Wat is een Engineering Station?
Een Engineering Station (ook engineering workstation of EWS) is een computer met de programmeer- en configuratiesoftware waarmee engineers PLC’s, DCS’en, veiligheidssystemen (SIS), SCADA-systemen, HMI’s en veldapparatuur programmeren, configureren, testen en diagnosticeren. Het is de plek waar besturingslogica, procesbeelden, netwerkinstellingen en firmware-updates worden gemaakt en naar de installatie worden geladen. Omdat een Engineering Station per definitie de rechten heeft om het gedrag van een OT-installatie te veranderen, is het tegelijk een van de waardevolste doelwitten voor aanvallers.
🧠 Wat doet een Engineering Station?
Een Engineering Station is het gereedschap van de automatiseringsengineer. Typische taken:
- Programmeren - schrijven, compileren en downloaden van PLC-programma’s in de talen van IEC 61131 (ladder, FBD, ST, SFC)
- Configureren - hardwareconfiguratie, veldbussen en IO-modules instellen, en SCADA-visualisaties en HMI-schermen bouwen
- Diagnose - online meekijken in de draaiende logica, variabelen forceren en storingen opsporen
- Onderhoud - firmware van controllers en componenten bijwerken
- Beheer - projectbestanden, documentatie en versies bijhouden binnen change management en versiebeheer
In het Purdue Model staat het Engineering Station meestal op niveau 2 of in een apart engineeringnetwerk, dicht bij de controllers die het programmeert. Er zijn twee vormen: een vaste werkplek in de controlekamer of serverruimte en een mobiele engineeringlaptop die een engineer meeneemt naar de machine.
🔧 Welke software draait op een Engineering Station?
Elke leverancier heeft eigen engineeringsoftware, en een Engineering Station bevat vaak meerdere pakketten en versies naast elkaar om oudere installaties te kunnen blijven onderhouden.
| Leverancier | Engineeringsoftware | Typische systemen |
|---|---|---|
| Siemens | TIA Portal (STEP 7, WinCC), SIMATIC Manager | S7-1200, S7-1500, S7-300/400 |
| Rockwell Automation | Studio 5000 Logix Designer (tot v20 RSLogix 5000) | ControlLogix, CompactLogix |
| Mitsubishi Electric | GX Works | MELSEC iQ-R, iQ-F |
| Diverse merken | CODESYS | Multi-vendor IEC 61131-3-controllers |
| Schneider Electric | TriStation 1131 | Triconex-veiligheidssystemen |
| DCS-leveranciers | DeltaV, System 800xA, Experion, CENTUM VP, PCS 7 | Gedistribueerde procesbesturing |
Naast de programmeersoftware bestaat een Engineering Station uit vaste onderdelen:
| Onderdeel | Functie |
|---|---|
| Programmeersoftware | Logica en configuratie maken en downloaden |
| Drivers en communicatiebibliotheken | Verbinding met controllers via bijvoorbeeld ProfiNET of EtherNet/IP |
| Back-up- en hersteltools | Projectdata en controllerinhoud veiligstellen |
| Simulatietools | Logica offline testen voordat deze live gaat |
| Beveiligingsmaatregelen | Authenticatie, logging, allowlisting en netwerksegmentatie |
🎯 Waarom is een Engineering Station zo’n aantrekkelijk doelwit?
Wie het Engineering Station beheerst, kan legitiem ogende wijzigingen in controllers doorvoeren. Het verkeer naar de PLC ziet er normaal uit, want het komt van het systeem dat dat altijd doet. Drie bekende aanvallen laten dit zien:
| Aanval | Jaar | Doelwit | Rol van het Engineering Station |
|---|---|---|---|
| Stuxnet | ontdekt 2010 | Siemens S7-controllers van centrifuges in Iran | Infecteerde STEP 7-projectbestanden en verving de communicatiebibliotheek, zodat gemanipuleerde code ongemerkt naar de PLC ging |
| TRITON | 2017 | Triconex-veiligheidssysteem in een Saoedische petrochemische fabriek | Aanvallers kregen toegang tot het SIS-engineeringstation en herprogrammeerden van daaruit de veiligheidscontrollers |
| PIPEDREAM | 2022 | Schneider Electric- en Omron-PLC’s en OPC UA-servers | Toolkit compromitteert Windows-engineeringstations via een kwetsbare ASRock-driver (CVE-2020-15368) |
Bij TRITON werd de malware vermomd als trilog.exe, een naam die op een legitiem
Triconex-hulpprogramma leek. De aanval werkte alleen omdat de sleutelschakelaar van de controller in de
stand PROGRAM stond. Een fout van de aanvallers liet het veiligheidssysteem de installatie veilig
afschakelen, waardoor de aanval werd ontdekt. Deze gevallen maken duidelijk dat een Engineering Station in
een defense-in-depth-strategie als kroonjuweel moet worden behandeld.
