Wat is Asset Discovery?
Asset Discovery is het proces waarmee een organisatie alle apparaten, systemen en software in haar IT- en OT-netwerken opspoort, identificeert en classificeert, zodat er een volledig en actueel beeld ontstaat van wat er werkelijk aanwezig is. Het resultaat van dat proces is de Asset Inventory: de vastgelegde lijst van assets met hun kenmerken. Discovery vormt de basis van vrijwel elke cybersecuritymaatregel, want u kunt alleen beschermen wat u kent.
In OT-omgevingen draait het om PLC’s, SCADA-servers, HMI’s, RTU’s, veldapparatuur en andere embedded componenten, vaak verspreid over meerdere locaties en tientallen jaren oud. Daar is de manier van ontdekken net zo belangrijk als het resultaat: een verkeerde scan kan een productieproces stilleggen.
🎯 Waarom is Asset Discovery essentieel?
Spreadsheets en tekeningen lopen in de praktijk altijd achter. Een monteur plaatst een extra switch, een leverancier zet een 4G-router neer voor onderhoud op afstand, of een vervangen PLC krijgt andere firmware. Discovery laat het verschil zien tussen wat op papier staat en wat er echt communiceert. Het levert:
- Inventarisatie - volledig overzicht van apparaten, besturingssystemen, firmware en netwerkinterfaces
- Risicobeoordeling - kwetsbare of verouderde assets worden zichtbaar en kunnen aan CVE’s worden gekoppeld
- Toegangsbeheer - bepalen wie toegang heeft tot welke systemen en via welke verbindingen
- Monitoring en detectie - een bekende basislijn maakt anomaliedetectie mogelijk en laat een rogue device direct opvallen
- Beheer en patching - ondersteunt updates, onderhoudsplanning, levenscyclusbeheer en vervanging van legacy systemen
Ook regelgeving vraagt erom. IEC 62443-3-3 eist met SR 7.8 vanaf Security Level 2 een actuele componentinventaris, en NIS2 noemt assetbeheer expliciet in de zorgplicht van artikel 21. In Nederland geldt die zorgplicht via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad.
🔍 Welke methoden voor Asset Discovery zijn er?
| Methode | Hoe het werkt | Sterk punt | Beperking in OT |
|---|---|---|---|
| Passief | Meeluisteren op netwerkverkeer via een SPAN-poort of TAP en protocollen ontleden | Geen extra verkeer naar apparaten, dus geen risico voor het proces | Ziet alleen apparaten die communiceren; seriële apparatuur achter gateways blijft onzichtbaar |
| Actief (breed scannen) | Ping sweeps en poortscans over hele subnetten | Snel en volledig in IT-netwerken | Kan oude controllers laten hangen; in productienetwerken alleen in onderhoudsvensters |
| Selectief actief (native queries) | Gerichte, alleen-lezen verzoeken in het eigen protocol van het apparaat | Haalt firmware, serienummer en modules op, ook van stille apparaten | Vereist kennis van protocol en apparaattype; altijd eerst testen |
| Agent-based | Software op Windows- of Linux-hosts rapporteert zelf | Detail over software en patches | Niet mogelijk op PLC’s en veldapparatuur; leverancier moet het toestaan |
| Configuratie-analyse | Engineeringprojecten, switchconfiguraties, ARP-tabellen en DHCP-logs uitlezen | Geen netwerkimpact, ook informatie over seriële netten | Momentopname; afhankelijk van actuele bestanden |
| Fysieke inspectie | Kasten langslopen en typeplaatjes vastleggen | Vindt ook niet-aangesloten en seriële apparatuur | Arbeidsintensief en foutgevoelig |
Geen enkele methode is op zichzelf volledig. Moderne OT-platforms combineren daarom passieve monitoring met selectieve, alleen-lezen queries. Tenable OT noemt dat Active Query en Nozomi Smart Polling; ook Claroty en Dragos bieden zo’n combinatie.
⚠️ Waarom is actief scannen in OT riskant?
