Rogue Device

Wat is een rogue device?

Een rogue device is een niet-geautoriseerd of onbekend apparaat dat zonder goedkeuring, registratie of juiste configuratie verbinding maakt met een netwerk. Het kan een bewust geplaatst aanvalsapparaat zijn, maar veel vaker gaat het om een onbedoeld aangesloten laptop, sensor, switch, 4G-router of draadloos access point van een collega of leverancier. Wat een apparaat “rogue” maakt, is niet de hardware zelf, maar het feit dat het buiten het asset-overzicht en buiten het beheer valt.

In OT-netwerken vormen rogue devices een serieus risico, omdat ze de betrouwbaarheid, beschikbaarheid en veiligheid van industriële systemen direct kunnen beïnvloeden.

🧠 Welke soorten rogue devices komen in OT voor?

Rogue devices zijn grofweg in te delen in apparaten die per ongeluk, voor het gemak of met kwade opzet worden aangesloten. In fabrieken en installaties ziet u vooral de eerste twee groepen.

🔐 Waarom zijn rogue devices in OT extra gevaarlijk?

1. Geen assetbeheer - ze worden niet herkend door Asset Inventory-systemen, dus niemand weet dat ze er zijn of wie ervoor verantwoordelijk is.
2. Geen policies - geen updates, geen logging, geen toegangslimieten en vaak standaardwachtwoorden.
3. Mogelijke malware - een besmette laptop kan Malware verspreiden of ongemerkt meeluisteren.
4. Bypass van beveiliging - ze kunnen netwerken of zones ongecontroleerd verbinden en zo het zones-en-conduits-model uithollen.
5. Onbedoeld toegevoegd - bijvoorbeeld door leveranciers of onderhoudspartijen die hun eigen gereedschap meebrengen.

Daar komt in OT nog iets bij. Veel industriële protocollen, zoals Modbus TCP en ProfiNET, kennen geen authenticatie. Een apparaat dat op het juiste segment zit, kan dus schrijfopdrachten naar een PLC sturen alsof het een legitiem engineeringstation is. Bovendien zijn OT-netwerken vaak plat en blijven installaties twintig jaar of langer in bedrijf, zodat een vergeten apparaat jaren onopgemerkt kan blijven.

Een bekend voorbeeld uit de IT-wereld laat zien hoe het misgaat. Bij het Jet Propulsion Laboratory van NASA ontdekte men in april 2018 dat aanvallers binnen waren gekomen via een Raspberry Pi die zonder toestemming op het netwerk was aangesloten. Ze hadden zich ongeveer tien maanden onopgemerkt door het netwerk bewogen en circa 500 MB aan gegevens uit 23 bestanden weggehaald. Het rapport van de inspecteur-generaal van NASA uit juni 2019 stelde vast dat de inventaris van het lab onvolledig was, zodat beheerders niet wisten dat het apparaat er zat.

🔍 Hoe detecteert u rogue devices?

Detectie begint met een betrouwbare referentie: een actuele lijst van apparaten die er wél mogen zijn. Elke afwijking daarvan is een kandidaat-rogue device.

Actief scannen vraagt in OT om terughoudendheid. Oudere PLC’s en veldapparaten kunnen vastlopen op onverwachte pakketten, waardoor een scan zelf een storing veroorzaakt. Daarom zijn passieve methoden de standaard en wordt actief bevragen alleen gericht en met toestemming van de procesverantwoordelijke ingezet.

🛡️ Hoe voorkomt u dat een rogue device toegang krijgt?

Een Zero Trust Architecture beperkt daarnaast de impact van een rogue device dat toch binnenkomt, omdat geen enkel apparaat op basis van zijn netwerklocatie wordt vertrouwd.

📏 Wat zeggen normen en wetgeving over rogue devices?

🧭 Hoe pakt u rogue devices stap voor stap aan?

