Session Recording

Wat is Session Recording?

Session Recording is het automatisch vastleggen, opslaan en terugkijkbaar maken van de inhoud van beheersessies, zoals RDP-, SSH-, VNC- en consolesessies, op systemen waarvoor verhoogde rechten nodig zijn. Een opname laat achteraf exact zien wat een gebruiker heeft gedaan: welke schermen hij opende, welke commando’s hij typte, welke bestanden hij overzette, wanneer en op welk systeem. Waar gewone logging alleen losse gebeurtenissen registreert (gebruiker X logde in om 14:02), toont session recording de hele sessie in samenhang.

In OT-omgevingen is session recording een belangrijk middel voor traceerbaarheid, incidentonderzoek en compliance, vooral bij externe toegang tot PLC’s, SCADA-servers en engineering stations. Veel OT-systemen loggen zelf weinig, dus de opname is vaak het enige complete verslag van een wijziging.

🎯 Waarvoor gebruikt u session recording?

Daarnaast werkt session recording preventief: wie weet dat zijn sessie wordt opgenomen, werkt zorgvuldiger en volgt eerder de afgesproken procedures. Dat helpt ook tegen insider threats.

🧠 Wat legt een sessie-opname vast?

Een goede oplossing maskeert wachtwoorden die tijdens de sessie worden getypt, zodat de opname zelf geen inloggegevens lekt. Tekstopnames van SSH-sessies zijn klein en goed doorzoekbaar, video van grafische sessies neemt veel meer opslag in beslag.

🔧 Hoe werkt session recording technisch?

Er zijn twee hoofdarchitecturen:

• Gateway- of proxy-gebaseerd - de beheerder maakt geen directe verbinding, maar gaat via een jump server, een proxy of een PAM-gateway in de IDMZ. Die tussenstap neemt de sessie op zonder software op het doelsysteem. Dit is in OT de voorkeursaanpak, omdat u niets hoeft te installeren op gecertificeerde of verouderde systemen.
• Agent-gebaseerd - een agent op de server zelf registreert de sessie, bijvoorbeeld voor lokale consolesessies. Onder Linux kan dat met tools als tlog of pam_tty_audit met auditd. In OT is dit minder geschikt, omdat leveranciers van besturingssoftware vaak geen extra agents ondersteunen.

Session recording is meestal onderdeel van een PAM-platform. De sessie verloopt dan zo:

1. De gebruiker logt in op de gateway met tweefactorauthenticatie.
2. Een goedkeuringsworkflow of just-in-time-toegang geeft toegang tot één doelsysteem voor een beperkt tijdvenster.
3. De gateway injecteert de inloggegevens uit een wachtwoordkluis; de gebruiker ziet het wachtwoord niet.
4. De sessie wordt opgenomen en versleuteld opgeslagen; een operator kan realtime meekijken en de sessie bij afwijkend gedrag direct beëindigen.
5. Metadata en event markers gaan naar een SIEM voor correlatie en alerting.

📋 Wat zeggen normen en wetgeving over session recording?

Geen van de gangbare normen schrijft letterlijk een video-opname voor. Ze eisen wel dat u geprivilegieerde en externe toegang controleert, registreert en kunt reconstrueren. Session recording is een van de sterkste manieren om dat aan te tonen.

Opvallend is dat NIST bij AU-14 nadrukkelijk wijst op privacyrisico’s. Een opname bevat persoonsgegevens over de beheerder, en dat raakt in Nederland direct de AVG.

🏭 Hoe past u session recording toe in OT-omgevingen?

Een bekend voorbeeld van waarom dit ertoe doet, is het incident bij de waterzuivering van Oldsmar (Florida) in februari 2021. Volgens de sheriff verhoogde iemand via TeamViewer het natronloog-setpoint van ongeveer 100 naar 11.100 ppm. In maart 2023 stelde de voormalige stadsmanager dat het om een fout van een medewerker ging; de FBI verklaarde daarna alleen dat zij niet kon bevestigen dat het incident door een gerichte cyberinbraak was veroorzaakt. Ruim twee jaar later was dus nog altijd onduidelijk wat er werkelijk gebeurde. Een volledige opname van de sessie via een gecontroleerde remote access-route had die vraag eenduidig kunnen beantwoorden.

🔐 Hoe richt u session recording zorgvuldig in?

