Wat is een hypervisor?
Een hypervisor is een software- of firmwarelaag die de processor, het geheugen, de opslag en de netwerkkaarten van een fysieke server verdeelt over meerdere virtuele machines (VM’s), die elk een eigen besturingssysteem draaien en van elkaar geïsoleerd zijn. De hypervisor, ook wel virtual machine monitor genoemd, is daarmee de kern van virtualisatie. In OT- en industriële automatiseringsomgevingen draaien SCADA-servers, historians, MES, engineeringstations en zelfs soft-PLC’s steeds vaker op een hypervisorcluster in plaats van op losse pc’s. Dat maakt de hypervisor tot een bouwsteen van OT-convergentie, maar ook tot een aantrekkelijk doelwit.
🧠 Hoe werkt een hypervisor?
Een hypervisor onderschept alle toegang van een gastbesturingssysteem tot de hardware en geeft elke VM een eigen, virtuele set hardware. De theoretische basis werd in 1974 gelegd door Popek en Goldberg, die formuleerden wanneer een processorarchitectuur efficiënt te virtualiseren is. Sinds Intel VT-x (2005) en AMD-V (2006) ondersteunen x86-processors virtualisatie in hardware, waardoor de overhead voor gewone serverworkloads klein is geworden.
De hypervisor regelt:
- CPU-scheduling - welke virtuele processor wanneer op een fysieke kern mag rekenen
- Geheugenbeheer - toewijzing en afscherming van geheugen per VM
- Opslag - virtuele schijven op lokale disks, een SAN, NAS of software-defined storage
- Netwerk - virtuele switches en VLAN’s die VM’s onderling en met de buitenwereld verbinden
- Interrupts en apparaten - doorgeven of delen van fysieke apparaten zoals netwerkkaarten en USB-dongles
| Virtuele component | Functie | Aandachtspunt in OT |
|---|---|---|
| vCPU | Virtuele processor | Geen overcommit voor kritieke VM’s |
| vRAM | Virtueel geheugen | Reserveer geheugen, voorkom swapping |
| vNIC | Virtuele netwerkkaart | Juiste VLAN en zone per VM |
| vDisk | Virtuele schijf | Latency bepaalt historian-prestaties |
| Virtuele switch | Netwerk tussen VM’s | Mag geen ongewenste brug tussen zones vormen |
| Snapshot | Momentopname van een VM | Is geen back-up |
🔄 Wat is het verschil tussen een type 1- en type 2-hypervisor?
De indeling in type 1 en type 2 gaat terug op het proefschrift van Robert Goldberg uit 1973. Een type 1-hypervisor (bare-metal) draait direct op de hardware; een type 2-hypervisor draait als applicatie op een gewoon besturingssysteem.
| Kenmerk | Type 1 (bare-metal) | Type 2 (hosted) |
|---|---|---|
| Draait op | Fysieke hardware | Windows, Linux of macOS |
| Voorbeelden | VMware ESXi, Microsoft Hyper-V, Xen, KVM, Proxmox VE | VMware Workstation, VirtualBox, Parallels |
| Overhead | Laag | Hoger, host-OS concurreert om resources |
| Isolatie | Sterk | Afhankelijk van het host-OS |
| Typisch OT-gebruik | Productieservers, SCADA-clusters | Labs, training, simulatie, FAT/SAT-voorbereiding |
De grens is niet altijd scherp. KVM, sinds 2007 onderdeel van de Linux-kernel, maakt van Linux zelf een hypervisor en wordt meestal als type 1 gezien. Hyper-V kwam in 2008 met Windows Server 2008 en schuift Windows bij activering als een “parent partition” boven op de hypervisor. Voor productie-OT kiest u vrijwel altijd een type 1-hypervisor; een type 2-hypervisor heeft hogere latency en minder deterministisch gedrag.
🏭 Welke OT-workloads kunt u virtualiseren?
