DPI

Wat is DPI (Deep Packet Inspection)?

DPI (Deep Packet Inspection) is een techniek waarbij een netwerkapparaat zoals een firewall, IDS of IPS niet alleen de headers van een datapakket bekijkt (IP-adres en poort), maar ook de inhoud ervan ontleedt, zodat het protocol, het commando en de datavelden kunnen worden gecontroleerd, gelogd of geblokkeerd. In industriële netwerken betekent dat: niet alleen zien dát een werkstation met een PLC praat via Modbus TCP, maar ook of het om een leesopdracht of een schrijfopdracht gaat, en naar welk register. Omdat veel OT-protocollen zoals Modbus, DNP3 en S7 geen authenticatie of encryptie kennen, is die inhoudelijke controle vaak de enige manier om misbruik van legitiem verkeer te herkennen.

🧠 Hoe werkt DPI?

Een DPI-engine verwerkt elk pakket in een aantal stappen:

1. Headers lezen - net als een klassieke firewall kijkt DPI eerst naar laag 3 en 4 van het OSI-model: bron, bestemming, poort en sessiestatus.
2. Protocol herkennen - de engine bepaalt welk applicatieprotocol in het pakket zit. Dat gebeurt niet alleen op poortnummer, want een aanvaller kan elk protocol op elke poort laten lopen.
3. Payload ontleden (parsen) - een protocol-decoder splitst het bericht in velden: bij Modbus de unit-ID, de functiecode, het registeradres en de waarde; bij DNP3 de applicatiefunctiecode en de objecten.
4. Vergelijken met beleid - de velden worden getoetst aan regels (allowlist), aan bekende aanvalspatronen (signatures) of aan een geleerd profiel van normaal gedrag (anomaliedetectie).
5. Actie - toestaan, blokkeren, de verbinding resetten of een melding sturen naar een SIEM of security monitoring-platform.

Er zijn twee hoofdvormen. Signature-based DPI zoekt naar bekende kwaadaardige patronen, zoals een exploit voor een specifieke firmware-versie. Protocol-specifieke DPI begrijpt de grammatica van het protocol en controleert of elk bericht geldig en toegestaan is. In OT is de tweede vorm het meest waardevol, omdat aanvallen daar meestal bestaan uit geldige commando’s met een kwaadaardige bedoeling.

🔍 Wat is het verschil tussen DPI en een traditionele firewall?

Een klassieke firewall kan dus niet voorkomen dat een gecompromitteerde HMI die al toegang heeft tot poort 502 een schrijfopdracht stuurt. DPI kan dat wel. Protocol Filtering is de toepassing van DPI waarbij die regels per protocol en commando worden afgedwongen.

🏭 Welke industriële protocollen kan DPI inspecteren?

Ondersteuning verschilt sterk per product. OT-netwerkleveranciers zoals Hirschmann (Belden), Moxa en Phoenix Contact leveren een industrial firewall met DPI voor een beperkte set OT-protocollen. Open-source engines als Zeek bevatten standaard decoders voor Modbus en DNP3; Suricata heeft regelwoorden voor Modbus, DNP3 en EtherNet/IP. Commerciële NDR-platformen van onder meer Nozomi, Claroty en Dragos ontleden vele tientallen industriële protocollen.

🔐 Waarom is DPI belangrijk voor OT-beveiliging?

Bekende aanvallen laten zien dat het gevaar zit in de inhoud, niet in de verbinding:

• Stuxnet manipuleerde Siemens-PLC’s via het S7-protocol, met geldige commando’s vanaf een besmet engineering station.
• Industroyer stuurde in december 2016 in Kyiv schakelopdrachten via IEC 60870-5-104 en IEC 61850 om stroomonderbrekers te openen.
• FrostyGoop gebruikte in januari 2024 Modbus TCP om regelapparatuur van een warmtebedrijf in Lviv te manipuleren; circa 600 flatgebouwen zaten daarna zonder verwarming.

In al deze gevallen zou een firewall op poortniveau het verkeer hebben doorgelaten. DPI kan zulke commando’s herkennen en, inline geplaatst, blokkeren. Daarnaast geeft DPI zicht op insider threats, verkeerd geconfigureerde systemen en de communicatie die voorafgaat aan ransomware.

DPI past in normen en wetgeving. IEC 62443-3-3, onderdeel van de IEC 62443-reeks, vraagt bescherming van zonegrenzen (SR 5.2) en continue monitoring (SR 6.2); DPI is een gangbare invulling van beide binnen het zone- en conduitmodel. NIS2 en de Nederlandse Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, schrijven DPI niet letterlijk voor, maar eisen passende maatregelen voor netwerkbeveiliging en incidentdetectie.

🔧 Hoe zet u DPI stap voor stap in een OT-netwerk in?

