Man-In-The-Middle

Wat is een man-in-the-middle-aanval (MitM)?

Een Man-in-the-Middle-aanval (MitM) is een aanval waarbij een aanvaller zich onopgemerkt tussen twee communicerende partijen plaatst om hun verkeer af te luisteren, te wijzigen, te blokkeren of aan te vullen, terwijl beide partijen denken dat ze rechtstreeks met elkaar praten. MITRE noemt dit tegenwoordig Adversary-in-the-Middle (AiTM). In OT-omgevingen is het een kritiek risico voor het verkeer tussen PLC, HMI, SCADA en veldapparatuur, omdat klassieke protocollen zoals Modbus, DNP3 en OPC Classic berichten zonder authenticatie of integriteitscontrole versturen.

🧠 Hoe werkt een MitM-aanval?

Een MitM-aanval verloopt bijna altijd in drie fasen:

1. Positie innemen - de aanvaller zorgt dat het verkeer via zijn systeem loopt. In een lokaal netwerk gebeurt dat meestal met ARP poisoning: vervalste, ongevraagde ARP-antwoorden koppelen het IP-adres van de PLC of de gateway aan het MAC-adres van de aanvaller.
2. Doorgeven - het onderschepte verkeer wordt doorgestuurd, zodat de verbinding blijft werken en niemand iets merkt.
3. Misbruiken - de aanvaller luistert passief mee (wachtwoorden, procesdata, configuraties) of grijpt actief in: hij wijzigt meetwaarden, blokkeert alarmen, voegt eigen commando’s toe of speelt oude berichten opnieuw af.

Zonder versleuteling, berichtauthenticatie en netwerkmonitoring is zo’n aanval vanaf het eindpunt vrijwel niet te zien.

🔧 Welke technieken gebruiken aanvallers om ertussen te komen?

MITRE ATT&CK for ICS beschrijft dit gedrag als techniek T0830 Adversary-in-the-Middle onder de tactiek Collection. Een van de gedocumenteerde voorbeelden is de TRITON-campagne, waarin de aanvallers telefoonnummers in een contactlijst wijzigden om per sms verstuurde inlogcodes te onderscheppen. In de Enterprise-matrix (T1557) staan ARP Cache Poisoning, DHCP Spoofing en Evil Twin als aparte subtechnieken.

🏭 Waarom is MitM in OT extra gevaarlijk?

In IT draait een MitM-aanval meestal om gestolen gegevens. In OT kan de aanvaller het fysieke proces beïnvloeden én tegelijk verbergen wat er gebeurt. Dat komt door een paar eigenschappen van industriële netwerken:

• Geen authenticatie in klassieke protocollen - een Modbus-apparaat voert elk geldig verzoek uit, ongeacht wie het stuurt.
• Platte netwerken - HMI, PLC’s en engineeringstations zitten vaak in één broadcastdomein, waar ARP-spoofing direct werkt.
• Lange levensduur - controllers draaien twintig jaar of langer en ondersteunen vaak geen TLS of certificaten.
• Vertrouwen op het scherm - operators sturen op wat de HMI toont. Wie de meetwaarden vervalst, stuurt dus de operator.

Stuxnet is het bekendste voorbeeld van dit principe. De worm nestelde zich in de communicatiebibliotheek s7otbxdx.dll tussen de Siemens-engineeringsoftware en de PLC. Zo kon hij gewijzigde PLC-code verbergen, terwijl een man-in-the-middle-routine normaal ogende procesdata teruggaf, zodat operators niets merkten van de centrifuges die afwisselend op 1.410 Hz en 2 Hz werden gezet in plaats van de normale 1.064 Hz.

🔐 Welke OT-protocollen zijn kwetsbaar, en welke beveiligde varianten bestaan er?

Belangrijk: beveiligde varianten bestaan wel, maar worden in bestaande installaties nog weinig gebruikt. DNP3 Secure Authentication beschermt bovendien alleen tegen wijzigen en vervalsen, niet tegen afluisteren, omdat het niets versleutelt.

🛡️ Hoe voorkomt en detecteert u een MitM-aanval?

MITRE noemt daarnaast statische ARP-entries, het uitschakelen van overbodige legacyprotocollen en een out-of-band-kanaal om kritieke waarden langs een tweede weg te controleren. Waar een oude controller geen authenticatie ondersteunt, adviseert MITRE een bump-in-the-wire-apparaat of een VPN-gateway die de bescherming voor het apparaat overneemt. In IEC 62443-3-3 valt bescherming tegen MitM vooral onder SR 3.1 Communication integrity en SR 4.1 Information confidentiality.

🧭 Hoe pakt u MitM-risico’s stap voor stap aan?

