MAC Binding

Wat is MAC Binding?

MAC Binding is een beveiligingsmaatregel op laag 2 waarbij een managed switch een specifiek MAC-adres vast koppelt aan één switchpoort, aan een IP-adres of aan beide, en verkeer weigert dat niet aan die koppeling voldoet. Varianten heten ook MAC Address Binding, MAC-to-Port Binding of IP-MAC-Port Binding. In OT-netwerken, waar de set apparaten per poort jarenlang gelijk blijft, maakt MAC Binding het lastiger om een onbekend apparaat aan te sluiten of een vertrouwde PLC, HMI of SCADA-component na te bootsen.

MAC Binding is geen authenticatie: een MAC-adres is eenvoudig te vervalsen. De maatregel werkt doordat een aanvaller het juiste adres óp de juiste poort moet laten verschijnen, en dat vraagt fysieke toegang.

🧠 Wat is het doel van MAC Binding?

MAC Binding dient vier doelen:

• Ongeautoriseerde apparaten weren - een laptop, rogue device of onbeheerde switch op een vrije poort krijgt geen verkeer door.
• Spoofing bemoeilijken - een gekopieerd MAC-adres op een andere poort wordt herkend als verplaatsing en geblokkeerd.
• Netwerkcontrole vergroten - beheerders leggen exact vast welk apparaat op welke poort hoort, wat een vervanging of herbekabeling direct zichtbaar maakt.
• Aanvulling op toegangsbeheer en netwerksegmentatie - binding beschermt de rand van een zone, segmentatie beperkt wat een binnengedrongen apparaat daarna kan bereiken.

🔧 Hoe werkt MAC Binding?

Een switch leert normaal elk bronadres dat op een poort binnenkomt en zet dat in zijn MAC-adrestabel (CAM-tabel). MAC Binding vervangt dat vrije leren door een vaste lijst:

1. Elk apparaat heeft een MAC-adres van 48 bits, waarvan de eerste 24 bits (de OUI) de fabrikant aanduiden.
2. De beheerder legt de koppeling vast: MAC X mag alleen op poort Y, eventueel aangevuld met en alleen met IP-adres Z.
3. De switch controleert elk binnenkomend frame. Komt een ander bronadres binnen op poort Y, dan wordt het verkeer geweigerd.
4. Verschijnt MAC X op een andere poort in hetzelfde VLAN, dan behandelt de switch dat als overtreding. Cisco noemt dit een MAC move violation.
5. De switch reageert met verwerpen, verwerpen plus melding, of het uitschakelen van de poort, afhankelijk van de instelling.

In de praktijk bestaan er drie varianten, die fabrikanten verschillend noemen:

Bij de dynamische vorm vult DHCP Snooping de bindingstabel automatisch op basis van uitgegeven DHCP-adressen. In OT hebben de meeste apparaten echter een vast IP-adres, zodat u de bindings daar handmatig invoert.

🏭 Waar past u MAC Binding toe in OT-omgevingen?

Niet elke poort leent zich ervoor. Uplinks tussen switches en ringpoorten in ringredundantie zien veel adressen voorbijkomen en krijgen geen binding. ProfiNET-apparaten met een ingebouwde tweepoortsswitch voor doorlussen brengen de adressen van achterliggende apparaten mee, dus daar is een lijst van meerdere adressen nodig.

⚙️ Hoe richt u MAC Binding stap voor stap in?

1. Inventariseer - bouw eerst een asset-inventaris met MAC-adres, IP-adres, switch en poort per apparaat. Passieve monitoring levert die gegevens zonder het proces te storen.
2. Kies de variant per poort - MAC-poortbinding voor vaste veldapparaten, IP-MAC-poortbinding waar ARP-spoofing een reëel risico is.
3. Configureer - op Cisco-switches met switchport port-security mac-address 0011.2233.4455 (statisch secure adres) of met een globaal statisch item mac address-table static 0011.2233.4455 vlan 10 interface Gi1/0/5. Dat statische item pint alleen het adres aan de poort en weert geen andere apparaten op die poort; daarvoor blijft port security nodig. FortiSwitch kent een aparte IP-MAC-bindingstabel van maximaal 1.024 regels, die u globaal aanzet en per poort in- of uitschakelt.
4. Kies de reactie - op poorten naar besturingen is restrict (verkeer weigeren en melden) meestal veiliger dan shutdown, omdat de poort dan actief blijft voor het legitieme apparaat.
5. Test in een onderhoudsvenster - controleer of alle procescommunicatie blijft lopen, ook na een herstart van switch en apparaat.
6. Meld overtredingen - stuur syslog of SNMP-traps naar uw SIEM of netwerkmonitoring.
7. Borg het in wijzigingsbeheer - het bijwerken van de binding hoort een vaste stap te zijn in elke vervangingsprocedure.

🔐 Wat zijn de beperkingen van MAC Binding?

