Wat is Passive Monitoring?
Passive Monitoring is een methode om netwerkverkeer te observeren en te analyseren via een kopie van dat verkeer, zonder zelf pakketten naar de bewaakte systemen te sturen of in de communicatie in te grijpen. Zo krijgt u zicht op apparaten, verbindingen en afwijkend gedrag zonder het productieproces te verstoren. Passive Monitoring is een vorm van Monitoring die in OT-omgevingen de standaard is geworden, omdat veel systemen legacy, fragiel of Real-time zijn en slecht tegen actieve scans kunnen.
🧠 Waarom is Passive Monitoring belangrijk in OT?
In kantoor-IT is het normaal om netwerken actief te scannen met ping sweeps, poortscans of agents op endpoints. In een fabriek of nutsbedrijf kan dat misgaan. Oudere PLC’s, RTU’s en HMI’s hebben vaak een beperkte netwerkstack en reageren onvoorspelbaar op onverwachte pakketten. Een veelgeciteerd incident uit 1998 beschrijft hoe een ping sweep op een productienetwerk een robotarm van bijna drie meter vanuit stand-by 180 graden liet zwenken. In een ander gedocumenteerd geval raakte een penetratietester bij een gasbedrijf per ongeluk het SCADA-netwerk, waardoor het systeem vastliep en vier uur lang geen gas getransporteerd kon worden.
Passive Monitoring vermijdt dat risico, omdat de sensor alleen luistert. Daarnaast lost het een aantal typische OT-problemen op:
| OT-uitdaging | Wat Passive Monitoring biedt |
|---|---|
| Kwetsbare PLC’s, RTU’s en HMI’s | Zichtbaarheid zonder risico op verstoring of vastlopers |
| Gebrek aan actuele documentatie | Automatische ontdekking van apparaten, protocollen en communicatierelaties |
| Shadow OT | Onbekende assets, laptops en verbindingen worden zichtbaar |
| Geen agents mogelijk op controllers | Gedragsanalyse op netwerkniveau, zonder installatie op het endpoint |
| Ongemerkte manipulatie of malware | Detectie van afwijkende commando’s, schrijfacties en nieuwe verbindingen |
🔧 Hoe werkt Passive Monitoring technisch?
Een passieve oplossing bestaat uit drie onderdelen: een manier om verkeer te kopiëren, een sensor die dat verkeer ontleedt en een centrale console voor analyse en alarmering.
- Verkeer kopiëren - via een SPAN-poort (port mirroring) op een managed switch of via een hardware-TAP die de kabel fysiek aftapt.
- Protocollen ontleden - de sensor gebruikt deep packet inspection om industriële protocollen te begrijpen, zoals Modbus, S7 Comm, OPC UA, ProfiNET, Ethernet IP, DNP3, IEC 61850 en BACnet. Zo ziet de sensor niet alleen dát er verkeer is, maar ook welke functiecode, welk register en welke waarde.
- Baseline leren - de sensor bouwt een beeld op van normale communicatie: wie praat met wie, hoe vaak, met welke commando’s.
- Afwijkingen melden - met Anomaliedetectie en bekende aanvalspatronen (IDS-signatures) meldt de oplossing nieuwe apparaten, onbekende verbindingen of ongebruikelijke schrijfacties.
De sensor heeft op de monitoringinterface meestal geen IP-adres en verstuurt daar niets. Alleen een aparte beheerinterface communiceert met de centrale console.
Wat wordt er gemonitord?
| Onderdeel | Voorbeelden |
|---|---|
| Apparaten | PLC’s, HMI’s, sensoren, engineering stations, switches |
| Communicatieprotocollen | Modbus, S7 Comm, OPC UA, ProfiNET, EtherNet/IP, DNP3, IEC 61850 |
| Netwerkgedrag | Frequentie, timing, hertransmissies, ongewone functiecodes |
| Asset-informatie | Vendor, model, serienummer, firmwareversie (voor zover zichtbaar in het verkeer) |
| Verbindingspatronen | Welke apparaten communiceren met wie, via welke poort en hoe vaak |
🔄 Wat is het verschil tussen SPAN, TAP en actieve scanning?
