de normale bandbreedte van meetwaarden
2. Real-time vergelijking - actuele data worden continu naast de baseline gelegd.
3. Markering van afwijkingen - bijvoorbeeld een onbekend apparaat, een nieuw of ongebruikelijk commando, meer verkeer of activiteit op afwijkende tijden.
4. Beoordeling en opvolging - meldingen gaan naar een analist, een SIEM of SOAR-playbooks voor triage en incidentrespons.

Moderne OT-monitoringplatforms houden de leerfase per apparaat of netwerksegment bij en schakelen daarna over naar een beschermende modus waarin afwijkingen alerts opleveren.

📊 Welke methoden gebruikt anomaliedetectie?

In de praktijk combineren OT-securityplatforms deze methoden. De eenvoudige allowlist-aanpak levert in OT vaak al de meeste waarde, omdat legitiem gedrag zo beperkt is.

🌐 Wat is het verschil tussen netwerk- en procesanomaliedetectie?

Netwerkanomaliedetectie kijkt naar het verkeer. Sensoren lezen via een SPAN-poort of een TAP mee, zonder zelf pakketten te versturen. Met deep packet inspection ontleden ze industriële protocollen zoals Modbus TCP, S7comm en OPC UA tot op het niveau van functiecodes en registers. Dit is de kern van NDR en passieve OT-monitoring, bekend van tools als Claroty, Nozomi, Tenable OT en Dragos.

Procesanomaliedetectie kijkt naar de fysieke waarden zelf: druk, temperatuur, toerental of debiet uit de historian of rechtstreeks uit het netwerkverkeer. Zo ontdekt u een aanval die er op netwerkniveau legitiem uitziet, zoals een geldig schrijfcommando met een gevaarlijk setpoint. Een fysisch model of digital twin helpt hier: Stuxnet speelde opgenomen normale meetwaarden af naar de operators, maar die waarden kloppen niet met de werkelijke fysica van het proces.

Dezelfde technieken worden ook buiten security gebruikt, voor condition monitoring en voorspellend onderhoud.

🔄 Hoe verschilt anomaliedetectie van signatuurdetectie?

Een klassieke IDS werkt vooral met signatures. Moderne OT-platforms combineren beide met gedragsanalyses die op bekende aanvalstechnieken zijn gebaseerd. Dat is nodig tegen aanvallers die living off the land toepassen, zoals Volt Typhoon: zij gebruiken geldige accounts en ingebouwde tools, waardoor er geen kwaadaardige code is om een signature op te maken.

🏭 Welke afwijkingen detecteert anomaliedetectie in OT?

• Nieuwe verbindingen naar een PLC, zeker buiten werktijd of vanaf een onbekend werkstation
• Programma- of configuratiewijzigingen, zoals een download van PLC-logica of een wijziging van de bedrijfsmodus
• Ongebruikelijk protocolverkeer, bijvoorbeeld OPC UA buiten de standaardpoort 4840 of Modbus-schrijfcommando’s vanaf een nieuw adres
• Activiteit op een Engineering Station buiten de normale dienst
• Verkenning, zoals een host die ineens veel apparaten scant
• Gewijzigde polling-frequentie tussen SCADA en veldapparaten
• Misconfiguraties zoals dubbele IP-adressen of een verkeerd gekoppelde switchpoort
• Procesafwijkingen zoals setpoints buiten het gebruikelijke bereik

Een recent voorbeeld is FrostyGoop: in januari 2024 stuurden aanvallers via Modbus TCP op poort 502 commando’s naar verwarmingscontrollers in Lviv, waardoor ongeveer 600 flatgebouwen bijna twee dagen zonder verwarming zaten. Schrijfcommando’s vanaf een onbekende bron zijn precies het soort gedrag dat een baseline zichtbaar maakt.

🧭 Hoe richt u anomaliedetectie in een OT-omgeving in?

1. Bepaal de meetpunten - plaats sensoren op de belangrijkste overgangen in het Purdue Model, zoals tussen niveau 1–2 en niveau 3, en bij de industriële firewall naar de DMZ.
2. Gebruik passieve aansluiting - een SPAN-poort of TAP; vermijd actieve scans op kwetsbare controllers.
3. Leer de baseline in een representatieve periode - reken op twee tot vier weken, en langer bij batchprocessen of maand- en seizoenscycli. Zorg dat geen bekende storingen of onderhoudsacties als “normaal” worden geleerd.
4. Vul de assetinventaris aan - de passief ontdekte apparaten zijn vaak de eerste complete inventaris.
5. Stem de meldingen af - accepteer legitiem gedrag expliciet en koppel geplande wijzigingen aan wijzigingsbeheer, zodat een geplande PLC-download geen incident wordt.
6. Koppel aan het SOC - stuur alerts naar een SIEM of een OT SOC, met afspraken over wie bij een melding de procesverantwoordelijke belt.
7. Koppel detecties aan MITRE ATT&CK for ICS - dat raamwerk telt twaalf tactieken, waaronder de OT-specifieke Inhibit Response Function en Impair Process Control, en technieken als Program Download (T0843) en Modify Parameter (T0836).
8. Evalueer periodiek - gebruik threat hunting om te controleren wat de detectie mist, en leer de baseline opnieuw na grote ombouw.

