Next-Gen Firewall

Wat is een Next-Gen Firewall?

Een Next-Generation Firewall (NGFW) is een firewall die naast klassieke filtering op IP-adres, poort en protocol het verkeer op applicatieniveau herkent, het koppelt aan gebruikers en het in één doorgang controleert op aanvallen met een ingebouwd inbraakpreventiesysteem. Waar een traditionele firewall alleen ziet dat poort 443 of 502 open staat, ziet een NGFW wélke applicatie, welke gebruiker en welk protocolcommando erachter zit. In industriële omgevingen staat een NGFW vooral op de grens tussen kantoor-IT en OT, waar hij netwerksegmentatie, protocolfiltering, IDS/IPS en applicatiecontrole combineert.

🧠 Waar komt de term next-generation firewall vandaan?

De term werd gangbaar door een notitie van analistenbureau Gartner uit oktober 2009, Defining the Next-Generation Firewall, van John Pescatore en Greg Young. Hun stelling: firewalls die alleen op poort en protocol filteren, zijn niet meer effectief, omdat applicaties zich over willekeurige poorten verplaatsen of zich in HTTPS verstoppen. Organisaties moesten bij hun volgende vervangingsronde kiezen voor een firewall met applicatiebewustzijn en een geïntegreerd IPS. Leveranciers als Palo Alto Networks, opgericht in 2005, bouwden hun product rond die gedachte en maakten de term populair.

Firewalls hebben zich in generaties ontwikkeld:

Het verschil tussen UTM (een term van IDC) en NGFW is in de praktijk vervaagd: vrijwel elke moderne firewall van Fortinet, Palo Alto Networks, Check Point of Cisco valt in beide categorieën.

🔧 Hoe werkt een NGFW?

Een NGFW stapelt meerdere controles op één verbinding:

1. Stateful inspection - de firewall houdt verbindingen bij in een sessietabel, zodat alleen antwoorden op toegestane verzoeken terugkomen.
2. Applicatie-identificatie via DPI - Deep Packet Inspection herkent de applicatie aan de inhoud, niet aan het poortnummer. Ook industriële protocollen zoals Modbus, S7, DNP3 en OPC UA worden zo herkend.
3. Protocolfiltering en applicatiecontrole - regels per functie: bij Modbus TCP bijvoorbeeld leesopdrachten (functiecodes 1 tot en met 4) toestaan en schrijfopdrachten (5, 6, 15 en 16) blokkeren.
4. Gebruikersidentiteit - de firewall koppelt IP-adressen aan accounts via Active Directory/LDAP-aanmeldingen, RADIUS-accounting, een agent of een inlogportaal. Zo werkt gebruikersgebaseerde toegangscontrole; 802.1X kan als bron dienen, maar authenticeert zelf vooral de netwerkpoort.
5. Inbraakpreventie - een ingebouwd IPS vergelijkt het verkeer met signatures van bekende exploits, aangevuld met threat intelligence-feeds over kwaadaardige IP-adressen en domeinen.
6. TLS-inspectie - de firewall kan versleuteld webverkeer ontsleutelen, inspecteren en opnieuw versleutelen, mits clients het certificaat van de firewall vertrouwen.
7. Logging en rapportage - gebeurtenissen gaan naar een SIEM voor security monitoring en anomaliedetectie.

🏭 Waar plaatst u een NGFW in een OT-netwerk?

Een NGFW hoort vooral op de grote overgangen in het Purdue Model, niet in elke machinekast:

Op celniveau, dicht bij controllers, kiest men vaker een industrial firewall: DIN-railmontage, 24 V DC en een breed temperatuurbereik. Veel leveranciers bieden inmiddels “rugged” NGFW’s die beide werelden combineren. Ook het engineering network verdient een eigen zone, omdat engineeringstations logica naar PLC’s kunnen downloaden.

📏 Hoe dimensioneert u een NGFW?

Datasheets noemen meestal meerdere doorvoercijfers. De hoogste, de firewall throughput, geldt voor eenvoudige stateful filtering met grote pakketten. Zodra applicatiecontrole, IPS en antimalware aan staan, daalt de doorvoer sterk. Een voorbeeld uit het datasheet van een robuuste OT-firewall, de FortiGate Rugged 70G:

Dimensioneer daarom op de threat protection-waarde en houd reserve voor TLS-inspectie, die veel rekenkracht kost. OT-verkeer is qua volume meestal bescheiden, maar bestaat uit veel kleine pakketten met strakke tijdseisen; latentie en jitter zijn dan belangrijker dan bandbreedte.

⚙️ Hoe pakt u een NGFW-uitrol in OT aan?

1. Inventariseer eerst - zonder asset inventory weet u niet welke communicatie legitiem is.
2. Start in monitormodus - laat de NGFW enkele weken loggen en leer welke applicaties en functiecodes echt nodig zijn.
3. Bouw een allowlist per applicatie - sta benoemde applicaties en functies toe en blokkeer de rest; vermijd “any”-regels.
4. Zet IPS-signatures eerst op detecteren - een vals positief op een besturingsverbinding kan productie stilleggen.
5. Koppel identiteit aan toegang - vooral voor externe leveranciers via Remote Access.
6. Regel wijzigingen formeel - leg regels vast via firewallregelbeheer en change management.
7. Plan updates en redundantie - signature-updates kunnen dagelijks, firmware-updates in onderhoudsvensters, bij voorkeur op een high-availability-paar.

