Firmware

Wat is firmware?

Firmware is de ingebedde software die in niet-vluchtig geheugen van een apparaat staat en de basisfuncties van de hardware aanstuurt, zoals opstarten, communicatie en de verwerking van in- en uitgangen. Firmware zit tussen de hardware en de applicatie: in een PLC is het als het ware het besturingssysteem waarop het gebruikersprogramma draait. In OT-omgevingen bepaalt firmware de werking van PLC’s, sensoren, HMI’s, aandrijvingen, switches en communicatiemodules. Omdat firmware onder het zicht van de gebruiker werkt, is het zowel een stille bron van kwetsbaarheden als een aantrekkelijk doelwit voor aanvallers.

🧠 Waar zit firmware in een OT-installatie?

Vrijwel elk apparaat met een microcontroller heeft firmware, meestal opgeslagen in flashgeheugen of EEPROM. Dat geheugen blijft bewaard zonder voeding, maar kan wel opnieuw worden beschreven (“flashen”). Firmware is dus niet permanent: dat maakt updates mogelijk, maar ook manipulatie.

Een belangrijk onderscheid: de firmware komt van de leverancier, het gebruikersprogramma (bijvoorbeeld ladderlogica) van de engineer. Beide moeten beschermd worden, maar ze worden apart beheerd en hebben elk een eigen versienummer.

🎯 Waarom is firmware een OT-securityrisico?

Firmware bevat beveiligings- en prestatiekritische logica die de gebruiker niet ziet en die zelden wordt bijgewerkt. Daardoor ontstaan typische risico’s:

Firmware-aanvallen zijn bovendien hardnekkig: ze overleven vaak een herstart en een herinstallatie van het gebruikersprogramma, en ze worden door netwerk- of endpointbeveiliging nauwelijks gezien.

⚠️ Welke aanvallen op firmware zijn bekend?

• Stuxnet (ontdekt in 2010) - wijzigde het gebruikersprogramma van Siemens S7-315- en S7-417-PLC’s en verborg die wijzigingen met een rootkit in de Step 7-software. Strikt genomen raakte Stuxnet dus niet de firmware, maar het liet zien hoe onzichtbaar kwaadaardige code op een controller kan zijn.
• Oekraïne, december 2015 - aanvallers zetten kwaadaardige firmware op serieel-naar-Ethernetconverters van Moxa en IRZ in onderstations. De apparaten werden onbruikbaar, waardoor de verbinding tussen meldkamer en onderstation wegviel en monteurs ter plaatse handmatig moesten schakelen.
• TRITON (2017) - richtte zich op Triconex-veiligheidscontrollers van Schneider Electric in een petrochemische installatie. Via een zero-day in de firmware (versies 10.0 tot en met 10.4 van de MP3008-processormodule) werd een remote access trojan in het firmwaregeheugen geplaatst. Omdat een SIS zelden herstart, bleef die code feitelijk aanwezig.
• S7-1500-bootkwetsbaarheid (2023) - onderzoekers toonden aan dat ruim honderd modellen van de Siemens S7-1500 geen hardwarematige root of trust met asymmetrische handtekeningcontrole bij het opstarten hadden. Met fysieke toegang kon aangepaste firmware worden geladen; een firmware-update kan dit hardwareprobleem niet oplossen.

🔐 Hoe beschermen firmware signing en secure boot?

Twee technieken vormen samen een vertrouwensketen:

• Firmware Signing - de leverancier ondertekent elk firmware-image met een privésleutel. Het apparaat controleert vóór installatie met de publieke sleutel of het image echt van de leverancier komt en niet is gewijzigd.
• Secure Boot - bij elke start controleert een onveranderlijke root of trust, vaak in ROM of in een TPM of secure element, de handtekening van bootloader en firmware. Een gemanipuleerd image start dan niet.

Een checksum of hash alleen bewijst integriteit, geen herkomst: een aanvaller kan een nieuwe hash meeleveren. Ook versleuteling van firmware garandeert geen authenticiteit. Alleen een digitale handtekening, gecontroleerd door het apparaat zelf, sluit gemanipuleerde images echt uit.

De norm IEC 62443-4-2 legt dit vast voor componenten: eis CR 3.4 vraagt om integriteit van software en informatie, EDR 3.10 om ondersteuning van updates (met als versterking RE(1) dat het apparaat authenticiteit en integriteit van de update controleert), en EDR 3.14 om integriteit van het opstartproces. NIST SP 800-193 (2018) voegt daar het principe beschermen, detecteren en herstellen aan toe.

🔧 Hoe richt u firmwarebeheer in?

