Hardening

Wat is hardening?

Hardening is het systematisch verkleinen van het aanvalsoppervlak van een systeem, applicatie of netwerkcomponent door alles wat niet nodig is uit te schakelen of te verwijderen en alles wat overblijft volgens een vastgelegde, veilige configuratie in te stellen. Denk aan het uitzetten van ongebruikte diensten en poorten, het vervangen van standaardwachtwoorden, het beperken van rechten en het actueel houden van software. Het resultaat is een vastgelegde security baseline waartegen u afwijkingen kunt meten. In IT is hardening een basismaatregel; in OT is het vaak de belangrijkste verdediging voor apparatuur die jarenlang niet gepatcht kan worden.

Elke dienst, poort, account of functie die niet nodig is voor het proces, is een mogelijke ingang voor een aanvaller. Hardening haalt die ingangen weg.

🎯 Waarom is hardening nodig?

Software en apparatuur worden af fabriek geleverd met het oog op gebruiksgemak, niet op beveiliging. Een nieuw besturingssysteem start diensten die u nooit gebruikt, een switch heeft een webinterface met een bekend standaardwachtwoord en een PLC accepteert vaak zonder authenticatie nieuwe programmatuur van elk engineeringstation in het netwerk.

Hoe groot dat risico is, liet de campagne van CyberAv3ngers eind 2023 zien. Aanvallers namen Unitronics Vision-PLC’s met geïntegreerde HMI over en zetten er een propagandabericht op het scherm, onder meer in een boosterstation van het waterbedrijf van Aliquippa (Pennsylvania). Ze hadden geen geavanceerde exploit nodig: de apparaten hingen aan internet en gebruikten nog het fabriekswachtwoord “1111”. CISA nam die zwakte als CVE-2023-6448 op in de catalogus van Known Exploited Vulnerabilities. Wijzigen van het standaardwachtwoord en het afsluiten van de internetverbinding had de aanval voorkomen; dat is hardening in zijn eenvoudigste vorm.

Hardening levert ook een beheervoordeel op: elk onderdeel dat u verwijdert, hoeft u niet meer te patchen, te monitoren of te documenteren.

🧠 Hoe werkt hardening?

Hardening volgt drie principes die in alle grote kaders terugkomen:

• Minimale functionaliteit - installeer en activeer alleen wat het systeem voor zijn taak nodig heeft. NIST SP 800-53 noemt dit control CM-7 Least Functionality, IEC 62443-3-3 eis SR 7.7.
• Veilige standaardinstellingen - leg per systeemtype een baseline vast (NIST CM-2 en CM-6, IEC 62443 SR 7.6) en zorg dat die behouden blijft na herstart en herstel.
• Minimale rechten - accounts en processen krijgen alleen de rechten die ze nodig hebben (Least Privilege), ondersteund door RBAC en MFA.

Hardening werkt op meerdere lagen tegelijk:

🔄 Hoe verhoudt hardening zich tot patchen, segmentatie en monitoring?

Hardening is één laag binnen Defense in Depth en vervangt geen andere maatregelen. Het verschil zit in wat u aanpakt:

In OT zijn patches vaak pas na maanden beschikbaar of vereisen ze een stilstand. Daarom is hardening daar relatief belangrijker dan in IT: een uitgeschakelde dienst kan niet worden aangevallen, ook niet via een zero-day.

📋 Welke hardening-richtlijnen bestaan er?

U hoeft baselines niet zelf te bedenken. De meest gebruikte bronnen:

• CIS Benchmarks - gratis configuratierichtlijnen van het Center for Internet Security voor besturingssystemen, databases, netwerkapparatuur en cloud. Elke benchmark kent een Level 1-profiel (basis, weinig impact op functionaliteit) en een Level 2-profiel (strenger, voor omgevingen waar beveiliging zwaarder weegt). Met de tool CIS-CAT kunt u systemen automatisch toetsen.
• DISA STIG’s - Security Technical Implementation Guides van de Defense Information Systems Agency van het Amerikaanse ministerie van Defensie. Bevindingen hebben een ernstcategorie: CAT I (directe compromittering), CAT II en CAT III.
• Microsoft Security Baselines - onderdeel van de Security Compliance Toolkit, met groepsbeleid voor Windows Server 2016 tot en met 2025 en de tool Policy Analyzer om bestaand beleid te vergelijken.
• NIST SP 800-70 - beschrijft het National Checklist Program, de Amerikaanse bibliotheek van hardening-checklists, deels machineleesbaar via SCAP.
• Leveranciershandleidingen - IEC 62443-4-1 verplicht leveranciers (eis SG-3) om security hardening guidelines bij hun product te leveren. Voor OT-apparatuur is dit vaak de enige betrouwbare bron, omdat een generieke baseline de goedkeuring van de leverancier kan laten vervallen.

