Industrial Firewall

Wat is een Industrial Firewall?

Een industrial firewall is een firewall die speciaal is ontworpen voor operationele technologie (OT) en industriële netwerken: hij filtert verkeer tussen zones op basis van regels, begrijpt industriële protocollen zoals Modbus, S7, OPC UA en DNP3, en is gebouwd voor de omstandigheden en beschikbaarheidseisen van een fabriek, centrale of waterzuiveringsinstallatie. Anders dan een gewone IT-firewall in een serverruimte zit een industrial firewall vaak op een DIN-rail in een besturingskast, werkt hij doorgaans bij temperaturen van -40 tot +70 °C en kan hij onzichtbaar tussen bestaande apparaten worden geplaatst. Hij beschermt kritieke systemen zoals PLC’s, SCADA, drives, HMI’s en historians tegen cyberaanvallen, ongeautoriseerde toegang en fouten van mensen.

🧠 Hoe werkt een industrial firewall?

Een industrial firewall combineert dezelfde basistechnieken als elke firewall met kennis van OT-protocollen. In oplopende diepgang:

1. Pakketfiltering op laag 3 en 4 - regels op IP-adres, netwerk, poort en protocol (TCP/UDP). Bekende OT-poorten zijn 502 voor Modbus TCP, 102 voor S7comm, 20000 voor DNP3, 44818 en 2222 voor IP, 4840 voor OPC UA en 2404 voor IEC 60870-5-104.
2. Stateful inspection - de firewall houdt verbindingen bij, zodat alleen antwoorden op toegestane verzoeken terugkomen.
3. DPI (Deep Packet Inspection) op laag 7 - de firewall leest de inhoud van het industriële protocol. Zo kan hij bij Modbus leesopdrachten (functiecodes 1 tot en met 4) toestaan en schrijfopdrachten (5, 6, 15 en 16) blokkeren, of bij S7 het downloaden van nieuwe logica naar een PLC alleen vanaf het engineering station toelaten.
4. Zonebescherming - segmentatie volgens het Zone and Conduits-model of het Purdue Model, met scheiding tussen control network, engineering network en DMZ.
5. Logging en auditing - gebeurtenissen gaan via syslog naar een SIEM of security monitoring, zodat afwijkingen opvallen.

Het verschil met de klassieke pakketfilter is dus vooral stap 3: een gewone firewall ziet alleen “poort 502 open”, een industrial firewall ziet wélke Modbus-opdracht er langskomt.

🔄 Wat is het verschil met een IT-firewall?

Een industrial firewall maakt het netwerk niet deterministischer; hij voegt juist een klein beetje vertraging toe. Het doel is dat die vertraging laag en voorspelbaar blijft, zodat real-time communicatie tussen controllers niet hapert. Moderne next-generation firewalls uit de IT-wereld herkennen inmiddels ook industriële protocollen; het verschil zit dan vooral in vormfactor, robuustheid, storingsgedrag en de diepgang van de OT-inspectie.

🔧 Welke inzetmodi en storingsgedrag zijn er?

• Routermodus - de firewall koppelt twee IP-subnetten en kan NAT toepassen. Geschikt bij nieuwbouw of bij de grens tussen IT en OT.
• Transparante modus (bridge/stealth) - de firewall werkt op laag 2 en is onzichtbaar voor de aangesloten apparaten. Phoenix Contact noemt dit bij de mGuard stealth mode; Hirschmann biedt bij de EAGLE40 een router-, stealth- en transparante modus. Ideaal om een bestaande PLC achteraf te beschermen zonder IP-adressen te wijzigen.
• Monitormodus - eerst alleen loggen, pas later blokkeren. Zo ontdekt u welk verkeer echt nodig is voordat een regel productie kan stilleggen.

Bij een storing van de firewall zelf zijn er twee filosofieën:

Fabrikanten bieden daarom soms een hardware-bypass, zoals het bypass-relais op de koperpoorten van de Cisco ISA3000 of het fail-to-wire-poortpaar van de FortiGate Rugged 70G. Welke keuze juist is, hangt af van de risicoanalyse: een firewall vóór een SIS of een veiligheidskritische functie hoort niet stilletjes open te vallen, terwijl een monitoringverbinding dat wel mag. Combineer bij kritieke netwerken altijd met redundantie en high availability, bijvoorbeeld twee firewalls in een actief/passief-paar.

🏭 Waar plaatst u industrial firewalls in een OT-netwerk?

Volgens IEC 62443 deelt u de installatie op in zones met een vergelijkbaar beveiligingsniveau, verbonden via conduits. De industrial firewall is het handhavingspunt op die conduit. Typische posities:

• IT/OT-grens - tussen kantoornetwerk en productie, bij voorkeur via een IDMZ waarin historian-replica’s, patchservers en jump hosts staan. Waar alleen data naar buiten hoeft, is een datadiode een sterker alternatief: die laat fysiek maar één richting toe en is dus geen firewall.
• Tussen productiecellen of lijnen - zodat een besmetting in lijn 1 niet naar lijn 2 overslaat.
• Vóór kwetsbare of oude apparaten - een cell- of zone-firewall direct vóór een PLC die niet meer gepatcht kan worden.
• Bij externe toegang - afsluiten van VPN-verbindingen en remote access van leveranciers, liefst met tijdgebonden toegang.

U vindt industrial firewalls in de procesindustrie, de voedingsmiddelen- en farmaceutische industrie, energie, water en infrastructuur zoals tunnels, bruggen en sluizen.

