Wat is een jump server?
Een jump server (ook jump host of jump box genoemd) is een geharde tussenserver die het enige toegestane toegangspunt vormt tussen een minder vertrouwd netwerk, zoals IT, en een afgeschermd netwerk, zoals een OT- of SCADA-zone. Beheerders, engineers en externe leveranciers loggen eerst in op de jump server en openen pas van daaruit een sessie naar het doelsysteem. Zo ontstaat nooit een directe verbinding tussen hun eigen werkplek en de PLC, het HMI of het engineering station. In OT-architecturen staat de jump server doorgaans in de IDMZ, de industriële DMZ, op niveau 3.5 van het Purdue Model. De term wordt vaak door elkaar gebruikt met bastion host.
🎯 Waarom heeft u een jump server nodig?
Een jump server lost een praktisch dilemma op: OT-systemen moeten op afstand beheerd kunnen worden, maar mogen niet rechtstreeks bereikbaar zijn vanuit IT of internet.
- Geen directe routes - de firewall laat alleen verkeer van de jump server naar OT toe, niet van individuele IT-werkplekken
- Eén controlepunt - alle remote access loopt via één plek, waar u authenticatie, autorisatie en registratie centraal afdwingt
- Beperkte blootstelling - protocollen als RDP, SSH, VNC of engineeringsoftware hoeven alleen tussen jump server en doelsysteem open te staan
- Controleerbaarheid - sessies kunnen worden gelogd, gemonitord en opgenomen voor audit en incidentonderzoek
- Onderhoud op afstand - leveranciers kunnen storingen verhelpen zonder fysiek op locatie te zijn, onder voorwaarden die u zelf bepaalt
🔧 Hoe werkt een jump server?
Een typische toegangsketen naar OT ziet er zo uit:
- Verbinding opzetten - de gebruiker maakt via een VPN- of ZTNA-gateway verbinding met de IDMZ; de jump server zelf is nooit direct vanaf internet bereikbaar
- Inloggen met MFA - de gebruiker logt in op de jump server met een persoonlijk account en MFA, bij voorkeur phishingbestendig (FIDO2-sleutel of smartcard)
- Toestemming - bij gevoelige toegang keurt een operator of PAM-systeem de sessie vooraf goed, vaak gekoppeld aan een werkvergunning
- De sprong - vanaf de jump server opent de gebruiker een sessie naar het toegestane doelsysteem, met credentials die de PAM-kluis injecteert zodat de gebruiker ze nooit ziet
- Registratie en afsluiting - de sessie wordt gelogd en eventueel opgenomen met session recording, en automatisch beëindigd bij inactiviteit of na afloop van het tijdvenster
In grotere installaties zijn er twee sprongen: een jump server in de IDMZ voor toegang vanuit IT, en een tweede jump host of engineering station in de OT-zone (niveau 3) met de zware engineeringsoftware.
🧱 Wat zijn de kenmerken van een goede OT-jump server?
| Kenmerk | Invulling in de praktijk |
|---|---|
| Gelaagde toegang | Toegang tot gevoelige systemen alleen via één gecontroleerd punt in de IDMZ |
| Sterke authenticatie | Persoonlijke accounts met MFA; geen gedeelde of generieke accounts |
| Logging en auditing | Inlogpogingen, sessies en commando’s worden vastgelegd en doorgestuurd naar een SIEM |
| Protocolondersteuning | RDP, SSH, VNC, webtoegang en engineeringtools, alleen naar goedgekeurde doelen |
| Geen directe routes | Firewallregels verbieden verkeer van IT rechtstreeks naar OT |
| Gescheiden identiteit | Eigen domein of lokale accounts in de IDMZ, los van het Active Directory-domein van IT |
🔐 Hoe hardt u een jump server?
Een jump server is een aantrekkelijk doelwit: wie hem overneemt, staat met één stap in OT. Hardening is daarom geen optie maar voorwaarde.
