Wat is Application Whitelisting?
Application whitelisting (AWL), ook wel software whitelisting, application allowlisting of application control genoemd, is een beveiligingsmaatregel waarbij een systeem alleen expliciet goedgekeurde programma’s, scripts en bibliotheken mag uitvoeren en al het andere standaard blokkeert. Waar Antivirus zoekt naar bekende kwaadaardige code, draait AWL het principe om: alleen wat op de lijst staat, mag starten. Hetzelfde deny-by-default-principe heet in bredere zin whitelisting en wordt ook toegepast op apparaten en netwerkverbindingen. In OT is application whitelisting een van de effectiefste maatregelen tegen Malware, Ransomware en ongeautoriseerde tools op SCADA-servers, HMI’s, historians en engineering stations.
Het Amerikaanse CISA zet application whitelisting op de eerste plaats in zijn Seven Steps to Effectively Defend Industrial Control Systems, omdat de statische aard van veel OT-systemen er ideaal voor is.
🧠 Waarom is Application Whitelisting belangrijk in OT?
Een OT-werkstation draait jarenlang dezelfde set applicaties: de SCADA-runtime, een historian-client, een engineeringpakket van de leverancier. Juist die voorspelbaarheid maakt een nauwkeurige allowlist haalbaar, iets wat op een kantoorlaptop met wekelijks nieuwe software veel lastiger is. Daarnaast kunnen veel OT-systemen niet snel gepatcht worden en is een antivirusscan op een real-time systeem niet altijd wenselijk, waardoor een maatregel die onbekende code tegenhoudt extra waardevol is.
| Risico zonder whitelisting | Gevolg | Effect van AWL |
|---|---|---|
| Malware via USB-stick of laptop van een monteur | Schadelijke .exe of script draait direct op een engineering station |
Onbekend uitvoerbaar bestand wordt geblokkeerd |
| Shadow IT op SCADA-stations | Ongecontroleerde tools beïnvloeden real-time processen | Alleen goedgekeurde tools starten |
| Nieuwe, onbekende malware (Zero-day) | Geen AV-handtekening, dus geen blokkering | Blokkeert op basis van de lijst, niet van een handtekening |
| Ongepatchte legacy systemen | Bekende kwetsbaarheden blijven open | Beperkt wat een aanvaller na misbruik kan starten |
| Misbruik van legitieme tools (Living Off The Land) | PowerShell, WMI of remote-supporttools worden ingezet voor aanvallen | Alleen effectief met aanvullende blokkeerregels |
Bij aanvallen van APT-groepen met Industroyer (2016) en TRITON (2017)
plaatsten aanvallers eigen uitvoerbare bestanden op Windows-systemen in het OT-netwerk. TRITON werd
bijvoorbeeld als trilog.exe vermomd als de legitieme logapplicatie van Triconex op het
engineering station van een veiligheidssysteem gezet. Een strikte allowlist met hash- of handtekeningregels laat zo’n onbekend
bestand niet starten.
🧱 Welke vormen van whitelisting zijn er naast applicaties?
Whitelisting is een algemeen principe: maak een positieve lijst van wat is toegestaan en blokkeer de rest. Application whitelisting is de bekendste vorm, maar in industriële netwerken wordt hetzelfde idee op meerdere lagen toegepast. Samen vormen ze een invulling van Zero Trust en Defense in Depth.
| Laag | Wat staat op de lijst | Typische techniek in OT |
|---|---|---|
| Applicaties en software | Programma’s, scripts, DLL’s en drivers | AppLocker, App Control for Business, OT-lockdownagents |
| Apparaten en randapparatuur | Geregistreerde USB-sticks, toetsenborden en muizen | USB Control op basis van vendor-ID, product-ID of serienummer |
| Netwerktoegang | Bekende apparaten op een switchpoort | NAC, 802.1X, MAC Binding en MAC Filtering |
| Netwerkverbindingen | Exact gedefinieerde IP-adressen, poorten en protocollen | industriële firewall met deny-by-default-regels |
| Firmware en logica | Goedgekeurde firmwareversies op PLC’s en drives | firmware signing en versiebeheer |
Voor netwerkverbindingen vraagt IEC 62443-3-3 bij systeemeis SR 5.2 (bescherming van zonegrenzen) vanaf Security Level 2 expliciet om deny by default, allow by exception. Een allowlist van verbindingen op de firewall tussen zones is daarmee het netwerkequivalent van application whitelisting. De rest van dit artikel gaat over de applicatielaag, omdat die op OT-werkstations en servers het meeste effect heeft.
🔄 Wat is het verschil tussen whitelisting en antivirus?
