Dragos

Wat is Dragos?

Dragos is een Amerikaans cybersecuritybedrijf dat zich uitsluitend richt op OT en industriële besturingssystemen (ICS), met een monitoringplatform voor OT-netwerken, threat intelligence over industriële aanvalsgroepen en diensten zoals incident response en threat hunting. Het bedrijf werd in december 2016 opgericht door Robert M. Lee, Jon Lavender en Justin Cavinee, die eerder bij Amerikaanse overheidsdiensten werkten aan de beveiliging van kritieke infrastructuur. Dragos is vooral bekend van zijn analyses van ICS-malware zoals CRASHOVERRIDE, TRISIS en PIPEDREAM en van het jaarlijkse OT Cybersecurity Year in Review. Binnen OT-convergentie is Dragos, naast Claroty, Nozomi en Tenable OT, een van de bekende leveranciers van OT-monitoring.

🧠 Wat doet Dragos precies?

Dragos combineert drie dingen die in de OT-securitymarkt vaak los worden verkocht: technologie, dreigingsinformatie en mensen.

• Dragos Platform - software die het OT-netwerk passief bewaakt, assets inventariseert, kwetsbaarheden prioriteert en aanvallen detecteert.
• Threat intelligence - onder de naam WorldView volgt Dragos aanvalsgroepen die het op industriële omgevingen gemunt hebben en publiceert het rapporten en adviezen.
• Diensten - incident response, OT-assessments, red teaming, tabletop-oefeningen en de threat-huntingdienst OT Watch (sinds april 2020).

Het bedrijf richt zich op sectoren met cyber-fysieke systemen waar een aanval fysieke gevolgen kan hebben: elektriciteit, olie en gas, water, chemie, farmacie, transport en de maakindustrie. Dragos gebruikt daarbij de term xOT voor alle operationele technologie, van industriële sensoren, PLC’s en SCADA tot gebouwbeheer en industriële IoT.

🔧 Hoe werkt het Dragos Platform?

Het platform werkt grotendeels via passieve monitoring. Sensoren luisteren mee op kopieën van het netwerkverkeer via SPAN-poorten of netwerk-TAP’s in het OT-netwerk, het Control Network en het Supervisory Network. Een centrale server per locatie verzamelt de gegevens; bij meerdere locaties komt daar een overkoepelende laag boven, vaak in of naast de IDMZ.

Doordat de sensoren alleen luisteren, belasten ze het procesnetwerk niet. Dat is in OT belangrijk: actieve scans kunnen oudere PLC’s en HMI’s laten vastlopen, netwerkcongestie veroorzaken en zo de latency van besturingsverkeer verstoren. Waar passief luisteren niet genoeg informatie oplevert, kan het platform gericht en beperkt actief bevragen.

Met deep packet inspection ontleedt het platform industriële protocollen, waaronder:

• Modbus en Modbus TCP
• IP en CIP
• DNP3 en IEC 61850 in de energiesector
• S7 van Siemens
• OPC UA en BACnet

Uit dat verkeer bouwt het platform automatisch een asset inventory op met fabrikant, type, firmwareversie, gebruikte protocollen en communicatierelaties. Dit is de basis voor Asset Discovery, kwetsbaarheidsbeheer en lifecyclebeheer van verouderde apparatuur.

🔐 Hoe detecteert Dragos dreigingen?

Dragos legt de nadruk op detectie op basis van dreigingsgedrag in plaats van alleen afwijkingen. Detecties zijn gebaseerd op technieken uit MITRE ATT&CK for ICS en op wat Dragos-analisten bij echte incidenten zien. Daarnaast gebruikt het platform anomaliedetectie, configuratiecontroles en indicatoren (IOC’s).

Meldingen gaan naar een SIEM, SOAR of XDR, zodat een SOC of OT SOC OT- en IT-gebeurtenissen kan correleren. Dragos biedt bij detecties playbooks met onderzoeksstappen, omdat SOC-analisten met een IT-achtergrond OT-meldingen anders vaak moeilijk kunnen beoordelen. Een AI-assistent (EmberAI) helpt analisten bij het samenvatten en onderzoeken van meldingen.

