Antivirus

Wat is antivirus?

Antivirussoftware is een beveiligingstoepassing die bestanden, processen en verwisselbare media op een computer controleert om malware zoals virussen, wormen, trojans en ransomware te detecteren, te blokkeren en te verwijderen. Het is een van de oudste verdedigingslagen binnen cybersecurity en draait op werkstations, laptops en servers, maar ook op Windows-systemen in de fabriek, zoals HMI’s, SCADA-servers en engineering stations. In OT is antivirus nuttig, maar niet vanzelfsprekend: updates, scans en uitzonderingen moeten passen bij een systeem dat jarenlang ononderbroken moet draaien.

🧠 Hoe werkt antivirus?

Moderne antivirusproducten combineren meerdere detectietechnieken:

• Signaturen - de scanner vergelijkt bestanden met een database van kenmerken (hashes en codefragmenten) van bekende malware. Snel en betrouwbaar, maar alleen voor wat al bekend is.
• Heuristiek - de scanner zoekt naar verdachte constructies in code, zoals versleutelde stukken of instructies die op zelfreplicatie wijzen, om varianten van bekende families te herkennen.
• Gedragsbewaking - het product let op wat een proces doet, bijvoorbeeld massaal bestanden versleutelen, en grijpt in tijdens de uitvoering.
• Real-time scanning (on-access) - elk bestand wordt gecontroleerd op het moment dat het wordt geopend, gekopieerd of uitgevoerd.
• Geplande en handmatige scans (on-demand) - een volledige scan van schijven of van een USB-stick op een vast moment.
• Cloudanalyse en sandboxing - onbekende bestanden worden vergeleken met reputatiedata in de cloud of in een geïsoleerde omgeving uitgevoerd. Dit vraagt een internetverbinding of een lokale analyseserver en zit vooral in zakelijke en “next-generation” producten.

Signaturen moeten actueel zijn om effect te hebben. Leveranciers brengen daarom zeer vaak nieuwe definities uit, en een scanner met definities van maanden oud mist alles wat sindsdien is verschenen.

🧱 Wat beschermt antivirus?

Antivirus richt zich op de plekken waar kwaadaardige code een systeem binnenkomt of zich verbergt:

• Lokale bestanden, e-mailbijlagen en downloads - de klassieke infectieroute op kantoor, en via gedeelde mappen ook richting de fabriek.
• Geheugenprocessen en opstartscripts - malware die zich bij het opstarten laadt of in het geheugen draait.
• USB-media en verwisselbare opslag - in OT een van de belangrijkste routes, omdat leveranciers en monteurs bestanden vaak op een stick meenemen.
• Documenten met macro’s of verborgen scripts - kantoorbestanden die bij openen code uitvoeren.
• OT-werkstations, HMI’s en engineering laptops - Windows-systemen die direct met het proces verbonden zijn of er tijdelijk op worden aangesloten.

De kracht van antivirus is snelle, eenvoudige detectie van bekende en veelvoorkomende dreigingen met weinig configuratie voor de basisbescherming. Juist daardoor is het ook een basislaag, en geen complete oplossing.

🔄 Wat is het verschil tussen antivirus, application whitelisting en EDR?

Antivirus wordt in OT zelden los ingezet. De drie gangbare endpointmaatregelen vullen elkaar aan:

Veel moderne EDR-producten bevatten zelf een antivirusmodule, en XDR trekt de correlatie door naar netwerk, e-mail en cloud. Logs van al deze tools komen idealiter samen in een SIEM. Antivirus blijft daarbij nuttig voor één taak die whitelisting niet doet: bestanden op een USB-stick of in een gedeelde map controleren voordat iemand ze opent.

🏭 Waarom is antivirus in OT lastiger dan in IT?

Een kantoorlaptop krijgt elke dag nieuwe definities via internet en mag na een update herstarten. Een HMI in een controlekamer heeft vaak geen van beide:

• Geen internetverbinding - OT-netwerken zijn gesegmenteerd en soms bijna geïsoleerd, dus definities moeten via een centrale server in de DMZ of handmatig worden aangevoerd.
• Prestaties en determinisme - een volledige scan of het scannen van een historian-database kan de CPU en schijf zo belasten dat schermen traag worden of communicatie hapert. Juist oudere hardware heeft daar weinig marge voor.
• Leverancierscompatibiliteit - leveranciers als Siemens testen hun SCADA- en DCS-software alleen met specifieke antivirusproducten en -versies en publiceren daarvoor compatibiliteitslijsten en configuratiehandleidingen. Een niet-geteste scanner kan de garantie of support in gevaar brengen.
• Valse positieven - als de scanner een engineeringtool of een runtimebestand in quarantaine zet, kan een proces stilvallen. Dat risico weegt in OT zwaarder dan in IT.
• Verouderde besturingssystemen - op legacy systemen met Windows XP of Windows 7 krijgen veel producten geen ondersteuning of updates meer.

Daarom staat beschikbaarheid voorop: antivirus in OT wordt gekozen, getest en geconfigureerd met het proces in gedachten, niet vanuit een standaard kantoorbeleid.

🔐 Wat zeggen normen en regelgeving over antivirus?

De normen schrijven geen specifiek product voor. IEC 62443 noemt antimalware en whitelisting naast elkaar en vraagt om de maatregel te kiezen die past bij de control function. Een goed onderbouwde keuze voor whitelisting op een statisch systeem voldoet dus ook.

🧭 Hoe zet u antivirus stap voor stap in OT in?

