Security Monitoring

Wat is Security Monitoring?

Security monitoring is het continu verzamelen, bewaken en analyseren van gebeurtenissen in netwerken en systemen om aanvallen, misbruik, misconfiguraties en andere afwijkingen vroegtijdig te detecteren en er tijdig op te reageren. Het is de detectiekant van beveiliging: preventieve maatregelen zoals firewalls en segmentatie verkleinen de kans op een aanval, monitoring zorgt dat u een aanval ziet die er toch doorheen komt. In OT-omgevingen gaat het daarbij niet alleen om data, maar om de beschikbaarheid en veiligheid van een fysiek proces.

Hoe sneller u een indringer ziet, hoe kleiner de schade. Volgens het Mandiant-rapport M-Trends 2025 zaten aanvallers in 2024 wereldwijd mediaan 11 dagen in een netwerk voordat ze werden ontdekt; ontdekte de organisatie het zelf, dan was dat 10 dagen, na een externe melding 26 dagen.

🧠 Hoe werkt security monitoring?

Security monitoring is een keten van vijf stappen, van ruwe gebeurtenis tot afgehandeld incident:

1. Verzamelen - logs en netwerkverkeer komen binnen van firewalls, switches, servers, EDR-agents, Syslog-bronnen en netwerksensoren. Netwerkverkeer wordt gekopieerd via een SPAN-poort of een TAP.
2. Normaliseren en correleren - een SIEM zet gebeurtenissen om naar één formaat, voorziet ze van een betrouwbaar tijdstip en legt verbanden tussen bronnen.
3. Detecteren - regels, signatures (IDS/IPS), dreigingsinformatie en gedragsanalyse, eventueel met machine learning, leveren alerts op.
4. Beoordelen - analisten in een SOC (Security Operations Center) beoordelen of een alert echt is (triage) en bepalen de ernst.
5. Reageren - via playbooks, eventueel geautomatiseerd met SOAR, gaat een bevestigd incident naar incidentrespons.

Security monitoring legt zo de basis voor Incident Response, Threat Hunting en forensisch onderzoek: zonder bewaarde logs valt achteraf niet te reconstrueren wat er is gebeurd.

🔍 Welke detectiemethoden bestaan er?

Geen enkele methode ziet alles. Een volwassen monitoringaanpak combineert ze.

Gedragsdetectie wordt steeds belangrijker. Bij Volt Typhoon, de Chinese statelijke groep waarover de Amerikaanse CISA en partners in mei 2023 waarschuwden, gebruikten de aanvallers vooral ingebouwde Windows-tools zoals wmic, ntdsutil, netsh en PowerShell. Dat living off the land valt met signatures nauwelijks op en blijft in standaard logconfiguraties vaak onzichtbaar.

🏭 Hoe verschilt security monitoring in OT van IT?

Omdat agents op PLC’s, HMI’s en veldapparatuur meestal niet mogelijk of niet toegestaan zijn, leunt OT op passieve monitoring. Een sensor ontvangt een kopie van het verkeer en ontleedt industriële protocollen zoals Modbus TCP, OPC UA, GOOSE, DNP3 en S7. Gespecialiseerde NDR-platforms zoals Nozomi Guardian, Claroty, het Dragos Platform en Tenable OT Security (voorheen Tenable.ot) bouwen daarmee ook automatisch een assetinventaris op. Open-source alternatieven zijn Zeek, Suricata en Malcolm, een analysesuite van CISA en Idaho National Laboratory.

Het voordeel van OT: industriële netwerken zijn voorspelbaar. Een nieuw apparaat, een onbekende verbinding of een programmadownload naar een PLC valt daardoor veel sneller op dan in een kantoornetwerk.

📊 Welke gebeurtenissen moet u in OT bewaken?

FrostyGoop laat zien waarom dit telt. In januari 2024 stuurde deze malware via Modbus TCP op poort 502 opdrachten naar regelaars van een warmtebedrijf in Lviv, waardoor ruim 600 flatgebouwen twee dagen zonder verwarming zaten. Volgens het onderzoek waren de aanvallers mogelijk al in april 2023 binnengekomen via een kwetsbare router. Monitoring op onverwachte Modbus-schrijfopdrachten en nieuwe verbindingen had in die maanden alarm kunnen slaan.

📜 Welke normen en regels vragen om security monitoring?

• IEC 62443-3-3 - de systeemeisen vragen om controleerbare gebeurtenissen (SR 2.8), voldoende logopslag (SR 2.9), betrouwbare tijdstempels (SR 2.11), toegankelijke auditlogs (SR 6.1) en continue monitoring (SR 6.2). Binnen de IEC 62443-reeks vallen de eerste drie onder de fundamentele eis FR 2 Use Control en de laatste twee onder FR 6 Timely Response to Events.
• NIST CSF 2.0 - de functie Detect bestaat uit Continuous Monitoring (DE.CM) en Adverse Event Analysis (DE.AE).
• NIST SP 800-82 Rev. 3 - de OT-beveiligingsgids van NIST, gepubliceerd in september 2023, behandelt logging en monitoring met oog voor beperkte OT-systemen.
• SANS Five ICS Cybersecurity Critical Controls (2022) - ICS network visibility and monitoring is een van de vijf kerncontroles.
• Cyberbeveiligingswet - de Nederlandse invulling van NIS2 geldt sinds 15 augustus 2026. Artikel 8 van het Cyberbeveiligingsbesluit vraagt om detectie, analyse, respons en logging van beveiligingsrelevante gebeurtenissen.
• Meldplicht - een significant incident moet binnen 24 uur als vroegtijdige waarschuwing worden gemeld. Zonder monitoring weet u vaak niet eens dat de klok loopt.

