Monitoring

Wat is monitoring?

Monitoring is het continu verzamelen, observeren en analyseren van gegevens uit processen, systemen en netwerken om hun status, prestaties en beveiliging te bewaken en bij afwijkingen tijdig te kunnen ingrijpen. In een omgeving waar IT en OT samenkomen bestaan drie vormen naast elkaar: procesmonitoring van de installatie zelf, monitoring van de IT-infrastructuur en security monitoring van dreigingen. Elk van die vormen heeft eigen bronnen, tools en eigenaren, maar ze werken pas echt goed in samenhang.

Monitoring vormt de ogen en oren van het OT-netwerk: zonder monitoring zijn detectie, foutanalyse en incidentrespons onmogelijk.

🧠 Hoe werkt monitoring?

Elke vorm van monitoring doorloopt dezelfde vier stappen:

1. Dataverzameling uit diverse bronnen:

• Netwerkverkeer, bijvoorbeeld via een SPAN-poort of een netwerk-TAP
• Systeemlogs (Syslog, Windows Event Logs)
• Apparaten zoals PLC, SCADA en HMI, en sensoren in het veld
• Securitytools zoals Firewall, EDR, IDS en SIEM

2. Analyse van die data op:

• Prestaties - uptime, Latency, CPU- en geheugengebruik
• Afwijkingen - via drempelwaarden of Anomaliedetectie
• Incidenten - inbraakpogingen, Ransomware, misbruik van rechten

3. Visualisatie en alarmering via dashboards, alarmen en rapportages
4. Opvolging, handmatig door een operator of analist, of geautomatiseerd via SOAR en alarmflows

Monitoring is zowel proactief inzetbaar (vroegtijdige detectie, trends zien) als reactief (incidentanalyse en root cause analysis achteraf).

🔍 Welke soorten monitoring zijn er in IT/OT?

De vormen verschillen in doel, bronnen en eigenaar; in de praktijk splitst u de drie hoofdvormen verder op:

In de praktijk overlappen deze vormen. Een plotselinge datapiek kan een defecte switch zijn, een verkeerd geconfigureerd apparaat of een aanval. Juist daarom loont het om de vormen te combineren in plaats van ze los van elkaar te organiseren.

🏭 Wat monitort u in een industriële omgeving?

• Communicatie tussen PLC en HMI - onverwachte verbindingen, nieuwe protocollen of uitgevallen polling
• Logins en acties op het Engineering Station of de SCADA-server - vooral buiten werktijden of vanaf onbekende systemen
• Wijzigingen in Firmware en PLC-logica - een programmadownload of modewissel naar program is een signaal dat altijd opgevolgd moet worden
• Netwerkbelasting en performance - overbelaste segmenten, pakketverlies en onverwachte datapieken
• Nieuwe apparaten - elk onbekend MAC- of IP-adres hoort te leiden tot een controle tegen de asset inventory
• Procesdata in de historian - voor trendanalyse en root cause analysis na een storing
• Diagnose van veldapparatuur - statussignalen volgens NAMUR NE 107 (Failure, Function check, Out of specification, Maintenance required) als basis voor predictive maintenance

🔄 Wat is het verschil tussen passieve en actieve monitoring in OT?

Bij passieve monitoring luistert een sensor alleen mee via een SPAN-poort of TAP en stuurt zelf geen verkeer het netwerk in. Bij actieve monitoring benadert het monitoringsysteem apparaten zelf, bijvoorbeeld met een ping, een SNMP-vraag of een vulnerability scan.

Actief scannen is in OT riskant omdat veel besturingen een beperkte netwerkstack hebben. Een poortscan of onverwacht pakket kan een oudere PLC laten vastlopen, communicatie verstoren of door een veiligheidssysteem als storing worden gezien. NIST SP 800-82 (Rev. 3, september 2023) geeft daarom de voorkeur aan passieve technieken op productienetwerken. Moderne OT-platforms als Claroty, Nozomi, Dragos en Tenable OT combineren passieve detectie met gecontroleerde, protocolbewuste bevraging.

