Wat is Nozomi Networks?
Nozomi Networks is een leverancier van OT- en IoT-cybersecurity waarvan het platform industriële netwerken passief bewaakt, alle aangesloten apparaten inventariseert, kwetsbaarheden in kaart brengt en afwijkend gedrag of aanvallen in industriële besturingssystemen detecteert. Het bedrijf werd in 2013 opgericht door de Italianen Andrea Carcano en Moreno Carullo en is sinds januari 2026 een volledige dochter van Mitsubishi Electric. Binnen OT-convergentie is Nozomi, naast Claroty, Dragos en Tenable OT, een van de bekendste platforms voor OT-monitoring en netwerkdetectie.
🧠 Wat doet Nozomi Networks precies?
Nozomi richt zich op omgevingen waar een gewone IT-securitytool niet goed werkt: productielijnen, energiecentrales, waterzuivering, olie en gas, transport, gebouwbeheer en datacenters. Daar draaien legacy systemen die soms twintig jaar meegaan, gelden strenge eisen aan beschikbaarheid en realtime gedrag en is patchen vaak pas na maanden mogelijk.
Het platform combineert vier functies:
- Asset Discovery en asset-inventaris - automatisch overzicht van PLC’s, HMI’s, SCADA-servers, RTU’s, DCS-componenten, sensoren, switches en IoT-apparaten, met leverancier, type, firmwareversie en serienummer
- Netwerkzichtbaarheid - een topologiekaart van wie met wie communiceert, via welk protocol en hoe vaak
- Dreigingsdetectie - signaturen, threat intelligence en gedragsanalyse op basis van een geleerde baseline, vergelijkbaar met een OT-specifieke IDS
- Kwetsbaarheidsbeheer - koppeling van gevonden assets aan bekende CVE’s en prioritering op basis van risico
Mitsubishi Electric maakte op 9 september 2025 bekend Nozomi volledig over te nemen en rondde de overname eind januari 2026 af. Nozomi blijft als zelfstandig merk opereren, met een leveranciersneutrale roadmap: het platform bewaakt dus ook omgevingen met apparatuur van Siemens, Schneider Electric of ABB. Het bedrijf meldt een jaaromzet van meer dan 100 miljoen dollar en klanten bij onder meer zeven van de tien grootste farmaceutische producenten en zeven van de tien grootste nutsbedrijven.
🔧 Uit welke onderdelen bestaat het Nozomi-platform?
| Onderdeel | Type | Functie |
|---|---|---|
| Guardian | Netwerksensor (hardware, virtueel, embedded of container) | Passieve analyse van netwerkverkeer, asset discovery en detectie |
| Guardian Air | Draadloze sensor | Zichtbaarheid in Wi-Fi, Bluetooth en andere draadloze verbindingen in de fabriek |
| Arc | Endpoint-sensor | Draait op hosts zoals engineeringstations; ziet onder meer USB-gebruik en kwaadaardige software |
| Remote Collector | Lichte collector | Verzamelt verkeer op kleine of afgelegen locaties en stuurt het door naar een Guardian |
| Central Management Console (CMC) | On-premises beheer | Centraal overzicht over meerdere sensoren, ook in afgeschermde netwerken zonder internet |
| Vantage | SaaS-platform | Cloudgebaseerd beheer en analyse voor grote, verspreide organisaties |
Daarbovenop komen abonnementen: Threat Intelligence (detectieregels en indicatoren van Nozomi Networks Labs), Asset Intelligence (verrijking van assetprofielen), Smart Polling (gerichte actieve bevraging) en Vantage IQ (AI-ondersteunde analyse van alerts). Het onderzoeksteam Nozomi Networks Labs onderzoekt ICS-dreigingen, meldt kwetsbaarheden in industriële producten op verantwoorde wijze aan leveranciers en publiceert periodiek OT/IoT-securityrapporten.
📡 Hoe verzamelt Nozomi gegevens zonder de productie te verstoren?
De basis is passieve monitoring. Een Guardian-sensor luistert mee via een SPAN-poort op een switch of een netwerk-TAP en stuurt zelf geen verkeer het netwerk op. Dat is belangrijk, omdat actieve scans in OT kunnen leiden tot controllerstoringen, bevroren HMI’s, netwerkcongestie en in het ergste geval productiestops of safety-incidenten. Voor omgevingen waar elke actieve bevraging verboden is, zoals kerncentrales of NERC CIP-locaties, kan Nozomi strikt passief worden ingezet.
Met deep packet inspection ontleedt Guardian industriële protocollen tot op het niveau van individuele commando’s, waaronder Modbus, Modbus TCP, IP, DNP3, BACnet, OPC UA, IEC 61850 en S7. Daardoor ziet het platform niet alleen dát een engineeringstation met een PLC praat, maar ook dát er een programma wordt gedownload of een firmware-update wordt gestart.