1. Breng de communicatiestromen in kaart - welke HMI praat met welke PLC, via welk protocol en welke poort? Passieve monitoring levert deze lijst zonder het proces te raken.
2. Bepaal de kritieke paden - schrijfverkeer naar controllers en verbindingen vanaf het engineeringstation hebben de hoogste prioriteit.
3. Maak de laag-2-omgeving robuust - zet DHCP Snooping en Dynamic ARP Inspection aan op managed switches, schakel ongebruikte poorten uit en gebruik waar mogelijk statische ARP-entries voor vaste OT-apparaten.
4. Segmenteer - scheid zones en conduits volgens IEC 62443 en laat alleen noodzakelijke protocollen door.
5. Activeer beveiligde protocolvarianten - bijvoorbeeld OPC UA SignAndEncrypt, Modbus/TCP Security of DNP3 SAv5, en zet certificaatvalidatie nooit uit “om het werkend te krijgen”.
6. Detecteer - laat een OT-IDS alarmeren op ARP-afwijkingen, nieuwe apparaten en onverwachte schrijfopdrachten.
7. Beveilig toegang op afstand - met VPN, MFA en een jump server, zodat leveranciersverbindingen niet onderschept of gekaapt worden.

Voor Nederlandse organisaties die onder de Cyberbeveiligingswet vallen, de Nederlandse invulling van NIS2 die sinds 15 augustus 2026 van kracht is, horen deze maatregelen bij de zorgplicht om netwerk- en informatiesystemen passend te beveiligen. NIST SP 800-82 Rev. 3 (september 2023) geeft vergelijkbare aanbevelingen voor OT.

🔁 Hoe verhoudt MitM zich tot verwante aanvallen?

❓ Veelgestelde vragen

Wat is het verschil tussen man-in-the-middle en adversary-in-the-middle?

Man-in-the-middle en adversary-in-the-middle beschrijven dezelfde aanval: een aanvaller zit tussen twee partijen en kan hun verkeer lezen en wijzigen. MITRE ATT&CK gebruikt de neutralere term adversary-in-the-middle (AiTM). In de praktijk worden beide namen door elkaar gebruikt.

Beschermt TLS altijd tegen een man-in-the-middle-aanval?

TLS beschermt alleen tegen een man-in-the-middle-aanval als het certificaat van de tegenpartij echt wordt gecontroleerd. Accepteert een client elk certificaat, of is validatie uitgeschakeld, dan kan een aanvaller zijn eigen certificaat aanbieden en het versleutelde verkeer alsnog onderscheppen. Goed certificaatbeheer is daarom net zo belangrijk als de versleuteling zelf.

Hoe herkent u een man-in-the-middle-aanval in een OT-netwerk?

Een man-in-the-middle-aanval in een OT-netwerk valt vooral op door netwerkafwijkingen: ongevraagde ARP-antwoorden, een IP-adres dat plotseling bij een ander MAC-adres hoort, of extra vertraging tussen HMI en PLC. Een OT-IDS dat de normale communicatie kent, kan daarop alarmeren. Op de HMI zelf is een goed uitgevoerde aanval meestal niet zichtbaar.

Is Modbus kwetsbaar voor man-in-the-middle-aanvallen?

Klassiek Modbus is zeer kwetsbaar voor man-in-the-middle-aanvallen, omdat het geen versleuteling, authenticatie of integriteitscontrole kent. Een aanvaller in het pad kan registerwaarden lezen en schrijfopdrachten aanpassen zonder dat de PLC dat merkt. Modbus/TCP Security met TLS op poort 802 lost dit op, maar wordt nog weinig ondersteund.

Kan een man-in-the-middle-aanval ook via wifi plaatsvinden?

Een man-in-the-middle-aanval via wifi gebeurt vaak met een evil twin: een nagemaakt toegangspunt met dezelfde netwerknaam waarmee tablets of laptops verbinding maken. Daarna loopt al het verkeer via de aanvaller. WPA3-Enterprise met 802.1X en certificaatcontrole maakt dit veel moeilijker.

Helpt netwerksegmentatie tegen man-in-the-middle-aanvallen?

Netwerksegmentatie helpt tegen man-in-the-middle-aanvallen doordat een aanvaller eerst toegang moet krijgen tot hetzelfde segment als de doelapparaten. ARP-spoofing werkt alleen binnen één broadcastdomein, dus kleine zones beperken het bereik sterk. Segmentatie vervangt echter geen versleuteling en berichtauthenticatie op kritieke verbindingen.

📌 Samengevat

Een Man-in-the-Middle-aanval plaatst een aanvaller onzichtbaar tussen twee partijen, zodat hij verkeer kan afluisteren, wijzigen of injecteren. In OT is dat extra gevaarlijk, omdat klassieke protocollen zoals Modbus en DNP3 geen authenticatie kennen en vervalste meetwaarden de operator misleiden. Laag-2-bescherming, segmentatie, beveiligde protocolvarianten met gevalideerde certificaten en een OT-IDS maken een MitM-aanval veel moeilijker en beter zichtbaar.