🔐 Welke rol speelt anomaliedetectie in compliance en defense in depth?

Anomaliedetectie is een detectielaag binnen Defense in Depth. Een firewall en segmentatie beperken wat kan, maar zien niet wat er binnen een toegestane verbinding gebeurt. Anomaliedetectie vult dat aan, naast EDR op werkstations en servers waar dat technisch mogelijk is.

Voor compliance is het een concrete invulling van bestaande cybersecurity-eisen:

• IEC 62443 - deel 3-3 vraagt in SR 6.2 Continuous monitoring om continue bewaking waarmee beveiligingsinbreuken tijdig worden gedetecteerd, gekarakteriseerd en gemeld, vanaf Security Level 2. Passieve sensoren voldoen daaraan zonder de procesbesturing te belasten.
• NIST SP 800-82 - revisie 3 uit september 2023 beschrijft gedragsgebaseerde anomaliedetectie en beveelt passieve monitoring aan.
• NIS2 - artikel 21 vraagt om maatregelen voor incidentbehandeling. In Nederland is dat uitgewerkt in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. Zonder detectie kunt u ook de meldplicht niet tijdig nakomen.

In OT verschilt “normaal” sterk per installatie. Lokale kalibratie en kennis van het proces zijn daarom belangrijker dan het algoritme.

❓ Veelgestelde vragen

Hoe lang duurt de leerfase van anomaliedetectie?

De leerfase van anomaliedetectie in een OT-netwerk duurt meestal twee tot vier weken. Bij batchprocessen, onderhoudscycli of seizoensinvloeden is een langere periode nodig, anders geeft de detectie later onterecht alarm op legitiem maar zeldzaam gedrag.

Is anomaliedetectie veilig voor OT-netwerken?

Anomaliedetectie is veilig voor OT-netwerken wanneer sensoren passief via een SPAN-poort of TAP meeluisteren. Ze sturen dan zelf geen verkeer naar controllers. Sommige platforms bieden aanvullend actieve bevraging, die u alleen inzet op apparaten waarvan bekend is dat ze dat verdragen.

Hoe beperkt u false positives bij anomaliedetectie?

False positives bij anomaliedetectie beperkt u door een representatieve leerperiode, expliciete acceptatie van legitiem gedrag en koppeling aan wijzigingsbeheer. Combineer gedragsdetectie daarnaast met threat intelligence, zodat meldingen context krijgen en de analist sneller kan beoordelen of er echt iets mis is.

Kan anomaliedetectie een aanval stoppen?

Anomaliedetectie stopt een aanval niet zelf, maar signaleert hem. In OT wordt bewust zelden automatisch geblokkeerd, omdat een onterechte blokkade de productie kan stilleggen. De opvolging verloopt via het SOC, incidentrespons en eventueel een gecontroleerde ingreep door de procesverantwoordelijke.

Is anomaliedetectie hetzelfde als een IDS?

Anomaliedetectie is een detectiemethode, terwijl een IDS een systeem is dat signatures, anomaliedetectie of beide kan gebruiken. Klassieke IDS-oplossingen werken vooral met signatures; OT-specifieke monitoringplatforms leggen juist de nadruk op baselining van het netwerk- en procesgedrag.

Wat is het verschil tussen anomaliedetectie en NDR?

NDR (Network Detection and Response) is een productcategorie die netwerkverkeer analyseert en daarop reageert. Anomaliedetectie is een van de belangrijkste technieken binnen NDR, naast signatures en gedragsregels op basis van bekende aanvalstechnieken.

📌 Samengevat

Anomaliedetectie legt vast wat normaal is in een OT-netwerk of proces en meldt elke significante afwijking, waardoor onbekende aanvallen, misbruik van geldige accounts en misconfiguraties zichtbaar worden die signatures missen. Met passieve sensoren, een zorgvuldige leerfase, tuning, koppeling aan het SOC en een vertaling naar MITRE ATT&CK for ICS vormt anomaliedetectie een essentiële detectielaag die ook invulling geeft aan IEC 62443, NIS2 en de Cyberbeveiligingswet.