- Geen internet, geen e-mail - de jump server mag niet browsen of mailen; het is een exclusieve beheerpoort, geen algemene werkplek
- Application allowlisting - alleen expliciet toegestane programma’s mogen draaien, zodat malware en hackertools niet starten
- MFA - verplicht voor elke login; MFA op de jump server compenseert dat veel oude OT-systemen zelf geen MFA ondersteunen
- PAM-integratie - wachtwoorden van doelsystemen staan in een kluis, worden automatisch geroteerd en na gebruik vervangen
- Sessie-opname - video- of commandoregistratie van elke sessie, met name van externe partijen
- Least privilege - iedere gebruiker ziet alleen de doelsystemen die bij zijn taak horen
- Gecontroleerde bestandsoverdracht - klembord, schijfkoppeling en drag-and-drop in RDP uitschakelen; bestanden lopen via een aparte overdrachtsvoorziening met malwarescan
- Actueel houden - patchmanagement en antivirus of EDR zijn hier eenvoudiger dan op OT-systemen zelf, dus voer ze consequent door
- Sessietijden - automatische afmelding na bijvoorbeeld 15 minuten inactiviteit en toegang alleen binnen een afgesproken tijdvenster
🔄 Wat is het verschil tussen een jump server, VPN en ZTNA?
| Aspect | Jump server | VPN | ZTNA |
|---|---|---|---|
| Wat het doet | Tussenstation van waaruit sessies naar doelsystemen worden geopend | Versleutelde tunnel naar een netwerk | Toegang per applicatie op basis van identiteit en context |
| Netwerktoegang | Alleen de jump server raakt OT | Gebruiker komt vaak in een heel netwerksegment | Gebruiker ziet alleen de toegestane applicatie |
| Sessiecontrole | Logging, opname en goedkeuring centraal | Beperkt; de tunnel ziet geen inhoud | Vaak ingebouwd, afhankelijk van het product |
| Risico bij misbruik | Jump server wordt één cruciaal doelwit | Laterale beweging door het netwerk | Afhankelijk van de broker en de policy |
| Typische inzet in OT | Kern van beheer vanuit de IDMZ | Transport naar de IDMZ, niet rechtstreeks naar OT | Moderne vervanging van VPN, vaak gecombineerd met een jump server |
In de praktijk vullen ze elkaar aan. Een VPN of ZTNA-oplossing brengt de gebruiker veilig tot aan de IDMZ, de jump server bepaalt wat hij daarna in OT mag doen. ZTNA past bij het Zero Trust-principe; veel OT-specifieke remote access-platformen combineren ZTNA, PAM en sessie-opname in één product.
⚠️ Welke fouten worden vaak gemaakt?
- Jump server in het IT-domein - als de jump server lid is van het IT-Active Directory, kan een aanvaller die IT-beheerrechten verovert direct door naar OT
- Dubbel gebruik - de jump server wordt ook gebruikt voor e-mail, browsen of als algemene werkplek
- Gedeelde accounts - één leveranciersaccount voor alle monteurs maakt logging waardeloos
- Permanent openstaande toegang - externe toegang die dag en nacht actief is in plaats van alleen tijdens een goedgekeurde interventie
- Omwegen - losse remote-tools zoals TeamViewer of 4G-routers in de installatie, waardoor de jump server wordt omzeild
- Wachtwoorden in scripts - inloggegevens in platte tekst in batchscripts op werkplekken en servers; CISA trof dit in 2025 nog aan bij een threat hunt in kritieke infrastructuur
🏭 Hoe past de jump server in IEC 62443 en NIS2?
IEC 62443 stelt geen aparte eis voor een jump server, maar in de praktijk is de jump server de plek waar veel eisen samenkomen:
| Kader | Relevante eis | Rol van de jump server |
|---|---|---|
| IEC 62443-3-3 SR 1.13 | Toegang via onvertrouwde netwerken bewaken en beheersen; vanaf SL 2 expliciete goedkeuring per toegangsverzoek | Centraal punt waar goedkeuring en controle plaatsvinden |
| IEC 62443-3-3 SR 1.1 RE 2 | MFA voor toegang via onvertrouwde netwerken (vanaf SL 3) | MFA wordt op de jump server afgedwongen |
| IEC 62443-3-3 SR 2.6 | Remote sessies automatisch of handmatig beëindigen (vanaf SL 2) | Sessietime-outs op de jump server |
| IEC 62443-2-4 SP.07 | Leveranciers melden elke remote verbinding en vragen vooraf goedkeuring aan de asset owner | Vastgelegd verloop via de jump server |
| NIS2 art. 21 | Toegangsbeleid en het gebruik van MFA als zorgplichtmaatregel | Aantoonbare beheersing van remote toegang |
In het zones-en-conduitsmodel is de jump server onderdeel van de conduit tussen de IT-zone en de OT-zones. In Nederland geldt sinds 15 augustus 2026 de Cyberbeveiligingswet, de Nederlandse invulling van NIS2. Ook internationale richtlijnen wijzen dezelfde kant op: NIST SP 800-82 Rev. 3 (2023) plaatst jump hosts in de DMZ tussen IT en OT, en de Secure Connectivity Principles for OT van januari 2026, opgesteld door onder meer het Britse NCSC, CISA en het Nederlandse NCSC, vragen om gecentraliseerde, gelogde en tijdelijk beperkte toegang tot OT.