De keuze voor de aftakmethode bepaalt hoe volledig het beeld is. Een SPAN-poort is goedkoop en snel ingericht, maar kopieert verkeer met lage prioriteit. Kopieert u beide richtingen van een volbelaste 1 Gbit/s-link, dan kan er tot 2 Gbit/s naar één monitorpoort gaan, en pakketten die niet passen worden stil weggegooid. Ook beschadigde frames worden meestal niet gespiegeld. Een TAP kopieert in hardware alles, inclusief foutieve frames. Een koperen TAP is alleen tot 100 Mbit/s echt passief. Voor gigabit-koper is actieve elektronica nodig, en dan is een fail-safe-relais belangrijk zodat de link bij stroomuitval blijft werken.
| Kenmerk | SPAN-poort | Hardware-TAP | Actieve scan |
|---|---|---|---|
| Verstuurt pakketten naar assets | Nee | Nee | Ja |
| Volledigheid | Kan pakketten missen bij overbelasting | Volledige kopie, inclusief foutieve frames | Alleen wat de scan bevraagt |
| Impact op proces | Belast de switch licht | Geen, mits fail-safe | Risico op vastlopers of storingen |
| Kosten en inzet | Laag, configuratie op de switch | Hoger, fysieke plaatsing nodig | Laag, maar planning en toezicht nodig |
| Ziet stille apparaten | Nee | Nee | Ja |
Het grootste nadeel van puur passief werken: een apparaat dat nooit communiceert, ziet u niet. Daarom bieden leveranciers zoals Nozomi, Claroty, Tenable OT en Dragos aanvullende, gecontroleerde actieve bevragingen in de eigen taal van het apparaat. Nozomi noemt dit bijvoorbeeld Smart Polling. Dat is iets anders dan generieke vulnerability scanning en moet altijd met de procesverantwoordelijke worden afgestemd.
🔐 Welke beveiligingsinzichten levert Passive Monitoring op?
| Gedrag | Mogelijke interpretatie |
|---|---|
| Nieuw apparaat op het netwerk | Shadow IT, een servicelaptop of ongeautoriseerde toegang |
| Ongebruikelijk protocolverkeer | Malware, misconfiguratie of activiteit van een aanvaller |
| Onverwachte schrijfacties of programmadownloads | Mogelijke manipulatie van PLC’s of spoofing |
| Externe communicatie vanuit het OT-netwerk | Ongeautoriseerde remote access of data-exfiltratie |
| Gewijzigde firmwareversie | Ongedocumenteerde update of supply-chain-incident |
Juist in OT zijn deze inzichten waardevol, omdat aanvallers vaak legitieme engineeringcommando’s gebruiken. Een “stop CPU” of nieuwe logica-download is technisch normaal verkeer; alleen de context maakt het verdacht. Passieve sensoren die het protocol begrijpen, kunnen dat onderscheid maken.
📏 Welke normen en richtlijnen vragen om netwerkmonitoring?
- IEC 62443 - IEC 62443-3-3 bevat onder Foundational Requirement 6 (Timely response to events) de systeemeis SR 6.2 voor continue monitoring van beveiligingsrelevante gebeurtenissen. Passive Monitoring is in OT de gebruikelijke manier om daaraan te voldoen.
- NIST SP 800-82 - Revision 3 (september 2023) waarschuwt uitdrukkelijk voor actief scannen op operationele OT-netwerken vanwege de gevoeligheid van apparaten.
- SANS ICS Five Critical Controls - controle 3, ICS Network Visibility Monitoring, vraagt om continue, protocolbewuste monitoring van het ICS-netwerk.
- NIS2 en de Cyberbeveiligingswet - de Nederlandse wet is sinds 15 augustus 2026 van kracht. Organisaties moeten passende maatregelen nemen en significante incidenten snel melden. Zonder zicht op het OT-netwerk is het lastig om een incident tijdig te herkennen.
Ook Nederland heeft een eigen spoor in deze markt. Het Eindhovense SecurityMatters, een spin-off van de Universiteit Twente, ontwikkelde de passieve OT-monitoringoplossing SilentDefense en werd in november 2018 voor circa 113 miljoen dollar overgenomen door Forescout. Microsoft nam in 2020 het Amerikaanse CyberX over, waarvan de agentloze technologie de basis vormt van Microsoft Defender for IoT.
🛠️ Hoe richt u Passive Monitoring stap voor stap in?