De meeste systemen op niveau 2 en 3 van het Purdue Model zijn gewone Windows- of Linux-servers en laten zich goed virtualiseren. Hoe dichter bij het fysieke proces, hoe strenger de timingeisen.
| Workload | Virtualiseerbaar? | Opmerking |
|---|---|---|
| SCADA-server en HMI-clients | Ja | Leveranciers publiceren ondersteunde hypervisorversies |
| Historian | Ja | Let op opslag-IOPS en latency |
| MES | Ja | Vaak al in het datacenter |
| OPC UA-servers en MQTT-brokers | Ja | Ook op edge-hypervisors |
| Engineeringstations | Ja | Handig voor oude softwareversies van legacy systemen |
| Domeincontroller OT | Ja | Minimaal twee, op verschillende hosts |
| Soft PLC / virtuele PLC | Afhankelijk van realtime-eisen | Zie hieronder |
| Safety-PLC en veiligheidsfuncties | Meestal niet | Gecertificeerde, dedicated hardware |
Een typisch SCADA-cluster bestaat uit drie of meer hosts met daarop de SCADA-server, een redundante tweede server, de historian, een alarmserver, een OPC-server en engineering-VM’s. Virtualisatie maakt herstel sneller en vereenvoudigt lifecyclemanagement, omdat u een server niet meer aan specifieke hardware koppelt.
⏱️ Waarom is realtime lastig op een hypervisor?
Een hypervisor voegt een extra schedulinglaag toe. Een VM die even geen fysieke kern krijgt, ziet haar timing verschuiven. Dat raakt latency, jitter en interrupt-respons, net als netwerkcongestie op gedeelde netwerkkaarten, en dus vooral motion control, snelle IO en snelle veldbussen. Realtime-gedrag moet u dus ontwerpen, niet aannemen.
| Technologie | Waarom gevoelig |
|---|---|
| EtherCAT | Cyclustijden tot ver onder 1 ms, gedistribueerde klokken |
| ProfiNET IRT | Gereserveerde tijdslots voor isochrone communicatie |
| TSN | Strikte tijdsplanning in het netwerk |
| SERCOS III | Lage jitter vereist voor aandrijvingen |
Toch schuift de grens op. Siemens biedt met de SIMATIC S7-1500V een virtuele PLC die volgens Siemens realtime-gedrag haalt met standaard Linux-mechanismen en PROFINET RT met een cyclustijd van 1 ms ondersteunt; safety-ondersteuning staat nog op de planning. Technieken die realtime op een hypervisor mogelijk maken:
- CPU-pinning - een vCPU vast koppelen aan een fysieke kern die niemand anders gebruikt
- Geheugenreservering - geen overcommit, geen ballooning of swapping
- Passthrough en SR-IOV - de VM krijgt directe toegang tot een netwerkkaart
- Realtime-kernels en realtime-hypervisors - speciaal voor deterministische taken ontworpen
Voor harde realtime en safety blijven dedicated controllers voorlopig de norm.
🔐 Welke beveiligingsrisico’s brengt een hypervisor met zich mee?
Voor cybersecurity is de hypervisor een kritiek onderdeel van de OT-infrastructuur. Wie de hypervisor beheerst, beheerst alle VM’s erop. Daarom is de hypervisor een geliefd doelwit van ransomware-groepen: één versleuteld ESXi-datastore legt in één keer SCADA, historian en domeincontroller plat. In februari 2023 versleutelde de ESXiArgs-campagne wereldwijd duizenden ESXi-servers via een al lang gepatchte kwetsbaarheid in OpenSLP. In maart 2025 publiceerde Broadcom advisory VMSA-2025-0004 over drie zero-days in ESXi (CVE-2025-22224, -22225 en -22226) die volgens Broadcom al actief werden misbruikt; in combinatie maakten ze een VM escape mogelijk, waarbij een aanvaller met beheerrechten in een VM uitbreekt naar de hypervisor. Een patch was de enige oplossing.
