Wat is Application Control?
Application Control is een beveiligingsmaatregel die op basis van vooraf vastgelegde regels bepaalt welke programma’s, scripts, bibliotheken en installers op een systeem mogen draaien, en al het andere blokkeert of registreert. In OT-omgevingen voorkomt Application Control dat ongeautoriseerde, onbetrouwbare of schadelijke software start op bijvoorbeeld HMI’s, engineering stations, historians en SCADA-servers. Omdat zulke systemen een vaste, voorspelbare softwareset hebben en vaak lastig te patchen zijn, is Application Control in OT effectiever en beter beheersbaar dan op een gemiddelde kantoorwerkplek.
Application Control beschermt tegen Malware, Ransomware en ongewenste software zonder afhankelijk te zijn van signature-updates of detectie door antivirus: wat niet is toegestaan, start niet.
🧠 Hoe werkt Application Control?
Application Control grijpt in op het moment dat het besturingssysteem een bestand wil uitvoeren. Een agent of een ingebouwde functie van het besturingssysteem vergelijkt het bestand met de regels en staat de uitvoering toe, blokkeert haar of logt haar alleen. Er zijn vier werkwijzen, die in de praktijk vaak worden gecombineerd:
- Allowlisting (whitelisting) - alleen vooraf goedgekeurde applicaties mogen draaien; alles wat onbekend is, wordt standaard geblokkeerd (deny by default). Dit is de sterkste vorm en de gangbare aanbeveling voor OT.
- Denylisting (blacklisting) - bepaalde applicaties worden expliciet verboden, bijvoorbeeld remote-accesstools, BitTorrent-clients, games of bekende misbruikte systeemtools. Alles wat niet op de lijst staat, mag wel; daardoor is dit een aanvulling, geen vervanging.
- Auditmodus - regels worden geëvalueerd, maar overtredingen worden alleen gelogd. Zo ontdekt u welke software in werkelijkheid draait voordat u gaat blokkeren.
- Gebruikers- en groepsregels - sommige oplossingen kunnen regels per gebruiker of groep uit Active Directory toepassen, zodat een onderhoudstechnicus een diagnosetool mag starten en een operatoraccount niet. Dat sluit aan bij RBAC en, in uitgebreidere producten, ABAC.
Application Control is geen netwerktoegangscontrole: authenticatie via RADIUS of 802.1X bepaalt wie het netwerk op mag, Application Control bepaalt wat er op een host mag draaien. Beide horen in een defense-in-depth-aanpak.
🔧 Op welke kenmerken herkent Application Control software?
Een regel moet een applicatie eenduidig identificeren. De gangbare kenmerken verschillen sterk in veiligheid en beheerlast:
| Regeltype | Hoe het werkt | Voordeel | Nadeel |
|---|---|---|---|
| Hash | Cryptografische vingerafdruk (bijv. SHA-256) van het exacte bestand | Zeer nauwkeurig, niet te omzeilen door hernoemen | Elke update of patch vraagt een nieuwe hash |
| Uitgever (certificaat) | Digitale handtekening van de leverancier, optioneel met productnaam en minimale versie | Updates van dezelfde leverancier blijven werken | Vertrouwt alles wat die leverancier tekent; gestolen certificaten worden misbruikt |
| Pad | Map of bestandslocatie, bijv. C:\Program Files\ |
Eenvoudig en weinig onderhoud | Zwak als gebruikers schrijfrechten op die map hebben |
| Bestandsnaam of -grootte | Naam of omvang van het bestand | Snel in te stellen | Makkelijk te vervalsen; alleen als aanvullend kenmerk bruikbaar |
Stuxnet laat zien waarom uitgeversregels niet blind vertrouwd mogen worden: de drivers van die worm waren ondertekend met gestolen certificaten van Realtek en JMicron. Een praktische mix is uitgeversregels voor grote leveranciers, hashregels voor losse tools en padregels alleen voor mappen waarin gewone gebruikers niet kunnen schrijven. Zie ook Code Signing.
🏭 Hoe past u Application Control toe op OT-systemen?