Passief meeluisteren heeft een grens: een apparaat dat niet communiceert, blijft onzichtbaar en sommige firmwaredetails gaan nooit over het netwerk. Daarvoor zijn er twee aanvullingen:
- Smart Polling - laagvolume actieve bevraging die u kunt beperken tot specifieke segmenten of assets, en die besturingssysteem, firmware en patchstatus aanvult
- Arc - een lichte endpoint-sensor die vooral in user space draait en lokale gebeurtenissen analyseert met Sigma-regels, YARA en STIX-indicatoren
Omdat de sensor alleen een kopie van het verkeer krijgt, heeft hij geen invloed op latency, jitter of pakketverlies van het procesnetwerk. Let bij een SPAN-poort wel op de belasting van de switch; een TAP is daarin het meest neutraal.
⚠️ Wat detecteert Nozomi in een OT-netwerk?
Nozomi combineert bekende aanvalspatronen met gedragsanalyse. In de leerfase bouwt het platform een baseline van normaal verkeer en normale procesvariabelen. Daarna valt elke afwijking op:
| Detectie | Mogelijk risico |
|---|---|
| Programma-download of firmware-upload naar een PLC | Sabotage of ongeautoriseerde wijziging |
| Nieuw apparaat op het netwerk | Rogue device of niet-gemelde installatie |
| Afwijkend protocolgebruik of onbekende functiecodes | Aanval, misconfiguratie of storing |
| Onbekende laptop met engineeringsoftware | Insider threat of ongecontroleerde leverancierstoegang |
| Verkeer naar een bekend kwaadaardig adres | Malware of ransomware |
| Ongebruikelijke procesvariabele | Manipulatie of technisch defect |
Alerts worden gekoppeld aan technieken uit MITRE ATT&CK for ICS, zodat een analist ziet in welke fase een aanval zich bevindt. Detectie gebeurt naast netwerkverkeer ook op basis van indicatoren uit threat intelligence en, via Arc, lokale gebeurtenissen op hosts.
Voor kwetsbaarheidsbeheer houdt Nozomi rekening met de OT-realiteit: patchen kan vaak alleen tijdens een onderhoudsstop en vraagt soms om hervalidatie door de leverancier. Het platform helpt daarom ook bij compenserende maatregelen, zoals netwerksegmentatie, het blokkeren van onnodige verbindingen en het prioriteren op basis van blootstelling. Het assetoverzicht met firmwareversies en end-of-life apparatuur ondersteunt daarnaast lifecycle management en migratieplanning.
🔄 Hoe verhoudt Nozomi zich tot Claroty, Dragos en Tenable OT?
| Platform | Achtergrond | Sterke punten |
|---|---|---|
| Nozomi Networks | Opgericht in 2013, sinds 2026 onderdeel van Mitsubishi Electric | Passieve sensoren plus endpoint- en draadloze sensoren, keuze tussen on-premises (CMC) en SaaS (Vantage) |
| Claroty | Amerikaans-Israëlisch | Brede CPS-dekking inclusief gebouwbeheer en medische apparatuur, plus beveiligde externe toegang |
| Dragos | Amerikaans, opgericht in 2016 | Diepgaande threat intelligence over industriële aanvalsgroepen en incident response-diensten |
| Tenable OT | Onderdeel van Tenable | Combinatie van passieve en actieve detectie, integratie met IT-kwetsbaarheidsbeheer |
Functioneel overlappen deze platforms sterk. Het verschil zit in de architectuur, het aanbod aan diensten, de integraties en de partnerschappen met automatiseringsleveranciers. Een proof of concept in uw eigen netwerk zegt meer dan een featurelijst.
Voor samenwerking met de IT-kant levert Nozomi alerts en assetdata aan SIEM-, SOAR- en XDR-platforms en synchroniseert het met een CMDB. Zo kan een gecombineerd SOC laterale beweging van IT naar OT sneller herkennen.
🧭 Hoe implementeert u Nozomi stap voor stap?
- Bepaal de scope - welke locaties, productielijnen en netwerkzones moeten zichtbaar worden, en welke vallen onder de Cyberbeveiligingswet?
- Breng monitorpunten in kaart - kies per zone de switches waar u een SPAN-poort of TAP plaatst, zodat zowel verkeer tussen controllers als verkeer naar het supervisory netwerk zichtbaar is.
- Plaats sensoren en beheer - Guardians in het OT-netwerk en control netwerk, de CMC in een beheerzone of IDMZ, of Vantage als cloudbeheer is toegestaan.