| Risico | Gevolg | Maatregel |
|---|---|---|
| Kwetsbare hypervisor | Volledige omgeving gecompromitteerd | Tijdig patchen, CVE’s volgen |
| VM escape | Laterale beweging tussen zones | Aparte clusters per beveiligingsniveau |
| Misbruik beheerinterface | Ongeautoriseerd beheer, massaal versleutelen | Apart beheernetwerk, MFA, jump server |
| Virtuele switch overbrugt zones | Segmentatie omzeild | Zones bewaken met firewall |
| Gelekte snapshots of VM-bestanden | Diefstal van wachtwoorden en data | Versleutelde opslag, toegang beperken |
Belangrijke hardening-maatregelen zijn RBAC, Secure Boot, uitgeschakelde ongebruikte diensten (zoals SSH en SLP), centrale logging met audit trails, security monitoring en application whitelisting in de VM’s. NIST SP 800-125A Rev. 1 (2018) geeft specifieke aanbevelingen voor serverhypervisors. Vanuit IEC 62443 geldt: een virtuele switch is ook een conduit, dus netwerksegmentatie en het zones-en-conduits-model moeten ook binnen de hypervisor kloppen, inclusief de DMZ.
🛡️ Hoe zorgt u voor hoge beschikbaarheid?
Consolidatie betekent dat de uitval van één host meerdere systemen raakt. Een hypervisorcluster vangt dat op met high availability en redundantie.
| Functie | Wat het doet | Hersteltijd |
|---|---|---|
| HA-restart | Herstart VM’s van een uitgevallen host op een andere host | Minuten (opstarttijd VM) |
| Fault tolerance | Houdt een schaduwkopie van een VM synchroon | Vrijwel geen onderbreking |
| Live migration | Verplaatst een draaiende VM zonder downtime | Gepland onderhoud zonder stilstand |
| Replicatie | Kopieert VM’s naar een tweede locatie | Afhankelijk van interval |
| Back-up | Losstaande kopie, bij voorkeur immutable | Uren, maar bestand tegen ransomware |
Bij een hyperconverged architectuur (HCI) combineert elke node rekenkracht, opslag en netwerk, zoals bij VMware vSAN, Nutanix en Azure Local (voorheen Azure Stack HCI). Dat vereenvoudigt beheer en schaalbaarheid, maar maakt de cluster ook afhankelijk van een goed ontworpen storagenetwerk. Plan daarnaast disaster recovery en business continuity: wat doet u als het hele cluster onbruikbaar is?
🧭 Hoe virtualiseert u een OT-omgeving stap voor stap?
- Inventariseer - welke systemen, versies en licenties draaien er, en welke leveranciers ondersteunen welke hypervisor?
- Bepaal wat níet gevirtualiseerd wordt - harde realtime, safety en hardware met specifieke insteekkaarten of dongles.
- Dimensioneer ruim - minimaal N+1 hosts, geen CPU- of geheugenovercommit voor kritieke VM’s en voldoende opslag-IOPS voor de historian.
- Ontwerp het netwerk - aparte netwerken voor beheer, opslag, migratie en procesverkeer, gekoppeld aan uw zones.
- Bouw eerst een OTAP-straat - VM-templates en snapshots maken testen, simulatie en virtuele inbedrijfstelling goedkoop, ook als digital twin.
- Regel beheer - configuratiebeheer, patchvensters afgestemd op productie en offline back-ups.
Let op de licentiekosten. Broadcom stopte na de overname van VMware in december 2023 met eeuwigdurende licenties en schakelde over op abonnementen per processorkern; in februari 2024 verdween ook de gratis ESXi. Sinds april 2025 (ESXi 8.0 Update 3e) is er weer een gratis versie, maar zonder ondersteuning en niet bedoeld voor productie. Veel OT-gebruikers met lang lopende installaties herzien daarom hun hypervisorkeuze, maar moeten daarbij de ondersteuningsmatrix van hun SCADA-leverancier volgen. Organisaties die onder NIS2 en de Cyberbeveiligingswet vallen, moeten de hypervisor bovendien meenemen in hun zorgplicht voor risicobeheer en patchmanagement. NIST SP 800-82 Rev. 3 (2023), ISO 27001 en NIST CSF bieden daarvoor het bredere kader.
