IPS

Wat is een IPS?

Een IPS (Intrusion Prevention System) is een beveiligingssysteem dat netwerk- of hostactiviteit analyseert op aanvallen en verdacht gedrag, en bij een treffer zelf ingrijpt door het verkeer te blokkeren, de sessie te verbreken of een andere beschermende actie uit te voeren. Waar een IDS alleen alarm slaat, staat een IPS meestal inline in de verbinding en kan het een aanval tegenhouden voordat die het doel bereikt, zonder dat een beheerder eerst hoeft te reageren. In kantoornetwerken is een IPS een standaardfunctie van de next-generation firewall. In OT-omgevingen wordt het veel voorzichtiger ingezet, omdat een onterechte blokkade een productieproces kan stilleggen.

⚙️ Hoe werkt een IPS?

Een IPS inspecteert inkomend en uitgaand verkeer in real time, vaak tot op applicatieniveau met deep packet inspection. De NIST-richtlijn SP 800-94 (Guide to Intrusion Detection and Prevention Systems, 2007) onderscheidt drie detectiemethoden:

• Signature-based - vergelijkt verkeer met patronen van bekende aanvallen en exploits; nauwkeurig, maar blind voor nieuwe zero-days
• Anomaly-based - vergelijkt gedrag met een geleerd normaalprofiel (anomaliedetectie); vangt onbekende aanvallen, maar geeft meer valse meldingen
• Stateful protocol analysis - controleert of het verkeer zich aan de protocolspecificatie houdt, bijvoorbeeld of een Modbus-functiecode geldig is en past in de lopende sessie

Bij een treffer kan een IPS:

• Pakketten verwerpen - het kwaadaardige pakket komt niet aan, de rest van de verbinding loopt door
• De sessie beëindigen - met een TCP-reset naar een of beide kanten
• Een bron blokkeren - tijdelijk alle verkeer van een IP-adres of poort tegenhouden
• Andere systemen aansturen - een regel op een firewall toevoegen, verkeer omleiden naar een quarantainesegment of een melding naar de SIEM sturen voor gecoördineerde actie
• Loggen en alarmeren - elke actie wordt vastgelegd voor analyse en forensisch onderzoek

In open-source-engines zie je dit terug als regelacties. Suricata kent bijvoorbeeld alert, pass, drop en reject: dezelfde regel kan in IDS-modus alleen melden en in IPS-modus het pakket laten vallen.

🧱 Welke soorten IPS zijn er?

NIST SP 800-94 onderscheidt vier klassen, die in de praktijk vaak gecombineerd worden:

🔄 Wat is het verschil tussen een IDS en een IPS?

Technisch gebruiken IDS en IPS vaak dezelfde engine en dezelfde regels. Het verschil zit in de plaats in het netwerk en in de bevoegdheid om in te grijpen.

Veel producten zijn daarom een IDPS: één systeem dat per segment of per regel kan worden ingesteld op alleen detecteren of ook blokkeren.

🏭 Hoe zet u een IPS in industriële netwerken in?

In OT telt beschikbaarheid zwaarder dan vertrouwelijkheid. Een IPS dat een schrijfopdracht naar een PLC ten onrechte blokkeert, kan een batch laten mislukken of een installatie laten stilvallen. Industriële IPS-oplossingen en industriële firewalls met IPS-functie hebben daarom een paar eigen kenmerken:

• Protocolkennis van OT - ze begrijpen Modbus, DNP3, OPC UA, S7comm en IP en kunnen bijvoorbeeld alle schrijf- of programmeeropdrachten blokkeren en alleen leesopdrachten van SCADA doorlaten
• Hardware-bypass - bij stroomuitval of een softwarefout schakelt de appliance door (fail-open), zodat het proces doorloopt; bij een veiligheidsgrens kan juist fail-closed gewenst zijn, zie fail-safe
• Virtual patching - een IPS-regel blokkeert misbruik van een bekende kwetsbaarheid in een PLC of HMI die nog niet gepatcht kan worden, als overbrugging tot het volgende onderhoudsvenster van patchmanagement
• Leerfase - eerst weken in detectiemodus, daarna pas blokkeren voor regels die geen legitiem verkeer raken

Plaats een IPS bij voorkeur op de grens tussen IT en OT, in of rond de DMZ of IDMZ, en op conduits tussen zones in het Purdue-model. Zet het niet in tijdkritische veldbusverbindingen: PROFINET IRT werkt met cyclustijden van een milliseconde of minder, en safetyprotocollen zoals PROFIsafe bewaken elk telegram met een watchdogtijd. Extra vertraging of een onverwacht verworpen pakket kan daar een communicatiefout of een veilige stop veroorzaken.

