Email Filtering

Wat is Email Filtering?

Email Filtering is het proces waarbij inkomende en uitgaande e-mails automatisch worden gecontroleerd, beoordeeld en zo nodig geblokkeerd, in quarantaine gezet of aangepast, zodat malware, phishing, spam en vervalste afzenders gebruikers en systemen niet bereiken. Een e-mailfilter combineert controles op de afzender, de verbinding, de inhoud, bijlagen en links, en beslist per bericht wat ermee gebeurt. In OT-omgevingen is Email Filtering geen maatregel óp de procesbesturing zelf, maar een verdedigingslinie rond de mensen en werkplekken die wél toegang hebben tot die besturing.

E-mail is al jaren een van de belangrijkste startpunten van aanvallen op industriële organisaties. Wie de inbox van een onderhoudsengineer beschermt, beschermt indirect ook het engineeringstation, de historian en de remote access-omgeving.

🎯 Waarom is Email Filtering belangrijk voor OT?

PLC’s, SCADA-servers en veldapparatuur verzenden of ontvangen zelden e-mail. De systemen en mensen eromheen doen dat wel: engineeringlaptops, onderhoudsmedewerkers, inkopers die met leveranciers mailen en beheerders met toegang tot het kantoornetwerk. Een geslaagde aanval op een van hen is vaak de eerste stap richting de productieomgeving.

In het kennismodel MITRE ATT&CK for ICS staat Spearphishing Attachment (T0865) als techniek voor initiële toegang. Bekende voorbeelden zijn de BlackEnergy-campagne tegen energiebedrijven, waarbij Word-bijlagen met macro’s maanden vóór de Oekraïense stroomstoringen van 2015 werden verstuurd, en groepen als Lazarus en OilRig die met kwaadaardige Office-documenten energie- en industriebedrijven benaderden.

🧠 Hoe werkt een e-mailfilter?

Een modern e-mailfilter, als cloudgateway, als on-premises appliance of ingebouwd in het mailplatform, verwerkt elk bericht in een aantal lagen:

1. Verbindingscontrole - reputatie van het verzendende IP-adres, blocklists en rate limiting.
2. Afzenderauthenticatie - controle van SPF, DKIM en DMARC om spoofing van het afzenderdomein te herkennen.
3. Inhoudsanalyse - regels en scores voor spam, phishingkenmerken en verdachte taal. Bij het open-sourcefilter SpamAssassin geldt standaard een score van 5,0 als grens voor spam.
4. Bijlagecontrole - blokkeren van uitvoerbare bestanden, scannen met antivirus en het openen van onbekende bestanden in een sandbox.
5. Linkanalyse - controle van URL’s tegen reputatiedatabases, vaak met herschrijving zodat de link bij het aanklikken opnieuw wordt gecontroleerd (zie URL Filtering).
6. Beslissing - afleveren, markeren, in quarantaine zetten of weigeren, met logging voor analyse.

🔐 Welke rol spelen SPF, DKIM en DMARC?

Afzenderauthenticatie is het deel van Email Filtering dat vervalste afzenders tegenhoudt. Een aanvaller die zich voordoet als uw automatiseringsleverancier, valt daarmee sneller door de mand.

Het Forum Standaardisatie heeft SPF, DKIM, DMARC en STARTTLS met DANE op de lijst met ‘pas toe of leg uit’-standaarden gezet, zodat Nederlandse overheden ze bij aanschaf en beheer van mailsystemen moeten toepassen. Ook grote mailproviders dwingen ze af: Google en Yahoo eisen sinds februari 2024 van bulkverzenders SPF, DKIM en een DMARC-record (bij Gmail geldt dat vanaf 5.000 berichten per dag), en Microsoft volgde in mei 2025 met vergelijkbare eisen voor Outlook.com. Met de gratis test van internet.nl ziet u snel hoe uw eigen domein ervoor staat.

🔧 Hoe richt u Email Filtering in voor een industriële organisatie?