• MAC-adressen zijn te vervalsen - elk besturingssysteem laat een ander MAC-adres instellen. Wie het juiste apparaat loskoppelt en zijn laptop met diens adres op dezelfde poort aansluit, komt door een pure MAC-poortbinding heen.
• Geen bescherming tegen ARP-vervalsing - een aanvaller met zijn eigen, wél toegestane MAC-adres kan nog steeds valse ARP-berichten sturen en zo een Man-In-The-Middle-positie innemen. Daarvoor is Dynamic ARP Inspection of een IP-MAC-binding nodig.
• Beheerlast - elke vervanging van een netwerkkaart, PLC of HMI vraagt een configuratiewijziging. Gebeurt dat niet, dan valt de communicatie weg op het moment dat de storing al gaande is.
• Wisselende ondersteuning - niet alle industriële switches ondersteunen binding per poort of per VLAN, en onbeheerde switches helemaal niet.

Daarom zet u MAC Binding in als één laag binnen defense in depth, naast sterkere maatregelen zoals 802.1X of NAC waar apparaten dat ondersteunen.

🔄 Hoe verhoudt MAC Binding zich tot verwante maatregelen?

🇳🇱 Welke rol speelt MAC Binding bij IEC 62443 en de Cyberbeveiligingswet?

IEC 62443-3-3 vraagt vanaf security level 2 om identificatie en authenticatie van apparaten (SR 1.2). MAC Binding alleen voldoet daar niet aan, omdat er geen geheim of certificaat aan te pas komt, maar het ondersteunt wel SR 7.7 (minimale functionaliteit, ongebruikte poorten dicht) en SR 7.8 (componenteninventaris). Voor veel veldapparaten zonder 802.1X-supplicant is het in de praktijk de best haalbare compenserende maatregel.

Organisaties die onder de Cyberbeveiligingswet vallen, de Nederlandse implementatie van NIS2 die op 15 augustus 2026 in werking trad, moeten passende maatregelen nemen voor de beveiliging van netwerk- en informatiesystemen. Gedocumenteerde poortbeveiliging met MAC Binding, gekoppeld aan een actuele asset-inventaris, is een concreet en aantoonbaar onderdeel daarvan.

❓ Veelgestelde vragen

Wat is het verschil tussen MAC Binding en MAC Filtering?

MAC Binding koppelt een MAC-adres aan een specifieke switchpoort of een specifiek IP-adres, zodat hetzelfde adres op een andere plek wordt geweigerd. MAC Filtering werkt met een lijst van toegestane of geweigerde MAC-adressen, ongeacht de poort. MAC Binding is daardoor strenger, maar vraagt ook meer beheer.

Beschermt MAC Binding tegen MAC-spoofing?

MAC Binding beschermt slechts gedeeltelijk tegen MAC-spoofing. Een vervalst adres op een andere poort wordt geblokkeerd, maar wie het legitieme apparaat loskoppelt en zijn eigen apparaat met hetzelfde adres op die poort aansluit, komt erdoor. Combineer MAC Binding daarom met fysieke beveiliging, monitoring op link-down-meldingen en waar mogelijk 802.1X.

Wat gebeurt er met MAC Binding als ik een PLC vervang?

Een vervangende PLC heeft een ander MAC-adres, dus MAC Binding weigert het nieuwe apparaat totdat de binding is bijgewerkt. Neem het aanpassen van de binding daarom op in de vervangingsprocedure en in uw wijzigingsbeheer. Let op bij ProfiNET: de controller herkent een vervangend apparaat aan zijn apparaatnaam, maar de switch kijkt naar het MAC-adres, dus ook dan moet de binding mee.

Helpt MAC Binding tegen ARP-spoofing?

Pure MAC-poortbinding helpt niet tegen ARP-spoofing, omdat de aanvaller zijn eigen toegestane MAC-adres gebruikt en alleen de IP-koppeling vervalst. Daarvoor is een IP-MAC-binding, IP-MAC-poortbinding of Dynamic ARP Inspection nodig. Die controleren of het IP-adres in een ARP-bericht bij het MAC-adres en de poort hoort.

Ondersteunen industriële switches MAC Binding?

De meeste managed industriële switches ondersteunen MAC Binding via port security met statische of sticky MAC-adressen. Uitgebreidere varianten zoals IP-MAC-poortbinding en IP Source Guard zijn minder breed beschikbaar en verschillen per fabrikant in naam en mogelijkheden. Onbeheerde switches ondersteunen MAC Binding niet.

Is MAC Binding voldoende voor IEC 62443?

MAC Binding is niet voldoende voor de apparaatauthenticatie die IEC 62443-3-3 vanaf security level 2 vraagt, omdat een MAC-adres geen cryptografisch bewijs van identiteit is. Het is wel een nuttige compenserende maatregel voor apparaten zonder ondersteuning voor 802.1X. Documenteer die keuze in uw risicoanalyse.

📌 Samengevat

MAC Binding koppelt een apparaat op laag 2 vast aan een switchpoort, een IP-adres of beide, en vormt zo een eenvoudige eerste drempel tegen onbekende apparaten en Spoofing in OT-netwerken. De maatregel werkt zonder software op de endpoints, maar is geen echte authenticatie. Combineer MAC Binding daarom met port security, Dynamic ARP Inspection, netwerksegmentatie en monitoring, en borg het bijwerken van bindings in uw vervangingsprocedure.