🧠 Welke rol speelt Dragos in OT-threat intelligence?

Dragos is een van de belangrijkste publieke bronnen over industriële aanvallers en daarmee over de security van kritieke infrastructuur. Het bedrijf geeft aanvalsgroepen namen van mineralen, zoals ELECTRUM, XENOTIME, CHERNOVITE, VOLTZITE en BAUXITE. Volgens het OT Cybersecurity Year in Review van februari 2026 volgt Dragos 26 OT-dreigingsgroepen, waarvan 11 actief waren in 2025.

Robert M. Lee publiceerde in 2015 met Michael Assante bij SANS de ICS-variant van de Cyber Kill Chain en schreef in 2022 met Tim Conway de SANS ICS Five Critical Controls. Die denkkaders zie je terug in de producten en adviezen van Dragos. Lees cijfers van een leverancier wel kritisch: ze komen uit de eigen klantenkring en incidenten.

🏭 Wat laat het Year in Review 2026 zien?

Het negende Year in Review (17 februari 2026) geeft een beeld van de praktijk dat ook voor Nederlandse organisaties herkenbaar is:

• Ransomware groeit - Dragos volgde 119 ransomwaregroepen die circa 3.300 industriële organisaties troffen, tegen 80 groepen een jaar eerder. Meer dan twee derde van de slachtoffers zat in de maakindustrie.
• Toegang via remote access - in 73% van alle incident-responsezaken ooit speelden gestolen VPN- of jumphost-credentials een rol.
• Segmentatie en monitoring schieten tekort - 81% van de assessments vond zwakke scheiding tussen IT en OT, en slechts 46% had voldoende OT-netwerkmonitoring.
• Aanvallers blijven onopgemerkt - in 56% van de penetratietests werd living-off-the-land-gereedschap gebruikt zonder dat er een melding volgde, en 88% van de tabletop-oefeningen bracht tekortkomingen in de detectie aan het licht.
• Kwetsbaarheden prioriteren - slechts 3% van de OT-kwetsbaarheden vroeg om directe actie, 71% kon met compenserende maatregelen of bij het volgende onderhoud worden opgelost en 27% hoefde niet te worden verholpen.

Die verdeling sluit aan bij de OT-realiteit van kwetsbaarheidsbeheer: patchen kan vaak alleen tijdens een stilstand, dus netwerksegmentatie, monitoring en compenserende maatregelen wegen zwaar.

🧱 Hoe zet u Dragos in een industriële omgeving in?

Een typische implementatie bij bijvoorbeeld een netbeheerder of drinkwaterbedrijf verloopt in stappen:

1. Scope en architectuur - breng het netwerk in kaart volgens het Purdue Model en bepaal welke zones en conduits (Zone and Conduits-model) bewaakt moeten worden.
2. Sensorplaatsing - plaats sensoren op SPAN- of TAP-punten op niveau 1 tot 3: bij de core-switches van het procesnetwerk, rond SCADA-servers en op de conduits naar de IDMZ. Zorg dat ook verkeer tussen controllers onderling zichtbaar is.
3. Baseline en inventaris - laat het platform enkele weken leren en controleer de asset inventory samen met de procesbeheerders. Onbekende apparaten blijken vaak tijdelijke laptops van leveranciers.
4. Integratie - koppel meldingen aan SIEM, ticketing en de CMDB, en spreek af wie OT-meldingen buiten kantoortijd beoordeelt.
5. Response voorbereiden - stel een OT-specifiek incident-responseplan op en oefen het, want in OT kunt u systemen niet zomaar uitzetten zonder procesgevolgen.

