Port Security

Wat is port security?

Port security is een beveiligingsfunctie van een managed switch die per poort vastlegt welke en hoeveel MAC-adressen verkeer mogen versturen, en die automatisch ingrijpt wanneer een onbekend apparaat op die poort verschijnt. De switch blokkeert dan het verkeer, meldt de overtreding of schakelt de poort uit. In OT-netwerken, waar een poort jarenlang aan dezelfde PLC, HMI of aandrijving vastzit, is dat een eenvoudige manier om de netwerktoegang te beperken tot bekende, vertrouwde apparaten.

Port security is een vorm van beveiliging op laag 2 en verwant aan MAC Filtering en MAC Binding. Het verschil zit in de koppeling aan een fysieke poort en in de reactie bij een overtreding.

🧠 Hoe werkt port security?

Een switch leert normaal elk bron-MAC-adres dat binnenkomt en zet het in zijn MAC-adrestabel (de CAM-tabel). Met port security wordt dat leren per poort aan regels gebonden:

1. Maximum instellen - u bepaalt hoeveel MAC-adressen een poort mag leren. Bij Cisco is dat standaard één.
2. Toegestane adressen vastleggen - de adressen worden statisch ingevoerd, dynamisch geleerd of als sticky adres vastgezet.
3. Controle per frame - elk binnenkomend frame wordt vergeleken met de lijst. Een bekend adres wordt doorgestuurd.
4. Reactie bij overtreding - verschijnt er een onbekend adres, of meer adressen dan het maximum, dan volgt de ingestelde actie.

De drie manieren om adressen vast te leggen verschillen vooral in beheer:

Sticky learning wordt in de praktijk het meest gebruikt op vaste installaties: u sluit de installatie aan, de switch leert de aanwezige apparaten en u slaat de configuratie op. Let op dat sticky adressen pas een herstart overleven als de configuratie ook echt is opgeslagen.

⚙️ Welke acties kan een switch nemen bij een overtreding?

Bij Cisco heten de reactiemodi protect, restrict en shutdown. Andere fabrikanten gebruiken andere namen, maar het principe is gelijk:

Bij Cisco staan port security en sticky learning standaard uit; zodra u het inschakelt, gelden één MAC-adres en de modus shutdown. Een uitgeschakelde poort komt terug via een handmatige shutdown / no shutdown of via automatisch herstel met errdisable recovery cause psecure-violation, standaard na 300 seconden. Port security werkt bij Cisco alleen op poorten die vast als access- of trunkpoort zijn ingesteld, niet op poorten die hun modus dynamisch onderhandelen. Industriële switches kennen vergelijkbare functies: Hirschmann HiOS biedt bijvoorbeeld MAC-gebaseerde port security in combinatie met Auto-Disable.

In een OT-omgeving is restrict vaak de verstandigste keuze voor poorten naar besturingen. Alleen het verkeer van het onbekende adres wordt geweigerd; de poort zelf blijft actief, zodat het bekende apparaat en eventueel doorgeluste apparaten blijven communiceren en niemand de poort handmatig hoeft te herstellen. De melding komt wel in uw SIEM of netwerkmonitoring terecht.

Een typische configuratie voor een poort naar een PLC ziet er op een Cisco-switch zo uit:

interface GigabitEthernet1/0/5
 switchport mode access
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation restrict
 switchport port-security

Met show port-security interface ziet u daarna het aantal geleerde adressen en de teller van overtredingen. Dynamisch geleerde adressen kunnen met aging (0 tot 1440 minuten) automatisch vervallen; sticky adressen verouderen niet.

🛡️ Tegen welke aanvallen beschermt port security?

• Ongeautoriseerde apparaten - een laptop van een bezoeker of een meegebrachte router op een vrije poort in een besturingskast krijgt geen toegang. Dit soort apparaten heet een rogue device.
• Vervangen van een apparaat - wie een HMI loskoppelt en een laptop op dezelfde kabel aansluit, valt direct op.
• MAC flooding - een aanvaller vult met nepadressen de CAM-tabel van de switch. Is die vol, dan stuurt de switch al het verkeer naar alle poorten in het VLAN, zodat afluisteren mogelijk wordt. Het hulpmiddel macof doet dit al sinds 1999. Een maximum van één adres per poort maakt de aanval via die poort onmogelijk.
• Ongewenste switches - een onbeheerde switch achter een poort brengt meerdere adressen mee en overschrijdt zo het maximum.

Port security beschermt niet tegen een aanvaller die het MAC-adres van een toegestaan apparaat kopieert (MAC-spoofing). Het adres staat vaak op het typeplaatje of is via het netwerk uit te lezen. Daarom is port security een basismaatregel binnen defense in depth en geen echte authenticatie.

🔄 Wat is het verschil tussen port security en 802.1X?

In de praktijk vullen beide elkaar aan. 802.1X met MAC Authentication Bypass als terugvaloptie is in OT vaak ook MAC-gebaseerd, maar centraal beheerd. Port security blijft daarom nuttig op switches waar geen RADIUS beschikbaar is, en als tweede laag naast ACL’s, DHCP Snooping, Dynamic ARP Inspection en IP Source Guard.

🏭 Hoe past u port security toe in een OT-netwerk?

