Wat is een Engineering Network?
Een Engineering Network is een afgescheiden netwerksegment binnen een industriële OT-architectuur waarlangs engineers met Engineering Stations de PLC’s, HMI’s, SCADA-systemen, aandrijvingen en netwerkcomponenten van een installatie programmeren, configureren, diagnosticeren en bijwerken. Het scheidt het wijzigen van een installatie van het bedienen ervan: operators gebruiken het supervisory-netwerk, controllers communiceren in het control network, en alleen via het engineeringnetwerk komt nieuwe besturingslogica of firmware binnen. Omdat wie dit netwerk beheerst het gedrag van de fysieke installatie kan veranderen, is het een van de meest kritieke segmenten in industriële automatisering.
🧠 Hoe werkt een Engineering Network?
Een engineeringnetwerk verbindt drie soorten systemen met elkaar:
- Engineeringwerkplekken - vaste Engineering Stations of engineeringlaptops met software zoals TIA Portal en STEP 7 (Siemens), Studio 5000 (Rockwell Automation), Unity Pro, tegenwoordig EcoStruxure Control Expert (Schneider Electric), of CODESYS.
- Doelsystemen - controllers, HMI-panelen, SCADA-servers, frequentieregelaars, IO-modules, switches en industriële firewalls die geconfigureerd moeten worden.
- Ondersteunende diensten - versiebeheer van projectbestanden, back-ups, licentieservers, asset management en een jump server als enige toegangspunt van buitenaf.
De communicatie loopt via leveranciersspecifieke protocollen. Siemens gebruikt S7 Comm Plus over TCP-poort 102, Rockwell gebruikt CIP over EtherNet/IP (TCP 44818), en safety-controllers hebben vaak een eigen protocol, zoals TriStation over UDP bij Triconex. Daarnaast lopen er protocollen als Modbus (TCP 502) en OPC UA (TCP 4840) over Ethernet voor diagnose en testen, maar die zijn bedoeld voor procesdata, niet voor het laden van programma’s.
Er zijn drie gangbare uitvoeringsvormen:
- Fysiek gescheiden - eigen switches en bekabeling, vaak bij installaties met een hoog security level
- Logisch gescheiden - een eigen VLAN met routering via een firewall, de meest voorkomende vorm
- Op afroep - geen vaste verbinding; een engineer krijgt tijdelijk toegang via een VPN of jump server tijdens commissioning, storingen of geplande wijzigingen
🔄 Hoe verhoudt het Engineering Network zich tot andere OT-netwerken?
In het Purdue Model staan engineeringwerkplekken meestal op niveau 2, dicht bij de controllers die ze programmeren. Door ze in een eigen zone onder te brengen, worden de verkeersstromen naar de controllers beperkt en controleerbaar.
| Netwerk | Functie | Typische gebruikers | Verkeer |
|---|---|---|---|
| Engineering network | Programmeren, configureren, firmware-updates | Geautoriseerde engineers en leveranciers | Downloads, uploads en online diagnose, onregelmatig |
| Supervisory network | Bewaken, alarmeren, bedienen | Operators, procesingenieurs | Continu polling van tags |
| Control network | Realtime besturing tussen controllers en IO | Controllers, IO en aandrijvingen; engineers alleen via gecontroleerde paden | Cyclisch, deterministisch |
| IDMZ | Gecontroleerde uitwisseling met IT | Historian-replica’s, patchservers, jump servers | Alleen via brokers en proxies |
Het verschil zit vooral in het soort handeling. Supervisory-verkeer leest en zet setpoints, engineeringverkeer kan de logica zelf vervangen. Daarom krijgt het engineeringnetwerk in een zone- en conduitsmodel meestal een eigen zone met strengere eisen.
🏭 Waarvoor wordt een Engineering Network gebruikt?
- Commissioning - de eerste ingebruikname van een installatie, waarbij programma’s, parameters en netwerkinstellingen worden geladen
- Wijzigingen - PLC-programma’s aanpassen, HMI-schermen en SCADA-projecten bijwerken, binnen change management
- Onderhoud - firmware van controllers, switches en aandrijvingen bijwerken en firewallregels beheren
- Storingen - online meekijken in draaiende logica en variabelen forceren
- Onderhoud op afstand - leveranciers en machinebouwers die via een gecontroleerde verbinding ondersteunen
- Testen - test- en acceptatieomgevingen volgens een OTAP-aanpak, zodat wijzigingen niet direct in productie worden getest
🔐 Waarom is het Engineering Network een geliefd aanvalsdoel?
Wie een engineeringwerkplek overneemt, krijgt de sleutels van de installatie. Twee bekende aanvallen laten dat zien:
- Stuxnet (ontdekt in 2010) verving de communicatiebibliotheek van STEP 7 en infecteerde STEP 7-projectbestanden. Zodra een engineer zo’n project opende, werd de aanval uitgevoerd, en wie het project naar een ander netwerk kopieerde, verspreidde de infectie verder.
- TRITON (beschreven in december 2017) begon met een eerste voet aan de grond in het DCS-netwerk, waarna de aanvallers op afstand toegang kregen tot een engineeringwerkplek van het veiligheidssysteem (SIS). Vanaf daar herprogrammeerden de aanvallers Triconex-controllers via het TriStation-protocol.