In Nederland ondersteunt dit de zorgplicht en meldplicht uit de Cyberbeveiligingswet (in werking sinds 15 augustus 2026), de Nederlandse invulling van NIS2. Detectie en een actuele asset inventory zijn ook basiseisen in IEC 62443, NIST SP 800-82 en het NIST CSF. Voor organisaties die ook informatiebeveiliging volgens ISO 27001 regelen, levert het platform bewijs voor de OT-kant van de compliance. ISA-95 en Defense in Depth blijven het architectuurkader waarbinnen monitoring één van de lagen is.

🔄 Hoe verhoudt Dragos zich tot andere OT-securityleveranciers?

De bekendste OT-monitoringplatforms bieden vergelijkbare basisfuncties: passieve monitoring, asset inventory, kwetsbaarheidsbeheer en detectie. De verschillen zitten vooral in de nadruk.

Dragos groeide snel: in oktober 2021 haalde het 200 miljoen dollar op bij een waardering van 1,7 miljard dollar. In juli 2025 nam Dragos Network Perception over voor segmentatievalidatie, en in 2026 volgde Phosphorus voor het beheer van OT- en IoT-apparaten. In juni 2026 kondigde Accenture aan een meerderheidsbelang in Dragos te nemen en runZero (asset discovery) en NetRise (firmware- en SBOM-analyse) volledig over te nemen, voor in totaal circa 4,2 miljard dollar. runZero en NetRise zijn daarna onder Dragos gebracht, dat als zelfstandig bedrijf verdergaat onder CEO Robert M. Lee.

❓ Veelgestelde vragen

Is Dragos een product of een bedrijf?

Dragos is een bedrijf, Dragos Inc., dat zowel software als diensten levert. Het belangrijkste product is het Dragos Platform voor OT-monitoring, daarnaast levert Dragos threat intelligence (WorldView) en diensten zoals incident response en OT Watch.

Werkt Dragos zonder het OT-netwerk te verstoren?

Ja, het Dragos Platform werkt hoofdzakelijk passief via SPAN-poorten en netwerk-TAP’s en stuurt dan geen verkeer naar PLC’s of andere controllers. Daardoor is het geschikt voor productienetwerken waarin actieve scans storingen kunnen veroorzaken.

Wat is het Dragos Year in Review?

Het Dragos Year in Review is een jaarlijks rapport over de OT-dreigingen van het voorgaande jaar, gebaseerd op de incidenten, assessments en intelligence van Dragos. De editie van februari 2026 noemt 26 gevolgde dreigingsgroepen en 119 ransomwaregroepen die industriële organisaties troffen.

Waarom geeft Dragos aanvalsgroepen namen van mineralen?

Dragos gebruikt mineraalnamen zoals ELECTRUM, XENOTIME en VOLTZITE om groepen te volgen op basis van waargenomen gedrag in OT, los van politieke toeschrijving. Daardoor overlappen Dragos-namen vaak gedeeltelijk, maar niet altijd volledig, met namen van andere bedrijven zoals Sandworm of Volt Typhoon.

Is Dragos geschikt voor kleinere organisaties?

Het Dragos Platform is vooral gericht op middelgrote en grote asset owners met een eigen of uitbesteed SOC. Voor kleinere nutsbedrijven en industriële organisaties biedt Dragos via OT-CERT en het Community Defense Program gratis hulpmiddelen, trainingen en ondersteuning.

Helpt Dragos bij de Cyberbeveiligingswet?

Dragos kan helpen bij de Cyberbeveiligingswet doordat het een actuele asset inventory, detectie van incidenten en onderbouwing voor de meldplicht levert. De wet zelf schrijft geen specifiek product voor: het gaat om passende maatregelen, en OT-monitoring is daar één onderdeel van.

📌 Samengevat

Dragos is een gespecialiseerd OT-cybersecuritybedrijf dat een passief monitoringplatform, threat intelligence over industriële aanvalsgroepen en OT-incident response combineert. De sterkte zit in de kennis van echte aanvallen op ICS, van CRASHOVERRIDE tot FrostyGoop. Het platform werkt het best als onderdeel van een bredere aanpak met segmentatie, detectie, monitoring en een geoefend responsplan volgens IEC 62443.