- Bepaal de scope - begin bij segmenten met kritieke assets en gebruik het Purdue Model en uw zone-indeling om te kiezen waar zicht het meest oplevert: meestal de controllerlaag (niveau 1–2) en de overgangen naar de IDMZ.
- Kies de aftakpunten - gebruik een TAP op kritieke links en SPAN waar dat volstaat. Let op de capaciteit van de monitorpoort.
- Plaats de sensoren - per zone of locatie, met de monitorinterface zonder IP-adres en een gescheiden beheerverbinding.
- Laat de baseline leren - minimaal een volledige productiecyclus, inclusief batchwissels en onderhoud, zodat normale uitzonderingen niet als alarm terugkomen.
- Vul de inventaris - koppel de ontdekte assets aan uw Asset Inventory en gebruik ze voor kwetsbaarheidsbeheer.
- Koppel aan detectie en respons - stuur alarmen en logging naar een SIEM, een OT SOC of een bestaand SOC, en leg in het Incident Response Plan vast wie wat doet.
- Beheer en evalueer - monitor ook tijdens onderhoudsvensters en leg rollen en verantwoordelijkheden vast in het monitoringbeleid.
Open-source alternatieven bestaan ook. Wireshark is geschikt voor incidentele analyse. Voor structureel gebruik ontwikkelde het Amerikaanse Idaho National Laboratory samen met CISA de gratis toolset Malcolm en de ICSNPP-protocolparsers voor Zeek, met onder meer ondersteuning voor BACnet, EtherNet/IP en S7comm.
❓ Veelgestelde vragen
Kan Passive Monitoring een productieproces verstoren?
Passive Monitoring verstuurt geen pakketten naar de bewaakte apparaten en kan het proces daardoor niet via het netwerk verstoren. Het enige fysieke risico zit in de aftakking: een TAP plaatsen vraagt een korte onderbreking van de kabel en een actieve TAP moet fail-safe zijn. Een SPAN-poort configureren gebeurt op de switch zelf.
Ziet Passive Monitoring alle apparaten op het netwerk?
Passive Monitoring ziet alleen apparaten die communiceren over een netwerksegment dat wordt gekopieerd. Stille apparaten of segmenten zonder SPAN of TAP blijven onzichtbaar. Daarom combineren veel organisaties passieve monitoring met gerichte, gecontroleerde actieve bevragingen.
Wat is het verschil tussen Passive Monitoring en een IDS?
Passive Monitoring is de manier waarop verkeer wordt verzameld: luisteren zonder in te grijpen. Een IDS is een functie die dat verkeer op aanvallen controleert. Moderne OT-monitoringplatforms combineren beide met asset discovery en kwetsbaarheidsinzicht.
Hoe lang duurt het leren van een baseline?
De leerperiode van Passive Monitoring moet minimaal een volledige productiecyclus beslaan, inclusief batchwissels, onderhoud en eventueel weekendbedrijf. Is de periode te kort, dan levert normaal maar zeldzaam gedrag later valse alarmen op. Na wijzigingen in de installatie moet de baseline worden bijgewerkt.
Werkt Passive Monitoring bij versleuteld verkeer?
Bij versleuteld verkeer, zoals OPC UA met encryptie, ziet Passive Monitoring nog wel wie met wie communiceert, hoe vaak en hoeveel data, maar niet meer de inhoud van commando’s. Detectie leunt dan meer op verbindingspatronen en metadata. Veel klassieke industriële protocollen zijn echter nog onversleuteld.
Is Passive Monitoring verplicht onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet schrijft geen specifieke techniek als Passive Monitoring voor. De wet verplicht essentiële en belangrijke entiteiten wel tot passende maatregelen en tijdige meldingen van significante incidenten. Voor OT-netwerken is Passive Monitoring een gangbare manier om die detectie en melding mogelijk te maken.
📌 Samengevat
Passive Monitoring geeft u veilig zicht op OT-netwerken door een kopie van het verkeer te analyseren, zonder zelf iets naar de installatie te sturen. Met SPAN of TAP, protocolbewuste sensoren, een goed geleerde baseline en koppeling aan SIEM of SOC vormt het een kernonderdeel van Defense in Depth en van monitoring volgens IEC 62443, aangevuld met gecontroleerde actieve bevragingen waar dat nodig is.