Firewall

Wat is een firewall?

Een firewall is een beveiligingsmechanisme dat netwerkverkeer tussen twee of meer netwerken controleert en op basis van vooraf ingestelde regels toestaat of blokkeert. Het doel is ongewenste of schadelijke communicatie tegen te houden en alleen het verkeer door te laten dat voor de bedrijfsvoering nodig is. In zowel IT- als OT-omgevingen, waaronder industriële besturingssystemen, is de firewall het belangrijkste middel om een netwerk op te delen in zones en de verbindingen daartussen te bewaken. Een firewall is daarbij één laag binnen Defense in Depth, geen volledige beveiliging op zichzelf.

🧠 Hoe werkt een firewall?

Een firewall bekijkt elk pakket of elke verbinding en vergelijkt die met een geordende lijst regels (de rulebase of policy). De eerste regel die overeenkomt bepaalt de actie: toestaan, weigeren of laten vallen, eventueel met logging. Kenmerken waarop gefilterd wordt:

• Bron- en doel-IP-adres — welke systemen met elkaar mogen praten
• Poortnummer — bijvoorbeeld HTTP op poort 80, Modbus TCP op poort 502 of S7comm op poort 102
• Protocol — TCP, UDP of ICMP
• Verbindingsstatus — hoort een pakket bij een bestaande, door de firewall geopende sessie?
• Applicatie-inhoud — welk commando of welke functie wordt aangeroepen (alleen bij DPI)

Onderaan de rulebase staat altijd een regel die al het overige verkeer weigert. Dat principe heet default deny of “deny by default, allow by exception”: wat niet expliciet is toegestaan, is verboden.

🔧 Welke soorten firewalls zijn er?

Firewalls hebben zich sinds eind jaren tachtig in generaties ontwikkeld. Ingenieurs van Digital Equipment Corporation publiceerden in 1987 het eerste werk over pakketfilters, AT&T Bell Labs werkte in 1989–1990 aan verbindingsgerichte filtering en Check Point bracht in 1994 met FireWall-1 de eerste commerciële stateful firewall uit. Gartner definieerde de Next-Generation Firewall in 2009.

Firewalls bestaan als fysieke appliance, als virtuele machine en als software op een host (hostfirewall). Het type zegt iets over de inspectiediepte, de vorm over waar de firewall draait.

🏭 Hoe beschermt een industrial firewall OT-protocollen?

Klassieke industriële protocollen als Modbus, S7comm en DNP3 kennen van zichzelf geen of weinig authenticatie. Wie het netwerk bereikt, kan registers schrijven of een PLC stoppen. Een poortregel (“TCP 502 toegestaan”) laat daarom zowel leesverkeer als gevaarlijke schrijfcommando’s door. Een industrial firewall met DPI kijkt dieper:

• Functiecodes filteren — bijvoorbeeld Modbus TCP alleen read-functies toestaan vanaf de historian, schrijven alleen vanaf het engineering-station
• Registerbereiken beperken — alleen een afgesproken adresbereik is beschrijfbaar
• Protocolconformiteit — misvormde pakketten worden geweigerd
• OPC UA — beperken tot bekende endpoints en beveiligingsmodi (Sign of SignAndEncrypt) op poort 4840

ProfiNET RT en IRT draaien direct op Ethernet zonder IP. Een gewone IP-firewall kan dat verkeer niet filteren; een PROFINET-cel hoort daarom binnen één zone te blijven, met hooguit filtering op laag 2.

🧱 Waar plaatst u firewalls in een IT/OT-architectuur?

In het Purdue Model en volgens NIST SP 800-82 staat tussen het kantoornetwerk (niveau 4–5) en het productienetwerk (niveau 3 en lager) een IDMZ, vaak niveau 3.5 genoemd. Er mag geen verkeer rechtstreeks van IT naar OT lopen: elke verbinding eindigt in de IDMZ, bijvoorbeeld op een gespiegelde historian, een patchserver of een jump server voor toegang op afstand.

• IT/IDMZ-grens — vaak een NGFW, beheerd door het IT-team
• IDMZ/OT-grens — bij voorkeur een tweede firewall van een ander merk of type, zodat één kwetsbaarheid niet beide lagen opent
• Tussen OT-zones — industrial firewalls tussen bijvoorbeeld het supervisory network met de SCADA- en HMI-servers, het control network en een safety-zone
• Celniveau — kleine transparante firewalls direct voor een machine of PLC, vooral bij legacy-systemen die niet te patchen zijn

IEC 62443-3-3 noemt de firewall in eis SR 5.2 zone boundary protection: de grens van elke zone wordt bewaakt en gecontroleerd. Vanaf security level 2 geldt “deny by default, allow by exception”; vanaf security level 3 moet de grens bij een hardware- of stroomstoring dichtvallen (fail close) en moet alle communicatie over de grens kunnen worden afgesloten, zodat de zone geïsoleerd doorwerkt (island mode). Elke toegestane stroom tussen zones vormt een conduit in het Zone and Conduits-model.

🔄 Wat is het verschil tussen een firewall, IDS/IPS en een datadiode?

Een firewall beslist op basis van regels die u zelf beheert, en kan dus verkeerd geconfigureerd raken. Een datadiode maakt terugverkeer fysiek onmogelijk, maar ondersteunt geen tweerichtingsprotocollen zonder proxy. In OT wordt een IPS vaak in alleen-detectie-modus gezet, omdat een fout-positieve blokkade een productieproces kan stilleggen. Een IDS of security monitoring-platform vult de firewall aan: de firewall houdt tegen, monitoring ziet wat er toch doorkomt.