🔧 Welke tools en protocollen gebruikt u voor monitoring?

Een paar protocollen komen steeds terug. SNMP vraagt status op via UDP-poort 161 en ontvangt traps op poort 162; gebruik op OT-netwerken bij voorkeur SNMPv3, de enige versie met authenticatie en versleuteling. Syslog (RFC 5424) verstuurt logregels klassiek onversleuteld via UDP 514, of via TLS op poort 6514. Zonder correcte tijdsynchronisatie via NTP of PTP kunt u gebeurtenissen uit verschillende bronnen niet betrouwbaar naast elkaar leggen.

🚨 Hoe richt u alarmering en dashboards goed in?

Te veel alarmen zijn net zo gevaarlijk als te weinig: belangrijke meldingen verdwijnen dan in de ruis. Voor procesalarmen geeft ISA-18.2 concrete richtwaarden voor alarmmanagement:

• Gemiddeld ongeveer 1 alarm per 10 minuten per operator is zeer waarschijnlijk acceptabel; rond 2 per 10 minuten is nog hanteerbaar
• Meer dan 10 alarmen in 10 minuten geldt als een alarm flood; streef ernaar dat dit minder dan 1% van de tijd voorkomt
• Elk alarm vraagt een handeling - een melding waarop niemand hoeft te reageren is informatie, geen alarm

Hetzelfde principe geldt voor security-alerts in een SOC: stem detectieregels af op de eigen omgeving en meet hoeveel meldingen vals-positief blijken. Bouw dashboards per doelgroep. Een operator heeft een rustig procesbeeld volgens ISA-101 nodig, een netwerkbeheerder een overzicht van beschikbaarheid, en een analist een tijdlijn van gebeurtenissen.

📊 Welke KPI’s horen bij monitoring?

Met een beperkte set KPI’s maakt u zichtbaar of monitoring zijn werk doet:

🔐 Hoe draagt monitoring bij aan beveiliging en compliance?

Monitoring is een vaste bouwsteen van Defense in Depth en Zero Trust: geen enkele preventieve maatregel is waterdicht, dus u moet kunnen zien wanneer er toch iets misgaat. Belangrijke aandachtspunten:

• Combineer met een SIEM voor correlatie, alerting en forensische logging
• Verrijk met threat intelligence en koppel detecties aan MITRE ATT&CK for ICS
• Synchroniseer tijd via NTP voor forensische betrouwbaarheid
• Houd monitoring non-invasief - gebruik SPAN of TAP voor passieve netwerktoegang, geef monitoringtools alleen leesrechten en vermijd inline componenten op kritieke OT-verbindingen
• Beleg de opvolging - in een eigen SOC, een gespecialiseerd OT SOC of bij een MSSP

Normen en wetgeving maken monitoring expliciet. IEC 62443-3-3 vraagt om auditbare gebeurtenissen (SR 2.8), alleen-lezen toegang tot auditlogs (SR 6.1) en continue monitoring (SR 6.2). ISO 27001:2022 voegde beheersmaatregel 8.16 Monitoring activities toe naast 8.15 Logging. De NIS2-richtlijn verplicht een vroegtijdige waarschuwing binnen 24 uur nadat u kennis krijgt van een significant incident, een incidentmelding binnen 72 uur en een eindrapport uiterlijk een maand na die melding. In Nederland is dit geregeld in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden. Voor digitale dienstverleners zoals cloud- en datacenteraanbieders en managed (security) service providers schrijft Uitvoeringsverordening (EU) 2024/2690 daarnaast expliciet monitoring en logging voor. Zonder werkende monitoring haalt u die termijnen simpelweg niet.

🧭 Hoe zet u monitoring stapsgewijs op?