🏭 Hoe pakt u hardening in een OT-omgeving aan?

OT-hardening vraagt meer voorzichtigheid dan IT-hardening, omdat een verkeerde instelling de productie kan stilleggen. Een beproefde aanpak in zes stappen:

1. Inventariseer - begin met een actuele asset-inventaris: welke systemen, besturingssystemen, firmwareversies, diensten en open poorten zijn er?
2. Kies een baseline per systeemtype - gebruik de hardening-handleiding van de leverancier als leidraad en vul aan met CIS of Microsoft waar de leverancier dat toestaat.
3. Test eerst - pas de baseline toe op een testsysteem, reservesysteem of tijdens een geplande stilstand. Controleer of communicatie met PLC’s, OPC-verbindingen en licentiediensten blijven werken.
4. Implementeer via Change Management - elke wijziging met een terugvalplan en een actuele back-up van de configuratie.
5. Leg vast en beheer - documenteer en versioneer de baseline en uitzonderingen in configuratiebeheer; automatiseer waar mogelijk met groepsbeleid, Ansible of Microsoft Configuration Manager.
6. Controleer periodiek - vergelijk de werkelijke configuratie met de baseline, bijvoorbeeld met CIS-CAT, een kwetsbaarheidsscan of een pentest.

Typische waarden en OT-nuances. CIS adviseert voor Windows Server een minimale wachtwoordlengte van 14 tekens en een accountblokkering na maximaal 5 mislukte pogingen. NIST SP 800-63B-4 (augustus 2025) vraagt minimaal 15 tekens voor accounts die alleen een wachtwoord gebruiken en 8 tekens in combinatie met MFA. Op een HMI in de controlekamer kan een automatische accountblokkering echter gevaarlijk zijn: een operator die tijdens een storing wordt buitengesloten, kan niet ingrijpen. IEC 62443 staat in zulke gevallen compenserende maatregelen toe, zoals fysieke toegangscontrole tot de controlekamer en strengere bewaking. Ook antivirus, schermbeveiliging en automatische updates worden op OT-systemen alleen ingezet in overleg met de leverancier. Voor legacy systemen die niet meer te harden zijn, blijven segmentatie, een jump server voor toegang op afstand en in uitzonderlijke gevallen een air gap over.

🔐 Welke wetten en normen vragen om hardening?

• IEC 62443 - IEC 62443-3-3 (systemen) en IEC 62443-4-2 (componenten) bevatten eisen voor minimale functionaliteit en veilige configuratie-instellingen; IEC 62443-2-4 stelt eisen aan integrators.
• NIS2 en de Cyberbeveiligingswet - artikel 21 van NIS2 vraagt onder meer om beveiliging bij aanschaf, ontwikkeling en onderhoud en om basispraktijken voor cyberhygiëne. De Cyberbeveiligingswet, de Nederlandse invulling, geldt sinds 15 augustus 2026; artikel 11 van het Cyberbeveiligingsbesluit vraagt daarbij expliciet om configuratie- en wijzigingsbeheer.
• Cyber Resilience Act - bijlage I verplicht fabrikanten om producten secure by default te leveren, met een resetmogelijkheid naar die veilige toestand, en om het aanvalsoppervlak inclusief externe interfaces te beperken. De meldplicht geldt vanaf 11 september 2026, de volledige verordening vanaf 11 december 2027.
• Radio Equipment Directive - sinds 1 augustus 2025 gelden voor draadloze apparatuur cybersecurity-eisen, met de geharmoniseerde norm EN 18031-1 die onder meer standaardwachtwoorden aanpakt.
• ISO 27001 en BIO - de 2022-versie van ISO 27001 bevat in bijlage A beheersmaatregel 8.9 Configuratiebeheer, uitgewerkt in ISO 27002; de BIO bouwt op dezelfde maatregelen voort.