1. Inventariseer de endpoints - welke Windows-systemen draaien er (HMI, SCADA-server, historian, engineering station), met welk besturingssysteem en welke leveranciersoftware?
2. Kies een door de leverancier vrijgegeven product - raadpleeg de compatibiliteitslijst van de SCADA- of DCS-leverancier en houd u aan de genoemde versies.
3. Configureer uitzonderingen volgens de leverancier - sluit databases, archiefmappen en runtimebestanden uit van real-time scanning waar de leverancier dat voorschrijft, en documenteer elke uitzondering.
4. Regel de updates centraal - laat definities binnenkomen op een beheerserver in de DMZ en verdeel ze vandaar naar de OT-zone. Voor volledig geïsoleerde systemen bieden leveranciers offline pakketten; Microsoft publiceert bijvoorbeeld het pakket mpam-fe.exe voor Defender Antivirus.
5. Test eerst op een referentiesysteem - nieuwe engine-versies en definities gaan eerst naar een test- of reserve-HMI, en pas daarna naar productie, in lijn met change management.
6. Plan volledige scans buiten kritieke productiemomenten - bijvoorbeeld tijdens een onderhoudsstop of op een redundante server.
7. Richt een scanstation voor USB-media in - een vaste kiosk die elke stick scant voordat die in de fabriek wordt gebruikt, aangevuld met USB Control op de endpoints zelf.
8. Stuur meldingen door - detecties horen in de centrale console en bij voorkeur in een SIEM of OT SOC, met een afgesproken route naar incident response.
9. Controleer de werking - met het EICAR-testbestand, een onschadelijk tekstbestand van 68 bytes dat EICAR en CARO ontwikkelden, ziet u of detectie en melding echt werken.

🚧 Wat zijn de beperkingen van antivirus?

• Bekende malware eerst - tegen zero-days en malware die speciaal voor één doelwit is gemaakt, schiet signatuurdetectie tekort. Stuxnet was jarenlang actief voordat het Wit-Russische antivirusbedrijf VirusBlokAda de worm in juni 2010 ontdekte.
• Geen zicht op het netwerk - antivirus ziet geen laterale beweging tussen systemen en geen misbruik van legitieme tools of protocollen.
• Geen bescherming van controllers - een PLC draait geen Windows en kan geen antivirus draaien; daar zijn netwerksegmentatie en monitoring nodig.
• Geen respons - antivirus zet een bestand in quarantaine, maar biedt geen onderzoek of herstel. Daarvoor zijn EDR, een SOC en een incident-responseproces nodig.
• Afhankelijk van onderhoud - verouderde definities of een uitgeschakelde scanner geven schijnveiligheid.

Antivirus is daarom één laag in defense in depth, naast hardening, patchmanagement, whitelisting en segmentatie.

❓ Veelgestelde vragen

Is antivirus nog nodig als ik EDR heb?

Een aparte antivirusoplossing is meestal niet nodig als uw EDR-product een eigen antimalwaremodule heeft, wat bij veel moderne EDR-producten zo is. Controleer in OT wel of de leverancier van uw SCADA- of DCS-software die EDR-agent heeft vrijgegeven. Zonder EDR blijft antivirus de basisbescherming op Windows-endpoints.

Kan ik Microsoft Defender gebruiken op een HMI?

Microsoft Defender Antivirus zit standaard in moderne Windows-versies en staat bijvoorbeeld op de compatibiliteitslijst van Siemens voor WinCC V7. Dat geldt niet automatisch voor andere producten: ook binnen één leverancier verschillen de vrijgegeven scanners per product en versie. Of het op uw HMI mag, hangt af van de vrijgave door de leverancier van de HMI- of SCADA-software. Updates kunnen centraal of via offline definitiepakketten worden aangeleverd.

Hoe update ik antivirus op een OT-systeem zonder internet?

Antivirus op een OT-systeem zonder internet werkt het best met een centrale updateserver in de DMZ, die definities ophaalt en doorgeeft aan de OT-zone. Voor volledig geïsoleerde systemen kunt u offline definitiepakketten na controle via een gescande drager of een datadiode aanvoeren. Test nieuwe definities eerst op een referentiesysteem.

Waarom blokkeert antivirus soms mijn SCADA-software?

Antivirus kan SCADA-software vertragen of blokkeren als het databasebestanden scant of een runtimecomponent ten onrechte als verdacht ziet. Leveranciers publiceren daarom lijsten met uit te sluiten mappen en processen. Leg zulke uitzonderingen vast en beperk ze tot wat de leverancier voorschrijft.

Is application whitelisting beter dan antivirus in OT?

Application whitelisting is op statische OT-systemen vaak effectiever dan antivirus, omdat het ook onbekende malware tegenhoudt en geen dagelijkse updates nodig heeft. Antivirus blijft wel nuttig voor het scannen van bestanden en USB-media die niet worden uitgevoerd. Veel organisaties combineren beide.

Eist IEC 62443 antivirus?

IEC 62443 eist bescherming tegen kwaadaardige code, maar niet specifiek antivirus. IEC 62443-3-3 noemt antimalware, whitelisting, controle op verwisselbare media en integriteitscontrole als mogelijke maatregelen. U kiest wat past bij de functie en beperkingen van het systeem.

📌 Samengevat

Antivirussoftware herkent en blokkeert bekende malware op Windows-endpoints en blijft daarmee een basislaag van endpointbeveiliging, ook in de fabriek. In OT werkt antivirus alleen goed als het product door de leverancier is vrijgegeven, updates centraal en getest binnenkomen en scans het proces niet verstoren. Tegen geavanceerde aanvallen vult u het aan met application whitelisting, EDR, een SIEM, segmentatie en Zero Trust.