- Laat de baseline leren - reken op enkele dagen tot weken, afhankelijk van productiecycli, en controleer de gevonden assets samen met procesengineers.
- Stem alerts af - beoordeel false positives en de schaalbaarheid van de opzet, en koppel de belangrijkste alerts aan SIEM en incidentprocedures.
- Gebruik de inzichten - voor segmentatie volgens het zones-en-conduitsmodel, kwetsbaarheidsprioritering en compliance-rapportage.
Een typische plaatsing in het Purdue Model ziet er zo uit:
| Purdue-niveau | Wat er staat | Rol van Nozomi |
|---|---|---|
| Level 0-1 | Sensoren, actuatoren, PLC’s en RTU’s | Verkeer wordt via SPAN/TAP op de switch gezien |
| Level 2 | SCADA, HMI, engineeringstations | Guardian-sensor, eventueel Arc op hosts |
| Level 3 | Historian, MES, site-servers | Guardian-sensor, eventueel lokale CMC |
| Level 3.5 | IDMZ | Doorgang voor beheer- en updateverkeer van het platform |
| Level 4-5 | IT, SOC, cloud | CMC of Vantage, koppeling met SIEM/SOAR |
Nozomi wordt vaak ingezet binnen programma’s op basis van IEC 62443, NIST SP 800-82, NIST CSF, ISO 27001 en NIS2. De Nederlandse Cyberbeveiligingswet, die NIS2 omzet en op 15 augustus 2026 in werking trad, vraagt essentiële en belangrijke entiteiten om risicobeheer, detectie en incidentmelding. Een actuele asset-inventaris en continue monitoring zijn daarvoor een logisch fundament, al schrijft de wet geen specifiek product voor. ISA-95 en Defense in Depth helpen daarbij om monitoring te verbinden met de bredere IT/OT-architectuur en beveiligingslagen.
❓ Veelgestelde vragen
Is Nozomi Networks een IDS?
Nozomi Networks Guardian werkt als een OT-specifiek intrusion detection system: het analyseert netwerkverkeer passief en meldt afwijkingen en aanvallen. Het platform doet daarnaast asset discovery, kwetsbaarheidsbeheer en risicoanalyse. Het blokkeert zelf geen verkeer, zoals een firewall of IPS dat doet.
Wie is eigenaar van Nozomi Networks?
Nozomi Networks is sinds januari 2026 een volledige dochteronderneming van Mitsubishi Electric. De overname werd in september 2025 aangekondigd. Nozomi blijft zelfstandig opereren onder eigen merk en met een leveranciersneutrale roadmap.
Voert Nozomi actieve scans uit op het OT-netwerk?
Nozomi werkt standaard passief via SPAN-poorten en TAP’s en stuurt dan geen verkeer naar het netwerk. Met de optionele Smart Polling kan het gericht en met laag volume apparaten bevragen voor firmware- en patchgegevens. Die bevraging kunt u per segment of asset beperken of helemaal uitschakelen.
Wat is het verschil tussen Nozomi Vantage en de CMC?
Vantage is het SaaS-beheerplatform van Nozomi Networks in de cloud, geschikt voor organisaties met veel verspreide locaties. De Central Management Console (CMC) is de on-premises variant die ook werkt in afgeschermde netwerken zonder internetverbinding. Beide verzamelen data van Guardian-sensoren en bieden centraal overzicht.
Welke protocollen ondersteunt Nozomi?
Nozomi Networks ontleedt met deep packet inspection een groot aantal industriële protocollen, waaronder Modbus TCP, EtherNet/IP, DNP3, BACnet, OPC UA, IEC 61850 en Siemens S7. Daarnaast herkent het gangbare IT- en IoT-protocollen. Daardoor ziet het platform ook commando’s zoals programma-downloads naar een PLC.
Helpt Nozomi bij NIS2 en de Cyberbeveiligingswet?
Nozomi Networks levert assetoverzicht, detectie en rapportage die passen bij de zorgplicht en meldplicht uit NIS2 en de Nederlandse Cyberbeveiligingswet. De wet schrijft geen specifiek product voor. Een monitoringplatform is een hulpmiddel binnen een breder risicobeheer, naast segmentatie, toegangsbeheer en incidentprocessen.
📌 Samengevat
Nozomi Networks maakt industriële netwerken zichtbaar en detecteert dreigingen door verkeer passief te analyseren, zonder de productie te verstoren. Met Guardian-sensoren, aanvullende endpoint- en draadloze sensoren, beheer via de CMC of Vantage en koppelingen naar SIEM en SOC helpt het platform organisaties hun OT-assets te kennen, kwetsbaarheden te prioriteren en aan IEC 62443, NIS2 en de Cyberbeveiligingswet te werken.