1. Bepaal wat kritiek is - welke processen, systemen en verbindingen mogen niet ongemerkt uitvallen of veranderen?
2. Breng assets in kaart - begin met passieve asset discovery en vul de asset inventory aan.
3. Kies meetpunten - plaats SPAN-poorten of TAPs op de overgangen tussen zones, bijvoorbeeld rond de DMZ en het supervisory-niveau.
4. Centraliseer logs - stuur logs van firewalls, servers, switches en engineeringsoftware naar één platform met correcte tijd.
5. Definieer use cases - bijvoorbeeld een PLC-download buiten een wijzigingsvenster, een nieuw apparaat of een login vanuit het kantoornetwerk.
6. Regel opvolging - leg vast wie alarmen 24/7 beoordeelt en wanneer de operatie wordt betrokken.
7. Evalueer periodiek - meet de KPI’s, verwijder overbodige alarmen en test detectie met oefeningen.

❓ Veelgestelde vragen

Wat is het verschil tussen monitoring en logging?

Logging is het vastleggen van gebeurtenissen in logbestanden, zoals een login of een configuratiewijziging. Monitoring is het actief bewaken en analyseren van die logs en andere data om afwijkingen te signaleren en erop te reageren. Logging levert dus de grondstof waarmee monitoring werkt.

Waarom is actief scannen gevaarlijk in een OT-netwerk?

Veel PLC’s en RTU’s hebben een beperkte netwerkstack en zijn niet gebouwd voor onverwacht of groot netwerkverkeer. Een actieve scan kan zo’n besturing laten vastlopen of de communicatie met de SCADA verstoren, met productieverlies als gevolg. Daarom heeft passieve monitoring via SPAN of TAP in OT de voorkeur.

Wat is het verschil tussen procesmonitoring en security monitoring?

Procesmonitoring bewaakt of de installatie goed draait, bijvoorbeeld temperaturen, drukken, alarmen en productieaantallen in SCADA en historian. Security monitoring kijkt of systemen en netwerken worden aangevallen of misbruikt, bijvoorbeeld via SIEM en NDR. Beide vullen elkaar aan, omdat een aanval zich ook als procesafwijking kan uiten.

Heeft u een SOC nodig voor OT-monitoring?

Monitoring heeft alleen waarde als iemand de meldingen beoordeelt en opvolgt. Grotere organisaties richten daarvoor een eigen SOC of OT SOC in, kleinere besteden de opvolging vaak uit aan een MSSP met OT-kennis. Belangrijk is dat de operatie altijd betrokken blijft bij beslissingen die het proces raken.

Welke tools gebruikt u voor OT-netwerkmonitoring?

Voor OT-netwerkmonitoring worden gespecialiseerde platforms gebruikt die industriële protocollen herkennen, zoals Claroty, Nozomi Networks, Dragos en Tenable OT. Deze tools ontdekken assets passief, bouwen een beeld op van normaal verkeer en melden afwijkingen. De meldingen worden doorgaans doorgestuurd naar een centrale SIEM.

Is monitoring verplicht onder NIS2 en de Cyberbeveiligingswet?

NIS2 en de Cyberbeveiligingswet verplichten organisaties passende risicobeheersmaatregelen te nemen, incidenten te behandelen en een significant incident binnen 24 uur vroegtijdig te melden. Zonder monitoring kunt u incidenten niet tijdig detecteren en dus niet aan die meldplicht voldoen. In de praktijk is monitoring daarmee een noodzakelijk onderdeel van compliance.

📌 Samengevat

Monitoring is de fundering voor inzicht, detectie en controle in IT- en OT-omgevingen: het bewaakt processen, infrastructuur en beveiliging en signaleert afwijkingen voordat ze tot storingen of incidenten leiden. Door procesmonitoring, infrastructuurmonitoring en security monitoring te combineren, in OT bij voorkeur passief, ontstaat een veerkrachtig OT-landschap met zicht op prestaties én bedreigingen.