1. Bouw een nulmeting - combineer een fysieke rondgang langs kasten en patchpanelen met passieve monitoring van enkele weken, zodat ook apparaten die zelden communiceren zichtbaar worden.
2. Leg de goedgekeurde situatie vast - registreer per apparaat ten minste MAC-adres, IP-adres, fabrikant, model, locatie, rol en eigenaar.
3. Sluit de deuren - schakel ongebruikte switchpoorten uit en zet port security aan. Op Cisco-switches is het standaardmaximum één MAC-adres per poort en is de standaardactie shutdown. In OT kiezen veel beheerders voor restrict: het onbekende verkeer wordt geblokkeerd en gemeld, maar de poort blijft voor het legitieme apparaat in de lucht.
4. Alarmeer op nieuwe apparaten - laat het OT-IDS of de switches een melding naar de SIEM sturen zodra een onbekend MAC-adres verschijnt.
5. Beoordeel elke melding - bepaal of het om een vervangen veldapparaat, een leverancier of een echte inbraak gaat, en werk de inventaris bij via change management.
6. Herhaal periodiek - CIS Controls v8 noemt wekelijkse afhandeling als ondergrens; fysieke inspecties en wireless surveys passen goed in de jaarlijkse audit.

❓ Veelgestelde vragen

Wat is het verschil tussen een rogue device en een onbekend apparaat?

Een onbekend apparaat is elk apparaat dat niet in de inventaris staat. Het wordt een rogue device zodra blijkt dat het zonder goedkeuring is aangesloten. In de praktijk blijkt een deel van de onbekende apparaten legitiem, bijvoorbeeld een vervangen sensor die nog niet is geregistreerd.

Is een unmanaged switch altijd een rogue device?

Een unmanaged switch is niet per definitie een rogue device, maar wordt het wel als hij zonder goedkeuring in een schakelkast is geplaatst. Ook een goedgekeurde unmanaged switch is een risico, omdat hij geen port security, logging of SNMP-monitoring biedt. Vervang hem daarom bij voorkeur door een managed industrial switch.

Kunt u rogue devices tegenhouden met MAC-filtering?

MAC-filtering en port security houden onbedoeld aangesloten apparaten goed tegen. Een aanvaller kan het MAC-adres van een goedgekeurd apparaat echter eenvoudig overnemen. Combineer MAC-filtering daarom met 802.1X waar dat kan, en met monitoring op afwijkend gedrag.

Waarom wordt 802.1X in OT weinig gebruikt?

Veel PLC’s, sensoren en oudere HMI’s hebben geen 802.1X-client, dus ze kunnen zich niet zelf aanmelden. Bovendien vrezen beheerders dat een storing van de RADIUS-server de productie stillegt. Daarom gebruikt OT vaak MAC Authentication Bypass of beperkt 802.1X zich tot engineeringwerkplekken en laptops.

Hoe vaak moet u op rogue devices controleren?

Continue passieve monitoring met een OT-IDS geeft de beste dekking, omdat een nieuw apparaat dan binnen minuten zichtbaar wordt. CIS Controls v8 schrijft voor dat ongeautoriseerde apparaten minstens wekelijks worden afgehandeld. Fysieke inspecties en draadloze scans vullen dat periodiek aan.

Is het opsporen van rogue devices verplicht onder de Cyberbeveiligingswet?

De Cyberbeveiligingswet noemt rogue devices niet letterlijk, maar verplicht essentiële en belangrijke entiteiten wel tot passende maatregelen voor onder meer assetbeheer en toegangsbeveiliging. Een actuele inventaris met detectie van ongeautoriseerde apparaten is daarvoor een logische invulling. De wet geldt sinds 15 augustus 2026.

📌 Samengevat

Rogue devices zijn onzichtbare indringers in OT-netwerken, bewust of onbewust geplaatst, die de betrouwbaarheid en veiligheid van industriële processen in gevaar brengen.

Het is essentieel om zicht te houden op alle aangesloten apparaten en netwerktoegang standaard te beperken tot bekende, geauthenticeerde componenten. Begin met een actuele inventaris, detecteer passief, sluit ongebruikte poorten en leg vast hoe leveranciers wel veilig kunnen aansluiten.