Een praktische aanpak in zeven stappen:

1. Inventariseer - leg per asset type, firmwareversie en ondersteuningsstatus vast in de asset inventory. Passieve netwerkmonitoring leest versies vaak automatisch uit.
2. Volg advisories - abonneer u op leveranciersadvisories en op de ICS-advisories van CISA en het NCSC. Siemens publiceert bijvoorbeeld maandelijks op de tweede dinsdag, en veel leveranciers leveren machineleesbare CSAF-bestanden.
3. Beoordeel - weeg elke kwetsbaarheid in vulnerability management af tegen bereikbaarheid, procesimpact en compenserende maatregelen.
4. Verifieer - download alleen via officiële kanalen en controleer handtekening of gepubliceerde hash vóór gebruik.
5. Test - installeer eerst op een testopstelling of reserve-onderdeel, volgens het OTAP-principe (ontwikkeling, test, acceptatie, productie).
6. Plan en installeer - voer de update uit binnen change management en patchmanagement, in een onderhoudsstop, met een back-up van configuratie en gebruikersprogramma en een terugvalplan.
7. Controleer en log - verifieer de nieuwe versie, leg de wijziging vast en stuur firmwaregebeurtenissen naar SIEM of SOC.

In de procesindustrie worden firmware-updates vaak gebundeld in geplande stops, die soms jaren uit elkaar liggen. Compenserende maatregelen zoals netwerksegmentatie, USB-controle en de sleutelschakelaar of beschermingsstand van de CPU overbruggen die periode.

🧱 Welke regels gelden voor firmware-updates in de EU?

De Cyber Resilience Act (Verordening (EU) 2024/2847) maakt veilige firmware-updates een wettelijke plicht voor fabrikanten van producten met digitale elementen, waaronder PLC’s, switches en sensoren.

Voor gebruikers van OT geldt daarnaast NIS2, in Nederland uitgewerkt in de Cyberbeveiligingswet die op 15 augustus 2026 in werking is getreden. Die vraagt onder meer om beveiliging van de toeleveringsketen en om kwetsbaarhedenbeheer, waar firmware direct onder valt. Leveranciers kunnen hun ontwikkelproces, inclusief het beheer van security-updates, laten toetsen aan IEC 62443-4-1.

✅ Welke best practices gelden voor firmware in OT?

Leg daarnaast per apparaat versienummers, kwetsbaarheden en updategeschiedenis vast, en neem authenticatie op beheerinterfaces mee in de hardening-baseline.

❓ Veelgestelde vragen

Wat is het verschil tussen firmware en software?

Firmware is software die vast bij een specifiek apparaat hoort en de hardware direct aanstuurt, terwijl gewone software op een algemeen besturingssysteem draait. Firmware staat in niet-vluchtig geheugen zoals flash en wordt minder vaak bijgewerkt. In een PLC draait het gebruikersprogramma bovenop de firmware van de leverancier.

Hoe vaak moet u PLC-firmware bijwerken?

PLC-firmware wordt in OT meestal niet direct na verschijnen bijgewerkt, maar na een risicoafweging en in een geplande onderhoudsstop. Kritieke kwetsbaarheden die vanaf het netwerk bereikbaar zijn verdienen voorrang, voor de rest volstaan vaak compenserende maatregelen tot de volgende stop. Belangrijk is dat elke firmwareversie bekend is en actief wordt beoordeeld.

Kan malware zich in firmware verstoppen?

Malware kan zich in firmware verstoppen, zoals TRITON in 2017 liet zien bij Triconex-veiligheidscontrollers. Firmware-malware is lastig te detecteren omdat antivirussoftware en netwerkmonitoring de inhoud van het apparaatgeheugen niet zien. Secure boot, ondertekende firmware en periodieke integriteitscontroles verkleinen dat risico.

Wat is firmware signing?

Firmware signing is het digitaal ondertekenen van een firmware-image door de leverancier, zodat een apparaat vóór installatie kan controleren of de firmware echt en ongewijzigd is. Niet-ondertekende of gewijzigde images worden geweigerd. IEC 62443-4-2 en de Cyber Resilience Act vragen beide om deze controle.

Wat verplicht de Cyber Resilience Act voor firmware?

De Cyber Resilience Act verplicht fabrikanten vanaf 11 december 2027 om minimaal vijf jaar kosteloze beveiligingsupdates te leveren en een SBOM bij te houden. Actief uitgebuite kwetsbaarheden moeten al vanaf 11 september 2026 binnen 24 uur worden gemeld. Voor OT-gebruikers betekent dit betere updates, maar het installeren ervan blijft hun eigen verantwoordelijkheid.

Hoe controleer ik of firmware niet is gemanipuleerd?

Firmware-integriteit controleert u door de geïnstalleerde versie en, waar het apparaat dat ondersteunt, de hash of handtekening te vergelijken met de officiële waarden van de leverancier. Veel OT-monitoringplatforms melden onverwachte firmwarewijzigingen automatisch. Bij twijfel helpen forensisch onderzoek of herinstallatie vanuit een vertrouwd image.

📌 Samengevat

Firmware is de onzichtbare basislaag van industriële automatisering: wie firmware niet inventariseert, verifieert en gecontroleerd bijwerkt, laat een van de meest hardnekkige aanvalspaden in OT open. Ondertekende firmware, secure boot, een actuele inventaris en een getest updateproces vormen samen de basis, en de Cyber Resilience Act maakt veilige updates vanaf 2027 een plicht voor leveranciers. Zo draagt firmwarebeheer direct bij aan veiligheid, beschikbaarheid en compliance.