❓ Veelgestelde vragen
Wat is het verschil tussen een jump server en een bastion host?
Een jump server en een bastion host worden in de praktijk vaak als synoniemen gebruikt. Bastion host is de bredere term voor elk speciaal gehard systeem op de grens van een netwerk, terwijl een jump server specifiek dient als tussenstation voor beheersessies. In OT-omgevingen bedoelen beide termen meestal hetzelfde toegangspunt in de IDMZ.
Waar plaatst u een jump server in een OT-netwerk?
Een jump server staat in de industriële DMZ (IDMZ), op niveau 3.5 van het Purdue-model, tussen het IT-netwerk en de OT-zones. Firewalls aan beide kanten zorgen dat IT alleen de jump server bereikt en dat alleen de jump server de OT-systemen bereikt. Voor zware engineeringtaken komt er soms een tweede jump host binnen de OT-zone bij.
Is een VPN niet voldoende voor remote access naar OT?
Een VPN alleen is voor OT meestal niet voldoende, omdat een VPN de gebruiker toegang geeft tot een heel netwerksegment zonder zicht op wat hij daar doet. Een jump server voegt sessiecontrole, logging, opname en beperking tot specifieke doelsystemen toe. Daarom eindigt de VPN-tunnel bij voorkeur in de IDMZ en loopt de verdere toegang via de jump server.
Moet een jump server MFA gebruiken?
Een jump server hoort altijd multifactorauthenticatie af te dwingen, bij voorkeur phishingbestendig met een hardwaresleutel of smartcard. Veel PLC’s en oudere SCADA-systemen ondersteunen zelf geen MFA, waardoor de jump server de laatste plek is waar u die controle kunt afdwingen. IEC 62443-3-3 eist MFA voor toegang via onvertrouwde netwerken vanaf security level 3, en NIS2 noemt het gebruik van MFA expliciet als zorgplichtmaatregel.
Hoe geeft u leveranciers veilig toegang via een jump server?
Leveranciers krijgen via een jump server persoonlijke accounts, toegang alleen tot hun eigen installatie en alleen binnen een vooraf goedgekeurd tijdvenster. Hun sessies worden opgenomen en een operator kan de verbinding op elk moment verbreken. IEC 62443-2-4 vraagt bovendien dat de leverancier elke remote verbinding vooraf meldt en laat goedkeuren door de asset owner.
Kunt u bestanden kopiëren via een jump server?
Bestandsoverdracht via een jump server is een bekend risico, omdat malware zo ongemerkt in OT terecht kan komen. Schakel daarom klembord en schijfkoppeling in RDP uit en laat bestanden lopen via een aparte, gecontroleerde overdrachtsvoorziening met malwarescan en registratie. Zo blijft de jump server een beheerpoort en geen ongecontroleerde datastroom naar OT.
📌 Samengevat
Een jump server is het enige, geharde toegangspunt in de IDMZ waarlangs beheerders en leveranciers OT-systemen bereiken, zonder directe verbinding tussen IT en OT. Met MFA, application allowlisting, PAM, sessie-opname, gecontroleerde bestandsoverdracht en een eigen identiteitsdomein vormt de jump server een kernonderdeel van een gelaagde cybersecuritystrategie en helpt hij u aantoonbaar te voldoen aan compliance-eisen uit IEC 62443, ISO 27001, NIS2 en de Cyberbeveiligingswet.