IP Source Guard

Wat is IP Source Guard?

IP Source Guard (IPSG) is een beveiligingsfunctie van managed switches die op een toegangspoort alleen IP-verkeer doorlaat waarvan het bron-IP-adres overeenkomt met een bekende binding van IP-adres, poort en VLAN, zodat een aangesloten apparaat geen vals bronadres kan gebruiken. De bindingen komen uit DHCP Snooping of worden handmatig als statische binding ingevoerd. IPSG blokkeert daarmee IP-Spoofing precies op de plek waar het verkeer het netwerk binnenkomt.

In OT-omgevingen helpt IP Source Guard om kritieke communicatie, zoals tussen een PLC en SCADA, te beschermen tegen verkeer van een apparaat dat zich voordoet als een ander systeem.

🧠 Waarom is IP Source Guard nodig?

Veel industriële protocollen, zoals Modbus TCP, kennen geen authenticatie: hooguit filtert een apparaat of firewall op het bron-IP-adres. Een PLC die een schrijfopdracht ontvangt van het adres van het engineeringstation of de SCADA-server, voert die vaak zonder verdere controle uit. Wie dat adres kan vervalsen, kan dus opdrachten injecteren of een sessie verstoren. IP Source Guard pakt dat aan:

• Voorkomt IP-Spoofing - een apparaat kan geen pakketten versturen met het IP-adres van een ander systeem
• Verhoogt de integriteit van netwerkverkeer - alleen bronnen met een geldige binding worden doorgelaten
• Maakt aanvallen lastiger - een Man-In-The-Middle of een Rogue Device kan zich niet ongemerkt als bestaand apparaat voordoen
• Werkt per switchpoort - de controle gebeurt aan de rand van het netwerk, nog voordat verkeer een router of firewall bereikt
• Past in Zero Trust en defense in depth - het netwerk vertrouwt een bronadres niet zomaar, maar controleert het tegen een bekende binding

🔧 Hoe werkt IP Source Guard?

IPSG werkt in een vaste volgorde. Zodra de functie op een poort aanstaat, blokkeert de switch daar eerst al het IP-verkeer behalve DHCP-berichten. Pas als er een geldige binding is, wordt verkeer vanaf dat adres doorgelaten.

IPSG controleert dus inkomend verkeer op een laag-2-poort. Er zijn twee modi:

• Alleen bron-IP - de standaardmodus; het IP-adres moet bij de poort en het VLAN passen
• Bron-IP én bron-MAC - optioneel (bij Cisco ip verify source mac-check of in combinatie met Port Security); dan moet ook het MAC-adres kloppen

U schakelt IPSG in op onvertrouwde toegangspoorten waar eindapparaten op zitten. Vertrouwde poorten, zoals de uplink naar de DHCP-server of een andere switch, laat u ongefilterd.

🔄 Wat is het verschil met verwante technieken?

IP Source Guard is één bouwsteen in een set laag-2-beveiligingen die elkaar aanvullen. Ze gebruiken vaak dezelfde bindingstabel, maar beschermen tegen verschillende aanvallen.

Het belangrijkste onderscheid: DAI controleert ARP-verkeer, IPSG controleert IP-verkeer. Een aanvaller die ARP-spoofing gebruikt om verkeer om te leiden, wordt door DAI gestopt; een aanvaller die met een vals bronadres een Modbus-opdracht stuurt, door IPSG.

🏭 Hoe zet u IP Source Guard in OT-netwerken in?

In een kantoornetwerk krijgt bijna elk apparaat zijn adres via DHCP, waardoor DHCP Snooping de bindingen vanzelf vult. In OT is dat anders: PLC’s, HMI’s, frequentieregelaars en I/O-stations hebben meestal een vast IP-adres. ProfiNET-apparaten krijgen hun naam en adres bovendien via het DCP-protocol van de IO-controller, niet via DHCP. Zonder statische bindingen blokkeert IPSG die apparaten dus volledig.

Een praktische aanpak in vijf stappen:

1. Inventariseer - leg per poort vast welk apparaat met welk IP- en MAC-adres en in welk VLAN aangesloten zit; een actuele asset inventory is hier de basis
2. Schakel DHCP Snooping in op de betreffende VLAN’s en markeer alleen uplinks en DHCP-serverpoorten als vertrouwd
3. Voer statische bindingen in voor alle apparaten met een vast adres, bijvoorbeeld ip source binding <mac> vlan <id> <ip> interface <poort>
4. Activeer IPSG eerst op een testpoort en controleer met show ip verify source en show ip source binding of het filter actief is
5. Rol gefaseerd uit tijdens een onderhoudsvenster, met een terugvalplan als een apparaat onbedoeld wordt geblokkeerd

Typische aandachtspunten in de praktijk:

Bij een switch die herstart zonder opgeslagen DHCP-bindingen, kunnen DHCP-clients pas weer communiceren nadat ze hun lease vernieuwen. In een productieomgeving is dat een beschikbaarheidsrisico. Statische bindingen staan in de configuratie en hebben dat probleem niet.

