MAC Filtering

Wat is MAC Filtering?

MAC Filtering is een vorm van netwerktoegangscontrole waarbij een switch, access point of firewall verkeer toelaat of weigert op basis van het MAC-adres (Media Access Control-adres) van de netwerkinterface van een apparaat. De beheerder legt een lijst met toegestane (allowlist) of geweigerde (denylist) adressen vast, en frames van andere adressen worden genegeerd. MAC Filtering werkt op laag 2 van het OSI-model en is daarmee een eenvoudige vorm van toegangscontrole, maar geen authenticatie: een MAC-adres is een identificatie die iedereen kan zien en kopiëren.

In OT-netwerken, waar dezelfde PLC’s, HMI’s en I/O-stations jarenlang op dezelfde plek hangen, is een vaste lijst bekende apparaten goed haalbaar. Daar is MAC Filtering een nuttige drempel tegen toevallige of onbevoegde aansluitingen, mits u de grenzen kent.

🧠 Hoe werkt MAC Filtering?

Een MAC-adres is 48 bits lang en wordt meestal geschreven als zes hexadecimale paren, zoals 00:1A:2B:3C:4D:5E. De eerste 24 bits vormen de OUI, de code van de fabrikant. Elk Ethernet-frame en elk Wi-Fi-frame draagt het bron-MAC-adres van de afzender mee, en dat adres gebruikt het filter:

1. Lijst vastleggen - de beheerder voert de toegestane of geweigerde adressen in op de switch, het access point of een centrale server.
2. Frame ontvangen - het netwerkapparaat leest het bronadres uit de header.
3. Vergelijken - staat het adres op de allowlist, dan gaat het frame door. Staat het er niet op (of op de denylist), dan wordt het verworpen.
4. Reageren en melden - afhankelijk van het platform blijft het bij weggooien, volgt een melding via Syslog of wordt de poort uitgeschakeld.

Een allowlist (vroeger whitelist) is de enige zinvolle variant voor beveiliging. Een denylist (blacklist) houdt alleen één bekend adres tegen; een aanvaller kiest gewoon een ander adres.

🔄 Welke vormen van MAC Filtering bestaan er?

De term wordt voor verschillende functies gebruikt. Het verschil zit in waar de lijst staat en wat er bij een overtreding gebeurt:

MAB is de centraal beheerde variant. Bij Cisco start MAB als terugvaloptie pas nadat 802.1X geen antwoord krijgt; met de standaardinstellingen (30 seconden per poging, twee herhalingen) duurt dat 90 seconden. Cisco noemt MAB zelf uitdrukkelijk geen sterke authenticatiemethode, omdat een vervalst adres van een geldig apparaat volstaat.

⚠️ Waarom is MAC Filtering geen echte beveiliging?

Het zwakke punt is dat een MAC-adres geen geheim is:

• Zichtbaar op het netwerk - bij Wi-Fi staan de MAC-adressen onversleuteld in de frameheader, ook met WPA2 of WPA3. Die versleutelen alleen de inhoud. Wie meeluistert, ziet direct welke adressen zijn toegestaan.
• Eenvoudig te vervalsen - vrijwel elk besturingssysteem laat u het MAC-adres in software wijzigen. Deze MAC-spoofing kost een aanvaller minder dan een minuut.
• Vaak ook fysiek af te lezen - veel veldapparaten en PLC’s hebben het adres op het typeplaatje staan.
• Geen gebruiker - het filter herkent een apparaat, niet de persoon erachter.
• Willekeurige adressen - Android (vanaf versie 10) en iOS (vanaf versie 14) gebruiken standaard per wifinetwerk een willekeurig, lokaal beheerd MAC-adres. Android houdt dat adres per netwerk vast; een iPhone of iPad kan na het vergeten en opnieuw toevoegen van het netwerk een ander adres krijgen, waardoor de allowlist niet meer klopt.

Daar staat tegenover dat een vervalst adres pas iets oplevert als de aanvaller al op het netwerk of binnen bereik is. MAC Filtering houdt dus vooral ongerichte aansluitingen tegen: een servicelaptop op een vrije poort, een meegebrachte router of een rogue device. Tegen een gerichte aanvaller biedt het weinig.

🏭 Waar is MAC Filtering zinvol in OT-omgevingen?

MAC Filtering past het best waar het apparatenbestand statisch is en sterkere authenticatie (nog) niet haalbaar is:

• Switches in besturingskasten - niveau 1 en 2 van het Purdue Model, waar elke poort aan één vast apparaat hangt. Hier is port security de gebruikelijke invulling.
• Industriële wifi - handscanners, AGV’s en mobiele HMI’s op een apart SSID. Combineer het filter altijd met WPA2- of WPA3-Enterprise; het filter alleen is niet genoeg.
• Legacy-apparatuur zonder 802.1X - oudere PLC’s en remote I/O kunnen zich niet aanmelden bij een RADIUS-server. MAB of een lokale allowlist is dan het maximum.
• Onderhoudspoorten - een lijst met bekende servicelaptops maakt het eenvoudiger om een onbekend apparaat te signaleren, al is een uitgeschakelde poort beter.

Let op poorten waar dat misgaat. Uplinks tussen switches en ringpoorten zien veel adressen voorbijkomen. PROFINET-apparaten met een ingebouwde switch voor doorlussen brengen de adressen van achterliggende apparaten mee, en virtuele machines kunnen bij een migratie van adres wisselen.

🔧 Hoe voert u MAC Filtering stap voor stap in?