Een praktische aanpak in zes stappen:

1. Bepaal de reikwijdte - neem in elk geval alle externe en geprivilegieerde sessies op naar SCADA, engineering stations, DCS-servers, firewalls en domeincontrollers.
2. Dwing één route af - laat alle beheertoegang via de gateway in de IDMZ lopen en blokkeer directe verbindingen met segmentatie, zodat niemand de opname kan omzeilen.
3. Regel de privacy - stel een grondslag vast, voer een DPIA uit en informeer gebruikers vooraf (zie de FAQ).
4. Bescherm de opnames - versleutel ze, beperk toegang tot bevoegde auditoren en bewaar ze bij voorkeur onveranderbaar, vergelijkbaar met een immutable backup.
5. Stel een bewaartermijn vast - gangbaar is 90 dagen tot een jaar, afhankelijk van risico en sector; langer alleen met een concrete reden, want de AVG eist dat u gegevens niet langer bewaart dan nodig.
6. Gebruik de opnames - koppel event markers aan het SIEM, bekijk steekproeven tijdens audits en neem de opnames op in uw incident response-procedure.

Combineer session recording altijd met MFA, least privilege en tijdgebonden toegang. Een opname vertelt u wat er gebeurde, maar voorkomt op zichzelf geen schade; de andere maatregelen beperken wat een gebruiker überhaupt kan doen.

❓ Veelgestelde vragen

Mag een werkgever beheersessies van medewerkers opnemen?

Ja, onder voorwaarden. Session recording verwerkt persoonsgegevens, dus de werkgever heeft een AVG-grondslag nodig (meestal gerechtvaardigd belang), moet medewerkers vooraf informeren en moet de opname beperken tot beheersessies op kritieke systemen. Stelselmatige monitoring van werknemers staat op de lijst van de Autoriteit Persoonsgegevens waarvoor een DPIA verplicht is.

Heeft de ondernemingsraad instemmingsrecht bij session recording?

Vaak wel. Artikel 27 lid 1 onder l van de Wet op de ondernemingsraden geeft de OR instemmingsrecht bij voorzieningen die geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers. Een systeem dat beheersessies van eigen medewerkers opneemt, valt daar doorgaans onder; voor externe leveranciers regelt u het via het contract.

Wat is het verschil tussen session recording en logging?

Logging registreert losse gebeurtenissen, zoals een aanmelding of een gewijzigde instelling, als regels tekst. Session recording legt de volledige inhoud van een sessie vast, inclusief schermbeeld en context. Ze vullen elkaar aan: logs zijn geschikt voor detectie in een SIEM, opnames voor reconstructie en bewijs.

Moet ik ook lokale sessies op een engineering station opnemen?

Bij voorkeur wel, omdat een groot deel van de wijzigingen in OT lokaal plaatsvindt, bijvoorbeeld tijdens een servicebeurt. Laat technici daarvoor ook op locatie via de PAM-gateway werken, of gebruik een agent op het engineering station als de leverancier dat ondersteunt. Zonder opname van lokale sessies blijft juist het meest ingrijpende werk onzichtbaar.

Hoe lang moet ik sessie-opnames bewaren?

Er is geen wettelijke vaste termijn voor sessie-opnames. In de praktijk kiezen organisaties 90 dagen tot een jaar, zodat ook laat ontdekte incidenten nog te onderzoeken zijn, en houden ze opnames van een lopend incident langer vast. De AVG vereist dat u de gekozen termijn kunt onderbouwen en daarna verwijdert.

Beschermt session recording tegen sessiekaping?

Niet direct. Session recording maakt achteraf zichtbaar wat er in een sessie gebeurde, ook als een aanvaller die heeft overgenomen, maar voorkomt session hijacking niet. Daarvoor zijn versleutelde verbindingen, MFA, korte sessietijden en het automatisch beëindigen van inactieve sessies nodig.

📌 Samengevat

Session recording legt de volledige inhoud van beheersessies vast en maakt zo zichtbaar wie wat, wanneer en waar heeft gedaan. In OT is dat extra waardevol, omdat PLC’s en HMI’s zelf weinig loggen en externe leveranciers veel wijzigingen uitvoeren. Normen als IEC 62443, NIST SP 800-53 en ISO 27001 vragen om controleerbare geprivilegieerde toegang, en een opname via een gateway in de IDMZ is een sterke manier om dat aan te tonen. Regel wel vooraf de privacy: grondslag, DPIA, informatie aan medewerkers en instemming van de OR.

Session recording biedt zichtbaarheid en controle over beheertoegang tot kritieke OT- en IT-systemen, en is samen met PAM, MFA en least privilege een essentieel onderdeel van verantwoorde cybersecurity in industriële omgevingen.