Netwerkmonitoring

Wat is netwerkmonitoring?

Netwerkmonitoring is het continu bewaken van netwerkverkeer, apparaten en prestaties, zodat storingen, afwijkingen en cyberdreigingen snel worden gedetecteerd en opgelost. Een monitoringsysteem verzamelt statusgegevens, logmeldingen en kopieën van het verkeer, vergelijkt die met wat normaal is en waarschuwt zodra iets afwijkt. In OT-omgevingen is dat cruciaal voor bedrijfscontinuïteit, veiligheid en zicht op de industriële communicatie tussen PLC’s, SCADA, HMI’s en veldapparatuur.

Een productienetwerk dat u niet ziet, kunt u niet beheren en niet verdedigen. Netwerkmonitoring maakt de communicatie in de fabriek zichtbaar, zowel voor de onderhoudsdienst als voor het securityteam.

🧠 Hoe werkt netwerkmonitoring?

Netwerkmonitoring doorloopt vier stappen, die continu herhaald worden:

1. Dataverzameling via:

• SNMP (status- en prestatiegegevens van switches, routers en apparaten)
• Syslog (logboekmeldingen van netwerkcomponenten, firewalls en servers)
• SPAN-poorten of TAPs (een kopie van het verkeer voor analyse)
• ICMP of actieve ping-checks (is een apparaat bereikbaar?)

2. Analyse van status, verkeer en gedrag via tools of dashboards, vaak met deep packet inspection van industriële protocollen
3. Waarschuwingen (alerts) bij afwijkingen, uitval of overtredingen van het beleid
4. Logging en Trending voor historisch inzicht, capaciteitsplanning en forensisch onderzoek

Monitoringtools tonen de resultaten in dashboards, grafieken en topologiekaarten met drempelwaarden, zodat een operator of beheerder in één oogopslag ziet waar het mis gaat.

🔧 Welke bronnen en protocollen gebruikt netwerkmonitoring?

Elke bron beantwoordt een andere vraag. Een volwassen monitoringopzet combineert er meerdere.

In ProfiNET-netwerken is veel van deze informatie al standaard aanwezig: apparaten uit conformance class A ondersteunen LLDP voor buurdetectie, en class B voegt netwerkdiagnose via SNMP toe. Een monitoringtool kan zo zonder extra agents de topologie en de poortstatus van een machinenetwerk uitlezen.

🔄 Wat is het verschil tussen actieve en passieve monitoring?

Actieve monitoring stuurt zelf verkeer het netwerk in: pings, SNMP-verzoeken of scans. Passieve monitoring luistert alleen mee via een SPAN-poort of TAP en verstuurt niets. In OT is dat onderscheid belangrijk, omdat oudere PLC’s en veldapparaten soms vastlopen op onverwacht verkeer zoals een poortscan.

De keuze tussen SPAN en TAP is vooral praktisch. Een SPAN-poort kost niets extra en is op afstand in te stellen, maar heeft de laagste prioriteit in de switch: een volledig belaste full-duplex verbinding van 1 Gbit/s kan 2 Gbit/s aan gespiegeld verkeer opleveren, meer dan de monitorpoort aankan. Een SPAN-poort geeft bovendien geen beschadigde frames door. Een TAP kost hardware en een korte onderbreking bij plaatsing, maar levert een volledige kopie. Voor kritieke verbindingen, zoals de uplink van een besturingsnetwerk naar de DMZ, kiezen organisaties daarom vaak een TAP.

🏭 Hoe wordt netwerkmonitoring toegepast in OT-netwerken?

