Snapshot

Wat is een snapshot?

Een snapshot is een momentopname van de toestand van een virtuele machine, volume of opslagsysteem op één specifiek tijdstip, waarmee u dat systeem later snel kunt terugzetten naar precies die toestand. Snapshots worden vooral gebruikt in gevirtualiseerde omgevingen, waar een hypervisor de schijf en eventueel het werkgeheugen van een VM vastlegt. In de industrie zijn ze een vast hulpmiddel bij wijzigingen aan SCADA-servers, Historian-databases en engineering stations: gaat een update mis, dan staat het systeem binnen minuten weer in de oude, werkende staat.

Een snapshot is geen volledige back-up, maar een tijdelijk terugvalpunt vóór een risicovolle handeling.

🧠 Hoe werkt een snapshot technisch?

Een snapshot kopieert de data niet, maar bevriest de bestaande schijf en schrijft alle wijzigingen daarna weg in een apart bestand. Dat verloopt in drie stappen:

1. Bevriezen - de hypervisor zet de oorspronkelijke virtuele schijf op alleen-lezen. Optioneel wordt ook de inhoud van het werkgeheugen opgeslagen, zodat de VM inclusief draaiende programma’s terug te zetten is.
2. Wijzigingen apart bijhouden - elke schrijfactie na het snapshotmoment gaat naar een delta- of differencing-bestand (copy-on-write of redirect-on-write). VMware maakt hiervoor per schijf een delta-schijf aan (-000001.vmdk met een -delta- of, op VMFS6, -sesparse-databestand), Hyper-V .avhdx-bestanden naast de .vhdx.
3. Terugzetten of samenvoegen - bij revert gooit de hypervisor de delta weg en start de VM vanaf de bevroren schijf. Bij verwijderen (consolidatie) worden de wijzigingen juist in de basisschijf verwerkt.

Omdat het delta-bestand blijft groeien zolang de snapshot bestaat, is een snapshot direct na aanmaken klein, maar kan het na weken intensief schrijven flink zijn uitgegroeid; bij een historian of database die continu schrijft gaat dat snel. Bovendien moet elke leesactie door de hele keten van delta-bestanden, wat de prestaties merkbaar verlaagt.

🔄 Welke soorten snapshots bestaan er?

Niet elke snapshot is even betrouwbaar. Het verschil zit in de mate van consistentie van de vastgelegde data:

Hyper-V noemt snapshots checkpoints en kent sinds Windows 10 en Windows Server 2016 twee varianten: standard (inclusief geheugen) en production (applicatie-consistent via Volume Shadow Copy Service of een Linux file-system freeze, zonder geheugen). Production is de standaardinstelling; met de optie ProductionOnly maakt Hyper-V geen standard checkpoint als terugval wanneer de production checkpoint mislukt. Let op: na het terugzetten van een production checkpoint staat de VM uit en moet die opnieuw opstarten. In Proxmox VE hangt de mogelijkheid af van de opslag: ZFS, LVM-thin, Ceph RBD en qcow2-bestanden op bestandsopslag ondersteunen snapshots, en sinds Proxmox VE 9 ook gewone (thick) LVM via een keten van volumes, al is die functie nog een technology preview. Het aanmaken en verwijderen van interne qcow2-snapshots blokkeert een draaiende VM en kan bij grote schijven, zeker op NFS, minuten tot uren duren.

🔍 Wat is het verschil tussen een snapshot en een back-up?

Het belangrijkste verschil: een snapshot is afhankelijk van de oorspronkelijke opslag, een back-up niet. Raakt de basisschijf of het datastore verloren, dan is de snapshot waardeloos. VMware stelt daarom expliciet dat snapshots geen back-ups zijn.

Snapshots helpen wel om een lage RPO en RTO te halen voor geplande wijzigingen. Moderne back-upsoftware maakt bovendien zelf kortstondig een snapshot om een consistente kopie te kunnen wegschrijven en verwijdert die daarna weer.

🏭 Hoe gebruikt u snapshots in een OT-omgeving?

In de OT draaien steeds meer systemen gevirtualiseerd (virtualisatie): SCADA-servers, HMI-clients, historians, licentieservers en engineering stations met PLC-software. Typische toepassingen zijn:

• Voor patches en updates - een snapshot vlak vóór een Windows-update of een nieuwe versie van SCADA- of MES-software.
• Voor configuratiewijzigingen - aan een firewall-VM, een historian of een batch control-server.
• In test- en acceptatieomgevingen - terug naar een schone uitgangssituatie tussen testrondes, bijvoorbeeld bij een FAT.
• Bij migraties - een terugvaloptie tijdens de overstap naar een nieuwe versie of architectuur.
• Als onderdeel van change management en disaster recovery - mits de snapshot is vastgelegd in de wijzigingsprocedure.

Werkwijze bij een geplande wijziging

1. Registreer de wijziging en noteer wie de snapshot maakt en wanneer die wordt verwijderd.
2. Controleer of er een recente, geteste back-up is; een snapshot vervangt die niet.
3. Kies het juiste type: applicatie-consistent voor databases, eventueel met geheugen voor een engineering station.
4. Voer de wijziging uit en test de functie, inclusief communicatie met PLC’s en clients.
5. Verwijder of consolideer de snapshot zodra de wijziging is goedgekeurd, bij voorkeur binnen 72 uur.

Gaat er iets mis, dan betekent herstel terugzetten naar de snapshot en de functionele test herhalen voordat het systeem weer in productie gaat.

⚠️ Welke valkuilen kent een snapshot in de praktijk?