🔐 Welke fouten komen vaak voor bij firewalls in OT?

• Any-any-regels — tijdelijke regels voor een leverancier of storing die nooit meer verdwijnen
• Platte netwerken — één firewall tussen IT en OT, maar daarachter één groot segment; de NSA en CISA noemden gebrek aan netwerksegmentatie in 2023 een van de tien meest voorkomende misconfiguraties
• Brede poortbereiken — hele reeksen poorten open omdat de applicatie dynamische poorten gebruikt (klassiek bij OPC Classic via DCOM)
• Bypass-verbindingen — 4G-routers of VPN-boxen van leveranciers die de firewall omzeilen
• Geen logging of review — regels zonder eigenaar, datum of reden
• Ongepatchte firewall zelf — de CISA-advisory over Volt Typhoon (februari 2024) beschreef hoe aanvallers via kwetsbaarheden in firewalls en VPN-appliances binnenkwamen

📋 Hoe pakt u firewallbeheer in de praktijk aan?

1. Inventariseer — begin met een asset-inventaris en leg vast welke systemen met elkaar communiceren
2. Definieer zones en conduits — op basis van een risicoanalyse volgens IEC 62443-3-2
3. Leg communicatiestromen vast — per stroom bron, doel, protocol, poort, eigenaar en reden
4. Start in observatiemodus — laat de firewall eerst loggen, toets de regels tegen het werkelijke verkeer en zet dan pas blokkeren aan, in een onderhoudsstop
5. Specifieke regels — vaste IP-adressen en poorten, geen “any” in bron, doel of dienst
6. Beheer wijzigingen — elke regelwijziging via change management, met test en terugvalplan
7. Monitor en review — stuur logs naar een SIEM en herzie de rulebase periodiek, bijvoorbeeld halfjaarlijks; zie Firewallregelbeheer
8. Harden en patch — beheerinterface alleen vanuit een beheerzone, MFA en tijdig firmware bijwerken

Voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, sinds 15 augustus 2026 de Nederlandse invulling van NIS2, horen segmentatie en aantoonbaar firewallbeheer bij de zorgplicht om risico’s voor netwerk- en informatiesystemen te beheersen.

❓ Veelgestelde vragen

Is een firewall genoeg om een OT-netwerk te beveiligen?

Nee, een firewall is één laag binnen defense in depth. Een firewall houdt ongewenst verkeer tegen tussen zones, maar ziet niet wat er binnen een zone gebeurt en helpt niet tegen een besmette USB-stick of een gecompromitteerd account met toegestane toegang. Combineer de firewall daarom met segmentatie, monitoring, hardening, patchbeheer en toegangsbeheer.

Wat is het verschil tussen een IT-firewall en een industrial firewall?

Een IT-firewall is ontworpen voor kantoor- en internetverkeer en draait meestal in een datacenter of serverruimte. Een industrial firewall begrijpt industriële protocollen als Modbus, S7comm en OPC UA tot op het niveau van commando’s, is geschikt voor DIN-rail-montage, ruime temperatuurbereiken en 24 V-voeding, en kan vaak transparant in een bestaand netwerk worden geplaatst.

Welke poort gebruikt Modbus TCP en moet die open in de firewall?

Modbus TCP gebruikt standaard TCP-poort 502. Die poort hoort alleen open te staan tussen de specifieke systemen die Modbus nodig hebben, nooit van het kantoornetwerk of internet naar een PLC. Een industrial firewall met deep packet inspection kan bovendien schrijfcommando’s blokkeren en alleen leesverkeer toestaan.

Wat betekent default deny bij een firewall?

Default deny betekent dat een firewall al het verkeer weigert dat niet expliciet is toegestaan. IEC 62443-3-3 eist dit principe (“deny by default, allow by exception”) vanaf security level 2 voor zonegrenzen, en NIST SP 800-82 adviseert het voor de grens tussen kantoornetwerk en OT. Elke toegestane stroom is daarmee een bewuste, gedocumenteerde keuze.

Moet ik twee firewalls van verschillende merken gebruiken rond de IDMZ?

Dat is een veelgebruikte aanbeveling maar geen harde eis. Twee firewalls van een ander merk of type rond de IDMZ zorgen ervoor dat één kwetsbaarheid of configuratiefout niet direct beide lagen opent. Daar staat extra beheerlast tegenover; een goed beheerde firewall met drie interfaces (IT, IDMZ, OT) is een gangbaar alternatief.

Hoe vaak moeten firewallregels worden herzien?

Een vaste norm verschilt per kader, maar een periodieke review, bijvoorbeeld halfjaarlijks, is gangbaar. Herzie de rulebase daarnaast na elke grote wijziging in de installatie of het netwerk. Regels zonder eigenaar, reden of recent verkeer zijn kandidaten om te verwijderen.

📌 Samengevat

Een firewall bepaalt op basis van regels welk verkeer tussen netwerken is toegestaan en is in OT het belangrijkste middel om zones en conduits af te dwingen.

Van eenvoudige pakketfilters tot next-generation en industrial firewalls met deep packet inspection: de waarde zit niet in het apparaat maar in een strakke, gedocumenteerde rulebase volgens default deny. Plaats firewalls rond een IDMZ en tussen OT-zones, voorkom any-any-regels en bypass-verbindingen, en beheer regels, logging en firmware structureel. Zo vormt de firewall een sterke laag in Defense in Depth en in het Zone and Conduits-model van IEC 62443.