MITRE ATT&CK for ICS beschrijft dit patroon als Project File Infection (T0873). Als maatregelen noemt het hash-controle van projectbestanden tegen een vertrouwde versie, code signing, versleuteling en beperkte bestandsrechten.
🔧 Hoe beveiligt u een Engineering Network?
| Maatregel | Uitwerking | Waarom |
|---|---|---|
| Eigen zone | Segmentatie met een industriële firewall; alleen de benodigde poorten naar specifieke controllers | Beperkt wat een besmette werkplek kan bereiken |
| Geen dual-homing | Een werkplek zit nooit tegelijk in het engineeringnetwerk en het kantoornetwerk | Na TRITON expliciet aanbevolen voor werkplekken die SIS-controllers programmeren |
| Gecontroleerde toegang | Remote Access alleen via een jump server met MFA en sessie-opname | Elke handeling is herleidbaar |
| Least privilege | Toegangsbeheer per rol en per installatie, tijdelijk geopend | Leveranciers zien alleen hun eigen machine |
| Integriteit van projecten | Versiebeheer met hashes en vergelijking tussen offline project en controller | Detecteert ongeautoriseerde wijzigingen |
| Media en software | USB Control, hardening en controle van firmware voor uitrol | Voorkomt infectie via laptops en sticks |
| Monitoring | Netwerkmonitoring die downloads, modewisselingen en firmware-updates herkent, gekoppeld aan SIEM | Wijzigingen buiten een change-venster vallen op |
| Fysieke sleutel | Controllers met sleutelschakelaar in RUN laten en de positie auditen | Programmeren vraagt een bewuste handeling |
De SANS ICS Five Critical Controls uit 2022 sluiten hierop aan: een verdedigbare architectuur met loggegevens van engineeringwerkplekken en veilige externe toegang via een jump host zijn twee van de vijf kernmaatregelen.
🧱 Hoe richt u een Engineering Network stap voor stap in?
- Inventariseer alle engineeringwerkplekken, laptops, softwareversies en de controllers die ze beheren (Asset Inventory).
- Breng verkeersstromen in kaart: welke werkplek moet welke controller op welke poort bereiken?
- Ontwerp zones en conduits volgens IEC 62443-3-2 en kies de eisen uit IEC 62443-3-3 die bij het beoogde security level horen.
- Plaats een jump server in de IDMZ als enige ingang van buitenaf, met MFA en sessie-opname.
- Beheer projectbestanden centraal en vergelijk periodiek de versie in de controller met de goedgekeurde versie.
- Leg logging vast van alle engineeringsessies en wijzigingen in logbestanden en security monitoring.
- Test herstel: kunt u een controller met een back-up van het project terugzetten als de werkplek niet meer te vertrouwen is?
In Nederland is dit geen vrijblijvende keuze meer. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, geldt sinds 15 augustus 2026. Artikel 21 van NIS2 noemt toegangsbeleid, asset management en het gebruik van multifactorauthenticatie expliciet als maatregelen, en die raken het engineeringnetwerk direct.
❓ Veelgestelde vragen
Wat is het verschil tussen een Engineering Network en een Engineering Station?
Een Engineering Station is de werkplek met programmeersoftware, een Engineering Network is het netwerksegment waarlangs die werkplek de controllers bereikt. Het engineeringnetwerk bepaalt dus welke stations welke systemen mogen wijzigen.
Moet een Engineering Network fysiek gescheiden zijn?
Een Engineering Network hoeft niet altijd fysiek gescheiden te zijn; een eigen VLAN met een firewall is in de meeste installaties voldoende. Bij veiligheidssystemen en installaties met een hoog security level kiezen organisaties vaker voor fysieke scheiding of een netwerk dat alleen tijdens geplande wijzigingen wordt aangesloten.
Mag een leverancier rechtstreeks inloggen op het Engineering Network?
Een leverancier hoort niet rechtstreeks op het Engineering Network in te loggen. Toegang loopt via een jump server met MFA, alleen voor de eigen machine en alleen in een afgesproken tijdvenster, zodat de sessie wordt vastgelegd en kan worden beëindigd.
Welke protocollen lopen over een Engineering Network?
Over een Engineering Network lopen vooral leveranciersprotocollen voor programmeren, zoals S7comm-plus van Siemens op TCP-poort 102 en CIP over EtherNet/IP op TCP-poort 44818. Daarnaast komen Modbus TCP, OPC UA, SNMP en webinterfaces voor configuratie van netwerkcomponenten voor.
Hoe herkent u een ongeautoriseerde wijziging via het Engineering Network?
Een ongeautoriseerde wijziging valt op door OT-netwerkmonitoring die programma-downloads, modewisselingen en firmware-updates detecteert en vergelijkt met goedgekeurde changes. Daarnaast laat een vergelijking tussen het project in versiebeheer en de logica in de controller zien of er buiten het proces om is gewijzigd.
📌 Samengevat
Het Engineering Network is het segment waarlangs engineers de logica en configuratie van een industriële installatie veranderen, en daarmee een van de meest kritieke zones in OT. Met een eigen zone, toegang via een jump server met MFA, versiebeheer van projectbestanden en monitoring van elke download houdt u die macht onder controle, in lijn met netwerksegmentatie, IEC 62443 en de zorgplicht uit de Cyberbeveiligingswet.