OT-systemen hebben elk een duidelijke functie, dus de toegestane software kan per rol klein blijven:
| OT-component | Beveiligingsrisico | Application Control-mogelijkheid |
|---|---|---|
| Engineering Station | Installatie van onveilige of illegale software | Alleen PLC-programmeertools en engineeringsoftware van de leverancier toestaan |
| HMI | Ongewenste software via USB of downloads | Alleen runtime-executables toestaan, aangevuld met USB Control |
| Historian | Externe scripts of tools | Alleen database- en historianprocessen toestaan |
| SCADA-server | Remote code execution via onbekende apps | Alleen runtime- en communicatieprocessen toestaan |
| Jumphost / remote access | Misbruik van beheertools | Alleen goedgekeurde remote-desktop- en beheertools toestaan |
Het blokkeren van USB-sticks is strikt genomen device control, geen Application Control. De combinatie is wel krachtig: een programma dat via een USB-stick binnenkomt, start niet als het niet op de allowlist staat.
Vooral in omgevingen met legacy systemen en beperkte patchmogelijkheden is Application Control een krachtige verdedigingslaag, omdat het de uitvoering van nieuwe code blokkeert, ook als de kwetsbaarheid zelf nog openstaat.
Let op: veel OT-leveranciers ondersteunen alleen geteste beveiligingssoftware. Siemens publiceert bijvoorbeeld voor PCS 7 en WinCC applicatievoorbeelden en compatibiliteitslijsten waarin per softwareversie staat welke whitelisting-oplossing is getest. Controleer zo’n lijst voordat u een agent installeert, anders kunt u uw ondersteuning verliezen.
🔐 Welke normen en kaders vragen om Application Control?
| Kader | Relevante eis |
|---|---|
| IEC 62443-3-3 | SR 3.2 Malicious code protection en SR 7.7 Least functionality |
| IEC 62443-4-2 | CR 3.2: bescherming tegen kwaadaardige code op componentniveau |
| ISO 27001:2022 | Annex A 8.7 (bescherming tegen malware) en 8.19 (installatie van software op operationele systemen) |
| NIST SP 800-53 Rev. 5 | CM-7(4) deny-by-exception en CM-7(5) allow-by-exception |
| NIST SP 800-167 (2015) | Volledige handleiding voor application whitelisting |
| NIST SP 800-82 Rev. 3 | Beveiligingsrichtlijn voor OT die allowlisting aanbeveelt voor ICS-hosts |
| CIS Controls v8 | Safeguards 2.5, 2.6 en 2.7: allowlist voor software, bibliotheken en scripts |
| ASD Essential Eight | Application control is een van de acht basismaatregelen |
Het Australische Essential Eight-model laat goed zien hoe ver Application Control kan gaan. Op het eerste volwassenheidsniveau worden op werkplekken in gebruikersprofielen en tijdelijke mappen alleen goedgekeurde executables, bibliotheken, scripts, installers, gecompileerde HTML, HTML-applicaties en configuratiescherm-applets toegestaan. Hogere niveaus breiden dit uit naar servers, voegen Microsofts aanbevolen blocklist toe, eisen centrale logging van toegestane én geblokkeerde gebeurtenissen en een jaarlijkse validatie van de regelset. Op het hoogste niveau vallen ook drivers en Microsofts blocklist voor kwetsbare drivers eronder.
In Nederland vraagt de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad als implementatie van NIS2, om passende maatregelen tegen cyberrisico’s. Application Control staat niet letterlijk in de wet, maar is een aantoonbare invulling van de malwarebescherming die IEC 62443 en toezichthouders verwachten.
🧭 Hoe voert u Application Control stap voor stap in?
- Inventariseer - leg per systeem vast welke software nodig is, op basis van de asset-inventaris en de documentatie van de leverancier.
- Kies het mechanisme - op Windows zijn AppLocker en App Control for Business (voorheen WDAC) ingebouwd en centraal te beheren via groepsbeleid of Active Directory; voor oudere systemen zijn er lichte lockdown-agents van gespecialiseerde leveranciers.