Een slimme volgorde is: eerst de IT/OT-grens, dan de zones met de hoogste risico’s, dan de rest. Zie ook netwerksegmentatie voor de bredere aanpak.

📋 Hoe ontwerpt u goede firewallregels?

Een industrial firewall is maar zo sterk als zijn regels; zie Firewallregelbeheer voor het ontwerpen en periodiek herzien van regelsets per conduit. Praktisch stappenplan:

1. Inventariseer - breng met asset-inventarisatie en passieve netwerkanalyse in kaart welke systemen met elkaar praten.
2. Leg conduits vast - beschrijf per conduit bron, bestemming, protocol, richting en doel.
3. Deny by default - sta alleen expliciet benodigd verkeer toe (least privilege); dit is SR 5.2 RE 1 in IEC 62443-3-3.
4. Verfijn met DPI - beperk schrijfopdrachten, firmware-downloads en programmeerfuncties tot het engineering station.
5. Test in monitormodus - draai een of meer productiecycli mee, inclusief opstart, stilstand en batchwissels.
6. Beheer wijzigingen - elke regelwijziging via change management, met documentatie en een periodieke review.

Koppel beheer aan toegangsbeheer met RADIUS voor authenticatie, en stuur logs naar een SIEM met anomaliedetectie voor audit en compliance. Een fout geconfigureerde firewall is gevaarlijk, omdat hij schijnveiligheid geeft: één “any-any”-regel maakt de hele zonering waardeloos.

🔐 Welke leveranciers en certificeringen zijn er?

Voor de beveiliging van het product zelf is IEC 62443-4-2 (2019) de maatstaf. Die norm kent eisen voor vier componenttypen; firewalls, routers en switches vallen onder de network device requirements (NDR) en worden gecertificeerd op een capability security level (SL-C 1 tot 4). Moxa behaalde in september 2023 via Bureau Veritas naar eigen zeggen als eerste een IEC 62443-4-2 SL2-certificaat voor industriële secure routers. Bij Phoenix Contact zijn de mGuard-families 2000 en 4000 gecertificeerd, en het ontwikkelproces volgt IEC 62443-4-1. Vraag bij aanschaf altijd naar het certificaat, het SL-C en de geldigheid voor de firmwareversie die u gebruikt.

In Europa komt daar de Cyber Resilience Act bij: firewalls en inbraakdetectiesystemen staan als important products klasse II in bijlage III en vereisen een conformiteitsbeoordeling door een derde partij. De volledige verplichtingen gelden vanaf 11 december 2027. Voor essentiële en belangrijke entiteiten in Nederland geldt sinds 15 augustus 2026 de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Die verlangt passende maatregelen om risico’s voor netwerk- en informatiesystemen te beheersen; netwerksegmentatie en logging horen daar in OT-omgevingen vrijwel altijd bij.

❓ Veelgestelde vragen

Heb ik een industrial firewall nodig als er al een IT-firewall is?

Ja, in de meeste gevallen wel. Een IT-firewall beschermt de grens met internet, maar laat het verkeer binnen het OT-netwerk ongemoeid. Een industrial firewall scheidt zones binnen de productie en kan industriële opdrachten zoals schrijfacties naar een PLC inspecteren.

Wat is het verschil tussen een industrial firewall en een datadiode?

Een industrial firewall laat verkeer in twee richtingen toe volgens regels en kan dus verkeerd worden geconfigureerd. Een datadiode laat fysiek maar één richting toe, meestal van OT naar IT. Datadiodes passen bij de strengste scheidingen, industrial firewalls bij communicatie die in twee richtingen nodig is.

Vertraagt een industrial firewall mijn besturing?

Een industrial firewall voegt altijd een kleine vertraging toe, maar die is bij goed gedimensioneerde apparatuur laag en voorspelbaar. Voor tijdkritische veldbuscommunicatie zoals PROFINET IRT of motion control plaatst u de firewall daarom op de grens van een cel, niet midden in de cyclische communicatie tussen controller en I/O.

Wat betekent IEC 62443-4-2 certificering voor een industrial firewall?

IEC 62443-4-2 certificering betekent dat een onafhankelijke instantie heeft vastgesteld dat de firewall de technische beveiligingseisen voor netwerkcomponenten haalt op een bepaald niveau, zoals SL2. Het certificaat zegt iets over het product, niet over de juistheid van uw regels of uw netwerkontwerp.

Wat is de transparante of stealth-modus van een industrial firewall?

In transparante of stealth-modus werkt een industrial firewall als een onzichtbare brug op laag 2, zonder eigen IP-adressen in het datapad. U kunt hem daardoor tussen een bestaande PLC en het netwerk plaatsen zonder IP-adressen of configuraties van apparaten te wijzigen.

Moet een industrial firewall bij een storing open of dicht vallen?

Dat volgt uit uw risicoanalyse. Fail-close beschermt de zone maar kan productie stilleggen, een bypass houdt de productie draaiende maar laat ongefilterd verkeer door. IEC 62443-3-3 eist fail-close vanaf Security Level 3; met een redundant firewallpaar voorkomt u dat dit dilemma vaak optreedt.

📌 Samengevat

Een industrial firewall is het handhavingspunt op de conduits tussen OT-zones: robuust gebouwd, transparant inzetbaar en met diepe kennis van industriële protocollen. De echte bescherming komt van goed ontworpen regels volgens deny by default, een bewuste keuze voor storingsgedrag en gecertificeerde apparatuur volgens IEC 62443-4-2.