Antivirus werkt met een blocklist (vroeger blacklist): een database met handtekeningen van bekende malware. Alles wat niet herkend wordt, mag draaien. AWL werkt met een allowlist: alles wat niet herkend wordt, wordt geblokkeerd. Volgens CISA kunnen aanvallers antivirus vrij eenvoudig omzeilen met unieke of polymorfe varianten, terwijl AWL die varianten simpelweg niet toelaat.
| Kenmerk | Application whitelisting | Antivirus (blocklisting) |
|---|---|---|
| Uitgangspunt | Default-deny: alleen toegestaan wat op de lijst staat | Default-allow: alleen blokkeren wat bekend slecht is |
| Updates nodig | Bij software-wijzigingen en patches | Dagelijkse handtekeningupdates |
| Nieuwe malware | Geblokkeerd, ook zonder handtekening | Vaak gemist tot de handtekening er is |
| Geschikt voor | Statische systemen met vaste functie | Dynamische systemen, en als aanvullende laag |
| Belasting systeem | Laag, geen periodieke volledige scans | Scans kunnen real-time processen verstoren |
| Zwakte | Misbruik van toegestane programma’s | Onbekende en aangepaste malware |
De twee sluiten elkaar niet uit. CISA en NIST zien AWL als aanvulling binnen defense in depth, en moderne OT-endpointproducten combineren een allowlist met een antivirusscan op aanvraag.
🔧 Hoe werkt Application Whitelisting technisch?
Een agent of het besturingssysteem zelf controleert bij elke poging tot uitvoering of het bestand voldoet aan een regel in het beleid. Pogingen die niet aan een regel voldoen, worden geblokkeerd en gelogd. NIST SP 800-167, Guide to Application Whitelisting (oktober 2015), noemt de kenmerken waarop zo’n regel kan steunen:
| Methode | Hoe het werkt | Voordeel | Nadeel |
|---|---|---|---|
| Hash-gebaseerd | Cryptografische hash (bijv. SHA-256) van elk bestand | Zeer nauwkeurig, één exacte versie | Elke patch of update verandert de hash |
| Publisher-/certificaatgebaseerd | Digitale handtekening van de uitgever via Code Signing | Updates van dezelfde leverancier blijven toegestaan | Vertrouwt alles van die uitgever; veel OT-software is niet ondertekend |
| Pad-gebaseerd | Uitvoering alleen vanuit goedgekeurde mappen | Eenvoudig te beheren | Omzeilbaar als een gebruiker in die map kan schrijven |
| Bestandsnaam | Naam van het bestand | Weinig onderhoud | Zwak, eenvoudig te vervalsen |
CISA raadt pad-regels alleen aan voor kantooromgevingen en noemt regels op bestandsnaam alleen te zwak. In OT is de gebruikelijke combinatie publisher-regels voor ondertekende software van leveranciers, aangevuld met hash-regels voor niet-ondertekende of zelfgebouwde applicaties.
Een volwassen oplossing controleert meer dan alleen .exe-bestanden. Ook DLL’s, drivers,
installers, PowerShell- en andere scripts moeten onder het beleid vallen, anders kan een aanvaller via een
script of bibliotheek alsnog code starten.
🏭 Welke software hoort op de allowlist per OT-systeem?
Elk systeem krijgt een eigen, zo klein mogelijke lijst die past bij zijn functie. Software die voor die functie niet nodig is, hoort er niet op, ook als het op zich onschuldig is. Dat sluit aan bij het principe van least functionality uit IEC 62443.
| Systeem | Wel op de allowlist | Bewust niet op de allowlist |
|---|---|---|
| HMI | Visualisatieruntime, logging-tools, eventueel leveranciersdrivers | Browsers, kantoorsoftware, remote-supporttools zonder goedkeuring |
| Historian | Database-engine, connectorsoftware, back-upagent | Ontwikkeltools, e-mailclients |
| Engineering Station | Engineeringsoftware van de leverancier in de goedgekeurde versie | Browsers en algemene hulpprogramma’s die niet nodig zijn |
| SCADA-server | Besturingssoftware, communicatiedrivers, monitoringagents | Tekstverwerkers, games, niet-goedgekeurde scripts |
Werk bij het opstellen samen met operations en de systeemleverancier, zodat ook functies die alleen bij storingen of jaarlijks onderhoud draaien op de lijst komen.
🛠️ Welke tools worden gebruikt voor application whitelisting?
- Windows AppLocker - ingebouwd in Windows sinds Windows 7 en Server 2008 R2; regels op uitgever, pad en hash voor executables, scripts, installers, DLL’s en apps. Beheer via groepsbeleid. Microsoft noemt AppLocker zelf een defense-in-depth-functie en geen volwaardige beveiligingsgrens.
- App Control for Business - voorheen Windows Defender Application Control (WDAC); Microsoft heeft de functie hernoemd, het is hetzelfde mechanisme. Werkt op kernelniveau, kan ook drivers afdwingen en wordt door Microsoft aanbevolen voor robuuste bescherming. Regelniveaus lopen van Hash via FilePublisher tot PcaCertificate.
