Claroty

Wat is Claroty?

Claroty is een Amerikaans-Israëlische leverancier van cybersecurity voor cyber-fysieke systemen (CPS), waarvan het platform industriële netwerken in kaart brengt, kwetsbaarheden zichtbaar maakt, aanvallen detecteert en externe toegang tot OT-omgevingen beveiligt. Het bedrijf richt zich op industriële besturingssystemen, gebouwbeheer en medische apparatuur: omgevingen waar een gewone IT-scanner storingen kan veroorzaken en waar patchen vaak pas na maanden mogelijk is. Binnen OT-convergentie is Claroty een van de bekendste platforms naast Nozomi, Dragos en Tenable OT.

🧠 Wie is Claroty en waar komt het bedrijf vandaan?

Claroty werd in 2015 opgericht door Amir Zilberstein, Galina Antova en Benny Porat. Het bedrijf ontstond in de Israëlische cybersecurity-incubator Team8 en heeft zijn hoofdkantoor in New York; een groot deel van de ontwikkeling zit in Israël. In 2016 kwam Claroty uit stealth mode met 32 miljoen dollar aan startkapitaal.

Opvallend is de lijst investeerders. Naast durfkapitaal (onder meer SoftBank, Bessemer en Team8) investeerden ook automatiseringsleveranciers als Siemens, Rockwell Automation en Schneider Electric. Die strategische banden zijn terug te zien in de nauwe technische samenwerking met deze fabrikanten, bijvoorbeeld bij het ontleden van hun eigen protocollen.

Volgens eigen opgave heeft Claroty meer dan 1.300 klanten wereldwijd. Het onderzoeksteam Team82 publiceert kwetsbaarheden in industriële producten en analyseert OT-malware.

🔧 Welke producten en modules biedt Claroty?

Claroty bundelt zijn functies in het xDome-platform, met modules voor assetinventaris, exposure management, netwerkbescherming, secure access en dreigingsdetectie. Afhankelijk van uw eisen aan dataopslag kiest u tussen een cloud- of een on-premises-variant.

Claroty gebruikt zelf de term XIoT (Extended Internet of Things) voor het geheel van industriële besturingen, IoT-apparaten, gebouwbeheersystemen en medische apparatuur dat het platform bewaakt.

🔎 Hoe ontdekt Claroty assets zonder de productie te verstoren?

Asset Discovery is het startpunt van elke Claroty-implementatie. Veel organisaties hebben geen volledig overzicht van hun PLC’s, HMI’s, SCADA-servers, engineering stations, sensoren en industriële switches. Claroty combineert daarom meerdere methoden:

Passieve monitoring blijft de kern, omdat actieve scans in OT riskant zijn: een poortscan kan een oudere PLC laten vastlopen of een veiligheidssysteem in storing brengen. Een puur passieve sensor ziet echter geen apparaat dat nooit communiceert. De safe queries vullen dat gat, maar plan die altijd in overleg met de procesverantwoordelijke.

Het platform herkent onder meer Modbus, Modbus TCP, IP, DNP3, OPC UA, BACnet, S7 en ProfiNET. Dat geldt ook voor DCS-omgevingen van leveranciers als ABB en Siemens. Per asset legt het fabrikant, model, firmwareversie, protocollen, communicatierelaties en bekende kwetsbaarheden vast.

🌐 Waar plaatst u Claroty in het Purdue-model?

Een veelgemaakte fout is dat de monitoring “boven” de besturing hoort. In werkelijkheid moet de sensor het verkeer zien waar het ontstaat: op de switches van niveau 1 en 2 van het Purdue-model, in het control network en het supervisory network. De sensor luistert alleen mee en stuurt niets terug naar het procesnetwerk.

Zo blijft het OT-netwerk gescheiden, terwijl het IT-securityteam toch de meldingen ontvangt. De niveau-indeling sluit aan op ISA-95, waarop het Purdue-model is gebaseerd.

⚠️ Hoe detecteert Claroty dreigingen?

Claroty bouwt per netwerk een baseline van normale communicatie en signaleert afwijkingen met anomaliedetectie, handtekeningen en threat intelligence van Team82. Detecties worden gekoppeld aan MITRE ATT&CK for ICS, zodat een analist ziet in welke fase van een aanval een melding past.

Meldingen gaan naar een SIEM, SOAR of XDR-platform en naar ticketing. Daarmee werkt Claroty als NDR voor OT en als sensor voor een OT SOC. Het blijft wel een netwerkoplossing en geen IDS op de host: endpointbeveiliging vraagt aanvullende maatregelen.

🔐 Hoe beveiligt Claroty toegang op afstand?

Leveranciers en systeemintegratoren hebben regelmatig toegang nodig tot PLC’s en SCADA-systemen. Onvoldoende beveiligde remote access is een van de meest gebruikte ingangen bij OT-incidenten. xDome Secure Access vervangt losse VPN’s en TeamViewer-achtige oplossingen door één gecontroleerd toegangspunt.

Dit sluit aan op de eisen voor beheerde toegang in IEC 62443 en op een jump server-architectuur in de IDMZ.

🛡️ Hoe helpt Claroty bij kwetsbaarheden?