• Detectie van uitgevallen apparaten - een PLC, drive of switch die niet meer reageert, valt direct op
• Visualisatie van netwerkprestaties, communicatiepaden en de actuele topologie
• Realtime meldingen bij verdacht verkeer of ARP Spoofing
• Historische analyse van Modbus TCP-verkeer bij storingen, bijvoorbeeld om te achterhalen welk station een registerwaarde schreef
• Prestatiebewaking - oplopende latency, jitter of pakketverlies verraadt een defecte kabel of overbelaste switch voordat de productie stilvalt
• Integratie met SIEM-platformen voor Security Monitoring en correlatie met IT-meldingen
• Bewaking van verbindingen op afstand via VPN of Remote Access, zodat u ziet wanneer een leverancier inlogt

Netwerkmonitoring helpt zo bij storingsanalyse, preventief onderhoud én cyberweerbaarheid. Dezelfde data dient twee teams: de onderhoudsdienst ziet foutentellers en uitval, het securityteam ziet nieuwe verbindingen en afwijkende commando’s.

🔍 Wat is het verschil tussen netwerkmonitoring en netwerkbeveiliging?

De grens is in de praktijk vloeiend: een netwerk-IDS gebruikt dezelfde SPAN- of TAP-data als een monitoringtool en is in feite een vorm van monitoring met beveiligingsregels. Monitoring blokkeert zelf niets; het levert het bewijs waarmee een OT SOC of beheerder ingrijpt.

🛠️ Hoe zet u netwerkmonitoring op in een OT-omgeving?

Een stapsgewijze aanpak voorkomt dat u blind dashboards inricht of het proces verstoort:

1. Breng het netwerk in kaart - begin met een topologietekening en een assetinventaris; passieve sensoren helpen ontbrekende apparaten te vinden.
2. Kies de meetpunten - plaats sensoren op de overgangen in het Purdue Model, vooral tussen besturingsnetwerk, SCADA-laag en DMZ, en op de kernswitches van elke zone uit uw netwerksegmentatie.
3. Synchroniseer de tijd - zonder correcte tijd via NTP zijn logs van verschillende apparaten niet te correleren.
4. Leer het normale gedrag - OT-verkeer is voorspelbaar en repetitief; een baseline van enkele weken laat later elke nieuwe verbinding opvallen.
5. Stel drempels en alarmen in - gangbare vuistregels zijn een bereikbaarheidscheck elke 30 tot 60 seconden en SNMP-polling van poortstatistieken elke 1 tot 5 minuten; alarmeer op wat actie vraagt, niet op elke afwijking.
6. Koppel aan opvolging - leg vast wie een alarm oppakt, en stuur securitymeldingen door naar SIEM of SOC met een werkend incident response-proces.

Normen en wetgeving vragen hier ook om. IEC 62443-3-3 eist in SR 6.2 continue monitoring vanaf security level 2 en in SR 6.1 toegang tot auditlogs. De SANS ICS Five Critical Controls noemen netwerkzichtbaarheid en -monitoring als control 3, en NIST SP 800-82 Rev. 3 (september 2023) behandelt monitoring als kernmaatregel voor OT. In Nederland geldt sinds 15 augustus 2026 de Cyberbeveiligingswet, de omzetting van NIS2: de zorgplicht en de meldplicht voor significante incidenten zijn in de praktijk niet na te leven zonder detectie. Het Cyberbeveiligingsbesluit maakt dat concreet: artikel 8 (incidentbehandeling) vraagt om detectie, analyse en logging van beveiligingsrelevante gebeurtenissen. Gedetailleerde Europese eisen voor monitoring en logging staan in Uitvoeringsverordening (EU) 2024/2690, maar die geldt alleen voor digitale dienstverleners zoals cloud- en datacenteraanbieders en managed service providers, niet voor de gemiddelde fabriek.

🔐 Hoe beveiligt u de monitoring zelf?