🔐 Hoe beveiligt u een Engineering Station?
Hardening van een Engineering Station combineert technische en organisatorische maatregelen:
- Dedicated gebruik - alleen engineeringsoftware; geen kantoortoepassingen, geen internet en geen e-mail op het station
- Application allowlisting - alleen goedgekeurde programma’s en drivers mogen starten, wat ook onbekende kerneldrivers zoals bij PIPEDREAM blokkeert
- Sterke authenticatie - persoonlijke accounts, MFA en least privilege; geen gedeelde ‘engineer’-accounts
- USB-beheer - USB-poorten afgesloten of beperkt tot gescande, geregistreerde media
- Back-ups - projectbestanden en controllerinhoud na elke wijziging veiligstellen, met een kopie offline
- Logging en monitoring - aanmeldingen, downloads naar controllers en driverinstallaties vastleggen en doorsturen naar een SIEM
- EDR of integriteitscontrole - waar de leverancier dat ondersteunt, met afwijkingsdetectie op ongebruikelijke processen
- Patchmanagement - updates pas na vrijgave door de leverancier, getest op een referentiesysteem
- Fysieke borging - sleutelschakelaars van controllers en safety-PLC’s, waar aanwezig, standaard in RUN, en het station in een afgesloten ruimte
💻 Hoe gaat u om met engineeringlaptops van leveranciers?
Mobiele laptops zijn het grootste risico: ze komen in andere netwerken, worden gebruikt voor e-mail en gaan mee naar andere klanten. Een goed beleid regelt:
- Eigen beheerde laptops - bij voorkeur werkt een externe engineer op een laptop of virtuele werkplek van de eigenaar, niet op zijn eigen apparaat
- Geen directe koppeling - leverancierslaptops mogen niet zomaar op het OT-netwerk; toegang verloopt via een jump server of een apart onderhoudssegment
- Gecontroleerde remote access - sessies op aanvraag, met MFA, tijdslimiet en session recording
- Scanstation - bestanden en USB-media worden eerst gescand voordat ze het OT-domein in gaan
- Contractuele eisen - leg eisen vast op basis van IEC 62443-2-4, dat de beveiligingseisen voor integrators en onderhoudspartijen beschrijft
📏 Wat zegt IEC 62443 over het Engineering Station?
De IEC 62443-serie noemt het Engineering Station niet als apart hoofdstuk, maar veel eisen raken het direct. In IEC 62443-4-2 valt het station onder het componenttype host device (een apparaat met een algemeen besturingssysteem zoals Windows), en de engineeringsoftware onder software application.
| Eis uit IEC 62443-3-3 | Onderwerp | Toepassing op het Engineering Station |
|---|---|---|
| SR 1.1 | Identificatie en authenticatie van menselijke gebruikers | Persoonlijke accounts, MFA |
| SR 2.3 | Gebruik van draagbare en mobiele apparaten | Beleid voor USB en engineeringlaptops |
| SR 3.2 | Bescherming tegen kwaadaardige code | Allowlisting, antivirus of EDR |
| SR 3.4 | Integriteit van software en informatie | Controle op gewijzigde projecten en firmware |
| SR 7.3 | Back-up van het controlesysteem | Regelmatige back-ups van projecten en controllers |
| SR 7.7 | Minimale functionaliteit | Geen overbodige software, services en poorten |
Via de zoneringsaanpak van IEC 62443-3-2 krijgt het Engineering Station bovendien een eigen zone of een plaats in de zone van de controllers die het beheert, en IEC 62443-3-3 bepaalt welke eisen per security level voor die zone gelden. Voor Nederlandse organisaties onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2 die op 15 augustus 2026 in werking trad, zijn dit soort maatregelen onderdeel van de zorgplicht.
🧭 Hoe pakt u de beveiliging stap voor stap aan?
- Inventariseer - breng alle vaste stations, laptops en virtuele engineeringwerkplekken in kaart, met softwareversies en de controllers die ze kunnen bereiken.