- Trellix Application Control - voorheen McAfee Application Control. Siemens beschrijft het gebruik ervan in SIMATIC PCS 7- en WinCC-omgevingen en test per versie de compatibiliteit.
- TXOne StellarProtect (Legacy Mode) - voorheen StellarEnforce, uit de Stellar-reeks van Trend Micro-spin-off TXOne Networks; een trust list-gebaseerde application lockdown voor oude en vaste-functie OT-endpoints.
- Andere oplossingen - zoals Carbon Black App Control en de whitelisting-functies in EDR-platforms en OT-securitysuites van leveranciers.
Kies bij voorkeur een product dat de leverancier van uw besturingssysteem officieel heeft vrijgegeven. Zo blijft de support op uw DCS- of SCADA-installatie geldig.
🧭 Hoe implementeert u application whitelisting stap voor stap?
- Inventariseer systemen en software - gebruik uw asset inventory om per systeem vast te leggen welke applicaties, services en drivers er nodig zijn. Betrek de leverancier: sommige programma’s draaien alleen bij storingen of noodsituaties.
- Maak een schone basislijn - start vanaf een bekend goede gold image, zodat er geen bestaande malware op de allowlist belandt. Combineer dit met Hardening: verwijder eerst wat niet nodig is.
- Draai in audit- of leermodus - de oplossing logt wat geblokkeerd zou worden, zonder in te grijpen. Laat dit minimaal een volledige productiecyclus lopen, inclusief onderhoud, opstarten en back-ups.
- Test in een testomgeving - oefen ook zelden gebruikte functies en noodprocedures, zodat er niets ontbreekt.
- Schakel over naar handhaving - begin met minder kritieke systemen zoals historian-clients en engineering stations. Voor zeer kritieke processen noemt de ICS-CERT-richtlijn ook een alert-modus in plaats van blokkeren: de gebruiker krijgt dan een melding en kiest zelf, zodat een vals-positief het proces niet stillegt.
- Stuur logs naar uw SIEM - elke geblokkeerde poging is een signaal. Dankzij logging ziet u zowel aanvallen als vergeten software.
- Bescherm het beheer - beheerders kunnen de allowlist aanpassen of omzeilen. Pas least privilege en RBAC toe en laat elke wijziging een melding geven.
🔁 Hoe houdt u de whitelist actueel bij patches en wijzigingen?
Het onderhoud valt bij statische OT-systemen mee, maar vraagt wel discipline. Bij hash-regels moet elke patch of update expliciet aan de allowlist worden toegevoegd. Neem die stap daarom op in uw patchmanagement-procedure. Publisher-regels vangen updates van een vertrouwde, ondertekenende leverancier automatisch op, maar testen blijft nodig.
Koppel elke aanpassing aan MOC (Management of Change) of change management, zodat de allowlist meebeweegt met goedgekeurde wijzigingen en onderdeel wordt van configuratiebeheer. CISA wijst erop dat een allowlist zo ook als controle-instrument dient: wat draait, moet overeenkomen met wat formeel is goedgekeurd. Spreek vooraf af hoe servicemonteurs hun diagnosetools gebruiken, en combineer AWL met USB Control om het insluizen van software te beperken.
🔐 Welke normen en richtlijnen vragen om application whitelisting?
| Kader | Wat het zegt over AWL |
|---|---|
| NIST SP 800-167 (2015) | Specifieke gids voor planning, keuze en invoering van application whitelisting |
| NIST SP 800-82 | Richtlijn voor OT-beveiliging; noemt allowlisting als maatregel tegen malware op OT-hosts |
| IEC 62443-3-3 SR 3.2 | Systeemeis Malicious code protection, verplicht vanaf Security Level 1; de aanvullende eisen vragen bescherming op alle in- en uitgangspunten en centrale aansturing en rapportage |
| IEC 62443-3-3 SR 7.7 | Least functionality: alleen noodzakelijke functies, poorten en services toestaan |
| IEC 62443-4-2 CR 3.2 | Componenteis: bescherming tegen kwaadaardige code op hosts en applicaties |
| CISA Seven Steps | AWL is stap 1; volgens CISA had invoering van alle zeven strategieën 98% van de incidenten voorkomen waarop ICS-CERT in de Amerikaanse boekjaren 2014 en 2015 reageerde |
| ASD Essential Eight | Application control is de eerste van acht basismaatregelen van de Australische overheid |
In Nederland verplicht de Cyberbeveiligingswet, de implementatie van NIS2 die op 15 augustus 2026 in werking trad, essentiële en belangrijke entiteiten tot passende maatregelen tegen cyberrisico’s. Application whitelisting is geen letterlijke wettelijke eis, maar wel een gangbare en aantoonbare invulling van de malwarebescherming die IEC 62443 en toezichthouders verwachten.