🧭 Hoe voert u een IPS stap voor stap in?

1. Inventariseer en segmenteer - bepaal zones en conduits volgens het Zone and Conduits-model en maak een overzicht van bedrijfsmiddelen en protocollen.
2. Kies de positie - begin op de IT/OT-grens en op conduits met remote toegang, niet op cel- of veldniveau.
3. Draai in detectiemodus - laat het systeem twee tot vier weken meekijken, inclusief onderhoud en productiewissels, en stem regels af op valse meldingen.
4. Schakel blokkeren gericht in - eerst voor duidelijke gevallen zoals bekende exploits, scans en verboden functiecodes; houd de rest op melden.
5. Test en documenteer - test bypass en failover in een onderhoudsstop en leg elke regelwijziging vast via change management.
6. Koppel aan monitoring - stuur alle events naar de SIEM of het OT SOC en spreek af wie een blokkade mag opheffen.

🔐 Welke rol speelt een IPS in Defense in Depth en regelgeving?

Een IPS is één laag binnen Defense in Depth en vervangt geen andere maatregelen. Het werkt samen met firewalls, IDS, SIEM, VPN, netwerksegmentatie en hostbescherming. In IEC 62443-3-3 sluit het aan op de systeemeisen voor bescherming van zonegrenzen (SR 5.2), bescherming tegen kwaadaardige code (SR 3.2) en continue monitoring (SR 6.2). De OT-richtlijn NIST SP 800-82 (revisie 3, september 2023) behandelt detectie en preventie als aanvulling op segmentatie, en benadrukt dat beveiligingsmaatregelen in OT eerst op hun effect op het proces moeten worden getest.

Voor Nederlandse organisaties onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is, is een IPS geen verplichting op zich. Het is wel een gangbare technische maatregel om aanvallen te voorkomen en te detecteren, en de logging helpt bij de meldplicht.

❓ Veelgestelde vragen

Waar staat IPS voor?

IPS staat voor Intrusion Prevention System. Een IPS detecteert aanvallen in netwerk- of hostverkeer en blokkeert die zelf, terwijl een IDS (Intrusion Detection System) alleen meldt. Systemen die beide kunnen, heten ook wel IDPS.

Zit een IPS in een next-generation firewall?

Ja, vrijwel elke next-generation firewall heeft een ingebouwde IPS-functie die naast poort- en applicatieregels verkeer op aanvalspatronen controleert. Een losse IPS-appliance komt vooral nog voor bij hoge doorvoer of in industriële netwerken met specifieke protocolkennis.

Kan een IPS het productieproces verstoren?

Ja, een IPS kan een productieproces verstoren als een valse melding legitiem verkeer blokkeert of als de appliance zelf uitvalt zonder bypass. Daarom draait een IPS in OT eerst in detectiemodus, blokkeert het alleen duidelijk kwaadaardig verkeer en staat het niet in tijdkritische veldbusverbindingen.

Wat is virtual patching met een IPS?

Virtual patching betekent dat een IPS-regel misbruik van een bekende kwetsbaarheid blokkeert voordat het kwetsbare systeem zelf gepatcht is. In OT is dit nuttig omdat een PLC of HMI vaak pas in een onderhoudsstop kan worden bijgewerkt. Het is een overbrugging, geen vervanging van de patch.

Heeft een IPS zin bij versleuteld verkeer?

Een netwerk-IPS ziet bij versleuteld verkeer, zoals OPC UA met encryptie, alleen metadata zoals adressen, poorten en certificaten. Inhoudelijke inspectie vraagt dan om TLS-inspectie op de grens of om een host-IPS op het eindpunt.

Welke open-source IPS-engines bestaan er?

De bekendste open-source IPS-engines zijn Snort en Suricata. Snort werd in 1998 door Martin Roesch ontwikkeld en valt sinds de overname van Sourcefire in 2013 onder Cisco. Suricata, voor het eerst uitgebracht in 2010, wordt ontwikkeld door de Open Information Security Foundation en heeft regelsleutelwoorden voor onder meer Modbus, DNP3 en EtherNet/IP.

📌 Samengevat

Een IPS detecteert aanvallen in netwerk- of hostverkeer en grijpt zelf in door verkeer te blokkeren of sessies te verbreken, waar een IDS alleen meldt. In OT-omgevingen staat het op goed gekozen grenzen, eerst in detectiemodus en met bypass, zodat het een waardevolle laag in een cybersecurity-architectuur vormt zonder de productie te verstoren.