Veel controllers hebben een beperkte netwerkstack en weinig rekenkracht. Een onverwacht pakket, een half geopende TCP-verbinding of een snelle reeks verzoeken kan ervoor zorgen dat een apparaat hapert, herstart of in een storingsmodus valt. Twee incidenten uit 1998 zijn klassieke voorbeelden:
- Halfgeleiderfabriek - een ping sweep die bedoeld was om alle hosts te inventariseren, liet het systeem dat de productie van geïntegreerde schakelingen aanstuurde vastlopen; er ging voor ongeveer 50.000 dollar aan wafers verloren
- Robotarm - tijdens een ping sweep op een SCADA-netwerk werd een robotarm van ruim 2,7 meter die in stand-by stond plotseling actief en zwaaide 180 graden rond
Daarom gelden in OT vaste regels: eerst passief, actief alleen gericht, met lage snelheid, buiten productie of in overleg met de procesverantwoordelijke, en nooit met standaard IT-scanprofielen. Dat geldt ook voor vulnerability scanning.
🔧 Hoe herkent een tool een OT-apparaat?
Gespecialiseerde tools gebruiken de identificatiefuncties die industriële protocollen zelf bieden:
| Protocol | Identificatiemechanisme | Wat het oplevert |
|---|---|---|
| ProfiNET | DCP Identify (laag-2 multicast) | Stationsnaam, apparaattype, IP-instellingen |
| IP | ListIdentity-verzoek op UDP-poort 44818 | Fabrikant, producttype, revisie, serienummer |
| Modbus TCP | Functiecode 43, MEI-type 14 (Read Device Identification) | Leverancier, productcode, versie (als het apparaat het ondersteunt) |
| BACnet | Who-Is / I-Am | Apparaatinstantie en leverancier-ID |
| S7 | Uitlezen van systeemstatuslijsten (SZL) | CPU-type, ordernummer, firmwareversie |
| SNMP | MIB-uitlezing van switches en hosts | Interfaces, MAC-tabellen, buren |
Bij passieve analyse leest de tool dezelfde informatie mee wanneer een engineeringstation of SCADA-server erom vraagt. Ook verkeer in DNP3 en OPC UA verraadt rol en relatie van apparaten. Het OUI-deel van het MAC-adres (de eerste drie bytes) geeft daarnaast de fabrikant van de netwerkinterface prijs.
✅ Wat wordt vastgelegd bij Asset Discovery?
De gezamenlijke richtlijn Foundations for OT Cybersecurity: Asset Inventory Guidance van CISA en partners, waaronder het Nederlandse NCSC (augustus 2025), noemt veertien attributen met hoge prioriteit, zoals protocollen, kritikaliteit, rol, hostnaam, IP- en MAC-adres, fabrikant, model, besturingssysteem, locatie, poorten en gebruikersaccounts. Een voorbeeldregel:
| Attribuut | Voorbeeldwaarde |
|---|---|
| IP- en MAC-adres | 192.168.10.45 – 00:1B:1B:01:23:AF |
| Apparaattype | Siemens S7-1200 CPU 1214C |
| Firmwareversie | V4.6 |
| Communicatieprotocollen | PROFINET, Modbus TCP |
| Seriële interface | CM 1241 RS-485-module |
| Fysieke locatie | Productielijn 2, kast 3 |
| Kritikaliteit | Hoog (stuurt vulmachine) |
| Laatst gezien | 2026-09-14 10:36 |
🛠️ Hoe pakt u Asset Discovery in een OT-omgeving aan?
- Scope en doel bepalen - welke locaties, zones en lagen van het Purdue Model en wat telt als asset
- Bestaande bronnen verzamelen - tekeningen, engineeringprojecten, CMMS- en CMDB-gegevens
- Meetpunten kiezen - SPAN-poorten of TAP’s op de kernswitches van elk segment, zodat ook oost-westverkeer zichtbaar is
- Passief beginnen - laat de sensor enkele weken meeluisteren, zodat ook wekelijkse of batchgebonden communicatie langskomt
- Gericht aanvullen - stille apparaten en firmwaredetails ophalen met getest, alleen-lezen native queries en een kastinspectie
- Valideren en verrijken - samen met operators kritikaliteit, eigenaar en locatie vastleggen
- Continu bijhouden - discovery blijft draaien; nieuwe apparaten leveren een melding op in monitoring of het IDS
Als richtwaarde: CIS Controls v8.1 vraagt een actieve discoverytool die minstens dagelijks draait (safeguard 1.3) en passieve discovery waarmee de inventaris minstens wekelijks wordt bijgewerkt (safeguard 1.5). Voor kleinere organisaties zonder commercieel platform zijn er open-sourcetools zoals Wireshark voor handmatige analyse en Malcolm, een analysesuite van Idaho National Laboratory en CISA op basis van Zeek en Arkime. De oudere NSA-tool GRASSMARLIN werd in april 2023 gearchiveerd en wordt niet meer onderhouden.