Aan de rand van het netwerk worden lichte hypervisors en containerplatformen als Docker gebruikt op edge-apparaten voor MQTT-brokers, protocolconverters en analyses, dicht bij het proces in plaats van in de cloud. Ook in gebouwautomatisering draaien BMS- en HVAC-platformen en energiemanagementsystemen vaak als VM, en bij water- en energiebedrijven is de verzameling van telemetrie een veelvoorkomende gevirtualiseerde workload.
❓ Veelgestelde vragen
Wat is het verschil tussen een hypervisor en een container?
Een hypervisor virtualiseert complete hardware, zodat elke VM een eigen besturingssysteem draait. Een container deelt de kernel van het hostbesturingssysteem en isoleert alleen processen, waardoor hij lichter is maar minder strikt gescheiden. In OT draaien containers vaak binnen een VM op een hypervisor.
Kan een SCADA-systeem veilig gevirtualiseerd worden?
Ja, een SCADA-systeem wordt tegenwoordig vaak op een type 1-hypervisor gevirtualiseerd. Voorwaarde is dat u een door de leverancier ondersteunde hypervisorversie gebruikt, voldoende reserveert voor kritieke VM’s, het beheernetwerk scheidt en een cluster met failover opzet. De realtime besturing blijft in de PLC’s.
Is een snapshot een back-up?
Nee, een snapshot van een virtuele machine is geen back-up. Een snapshot staat op dezelfde opslag als de VM, gaat verloren als die opslag faalt of versleuteld wordt en vertraagt de VM als hij lang blijft staan. Gebruik snapshots alleen kort, bijvoorbeeld rond een update, en maak daarnaast losstaande back-ups.
Wat is een VM escape?
Een VM escape is een aanval waarbij code in een virtuele machine uit de isolatie breekt en toegang krijgt tot de hypervisor of andere VM’s. In maart 2025 werden ESXi-kwetsbaarheden die dit mogelijk maken als zero-day actief misbruikt (Broadcom-advisory VMSA-2025-0004). Snel patchen van de hypervisor en het scheiden van zones met verschillend beveiligingsniveau beperken dit risico.
Kan een PLC op een hypervisor draaien?
Een soft-PLC of virtuele PLC kan op een hypervisor draaien als de realtime-eisen het toelaten. Siemens geeft voor de virtuele S7-1500V PROFINET RT met een cyclustijd van 1 ms op, op basis van standaard realtime-mechanismen in Linux. Het onderliggende platform moet daarop zijn afgestemd, bijvoorbeeld met vaste processorkernen en gereserveerd geheugen. Voor motion control met zeer korte cycli en voor safety-functies blijft een dedicated controller gebruikelijk.
Welke hypervisor wordt in OT het meest gebruikt?
In industriële omgevingen worden vooral VMware ESXi en Microsoft Hyper-V gebruikt, omdat SCADA- en historianleveranciers die het langst ondersteunen. KVM-gebaseerde platformen zoals Proxmox VE en Nutanix AHV winnen terrein, mede door de gewijzigde VMware-licenties. Controleer altijd de ondersteuningsmatrix van uw OT-leverancier.
📌 Samengevat
Een hypervisor verdeelt één fysieke server over meerdere geïsoleerde virtuele machines en is daarmee de basis van gevirtualiseerde SCADA-, historian- en MES-omgevingen. Kies voor productie-OT een type 1-hypervisor in een redundant cluster, reserveer resources voor kritieke VM’s, scheid het beheernetwerk en patch snel: wie de hypervisor overneemt, heeft in één klap de hele OT-omgeving in handen.