VMware adviseert maximaal twee à drie snapshots per VM (de technische grens is 32 in één keten) en raadt aan een snapshot niet langer dan 72 uur te bewaren. Een virtuele schijf kan niet worden vergroot zolang er snapshots bestaan, en een lopende verwijdering of consolidatie mag u niet afbreken, omdat dat data kan beschadigen. Daarnaast spelen in OT specifieke risico’s:

• Historian-gaten - wie een historian terugzet, verliest alle procesdata sinds de snapshot, tenzij de collectoren data bufferen (store and forward).
• Gerepliceerde systemen - een Active Directory-domain controller of een redundant SCADA-paar terugzetten kan replicatie verstoren. Microsoft waarschuwt hiervoor bij standard checkpoints; sinds Windows Server 2012 beschermt VM-GenerationID een domain controller tegen de ergste gevolgen.
• Tijd en licenties - een teruggezette VM met geheugenstatus heeft een verouderde klok en soms ongeldige licentie- of certificaatgegevens.
• Vergeten snapshots - snapshots die via back-upsoftware zijn gemaakt, verschijnen niet altijd in de beheerinterface en kunnen ongemerkt een datastore volschrijven.

🔐 Hoe beveiligt u snapshots?

Aanvallers weten dat snapshots herstel mogelijk maken. MITRE ATT&CK beschrijft het verwijderen ervan als techniek T1490 Inhibit System Recovery: ransomware wist Windows-schaduwkopieën en verwijdert of versleutelt VM-snapshots op ESXi-hosts. De op OT gerichte ransomware EKANS verwijderde ook schaduwkopieën, en begin 2023 versleutelde de ESXiArgs-campagne volgens CISA en FBI ruim 3.800 ongepatchte ESXi-servers wereldwijd. Maatregelen:

• Beperk rechten - alleen beheerders mogen snapshots maken, terugzetten of verwijderen (RBAC, least privilege en MFA op het hypervisorbeheer).
• Segmenteer het beheer - de beheerinterface van de hypervisor hoort niet bereikbaar te zijn vanuit kantoor- of procesnetwerken.
• Log en bewaak - leg aanmaken, terugzetten en verwijderen vast in de logging en het change-logboek.
• Bescherm de inhoud - snapshots bevatten soms werkgeheugen met wachtwoorden en sleutels; behandel ze als vertrouwelijke data.
• Combineer met immutable back-ups - alleen een offline of immutable back-up overleeft een aanval op de hypervisor zelf.

Ook de normen vragen hierom. IEC 62443-3-3 eist met SR 7.3 back-ups van het industriële besturingssysteem (control system backup) en met SR 7.4 dat dit systeem na een verstoring kan worden hersteld (recovery and reconstitution). NIS2 noemt back-upbeheer en disaster recovery expliciet als zorgplicht, en de Nederlandse Cyberbeveiligingswet neemt dat over sinds 15 augustus 2026. Snapshots dragen daaraan bij, maar alleen als aanvulling op bedrijfscontinuïteit met echte back-ups.

❓ Veelgestelde vragen

Is een snapshot hetzelfde als een back-up?

Nee, een snapshot is afhankelijk van de oorspronkelijke virtuele schijf en opslag. Gaat die verloren of wordt die versleuteld, dan is de snapshot onbruikbaar. Een back-up staat los van de bron en is daardoor het echte vangnet.

Hoe lang mag u een snapshot bewaren?

VMware adviseert een snapshot niet langer dan 72 uur te bewaren en maximaal twee à drie snapshots per VM te gebruiken. Daarna groeit het delta-bestand te sterk en lijden de prestaties. Verwijder de snapshot dus zodra een wijziging is goedgekeurd.

Wat is het verschil tussen een snapshot en een Hyper-V-checkpoint?

Een checkpoint is de Hyper-V-term voor een snapshot. Hyper-V kent standard checkpoints, inclusief werkgeheugen, en production checkpoints, die via VSS of een Linux file-system freeze applicatie-consistent zijn. Production checkpoints zijn de standaard.

Kunt u een SCADA-server veilig terugzetten met een snapshot?

Ja, mits u rekening houdt met data die sinds de snapshot is verzameld en met gekoppelde systemen. Een teruggezette SCADA-server of historian mist de procesdata van die periode, en redundante of gerepliceerde partners kunnen uit de pas lopen. Test het terugzetten daarom eerst in een testomgeving.

Beschermen snapshots tegen ransomware?

Nauwelijks, omdat ransomware snapshots gericht verwijdert of versleutelt (MITRE ATT&CK T1490). Wie de hypervisor overneemt, heeft ook toegang tot alle snapshots. Bescherming tegen ransomware vraagt offline of immutable back-ups op een gescheiden systeem.

Werkt een snapshot ook op een fysieke server?

Op een fysieke Windows-server kan Volume Shadow Copy Service schaduwkopieën van volumes maken, en opslagsystemen of ZFS kunnen volumesnapshots maken. Een volledige systeemsnapshot met werkgeheugen is echter typisch iets van een gevirtualiseerde omgeving. Voor fysieke OT-systemen blijft een image-back-up het gebruikelijke terugvalpunt.

📌 Samengevat

Een snapshot bevriest de toestand van een VM of volume en houdt latere wijzigingen apart bij. Daardoor kunt u binnen minuten terug na een mislukte update of configuratiewijziging. In OT-omgevingen is dat waardevol voor SCADA-servers, historians en engineering stations. Houd snapshots wel kort (richtlijn 72 uur), kies applicatie-consistente varianten voor databases en beveilig het hypervisorbeheer.

Een snapshot is een snel en tijdelijk terugvalpunt vóór een wijziging, maar nooit een vervanging voor een gescheiden, geteste en bij voorkeur immutable back-up.