🔐 Welke eisen stellen normen en wetgeving?

• IEC 62443-3-3 - systeemeis SR 5.1 vraagt om netwerksegmentatie en SR 5.2 om bescherming van zonegrenzen; vanaf Security Level 3 moet een grens bij storing dichtvallen (fail-close).
• NIST SP 800-82 Rev. 3 (september 2023) - de Amerikaanse OT-securitygids beveelt firewalls tussen IT en OT aan, met een DMZ en zo strikt mogelijke regels.
• Cyberbeveiligingswet - de Nederlandse implementatie van NIS2 is op 15 augustus 2026 in werking getreden; de zorgplicht omvat passende netwerkbeveiliging, en een goed beheerde NGFW is daar een gangbare invulling van.
• Cyber Resilience Act - firewalls en inbraakdetectie- en preventiesystemen staan in bijlage III als belangrijk product klasse II; fabrikanten mogen conformiteit dus niet alleen zelf verklaren. De meldplicht voor actief misbruikte kwetsbaarheden geldt vanaf 11 september 2026, volledige toepassing vanaf 11 december 2027.

⚠️ Wat zijn de beperkingen van een NGFW in OT?

• Niet elke NGFW is OT-bewust - de diepgang van industriële protocoldecoders verschilt sterk per leverancier.
• Versleuteld OT-verkeer - binair OPC UA (opc.tcp) met SignAndEncrypt gebruikt een eigen beveiligingslaag, geen TLS; een NGFW kan zulk verkeer niet openen en ziet alleen dat het OPC UA is.
• Rekenlast en latentie - inspectie kost tijd en capaciteit, vooral met TLS-inspectie aan.
• Afhankelijk van updates - signatures en applicatiedatabases moeten actueel blijven, wat in afgeschermde netwerken lastig is.
• De firewall is zelf een doelwit - kwetsbaarheden in firewallsoftware worden regelmatig actief misbruikt; patchbeleid en hardening van de firewall zelf zijn dus nodig.
• Geen vervanging voor defense in depth - combineer met EDR, NDR en een datadiode waar eenrichtingsverkeer volstaat.

❓ Veelgestelde vragen

Wat is het verschil tussen een NGFW en een gewone firewall?

Een gewone stateful firewall beoordeelt verkeer op IP-adres, poort en verbindingsstatus. Een next-generation firewall herkent daarnaast de applicatie, de gebruiker en de inhoud, en blokkeert bekende aanvallen met een ingebouwd IPS. Daardoor kan een NGFW bijvoorbeeld Modbus-leesopdrachten toestaan en schrijfopdrachten weigeren op dezelfde poort.

Is een NGFW hetzelfde als een industrial firewall?

Nee, een NGFW beschrijft de functionaliteit, een industrial firewall de bouw en het toepassingsgebied. Industrial firewalls zijn robuust, zitten op een DIN-rail en zijn gemaakt voor OT-protocollen dicht bij de machine. Veel moderne industrial firewalls zijn tegelijk NGFW’s, en veel NGFW’s kennen inmiddels OT-protocollen.

Kan een NGFW versleuteld verkeer inspecteren?

Een NGFW kan TLS-verkeer ontsleutelen als de clients het certificaat van de firewall vertrouwen, maar dat kost veel rekenkracht. Industriële protocollen met een eigen beveiligingslaag, zoals OPC UA met SignAndEncrypt, kan een NGFW niet ontsleutelen. Voor zulk verkeer blijft de NGFW beperkt tot herkenning van het protocol en filtering op bron, bestemming en gebruiker.

Waar plaatst u een NGFW in het Purdue-model?

Een NGFW staat meestal tussen het kantoornetwerk en de industriële DMZ op niveau 3,5, en tussen die DMZ en het supervisory network. Zo loopt geen enkele sessie direct van IT naar PLC’s. Dichter bij de besturing gebruikt men vaak compacte industrial firewalls per zone of cel.

Hoeveel doorvoer heeft een NGFW nodig in een fabriek?

Dimensioneer een NGFW op de threat protection-doorvoer met alle beveiligingsdiensten aan, niet op de hoogste firewallwaarde uit het datasheet. Die waarde kan vijf keer of meer lager liggen. OT-verkeer is meestal niet groot in volume, maar latentie en voorspelbaarheid wegen zwaar.

Is een NGFW verplicht onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet schrijft geen specifiek product voor, maar wel passende maatregelen voor netwerkbeveiliging en risicobeheer. Een goed geconfigureerde NGFW op de IT/OT-grens is een gangbare manier om daaraan te voldoen. Toezichthouders kijken vooral naar segmentatie, regelbeheer, logging en of de maatregelen bij het risico passen.

📌 Samengevat

Een next-generation firewall ziet niet alleen poorten maar ook applicaties, gebruikers en protocolcommando’s, en is daarmee een sterke controle op de grens tussen IT en OT.

Sinds Gartner de term in 2009 definieerde, is de NGFW de standaard geworden voor bedrijfsnetwerken. In OT levert hij de meeste waarde op de overgangen naar de industriële DMZ en bij toegang op afstand, mits hij OT-protocollen begrijpt, op de juiste doorvoer is gedimensioneerd en eerst in monitormodus wordt ingeregeld. Hij vervangt geen segmentatie, industrial firewalls of goed patchbeheer, maar is een belangrijke laag in een gelaagde cybersecurity-architectuur.