Veel industriële switches en managed switches ondersteunen IPSG of een vergelijkbare functie, soms onder een andere naam. Leveranciers als Cisco (ook in de industriële IE-series), Juniper en Extreme Networks gebruiken de term IP Source Guard; HPE Aruba noemt een vergelijkbare functie Dynamic IP Lockdown.

Een concreet voorbeeld: iemand sluit in een kast een laptop aan op een vrije poort en geeft die het IP-adres van de PLC om opdrachten te sturen. De binding voor dat adres hoort bij de poort van de echte PLC, dus IPSG verwerpt het verkeer van de laptop direct op de toegangspoort. Een apparaat dat per ongeluk op de verkeerde poort wordt aangesloten, krijgt om dezelfde reden geen IP-verbinding totdat de binding is aangepast.

🔐 Wat zijn de beperkingen van IP Source Guard?

IP Source Guard is effectief, maar beschermt niet tegen alles:

• Geen bescherming tegen een gecompromitteerd apparaat - een apparaat met een geldige binding kan nog steeds kwaadaardig verkeer vanaf zijn eigen adres versturen
• MAC-spoofing in de standaardmodus - zonder MAC-controle let IPSG alleen op het IP-adres
• Geen inhoudscontrole - IPSG kijkt naar het bronadres, niet naar wat een pakket doet; daarvoor zijn een firewall of IDS nodig
• Alleen op de toegangspoort - verkeer dat de switch via een vertrouwde poort binnenkomt, wordt niet gefilterd
• IPv6 - vraagt aparte functies, zoals IPv6 Source Guard, gebaseerd op het IETF-raamwerk SAVI (Source Address Validation Improvement, RFC 7039 uit 2013)

Combineer IPSG daarom met netwerksegmentatie in zones en conduits volgens IEC 62443, met DAI en Port Security, en laat geblokkeerde pogingen centraal vastleggen in een SIEM, voor zover het switchplatform dat ondersteunt. Niet elke switch logt IPSG-drops standaard; Cisco biedt op een deel van de Catalyst-switches bijvoorbeeld smart logging naar een NetFlow-collector. Een melding van IPSG op een poort in een zone met besturingen is een sterk signaal dat er iets mis is.

❓ Veelgestelde vragen

Werkt IP Source Guard zonder DHCP?

Ja, IP Source Guard werkt ook zonder DHCP als u statische bindingen invoert. Elke binding koppelt een IP-adres en MAC-adres aan een VLAN en switchpoort. In OT-netwerken met vaste IP-adressen is dit de gebruikelijke manier om IPSG toe te passen.

Wat is het verschil tussen IP Source Guard en Dynamic ARP Inspection?

IP Source Guard controleert het bronadres van IP-pakketten, terwijl Dynamic ARP Inspection ARP-berichten controleert. Beide gebruiken dezelfde DHCP Snooping-bindingstabel. Samen voorkomen ze zowel IP-spoofing als ARP-spoofing op dezelfde poort.

Blokkeert IP Source Guard ook MAC-spoofing?

IP Source Guard filtert standaard alleen op het bron-IP-adres. Met de optionele MAC-controle, bij Cisco mac-check of in combinatie met Port Security, moet ook het bron-MAC-adres overeenkomen. Zonder die optie kan een apparaat zijn MAC-adres wijzigen zolang het IP-adres klopt.

Wat gebeurt er met IP Source Guard als de switch herstart?

Statische bindingen staan in de configuratie en blijven bij een herstart behouden. Dynamische bindingen uit DHCP Snooping gaan verloren, tenzij de switch ze opslaat in een DHCP Snooping-database op flash of een server. Zonder die opslag zijn DHCP-clients geblokkeerd totdat ze hun lease vernieuwen.

Kan IP Source Guard een OT-proces verstoren?

Ja, een verkeerd ingestelde IP Source Guard kan legitieme apparaten zoals PLC’s blokkeren. Dat gebeurt vooral bij ontbrekende statische bindingen of na vervanging van hardware met een nieuw MAC-adres. Test daarom eerst op één poort en leg bindingen vast in het change management-proces.

Werkt IP Source Guard ook voor IPv6?

De klassieke IP Source Guard filtert IPv4-verkeer. Voor IPv6 bestaan aparte functies, zoals IPv6 Source Guard, die zijn gebaseerd op het SAVI-raamwerk van de IETF. In de meeste OT-netwerken speelt IPv6 nog een kleine rol, maar het is goed om te controleren of het op de switch actief is.

📌 Samengevat

IP Source Guard laat op een switchpoort alleen IP-verkeer door van bronadressen met een geldige binding, en blokkeert zo IP-Spoofing direct aan de rand van het netwerk. In OT-netwerken met vaste IP-adressen vraagt het om statische bindingen en goed change management. In combinatie met DHCP Snooping, DAI, Port Security en segmentatie volgens IEC 62443 maakt het een zone met PLC’s en HMI’s een stuk lastiger aan te vallen.