1. Breng de communicatie in kaart - begin passief: spiegel verkeer via een SPAN-poort of een netwerk-TAP en bouw een asset inventory en een overzicht van wie met wie via welk protocol praat. Hulpmiddelen als Wireshark helpen bij analyse.
2. Kies de positie - plaats DPI op conduits tussen zones, bijvoorbeeld tussen de DMZ en het controlnetwerk, of direct vóór kritieke PLC’s.
3. Start in monitormodus - laat de DPI-functie enkele weken alleen loggen, zodat u ziet welke commando’s in normaal bedrijf voorkomen, inclusief onderhoud en batchwissels.
4. Stel allowlist-regels op - sta bijvoorbeeld alleen lezen toe vanaf HMI’s en historians, en schrijven en programmeren alleen vanaf het engineering station.
5. Schakel geleidelijk naar blokkeren - per conduit, buiten productiepieken en met een terugvalplan.
6. Kies het faalgedrag bewust - bepaal of het apparaat bij een storing verkeer doorlaat (fail-open) of tegenhoudt (fail-closed). In OT gaat beschikbaarheid vaak voor.
7. Koppel aan detectie en respons - stuur meldingen naar een SIEM of OT SOC en herzie de regels na elke procesaanpassing.

⚠️ Wat zijn de beperkingen van DPI?

• Encryptie - bij TLS of OPC UA in de modus SignAndEncrypt is de payload onleesbaar; DPI ziet dan alleen metadata zoals adressen, timing en berichtgrootte. Inspectie moet dan op het eindpunt of via een vertrouwde gateway.
• Vertraging - inline DPI kost rekentijd per pakket. Voor tijdkritisch verkeer zoals PROFINET RT of motion control wordt DPI daarom zelden inline geplaatst; passieve monitoring is daar gebruikelijker.
• Onbekende of propriëtaire protocollen - zonder decoder valt DPI terug op poortfiltering.
• Beheerlast - regels moeten meegroeien met het proces; een te strenge regel kan een productielijn stilleggen.
• Geen vervanging van segmentatie - DPI werkt het best als laag binnen defense in depth, samen met netwerksegmentatie, access control, zero trust en centrale logging.

❓ Veelgestelde vragen

Wat betekent DPI?

DPI staat voor Deep Packet Inspection. Het is een techniek waarbij een firewall, IDS of IPS ook de inhoud van netwerkpakketten ontleedt in plaats van alleen het IP-adres en de poort. Zo kan DPI per commando beslissen of verkeer is toegestaan.

Is DPI hetzelfde als een next-generation firewall?

Nee. DPI is een techniek; een next-generation firewall is een product dat DPI gebruikt, vaak samen met applicatieherkenning en IPS. Voor OT is vooral van belang of het product industriële protocollen als Modbus, DNP3 en S7 echt kan ontleden.

Kan DPI versleuteld OT-verkeer inspecteren?

DPI kan versleuteld verkeer, zoals OPC UA met SignAndEncrypt of TLS, niet inhoudelijk lezen zonder de sleutels. De engine ziet dan alleen metadata zoals adressen, timing en berichtgrootte. Inhoudelijke controle moet in dat geval op het eindpunt of in een vertrouwde gateway plaatsvinden.

Vertraagt DPI het industriële netwerk?

Inline DPI voegt per pakket rekentijd toe, waarvan de omvang afhangt van het apparaat en het aantal regels. Voor de meeste SCADA- en HMI-communicatie is dat geen probleem, maar voor tijdkritische realtime-protocollen kiest men vaak passieve DPI via een SPAN-poort of TAP. Test de vertraging altijd vóór ingebruikname.

Wat is het verschil tussen passieve en inline DPI?

Passieve DPI analyseert een kopie van het verkeer en kan alleen alarmeren, zonder risico voor de procescommunicatie. Inline DPI zit in het datapad, meestal in een industrial firewall of IPS, en kan commando’s daadwerkelijk blokkeren. Veel organisaties beginnen passief en schakelen per zone over naar inline.

Welke norm vraagt om DPI in OT?

Geen norm schrijft DPI letterlijk voor, maar IEC 62443-3-3 vraagt bescherming van zonegrenzen (SR 5.2) en continue monitoring (SR 6.2). DPI is een gangbare manier om daaraan te voldoen. Ook NIS2 en de Cyberbeveiligingswet vragen passende netwerkbeveiliging, waarvoor DPI een geschikte maatregel is.

📌 Samengevat

Deep Packet Inspection maakt OT-verkeer controleerbaar tot op protocol- en commando-niveau, zodat een schrijfopdracht naar een PLC anders wordt behandeld dan een leesopdracht. Zet DPI eerst passief in om normaal gedrag te leren, dwing daarna per conduit allowlist-regels af en combineer het met segmentatie, monitoring en compliance met IEC 62443 voor robuuste industriële cybersecurity.