IDS

Wat is een IDS?

Een IDS (Intrusion Detection System) is een beveiligingssysteem dat netwerkverkeer of activiteit op hosts continu analyseert om ongeautoriseerde, verdachte of kwaadaardige activiteiten te detecteren en te melden, zonder zelf in te grijpen. Waar een Firewall verkeer tegenhoudt en een IPS (Intrusion Prevention System) aanvallen actief blokkeert, kijkt een IDS mee en alarmeert. Juist die passieve rol maakt het IDS geschikt voor industriële netwerken, waar ingrijpen in lopend verkeer een productieproces kan verstoren.

🧠 Hoe werkt een IDS?

Een IDS verzamelt gebeurtenissen, zoals netwerkpakketten, logregels of systeemaanroepen, en vergelijkt die met wat bekend of normaal is. Het idee gaat terug op het model dat Dorothy Denning in 1987 publiceerde: beveiligingsincidenten zijn te herkennen aan afwijkende patronen in het gebruik van een systeem. NIST SP 800-94 onderscheidt drie detectiemethoden, die moderne systemen meestal combineren:

• Signature-based detectie - vergelijkt verkeer met patronen van bekende aanvallen, exploits of malware. Weinig valse meldingen, maar blind voor nieuwe aanvallen en zero-days.
• Anomaly-based detectie - leert eerst een baseline van normaal gedrag en meldt afwijkingen. Vindt ook onbekende aanvallen, maar geeft meer valse meldingen. Zie Anomaliedetectie.
• Stateful protocol analysis - begrijpt een protocol en signaleert commando’s of volgordes die niet passen, bijvoorbeeld een Modbus-schrijfcommando waar alleen leesverkeer hoort.

Een IDS kan Real-time alarmeren of achteraf (offline) opgeslagen verkeer analyseren voor onderzoek.

📦 Welke soorten IDS zijn er?

In OT is een HIDS vaak lastig: veel PLC’s, HMI’s en oudere Windows-systemen ondersteunen geen agent of mogen er van de leverancier geen krijgen. Daarom ligt de nadruk in industriële omgevingen op het NIDS.

🔄 Wat is het verschil tussen een IDS en een IPS?

Een zogenaamd actief IDS dat zelf verbindingen afbreekt of firewallregels aanpast, is in feite een IPS. In OT wordt dat zelden toegepast op procesnetwerken: een valse melding mag geen pomp of besturing stilleggen. Een next-gen firewall bevat vaak beide functies, die per regel op detectie of blokkade staan.

🏭 Waarom is een IDS in OT anders dan in IT?

Industriële netwerken zijn juist geschikt voor detectie: een SCADA-server vraagt dezelfde PLC’s elke seconde dezelfde waarden op, en nieuwe verbindingen zijn zeldzaam. Een afwijking valt daardoor snel op. Een OT-IDS, ook wel OT-NDR (Network Detection and Response) genoemd, onderscheidt zich op drie punten:

• Passieve monitoring - de sensor ontvangt een kopie van het verkeer via een SPAN-poort of hardware-TAP en zendt zelf niets. Zie Passive Monitoring.
• Protocolkennis - de sensor ontleedt industriële protocollen als Modbus TCP, ProfiNET, S7 Comm, DNP3, IEC 60870-5-104 en OPC UA tot op het niveau van functiecodes, zodat zichtbaar wordt welk station welk register schrijft.
• Asset discovery - uit het verkeer leidt de sensor een inventaris af van apparaten, firmwareversies en communicatierelaties, de basis voor Asset Discovery en kwetsbaarhedenbeheer.

Typische OT-detecties zijn:

• Onverwachte communicatie tussen PLC’s, SCADA-systemen of een engineeringstation
• Wijzigingen van setpoints of het downloaden van PLC-logica buiten geplande onderhoudstijden
• Toegang tot een Historian of MES vanaf ongebruikelijke IP-adressen
• Scans, nieuwe apparaten en gedrag dat past bij bekende ICS-malware als Stuxnet, Industroyer of TRITON

Een netwerk-IDS ziet alleen verkeer over Ethernet en IP. Klassieke seriële veldbussen zoals Modbus RTU of Profibus blijven daarbuiten, tenzij een gateway dat verkeer naar het netwerk vertaalt.

🧰 Welke IDS-oplossingen worden gebruikt?

Commerciële OT-platforms bieden kant-en-klare protocolondersteuning en dashboards. Open-sourcetools zijn goedkoper, maar vragen meer eigen kennis en beheer.

🔧 Hoe zet u een IDS op in een OT-omgeving?