- Start in auditmodus - laat de regels enkele weken meelopen, zodat ook productiewissels, batchafsluitingen en onderhoudsacties langskomen.
- Analyseer de logging - stuur gebeurtenissen naar centrale logging of een SIEM en vul de regels aan.
- Dwing af per zone - begin met engineering stations en jumphosts, daarna HMI’s en servers, met een terugvalplan.
- Borg het beheer - koppel regelwijzigingen aan change management en patchmanagement, zodat elke update een geteste regelwijziging heeft.
⚖️ Wat zijn de voordelen en beperkingen?
Voordelen:
- Bescherming tegen onbekende malware - ook nieuwe varianten en zero-day-malware zonder signature worden geblokkeerd, omdat ze niet op de allowlist staan
- Kleiner aanvalsoppervlak - insiders en aanvallers kunnen geen eigen tools starten
- Stabielere systemen - er komt geen onbedoelde software bij die de procesbesturing kan verstoren
- Geschikt voor oude systemen - werkt zonder dagelijkse signature-updates en met weinig rekenkracht
Beperkingen:
- Geen bescherming binnen toegestane processen - een exploit in een toegestane applicatie of misbruik van toegestane systeemtools (Living Off The Land) wordt niet automatisch tegengehouden
- Beheerlast - elke update van goedgekeurde software vraagt aandacht voor hash, pad of certificaat
- Risico op verstoring - te strikte regels kunnen bij een noodingreep een benodigde tool blokkeren
Combineer Application Control daarom met least privilege, hardening, EDR en monitoring via een SIEM.
❓ Veelgestelde vragen
Wat is het verschil tussen Application Control en application whitelisting?
Application Control is de overkoepelende term voor alle regels die bepalen welke software mag draaien, inclusief denylists, auditmodus en gebruikersregels. Application whitelisting, ook allowlisting genoemd, is de strengste vorm van Application Control, waarbij alleen expliciet goedgekeurde software mag starten.
Vervangt Application Control antivirus?
Application Control vervangt antivirus niet volledig, maar maakt het in OT wel minder kritisch. Application Control blokkeert onbekende programma’s vooraf, terwijl antivirus of EDR ook kwaadaardig gedrag en bestanden binnen toegestane processen kan herkennen. Veel OT-leveranciers adviseren een combinatie.
Werkt Application Control op oude Windows-systemen?
Ja, maar met beperkingen. AppLocker bestaat sinds Windows 7 en Windows Server 2008 R2, en App Control for Business sinds Windows 10. Voor oudere systemen zoals Windows XP bestaan aparte lockdown-agents, die u wel moet laten afstemmen op de ondersteuningseisen van de OT-leverancier.
Wat is de auditmodus van Application Control?
In de auditmodus van Application Control worden de regels toegepast zonder te blokkeren: elke overtreding wordt alleen gelogd. Zo ziet u welke software in werkelijkheid draait en kunt u de regels aanvullen voordat blokkeren een productieproces kan verstoren.
Kan Application Control een productieproces verstoren?
Ja, als de regels onvolledig zijn kan Application Control een benodigd programma of script blokkeren. Daarom start u in auditmodus, test u wijzigingen eerst op een testsysteem en houdt u een gedocumenteerde noodprocedure aan om de regels tijdelijk aan te passen.
Is Application Control verplicht onder IEC 62443?
IEC 62443-3-3 eist bescherming tegen kwaadaardige code (SR 3.2) en least functionality (SR 7.7), maar schrijft geen specifieke technologie voor. Application Control is in OT een gangbare en effectieve manier om aan die eisen te voldoen, vooral op systemen waarop antivirus lastig is.
📌 Samengevat
Application Control laat alleen toegestane software draaien en blokkeert al het andere, en is daarmee een van de effectiefste maatregelen tegen malware op HMI’s, engineering stations en SCADA-servers. Met goed gekozen regels op hash, uitgever of pad, een start in auditmodus en beheer via change management ondersteunt Application Control compliance met IEC 62443, ISO 27001 en de Cyberbeveiligingswet, zonder afhankelijk te zijn van signature-updates.