In OT kunt u lang niet altijd patchen: een update vraagt een stilstandvenster, leveranciersvalidatie en soms hercertificering. Claroty koppelt daarom elke asset aan bekende CVE’s en weegt die met CVSS, vermelding op de KEV-lijst van CISA, bereikbaarheid vanuit andere zones en de procesimpact. Zo ontstaat een korte lijst met wat echt eerst moet.

Waar patchen niet kan, adviseert het platform compenserende maatregelen, zoals strakkere firewallregels of segmentatie. Daarmee ondersteunt het vulnerability management en lifecycle management: end-of-life systemen en verouderde firmware worden zichtbaar voor migratieplannen.

Team82 levert de onderzoeksbasis. Het dashboard met kwetsbaarheidsmeldingen telt ruim 750 publicaties, waaronder fouten in OPC UA-stacks en in Kepware, en het team beschreef in december 2024 de IOCONTROL-malware van CyberAv3ngers.

🔄 Hoe verhoudt Claroty zich tot Nozomi, Dragos en Tenable OT?

De vier bekende OT-platforms overlappen sterk: alle vier combineren passieve monitoring met gecontroleerde actieve queries. De verschillen zitten vooral in nadruk en dekking.

De juiste keuze hangt af van uw bestaande SOC, de schaalbaarheid over veel locaties, de vraag of data het terrein mag verlaten en de mate waarin u ook gebouwbeheer of medische apparatuur wilt dekken.

🏭 Hoe pakt u een Claroty-implementatie in de praktijk aan?

Voor Nederlandse organisaties onder de Cyberbeveiligingswet (in werking sinds 15 augustus 2026, de Nederlandse uitwerking van NIS2) is een actueel overzicht van OT-assets en risico’s geen luxe meer. Een gangbare aanpak:

1. Bepaal de scope - kies locaties en zones, bijvoorbeeld eerst de zuiveringsinstallatie met de meeste externe koppelingen.
2. Plan de spiegelpoorten - controleer of switches SPAN ondersteunen zonder overbelasting; bij drukke of oudere switches is een TAP betrouwbaarder. Beide voegen geen latency toe aan het procesverkeer, maar een overbelaste SPAN-poort laat pakketten vallen en geeft dan een onvolledig beeld.
3. Kies cloud of on-premises - xDome vraagt een uitgaande koppeling via de IDMZ, CTD blijft volledig lokaal.
4. Laat de baseline leren - geef het platform enkele weken om normaal gedrag vast te leggen voordat u meldingen streng afstelt.
5. Valideer de inventaris - vergelijk met tekeningen en een fysieke rondgang; leg afwijkingen vast in uw risicomanagement.
6. Koppel aan processen - stuur meldingen naar SIEM en SOC, en leg vast wie bij een OT-melding beslist.

Voor compliance en continue monitoring levert het platform bewijs voor IEC 62443, NIST SP 800-82, NIST CSF en ISO 27001, en ondersteunt defense in depth en het zones-en-conduits-model. Fabrikanten die zelf producten maken, gebruiken de inventaris ook om te bepalen welke componenten onder de Cyber Resilience Act vallen.

❓ Veelgestelde vragen

Is Claroty een IDS of een firewall?

Claroty is geen firewall, want het blokkeert zelf geen verkeer. Het platform werkt als een passief netwerk-IDS of NDR voor OT, aangevuld met assetinventaris, kwetsbaarheidsbeheer en beveiligde remote access.

Wat is het verschil tussen Claroty xDome en CTD?

Claroty xDome is het SaaS-platform in de cloud, terwijl Continuous Threat Detection (CTD) volledig on-premises draait. CTD past bij organisaties die geen OT-data naar de cloud mogen sturen of netwerken zonder internetverbinding hebben.

Verstoort Claroty het productieproces?

Claroty werkt primair passief via SPAN-poorten of TAP’s en stuurt dan geen verkeer naar het procesnetwerk. Alleen de optionele safe queries benaderen apparaten actief, met alleen-lezen verzoeken in hun eigen protocol, en die plant u in overleg met operations.

Is Claroty ook geschikt voor ziekenhuizen?

Ja, met xDome for Healthcare, dat voortkomt uit de overname van Medigate in 2021-2022. Claroty inventariseert daarmee medische apparatuur zoals infuuspompen en beeldvormende systemen en koppelt die aan kwetsbaarheden en gebruiksgegevens.

Wat is Team82 van Claroty?

Team82 is de onderzoeksafdeling van Claroty die kwetsbaarheden in industriële en IoT-producten zoekt en gecoördineerd meldt bij fabrikanten. Het team publiceerde ruim 750 kwetsbaarheden en analyseert OT-malware zoals IOCONTROL.

Helpt Claroty bij de Cyberbeveiligingswet?

Claroty levert de assetinventaris, risicoanalyse en detectie die de zorgplicht van de Cyberbeveiligingswet in de praktijk vraagt. Het platform vervangt echter geen beleid, governance of meldprocedure: die blijven de verantwoordelijkheid van de organisatie zelf.

📌 Samengevat

Claroty is een OT- en CPS-securityplatform dat industriële, gebouwgebonden en medische netwerken passief en met veilige queries in kaart brengt, kwetsbaarheden prioriteert, aanvallen detecteert en toegang op afstand beveiligt. U kiest tussen xDome in de cloud en CTD on-premises; de waarde ontstaat pas wanneer sensoren op de juiste switches hangen en meldingen in uw SOC-processen landen.