Port security werkt het best op niveau 1 en 2 van het Purdue Model: de switches in besturingskasten en procescellen, waar elke poort aan één vast apparaat hangt en de topologie zelden verandert. Een praktische aanpak:

1. Inventariseer - maak per switchpoort een lijst van het aangesloten apparaat en het MAC-adres. Een actuele asset-inventaris is hier de basis voor.
2. Schakel ongebruikte poorten uit - een vrije poort die administratief uit staat, is de sterkste vorm van port security. Plaats ze bij voorkeur in een ongebruikt VLAN.
3. Kies per poorttype een modus - restrict voor poorten naar besturingen, shutdown voor service- en reservepoorten.
4. Leer in met sticky learning - in een onderhoudsvenster, en sla daarna de configuratie op.
5. Stuur meldingen door - via Syslog en SNMPv3 naar een centrale omgeving, zodat elke overtreding onderzocht wordt. Sommige organisaties tonen de status ook in SCADA, zodat operators een uitgevallen poort direct zien.
6. Leg het vast in wijzigingsbeheer - wie een defecte PLC of IO-module vervangt, moet weten dat het nieuwe MAC-adres op de switch geregistreerd moet worden. Beperk met RBAC wie de switchconfiguratie mag aanpassen, en regel tijdelijke uitzonderingen voor leveranciers via uw Remote Access-beleid in plaats van via een open poort.

Niet elke poort is geschikt. Uplinks tussen switches en ringpoorten (zoals in ringredundantie) zien veel adressen voorbij komen en krijgen geen port security. Poorten naar een virtualisatiehost of een apparaat met een eigen switchpoort voor doorlussen, zoals veel ProfiNET-apparaten, hebben een hoger maximum nodig. Test dat vooraf.

In normen komt port security terug als concrete invulling van bredere eisen. IEC 62443-3-3 vraagt vanaf security level 2 om identificatie en authenticatie van apparaten (SR 1.2) en vraagt in SR 7.7 om onnodige functies, poorten, protocollen en diensten te beperken. De CIS Controls v8 noemen in safeguard 13.9 toegangscontrole op poortniveau, met 802.1X als voorkeur. Voor organisaties onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) is port security een laagdrempelige maatregel die u bij uw zorgplicht kunt aantonen, mits de meldingen ook worden opgevolgd.

❓ Veelgestelde vragen

Is port security genoeg om een OT-netwerk te beveiligen?

Nee, port security alleen is niet genoeg. MAC-adressen zijn eenvoudig te kopiëren, dus port security houdt vooral toevallige en ongerichte aansluitingen tegen. Combineer het met netwerksegmentatie, een firewall tussen zones en monitoring.

Wat gebeurt er als ik een PLC vervang terwijl port security aan staat?

Het nieuwe apparaat heeft een ander MAC-adres, dus port security ziet het als een overtreding. In de modus shutdown gaat de poort uit en valt de communicatie weg; in de modus restrict wordt het verkeer geblokkeerd. Verwijder daarom het oude sticky adres (bij Cisco met clear port-security sticky) en laat de switch het nieuwe adres leren als vaste stap in de vervangingsprocedure.

Werkt port security ook op industriële switches?

Ja, de meeste managed industriële switches ondersteunen port security of een vergelijkbare MAC-gebaseerde poortbeveiliging. De naam en de mogelijke acties verschillen per fabrikant, bijvoorbeeld Auto-Disable bij Hirschmann. Onbeheerde switches hebben deze functie niet.

Wat is sticky MAC bij port security?

Sticky MAC is een manier van port security waarbij de switch het eerste MAC-adres op een poort automatisch leert en als vast adres in de configuratie zet. Zo hoeft u adressen niet handmatig in te voeren. Sticky adressen blijven na een herstart alleen bewaard als u de configuratie hebt opgeslagen.

Hoeveel MAC-adressen moet ik per poort toestaan?

Voor een poort met één vast apparaat, zoals een PLC of HMI, is één MAC-adres bij port security de beste keuze. Apparaten met een ingebouwde switch, IP-telefoons met een doorlusaansluiting of virtualisatiehosts hebben er meer nodig. Stel het maximum altijd zo laag mogelijk in.

Kan port security de productie verstoren?

Ja, port security kan de productie verstoren wanneer een poort onverwacht uitschakelt na een vervanging of een configuratiefout. Gebruik daarom op kritieke poorten de modus restrict in plaats van shutdown, zodat de poort actief blijft, en test wijzigingen eerst in een onderhoudsvenster. Met een vervangingsprocedure die het bijwerken van MAC-adressen bevat, blijft het risico klein.

📌 Samengevat

Port security koppelt switchpoorten aan bekende MAC-adressen en grijpt in bij afwijkingen: verkeer blokkeren, melden of de poort uitschakelen. Het is eenvoudig, werkt op vrijwel elke managed switch en stopt rogue devices en MAC flooding. Tegen gekopieerde MAC-adressen helpt het niet, dus het hoort samen met 802.1X, segmentatie en monitoring in een gelaagde aanpak.

Port security is een goedkope eerste verdedigingslinie voor uw OT-netwerk: sluit ongebruikte poorten af, beperk elke actieve poort tot het bekende apparaat en zorg dat elke overtreding een melding oplevert die iemand opvolgt.