Hardening alleen maakt een organisatie niet compliant, maar zonder aantoonbare baselines is compliance met deze kaders lastig te onderbouwen.

⚠️ Welke valkuilen zijn er bij hardening?

• Eenmalig harden en dan vergeten - updates, storingsdiensten en tijdelijke uitzonderingen laten de configuratie langzaam afdrijven (configuration drift).
• IT-baselines blind toepassen op OT - Level 2-instellingen of strenge lockout-regels kunnen DCOM-, OPC Classic- of licentieverkeer breken.
• Geen documentatie van uitzonderingen - elke afwijking van de baseline hoort een reden, een eigenaar en een einddatum te hebben.
• Leveranciers niet betrekken - onderhoudscontracten en garanties kunnen afhangen van een door de leverancier goedgekeurde configuratie; leg hardening-eisen vast in leveranciersafspraken.

❓ Veelgestelde vragen

Wat is het verschil tussen hardening en patchen?

Patchen dicht bekende fouten in software door een update te installeren. Hardening verkleint het aanvalsoppervlak door overbodige functies uit te schakelen en veilige instellingen af te dwingen. Beide zijn nodig: hardening beperkt de schade van kwetsbaarheden die nog niet gepatcht zijn.

Wat is een security baseline?

Een security baseline is de vastgelegde minimale veilige configuratie voor een type systeem, bijvoorbeeld alle Windows-servers in de OT-omgeving. De baseline dient als norm bij installatie en als meetlat om later afwijkingen op te sporen. Bekende uitgangspunten zijn de CIS Benchmarks, DISA STIG’s en de Microsoft Security Baselines.

Kunt u PLC’s en andere OT-apparatuur harden?

Ja, maar de mogelijkheden zijn beperkter dan bij een server. Bij een PLC gaat het om het wijzigen van standaardwachtwoorden, het uitschakelen van ongebruikte webservers en protocollen, het afschermen van programmatoegang en het actueel houden van firmware volgens de hardening-handleiding van de leverancier.

Zijn CIS Benchmarks geschikt voor OT-systemen?

CIS Benchmarks zijn bruikbaar voor de Windows- en Linux-systemen in OT, zoals SCADA-servers, historians en engineeringstations. Pas ze wel eerst toe in een testomgeving en stem ze af met de leverancier, omdat sommige instellingen industriële software kunnen verstoren. Voor PLC’s en andere embedded apparatuur bestaan doorgaans geen CIS Benchmarks.

Hoe vaak moet u de hardening van systemen controleren?

Geen enkele norm schrijft een vaste termijn voor; u onderbouwt die zelf op basis van uw risico’s. Gangbaar is een geautomatiseerde controle per kwartaal en een extra controle na elke grote wijziging, update of storing. In IT-omgevingen kan dat vaak continu via configuratiebeheer; in OT wordt de controle meestal afgestemd op onderhoudsvensters.

Is hardening verplicht onder NIS2 en de Cyber Resilience Act?

NIS2 en de Cyberbeveiligingswet noemen het woord hardening niet letterlijk, maar vragen wel om beveiliging bij onderhoud, configuratiebeheer en basispraktijken voor cyberhygiëne, waar hardening onder valt. De Cyber Resilience Act is explicieter en verplicht fabrikanten om producten veilig standaard geconfigureerd te leveren en hun aanvalsoppervlak te beperken.

📌 Samengevat

Hardening is het systematisch afslanken en veilig configureren van systemen, zodat aanvallers zo min mogelijk ingangen vinden.

Het begint met een asset-inventaris, gebruikt bewezen baselines zoals de CIS Benchmarks en leveranciershandleidingen, en wordt via change- en configuratiebeheer actueel gehouden. In OT is hardening extra belangrijk omdat patchen daar traag gaat, maar het vraagt ook om testen en afstemming met de leverancier. Samen met segmentatie, patchmanagement en monitoring vormt hardening een fundament van elke beveiligde IT- of OT-omgeving.