Een praktische aanpak in stappen:

1. Breng de mailstromen in kaart - welke systemen versturen mail (alarmering, rapportages vanuit de historian, scanners) en welke leveranciers mailen met uw engineers.
2. Publiceer SPF, DKIM en DMARC - begin met DMARC p=none om rapporten te verzamelen en groei via quarantine naar reject.
3. Stel een streng bijlagebeleid in - blokkeer uitvoerbare bestanden en scripts, zet versleutelde archieven in quarantaine en laat Office-macro’s uit internetbestanden geblokkeerd. Microsoft blokkeert die sinds 2022 standaard in Office voor Windows op basis van het Mark of the Web-kenmerk.
4. Gebruik sandboxing en linkcontrole - voor onbekende bijlagen en voor links die pas na aflevering kwaadaardig worden.
5. Regel een veilige route voor leveranciersbestanden - firmware, projectbestanden en patches horen niet via mail binnen te komen, maar via een gecontroleerde uitwisselingszone in de IDMZ met scanning en hashcontrole.
6. Houd e-mail uit het OT-netwerk - richtlijnen zoals NIST SP 800-82 raden aan om vanuit het besturingsnetwerk geen e-mail en geen directe internettoegang toe te staan. Engineers lezen hun mail op een kantoorwerkplek en werken via een jump server in de OT-omgeving.
7. Koppel aan detectie en respons - stuur filterlogs naar de SIEM, combineer met EDR op werkplekken en regel meldingen van gebruikers via een meldknop.

Email Filtering past in de zorgplicht van de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad als Nederlandse invulling van NIS2, en in de eis voor bescherming tegen kwaadaardige code (SR 3.2) uit IEC 62443-3-3.

🛡️ Welke maatregelen versterken een e-mailfilter?

Geen filter houdt alles tegen: een gerichte aanval vanuit een echt, gekaapt leveranciersaccount slaagt voor SPF, DKIM en DMARC. Daarom is Email Filtering één laag in een Defense in Depth-strategie, naast segmentatie, least privilege en monitoring.

🚫 Welke aanvalstechnieken via e-mail komen veel voor?

❓ Veelgestelde vragen

Wat is het verschil tussen Email Filtering en een spamfilter?

Een spamfilter richt zich alleen op ongewenste massamail. Email Filtering is breder en omvat ook phishingdetectie, malwarescans, afzenderauthenticatie met SPF, DKIM en DMARC, linkcontrole en filtering van uitgaande mail.

Is Email Filtering ook nodig als OT-systemen geen e-mail gebruiken?

Ja, want aanvallers bereiken OT meestal via mensen en kantoorwerkplekken die wél mail ontvangen. Email Filtering verkleint de kans dat een engineeringlaptop of beheeraccount wordt gecompromitteerd en daarna als springplank naar de procesbesturing dient.

Houdt DMARC alle phishing tegen?

Nee, DMARC voorkomt alleen dat iemand het exacte afzenderdomein van uw organisatie vervalst. Phishing vanaf lookalike-domeinen of vanaf gekaapte, echte accounts van leveranciers vereist aanvullende filtering, linkcontrole en alertheid van medewerkers.

Mogen leveranciers firmware of projectbestanden per e-mail sturen?

Beter niet, omdat bijlagen moeilijk op echtheid te controleren zijn en e-mail een favoriete route voor aanvallers is. Laat leveranciers bestanden aanleveren via een gecontroleerde uitwisselingsomgeving in de IDMZ, waar ze worden gescand en tegen een gepubliceerde hash worden gecontroleerd.

Wat is sandboxing bij Email Filtering?

Sandboxing betekent dat het e-mailfilter een onbekende bijlage of link eerst opent in een geïsoleerde virtuele omgeving en het gedrag observeert. Pas als er geen kwaadaardige activiteit blijkt, wordt het bericht afgeleverd, wat helpt tegen nieuwe malware die antivirus nog niet herkent.

Valt Email Filtering onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet schrijft geen specifiek product voor, maar verplicht essentiële en belangrijke entiteiten tot passende maatregelen tegen cyberrisico’s. Email Filtering met afzenderauthenticatie en malwarebescherming is een gangbare invulling van die zorgplicht, omdat e-mail een van de meest gebruikte aanvalsroutes is.

📌 Samengevat

Email Filtering beschermt de mensen en werkplekken rondom de procesbesturing tegen phishing, malware, spam en vervalste afzenders. Een goed filter combineert verbindingscontrole, SPF, DKIM en DMARC, inhouds- en bijlageanalyse, sandboxing en linkcontrole, en wordt aangevuld met MFA, training en een veilige route voor leveranciersbestanden.

Email Filtering is een eerste verdedigingslinie tegen aanvallen op OT: het houdt APT’s, ketenaanvallen en menselijke fouten tegen voordat ze via de inbox de engineeringwerkplek, de remote access-omgeving of de procesbesturing bereiken.