Een succesvolle uitrol is vooral een kwestie van plaatsing en tuning:

1. Bepaal de meetpunten - plaats sensoren op de grenzen van zones uit uw netwerksegmentatie en op de kernswitches van niveau 1–2, niet alleen op de IT-grens.
2. Kies SPAN of TAP - een SPAN-poort is goedkoop, maar kan bij een volle switch pakketten laten vallen. Een TAP kopieert het verkeer volledig en is passief, wat de voorkeur heeft op kritieke verbindingen.
3. Leer de baseline - laat de sensor enkele weken in leermodus draaien, bij voorkeur inclusief een onderhoudsstop of batchwissel, zodat ook periodiek legitiem verkeer bekend is.
4. Tune de meldingen - classificeer de eerste meldingen samen met procesingenieurs. Bekende onderhoudsvensters en engineeringstations krijgen uitzonderingen, zodat analisten niet verdrinken in valse meldingen (alert fatigue).
5. Koppel aan SIEM en SOC - stuur meldingen via Syslog of een API naar een SIEM en laat ze opvolgen door een (OT-)SOC met afgesproken incident response-procedures.
6. Beheer de sensor - houd signatures en threat intelligence actueel en controleer na netwerkwijzigingen of de meetpunten nog het juiste verkeer zien.

🔐 Welke normen vragen om een IDS?

• IEC 62443-3-3 - systeemeis SR 6.2 Continuous monitoring (onder FR 6, tijdige reactie op gebeurtenissen) vraagt om voortdurende bewaking op beveiligingsincidenten vanaf Security Level 2. SR 6.1 regelt de toegankelijkheid van auditlogs.
• NIS2 en de Nederlandse Cyberbeveiligingswet, van kracht sinds 15 augustus 2026 - vragen van essentiële en belangrijke entiteiten passende maatregelen, waaronder het detecteren en afhandelen van incidenten.
• NIST SP 800-82 - de OT-beveiligingsgids van NIST beveelt passieve netwerkmonitoring aan; NIST SP 800-94 beschrijft de IDS-technologie zelf.
• MITRE ATT&CK for ICS - helpt om detectieregels te koppelen aan concrete aanvalstechnieken.

Een IDS is daarmee een vaste laag in een Defense in Depth-architectuur, naast firewalls, VPN-toegang, EDR en segmentatie met een DMZ en VLAN’s.

❓ Veelgestelde vragen

Kan een IDS een aanval tegenhouden?

Nee, een IDS detecteert en meldt alleen; het blokkeert zelf geen verkeer. Tegenhouden is de taak van een firewall of IPS. De waarde van een IDS zit in vroege zichtbaarheid, zodat een SOC of beheerder kan ingrijpen voordat een aanval het proces raakt.

Wat is het verschil tussen een NIDS en een HIDS?

Een NIDS analyseert netwerkverkeer van veel systemen tegelijk via een SPAN-poort of TAP. Een HIDS draait als agent op één server of werkstation en bewaakt logbestanden, processen en bestandsintegriteit. In OT is een NIDS het meest gebruikt, omdat op veel industriële apparaten geen agent kan draaien.

Verstoort een IDS het productieproces?

Een passief geplaatst IDS verstoort het productieproces niet, omdat het alleen een kopie van het verkeer ontvangt en zelf niets op het netwerk zendt. Risico’s ontstaan pas bij actieve functies, zoals actieve asset discovery die apparaten bevraagt. Die functies stelt u in OT daarom bewust en beperkt in.

Hoeveel valse meldingen geeft een IDS?

Het aantal valse meldingen van een IDS hangt vooral af van de tuning. Signature-based detectie geeft weinig valse meldingen, anomaly-based detectie in de eerste weken juist veel. Na een leerperiode en afstemming met procesingenieurs daalt het aantal meldingen in een stabiel OT-netwerk sterk.

Wat is het verschil tussen een IDS en NDR?

NDR (Network Detection and Response) is de modernere term voor een netwerk-IDS dat naast detectie ook asset-inventaris, gedragsanalyse en ondersteuning bij onderzoek en respons biedt. OT-platforms als Nozomi, Claroty, Dragos en Tenable OT worden meestal als NDR gepositioneerd. De kern blijft een passief IDS.

Is een IDS verplicht onder NIS2?

NIS2 noemt geen specifiek product, maar verplicht organisaties tot passende maatregelen voor het detecteren en afhandelen van incidenten. Een IDS of NDR is de gebruikelijke manier om in OT aan die detectieplicht te voldoen. IEC 62443-3-3 vraagt vanaf Security Level 2 expliciet om continue monitoring.

📌 Samengevat

Een IDS detecteert aanvallen, ongeautoriseerde toegang en afwijkend gedrag door netwerkverkeer of hosts continu te analyseren, zonder zelf in te grijpen. In industriële omgevingen bewaakt een passief OT-IDS de procescommunicatie met kennis van industriële protocollen, en vormt het samen met SIEM en SOC de detectielaag van een Defense in Depth-strategie volgens IEC 62443.