⚠️ Wat zijn de beperkingen van application whitelisting?
| Uitdaging | Aanpak |
|---|---|
| Misbruik van toegestane programma’s (living off the land) |
Blokkeer onnodige ingebouwde tools zoals PowerShell, mshta en wmic met
expliciete deny-regels
|
| Exploits in het geheugen van toegestane processen | Combineer met geheugenbescherming, EDR en tijdig patchen |
| Scripts, Java en .NET | Neem scriptcontrole op in het beleid, niet alleen .exe-bestanden |
| Aanvaller met beheerrechten | Scheid beheeraccounts en monitor wijzigingen in het beleid |
| Legacy besturingssystemen zonder ondersteunde agent | Kies een product voor legacy-Windows of documenteer compenserende maatregelen |
| Veel softwarevarianten | Gebruik publisher-regels met hash-regels als terugvaloptie |
Dat de eerste rij geen theorie is, liet de aanvalsgroep Sandworm in oktober 2022 zien. Bij een Oekraïens energiebedrijf voerde zij via een ISO-bestand
opdrachten uit met scilc.exe, een legitiem onderdeel van de MicroSCADA-software dat op elke
allowlist zou staan. AWL is daarom geen wondermiddel, maar één laag naast netwerksegmentatie, anomaliedetectie en monitoring. Een te strikt beleid zonder goed beheerproces kan bovendien zelf de
productie verstoren.
❓ Veelgestelde vragen
Wat is het verschil tussen whitelisting en allowlisting?
Whitelisting en allowlisting betekenen hetzelfde: alleen expliciet goedgekeurde software, apparaten of verbindingen worden toegelaten. Het Britse NCSC stapte in 2020 over op de termen allow list en deny list, en ook CISA en Microsoft spreken steeds vaker van allowlisting of application control. NIST SP 800-167 gebruikt nog de term application whitelisting.
Is software whitelisting hetzelfde als application whitelisting?
Software whitelisting en application whitelisting zijn twee namen voor dezelfde maatregel: alleen goedgekeurde programma’s, scripts en bibliotheken mogen op een systeem draaien. Leveranciers gebruiken daarnaast termen als application control en application lockdown. Whitelisting zonder toevoeging is breder en kan ook over apparaten en netwerkverbindingen gaan.
Vervangt application whitelisting antivirus?
Application whitelisting vervangt antivirus niet volledig, maar vult het aan. AWL blokkeert onbekende code, terwijl antivirus bekende malware ook herkent in bestanden die niet worden uitgevoerd, zoals op een USB-stick. Op statische OT-systemen waar antivirus lastig te onderhouden is, is AWL vaak wel de belangrijkste malwarebescherming.
Werkt application whitelisting op oude Windows-systemen?
Application whitelisting is ook beschikbaar voor oude Windows-versies via gespecialiseerde OT-producten zoals TXOne StellarProtect in Legacy Mode of Trellix Application Control. AppLocker vraagt minimaal Windows 7 en App Control for Business minimaal Windows 10, dus voor oudere systemen zoals Windows XP zijn die geen optie. Waar geen agent kan draaien, zijn netwerksegmentatie en compenserende maatregelen nodig.
Kan application whitelisting een productieproces verstoren?
Een te strikt of onvolledig whitelistbeleid kan een noodzakelijke applicatie blokkeren en zo het proces verstoren. Daarom begint een invoering van application whitelisting altijd in audit- of leermodus en wordt het beleid getest in een testomgeving, inclusief zelden gebruikte functies. Afstemming met de leverancier van het besturingssysteem voorkomt verrassingen.
Wat is het verschil tussen AppLocker en App Control for Business?
AppLocker is een oudere Windows-functie waarvan de regels per gebruiker of groep gelden en die volgens Microsoft een defense-in-depth-maatregel is. App Control for Business, voorheen WDAC, geldt voor het hele apparaat, werkt op kernelniveau, kan ook drivers controleren en is de oplossing die Microsoft aanbeveelt voor robuuste application whitelisting. Beide hebben een auditmodus om beleid eerst te testen.
📌 Samengevat
Application whitelisting, ook wel software whitelisting of allowlisting, laat alleen expliciet goedgekeurde software draaien en blokkeert al het andere, waardoor onbekende malware en ongeautoriseerde tools op OT-systemen geen kans krijgen. Doordat OT-systemen weinig veranderen, is AWL er bijzonder effectief en beheersbaar. Begin in auditmodus, combineer hash- en publisher-regels, koppel het onderhoud aan patch- en wijzigingsbeheer en pas hetzelfde deny-by-default-principe ook toe op apparaten en netwerkverbindingen, als één laag binnen defense in depth.