Voor detectieregels is MITRE ATT&CK for ICS de gangbare taal; MITRE D3FEND beschrijft de bijbehorende verdedigingstechnieken. In augustus 2024 publiceerden de Australische ASD en internationale partners, waaronder CISA en Nederland, de gezamenlijke richtlijn Best Practices for Event Logging and Threat Detection, met een apart hoofdstuk over OT.

🧭 Hoe richt u security monitoring in OT stap voor stap in?

1. Breng assets en datastromen in kaart - begin met een assetinventaris en een overzicht van zones en conduits. Wat u niet kent, kunt u niet bewaken.
2. Kies sensorlocaties - plaats passieve sensoren op SPAN-poorten of TAP’s bij de overgang IT/OT, de SCADA-laag en kritieke procescellen. Controleer of de switches de extra spiegelbelasting aankunnen.
3. Synchroniseer de tijd - zonder één tijdbron via NTP zijn logs uit verschillende systemen niet te correleren.
4. Centraliseer logs - stuur logs van Windows-hosts, firewalls, remote access en de historian naar een SIEM buiten het procesnetwerk, bijvoorbeeld via de DMZ of een datadiode. Wie een host overneemt, kan lokale logs wissen; centrale kopieën blijven bestaan.
5. Begin met weinig, waardevolle detecties - nieuw apparaat, PLC-programmadownload, remote access buiten werktijd, gewiste logs. Breid daarna uit met threat hunting.
6. Maak playbooks met de operatie - leg vast wie mag ingrijpen en wanneer. Isoleren van een HMI kan betekenen dat operators het proces niet meer zien.
7. Organiseer de bezetting - een 24/7 bemande positie vraagt circa vijf tot zes FTE. Veel organisaties kiezen daarom voor een OT SOC of een MSSP voor eerstelijnsbewaking, terwijl de beslissing over ingrijpen intern blijft.
8. Test en verbeter - toets de detecties met een pentest of aanvalssimulaties en meet hoe lang detectie en respons duren.

Pas daarbij least privilege toe op de monitoringomgeving zelf: een SIEM met beheertoegang tot alle systemen is een aantrekkelijk doelwit. Bij een incident is voor waterschappen CERT-WM het sectorale CSIRT; voor de meeste andere sectoren is dat het NCSC.

❓ Veelgestelde vragen

Wat is het verschil tussen security monitoring en een SIEM?

Security monitoring is het hele proces van verzamelen, analyseren, beoordelen en reageren. Een SIEM is één hulpmiddel daarin: het platform dat logs centraal opslaat, correleert en alerts genereert. Zonder analisten, detectieregels en playbooks levert een SIEM alleen opgeslagen data op.

Is security monitoring veilig voor PLC’s en andere OT-systemen?

Passieve security monitoring is veilig voor PLC’s, omdat de sensor alleen een kopie van het netwerkverkeer ontvangt en zelf niets naar de besturingen stuurt. Actief scannen of bevragen van oudere besturingen kan wel storingen veroorzaken. Dat doet u daarom alleen gecontroleerd en in overleg met de operatie.

Is security monitoring verplicht onder NIS2 en de Cyberbeveiligingswet?

De Cyberbeveiligingswet schrijft geen specifiek product voor, maar het Cyberbeveiligingsbesluit vraagt in artikel 8 om detectie, analyse en logging van beveiligingsrelevante gebeurtenissen. Daarnaast moet een significant incident binnen 24 uur worden gemeld. In de praktijk is security monitoring daarom nodig om aan de wet te voldoen.

Hoe lang moet u security-logs bewaren?

Er is geen algemene wettelijke bewaartermijn voor security-logs; u bepaalt die op basis van uw risicoanalyse en sectorregels. Omdat aanvallers soms maanden onopgemerkt blijven, zoals bij FrostyGoop, kiezen veel organisaties voor minimaal enkele maanden direct doorzoekbare logs en een langere archieftermijn. Leg de gekozen termijn en de reden vast in uw beleid.

Wat is het verschil tussen security monitoring en threat hunting?

Security monitoring reageert op alerts die regels en sensoren automatisch genereren. Threat hunting gaat er juist van uit dat een aanvaller al binnen is zonder alarm te veroorzaken en zoekt actief naar sporen, vaak op basis van een hypothese uit dreigingsinformatie. Threat hunting bouwt dus voort op de data die security monitoring verzamelt.

Kan een klein bedrijf security monitoring uitbesteden?

Een klein of middelgroot bedrijf kan security monitoring uitbesteden aan een managed security service provider of een OT SOC-dienst. De dienstverlener bewaakt dan 24/7 en meldt verdachte gebeurtenissen. Kennis van het proces en de beslissing om in te grijpen horen wel bij de eigen organisatie te blijven.

📌 Samengevat

Security monitoring is het continu verzamelen en analyseren van gebeurtenissen om aanvallen vroeg te ontdekken; in OT gebeurt dat vooral passief, met protocolkennis en zonder het proces te verstoren. Met passieve sensoren, centrale logging, een beperkte set waardevolle detecties en playbooks die samen met de operatie zijn gemaakt, voldoet u aan IEC 62443 en de Cyberbeveiligingswet en verkort u de tijd dat een aanvaller ongezien in uw netwerk zit.