1. Inventariseer - leg per switchpoort en per SSID vast welk apparaat met welk MAC-adres er hoort. Een actuele asset-inventaris, aangevuld met passieve asset discovery, is de basis.
2. Schakel ongebruikte poorten uit - dat is sterker dan elk filter.
3. Begin in meetmodus - laat het filter eerst alleen registreren, bijvoorbeeld MAB in de monitormodus van uw NAC-oplossing (toegang blijft open, afwijkingen worden gelogd), en controleer een paar weken of legitieme apparaten worden geraakt. De modus restrict van port security is géén meetmodus: die gooit frames van onbekende adressen al weg, maar meldt ze zonder de poort uit te schakelen.
4. Zet de allowlist actief - in een onderhoudsvenster, met een terugvalplan voor het geval een kritieke verbinding wegvalt.
5. Stuur meldingen door - naar uw SIEM of netwerkmonitoring, en laat anomaliedetectie letten op hetzelfde MAC-adres op twee plekken.
6. Borg het in wijzigingsbeheer - elke vervanging van een PLC, HMI of netwerkkaart betekent een nieuw MAC-adres. Neem het bijwerken van de lijst op in de vervangingsprocedure.

Vul MAC Filtering aan met DHCP Snooping, Dynamic ARP Inspection en ACL’s op laag 3, en beperk met netwerksegmentatie wat een binnengedrongen apparaat kan bereiken.

🔐 Hoe past MAC Filtering in normen en wetgeving?

IEC 62443-3-3 vraagt vanaf security level 2 om identificatie en authenticatie van apparaten (SR 1.2). MAC Filtering identificeert wel, maar authenticeert niet; op SL 1 stelt de norm die eis nog niet en is het een redelijke extra drempel, op SL 2 en hoger telt het alleen als aanvullende maatregel naast iets sterkers. SR 7.7 (minimale functionaliteit) vraagt om onnodige poorten uit te schakelen. De CIS Controls v8 noemen in safeguard 13.9 toegangscontrole op poortniveau, met 802.1X als voorkeur.

Voor organisaties onder de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, is MAC Filtering een laagdrempelige maatregel binnen de zorgplicht. Het telt alleen mee als u meldingen opvolgt en de lijst actueel houdt. In een Zero Trust-benadering is een MAC-adres hooguit één signaal naast sterkere identiteitskenmerken.

❓ Veelgestelde vragen

Is MAC Filtering veilig genoeg voor een OT-netwerk?

Nee, MAC Filtering alleen is niet veilig genoeg, omdat een MAC-adres zichtbaar is en eenvoudig te vervalsen. Het houdt toevallige en onbevoegde aansluitingen tegen, maar geen gerichte aanvaller. Gebruik het als één laag binnen defense in depth, samen met segmentatie, firewalls en monitoring.

Wat is het verschil tussen MAC Filtering en port security?

MAC Filtering is de algemene term voor toegang op basis van MAC-adressen, op een switch, access point of server. Port security is een specifieke switchfunctie die per poort bepaalt welke en hoeveel MAC-adressen mogen leren, en die de poort kan uitschakelen bij een overtreding. Port security is dus één vorm van MAC Filtering.

Werkt MAC Filtering op wifi met telefoons en tablets?

MAC Filtering op wifi werkt slecht met moderne telefoons en tablets. Android vanaf versie 10 en iOS vanaf versie 14 gebruiken standaard per netwerk een willekeurig MAC-adres, waardoor het adres op de allowlist niet overeenkomt met het echte apparaat. Schakel het privé-adres per netwerk uit op beheerde apparaten of gebruik WPA2- of WPA3-Enterprise met certificaten.

Wat is MAC Authentication Bypass (MAB)?

MAC Authentication Bypass is een methode waarbij een switch het MAC-adres van een apparaat als gebruikersnaam en wachtwoord naar een RADIUS-server stuurt, die toegang verleent of weigert. MAB is bedoeld voor apparaten zonder 802.1X-client, zoals veel PLC’s en printers. Het is centraal beheerde MAC Filtering en daarom net zo gevoelig voor spoofing.

Moet ik een allowlist of een denylist gebruiken?

Gebruik voor MAC Filtering altijd een allowlist met alleen bekende apparaten. Een denylist blokkeert alleen de adressen die u al kent, en een aanvaller kiest eenvoudig een ander adres. Een allowlist dwingt bovendien een actuele inventaris af, wat in OT op zichzelf al waardevol is.

Wat gebeurt er met MAC Filtering als ik een PLC vervang?

Een vervangende PLC heeft een ander MAC-adres en wordt door MAC Filtering geweigerd totdat de lijst is bijgewerkt. Dat kan een productieonderbreking verlengen als de procedure niet klopt. Neem het bijwerken van de allowlist daarom op als vaste stap in uw vervangings- en wijzigingsprocedure.

📌 Samengevat

MAC Filtering beperkt netwerktoegang tot apparaten met een bekend MAC-adres, via een wifi-filter, een MAC-ACL, port security, MAC binding of MAB. In statische OT-netwerken met vaste apparatuur is het goed haalbaar en houdt het ongerichte aansluitingen tegen. Omdat een MAC-adres openbaar en eenvoudig te vervalsen is, en moderne mobiele apparaten willekeurige adressen gebruiken, vervangt het nooit echte authenticatie.

MAC Filtering is een eenvoudige drempel op laag 2, geen authenticatie: zet het in met een allowlist, meldingen en wijzigingsbeheer, en combineer het met 802.1X, segmentatie en monitoring.