- Segmenteer - plaats stations in een eigen zone met firewallregels die alleen de benodigde engineeringprotocollen naar de doelcontrollers toestaan.
- Harden - verwijder overbodige software, schakel allowlisting in en sluit USB af.
- Regel toegang - persoonlijke accounts, MFA en tijdgebonden rechten voor externen.
- Borg de gouden standaard - sla na elke goedgekeurde wijziging een referentieversie van het PLC-programma op en vergelijk de draaiende code daar periodiek mee.
- Monitor - laat een OT-monitoringsysteem alarmeren bij downloads, modewissels of firmware-updates buiten een geplande wijziging.
- Oefen herstel - test minimaal jaarlijks of u een station en een controller vanuit back-up kunt herstellen.
🏭 Hoe ziet dit eruit in de praktijk?
- Een engineer programmeert een PLC voor een nieuwe productielijn en laadt de logica tijdens een geplande stop.
- Een software-update voor een HMI wordt via het Engineering Station uitgerold na goedkeuring in het wijzigingsproces.
- Netwerkconfiguraties voor redundante systemen worden aangepast en vastgelegd in versiebeheer.
- Storingen worden geanalyseerd door online mee te kijken in de logica, zonder het programma te wijzigen.
❓ Veelgestelde vragen
Wat is het verschil tussen een Engineering Station en een HMI?
Een Engineering Station wordt gebruikt om besturingslogica en configuraties te maken en naar controllers te laden. Een HMI of operator station wordt gebruikt om een draaiend proces te bedienen en te bewaken. Een operator kan via een HMI setpoints wijzigen, maar het programma van een PLC wordt gewijzigd met de engineeringsoftware op een Engineering Station.
Mag een Engineering Station internettoegang hebben?
Een Engineering Station hoort geen directe internettoegang en geen e-mail te hebben. Software-updates en licenties worden via een gecontroleerde route aangeleverd, bijvoorbeeld via een patchserver in de DMZ. Zo voorkomt u dat phishing of drive-by-downloads rechtstreeks in de OT-omgeving terechtkomen.
Waarom vielen TRITON en Stuxnet juist het Engineering Station aan?
Een Engineering Station heeft legitiem de rechten en de software om controllers te herprogrammeren. Stuxnet misbruikte STEP 7-projecten om gemanipuleerde code naar Siemens-PLC’s te sturen, en TRITON gebruikte een gecompromitteerd SIS-engineeringstation om Triconex-veiligheidscontrollers aan te passen. Door het Engineering Station over te nemen hoeven aanvallers het industriële protocol niet zelf te kraken.
Hoe vaak moet u een back-up van een Engineering Station maken?
Een back-up van de projectbestanden op een Engineering Station hoort na elke goedgekeurde wijziging gemaakt te worden, aangevuld met een periodieke volledige image van het station. Bewaar minimaal één kopie offline, zodat ransomware die niet kan versleutelen. Test het herstel regelmatig, omdat oude softwareversies en licenties het terugzetten vaak lastig maken.
Mag een leverancier zijn eigen laptop op het OT-netwerk aansluiten?
Een leverancierslaptop wordt bij voorkeur niet direct op het OT-netwerk aangesloten, omdat u de staat van dat apparaat niet kent. Beter is dat de leverancier werkt op een beheerd Engineering Station of via een jump server met MFA en session recording. Leg de eisen vast in het contract, bijvoorbeeld op basis van IEC 62443-2-4.
Is een virtueel Engineering Station veiliger?
Een virtueel Engineering Station kan veiliger zijn, omdat u het centraal beheert, snel kunt herstellen vanuit een snapshot en toegang kunt laten lopen via een jump server. De beveiliging van het virtualisatieplatform zelf wordt dan wel kritiek. Niet alle engineeringsoftware ondersteunt virtualisatie of USB-doorgifte voor licentiedongels, dus check dit bij de leverancier.
📌 Samengevat
Een Engineering Station is de werkplek waarmee engineers PLC’s, DCS’en, veiligheidssystemen en HMI’s programmeren en configureren, en daarmee de sleutel tot het gedrag van een industriële installatie. Stuxnet, TRITON en PIPEDREAM laten zien dat aanvallers juist dit station zoeken. Behandel het daarom als kroonjuweel: dedicated, zonder internet en e-mail, met allowlisting, MFA, USB-beheer, back-ups en logging, en met strikte regels voor laptops van leveranciers in lijn met IEC 62443.