🔁 Hoe hangt Asset Discovery samen met andere processen?
| Proces | Relatie tot Asset Discovery |
|---|---|
| Patchmanagement | Vereist inzicht in versies en kwetsbaarheden per asset |
| Access Control | Toegang beperken tot bekende en goedgekeurde systemen |
| Monitoring | Discovery levert de basislijn voor detectie van afwijkingen |
| Incident Response | Snel bepalen welke assets zijn geraakt of kwetsbaar zijn |
| Backup | De inventaris bepaalt van welke systemen en projecten back-ups nodig zijn |
| Netwerksegmentatie | Communicatierelaties uit discovery vormen de basis voor zones en firewallregels |
📦 Wat is het verschil tussen Asset Discovery in IT en OT?
| IT | OT |
|---|---|
| Servers, laptops, printers | PLC’s, HMI’s, RTU’s, veldcomponenten |
| Actieve scans via SNMP en WMI | Passieve analyse van industriële protocollen plus selectieve queries |
| CMDB of endpoint-agent | Integratie met Historian, SCADA en CMMS |
| Apparaten leven 3–5 jaar | Apparaten draaien vaak 15–25 jaar |
| Cloud-native tools | On-premise of netwerkgeïsoleerde sensoren |
OT vereist tools die protocollen zoals Modbus, S7, DNP3 of OPC UA herkennen zonder impact op het proces.
❓ Veelgestelde vragen
Wat is het verschil tussen Asset Discovery en een Asset Inventory?
Asset Discovery is het proces van opsporen en identificeren van apparaten en software. De Asset Inventory is het resultaat: de vastgelegde, beheerde lijst met kenmerken per asset. Zonder doorlopende discovery raakt een inventaris snel verouderd.
Is passieve Asset Discovery altijd veilig voor OT?
Passieve Asset Discovery stuurt zelf geen verkeer naar apparaten en is daardoor procesveilig. Het risico zit in de aansluiting: een TAP plaatsen kan een korte onderbreking vragen en een slecht geconfigureerde SPAN-poort kan een switch belasten. Plan die installatie daarom in overleg met de procesverantwoordelijke.
Waarom vindt passieve discovery niet alle apparaten?
Passieve discovery ziet alleen apparaten die communiceren op een gemonitord netwerksegment. Stille reserve-apparatuur, apparaten op seriële netten achter een gateway en verkeer op niet-gemonitorde switches blijven onzichtbaar. Selectieve queries, configuratie-analyse en kastinspectie vullen die gaten.
Hoe vaak moet Asset Discovery worden uitgevoerd?
Asset Discovery hoort in OT continu te draaien via passieve sensoren, zodat nieuwe of gewijzigde apparaten direct opvallen. CIS Controls v8.1 noemt als minimum een dagelijkse actieve scan en een wekelijkse update van de inventaris uit passieve discovery. Daarnaast is een periodieke fysieke controle nodig.
Welke tools worden gebruikt voor OT Asset Discovery?
Bekende commerciële platforms zijn Claroty, Nozomi, Dragos, Tenable OT en Microsoft Defender for IoT. Open-source alternatieven zijn Malcolm van Idaho National Laboratory en CISA en, voor handmatige analyse, Wireshark. De keuze hangt af van de gebruikte protocollen, het aantal locaties en de koppeling met SIEM en CMDB.
Eist de Cyberbeveiligingswet Asset Discovery?
De Cyberbeveiligingswet noemt het woord Asset Discovery niet, maar de zorgplicht uit NIS2 artikel 21 omvat assetbeheer. Een actueel overzicht van systemen is in de praktijk alleen haalbaar met een vorm van Asset Discovery. Voor OT-leveranciers en eigenaren sluit IEC 62443-3-3 SR 7.8 hierop aan.
📌 Samengevat
Asset Discovery is het fundament van OT-Security: zonder volledig en actueel zicht op assets is geen enkele maatregel, van patching tot toegangsbeheer, betrouwbaar.
In IT volstaat vaak een actieve scan, maar in OT begint u passief, vult u gericht aan met veilige native queries en fysieke inspectie, en laat u discovery continu doorlopen. Zo ontstaat een inventaris die de basis vormt voor risicoanalyse, segmentatie, detectie en de zorgplicht van NIS2 en de Cyberbeveiligingswet.