• Versleutel managementverkeer - SNMPv1 en v2c sturen de community string als leesbare tekst; gebruik SNMPv3 met authenticatie en privacy, en TLS voor syslog
• Alleen lezen - schakel SNMP-schrijfrechten (SET) uit op OT-apparatuur
• Scheid het monitoringverkeer - gebruik een apart VLAN of managementnetwerk; de capture-interface van een sensor heeft geen IP-adres en verkeer gaat alleen richting de collector
• Beperk toegang tot monitoringtools via RBAC en firewallregels
• Centraliseer - koppel monitoring aan SIEM voor correlatie en bewaring van logging
• Neem monitoringportalen op in Audit- en compliancebeleid, want een monitoringplatform kent de volledige netwerkkaart en is daarmee waardevol voor een aanvaller

❓ Veelgestelde vragen

Is netwerkmonitoring veilig voor oude PLC’s?

Passieve netwerkmonitoring via een SPAN-poort of TAP is veilig voor oude PLC’s, omdat de sensor geen enkel pakket naar de apparaten stuurt. Actieve scans, ook de optionele actieve bevraging die veel OT-platformen aanbieden, kunnen kwetsbare apparaten wel verstoren. Schakel actieve methoden daarom alleen gericht in, na een test in een testomgeving of tijdens een stilstand.

Wat is beter voor netwerkmonitoring: een SPAN-poort of een TAP?

Een TAP levert een volledige kopie van een verbinding, inclusief foutieve frames, en is onafhankelijk van de switchbelasting. Een SPAN-poort is goedkoper en flexibeler, maar kan bij hoge belasting pakketten laten vallen. Voor kritieke uplinks in OT-netwerken heeft een TAP de voorkeur; voor de rest volstaat SPAN meestal.

Welke tools worden gebruikt voor netwerkmonitoring in OT?

Voor beschikbaarheid en prestaties worden SNMP-pollers en dashboards gebruikt, bijvoorbeeld met Grafana. Voor securitymonitoring zijn er gespecialiseerde OT-platformen zoals Nozomi, Claroty, Dragos en Tenable OT die industriële protocollen als Modbus en PROFINET begrijpen. Wireshark is het standaardgereedschap voor gedetailleerde analyse van opgenomen verkeer.

Is netwerkmonitoring verplicht?

Netwerkmonitoring wordt in de wet niet letterlijk voorgeschreven, maar organisaties onder de Cyberbeveiligingswet moeten passende maatregelen nemen en significante incidenten melden, en het Cyberbeveiligingsbesluit vraagt in artikel 8 expliciet om detectie en logging. IEC 62443-3-3 vraagt continue monitoring vanaf security level 2. In de praktijk is netwerkmonitoring daarmee voor essentiële en belangrijke entiteiten onmisbaar.

Wat is het verschil tussen netwerkmonitoring en een SIEM?

Netwerkmonitoring verzamelt en analyseert gegevens over verkeer, apparaten en prestaties. Een SIEM verzamelt meldingen uit veel bronnen, waaronder netwerkmonitoring, en correleert die tot beveiligingsincidenten. Netwerkmonitoring is dus een belangrijke bron voor een SIEM, geen vervanging ervan.

Hoeveel verkeer moet een monitoringsensor in OT aankunnen?

OT-netwerken hebben meestal een lage en stabiele belasting, vaak ver onder de capaciteit van 100 Mbit/s- of 1 Gbit/s-verbindingen. De sensor moet echter de som van alle gespiegelde poorten aankunnen, inclusief beide richtingen van full-duplex verbindingen. Dimensioneer daarom op de piekbelasting van alle meetpunten samen, niet op het gemiddelde.

📌 Samengevat

Netwerkmonitoring biedt continu zicht op prestaties, beschikbaarheid en afwijkingen in industriële netwerken, met passieve verkeersanalyse via SPAN-poorten of TAPs als veilige basis in OT. Het combineert SNMP, syslog, flowdata en verkeersanalyse, ondersteunt eisen uit IEC 62443 en de Cyberbeveiligingswet en vormt de basis voor snelle incidentrespons, procescontinuïteit en cyberhygiëne in moderne OT-omgevingen.