Wat is SPAN?
SPAN (Switched Port Analyzer), ook wel port mirroring genoemd, is een functie van een managed switch die het verkeer van één of meer bronpoorten of VLAN’s kopieert naar een aparte monitorpoort, zodat een analyser of sensor dat verkeer kan bekijken zonder zelf deel te nemen aan de communicatie. De naam SPAN komt van Cisco; andere leveranciers, waaronder fabrikanten van industriële switches, noemen dezelfde functie port mirroring. In OT-netwerken is SPAN de goedkoopste en snelste manier om communicatie tussen PLC’s, HMI’s en SCADA-systemen zichtbaar te maken voor Wireshark, een IDS of een SIEM.
🧠 Hoe werkt SPAN?
Een SPAN-sessie bestaat altijd uit drie onderdelen die de beheerder op de switch instelt:
- Bron - één of meer poorten of een volledig VLAN waarvan het verkeer gekopieerd moet worden
- Richting - alleen ontvangen verkeer (rx), alleen verzonden verkeer (tx) of beide; op de meeste switches is “beide” de standaard
- Bestemming - de monitorpoort waarop de analyser of sensor voor monitoring is aangesloten
De switch maakt in hardware van elk frame dat aan de bronvoorwaarden voldoet een kopie en zet die op de monitorpoort. Het originele frame wordt gewoon doorgestuurd, dus de productiecommunicatie merkt er in principe niets van. Op Cisco Catalyst-switches doet de bestemmingspoort tijdens een actieve sessie niet mee aan Spanning Tree en accepteert ze standaard geen inkomend verkeer: het aangesloten apparaat kan dus niets terugsturen het netwerk in.
SPAN is read-only monitoring: u kijkt mee op het netwerk zonder zelf pakketten te versturen naar gevoelige besturingen.
🔧 Welke varianten van SPAN zijn er?
Lokale SPAN werkt binnen één switch. Wilt u verkeer van een switch in de veldkast analyseren op een sensor in de serverruimte, dan zijn er twee uitbreidingen:
| Variant | Werking | Transport | Typisch gebruik in OT |
|---|---|---|---|
| Lokale SPAN | Bron en monitorpoort op dezelfde switch | Geen, de kopie blijft lokaal | Sensor direct naast de core- of distributieswitch |
| RSPAN (Remote SPAN) | Kopie gaat via een apart RSPAN-VLAN over trunks naar een andere switch | Laag 2, geflood VLAN zonder MAC-learning | Meerdere switches op één locatie, één centrale sensor |
| ERSPAN (Encapsulated Remote SPAN) | Kopie wordt in GRE verpakt en via IP gerouteerd | Laag 3, over routers heen | Verspreide locaties, sensor in een ander subnet |
Het aantal sessies is beperkt. Een Cisco Catalyst 9300 ondersteunt bijvoorbeeld maximaal acht bronsessies per switch, waarbij RSPAN- en ERSPAN-bronnen meetellen. ERSPAN Type III voegt een tijdstempel met een resolutie van 100 ns toe, handig wanneer u latency of jitter wilt analyseren. Veel compacte industriële switches ondersteunen alleen lokale port mirroring, vaak met één sessie; controleer dit in de handleiding van het type.
🏭 Waarvoor wordt SPAN in industriële netwerken gebruikt?
- Protocolanalyse - Modbus-, ProfiNET-, S7-, DNP3- of OPC UA-verkeer bekijken met Wireshark bij storingen of inbedrijfstelling
- OT-detectie - een IDS of NDR-platform zoals Nozomi, Claroty of Dragos voeden met een continue kopie van het verkeer
- Asset-inventarisatie - passief een assetinventaris opbouwen, zonder actieve scans die oudere PLC’s kunnen laten vastlopen
- Inbedrijfstelling - BOOTP- en DHCP-gedrag volgen bij het adresseren van nieuwe drives of IO-modules
- Forensisch onderzoek - tijdens een incident verkeer opnemen voor incidentrespons
- Audits en documentatie - vaststellen welke communicatie er werkelijk is, als basis voor netwerksegmentatie en firewallregels
SPAN wordt meestal ingericht op core- of distributieswitches en op de overgangen tussen niveaus van het Purdue Model. Daar komt veel oost-west- en noord-zuidverkeer samen, zodat één sensor veel ziet. Het vormt zo de aftakking voor passieve monitoring.
🔍 Wat is het verschil tussen SPAN en een TAP?
Een TAP is een apart hardwareapparaat dat fysiek in de kabel wordt geplaatst. SPAN is een softwarefunctie van de switch die u al bezit. Beide hebben hun plaats:
| Aspect | SPAN (switch-gebaseerd) | TAP (hardware-gebaseerd) |
|---|---|---|
| Kosten | Geen extra hardware nodig | Aparte TAP per link |
| Installatie | Configuratie via CLI of webinterface, zonder onderbreking | Kabel moet kort worden losgenomen |
| Volledigheid | Foutieve frames (CRC-fouten, runts) worden niet gekopieerd | Passieve TAP kopieert alles, inclusief foutieve frames |
| Gedrag bij drukte | Kopie heeft lagere prioriteit; overschot wordt stil weggegooid | Passieve TAP mist niets; een aggregerende TAP kan wel overlopen |
| Timing | Kopieën kunnen vertraagd of in andere volgorde aankomen | Timing blijft vrijwel origineel |
| Flexibiliteit | Bron snel te wijzigen, ook hele VLAN’s | Vast op één link |
| Gebruik in OT | Ad-hoc analyse en brede monitoring | Kritieke links en forensisch bewijs |
Let op bij koper: een TAP is alleen tot 100 Mbit/s echt passief. Voor gigabit-koper is actieve elektronica nodig, en dan moet de TAP een fail-safe-relais hebben zodat de link bij stroomuitval blijft werken.
📏 Hoe dimensioneert en configureert u een SPAN-poort?
De grootste valkuil is overboeking van de monitorpoort. Een full-duplex link van 1 Gbit/s kan in beide richtingen samen 2 Gbit/s leveren, terwijl de monitorpoort maar 1 Gbit/s kan versturen. Spiegelt u een heel VLAN of meerdere uplinks, dan telt al dat verkeer op. Wat niet past, gooit de switch weg zonder melding, met pakketverlies in uw analyse als gevolg. Een praktische aanpak:
- Meet eerst de bandbreedte van de bronpoorten via SNMP-tellers of de switchstatistieken
- Kies de bron zuinig - liever de uplink van een cel dan alle poorten afzonderlijk, want verkeer tussen twee gespiegelde poorten wordt anders dubbel gekopieerd
- Gebruik een snellere monitorpoort (bijvoorbeeld 10 Gbit/s) als de bron dicht bij de capaciteit zit
- Houd de monitorpoort exclusief - sluit er alleen de sensor op aan en zet hem niet in een productie-VLAN
- Controleer de sensor - vergelijk het aantal ontvangen pakketten met de switchtellers en kijk of TCP-sessies compleet zijn
- Documenteer de sessie in het netwerkontwerp, zodat een monteur de poort niet per ongeluk hergebruikt
In OT-netwerken is het verkeer per cel meestal bescheiden: cyclische ProfiNET-communicatie gebruikt doorgaans maar een fractie van een 100 Mbit/s-link. Het risico zit vooral bij het spiegelen van backbone-links in het industriële Ethernet, ringen met MRP of RSTP, en video- of engineeringverkeer dat pieken veroorzaakt.
🔐 Hoe beveiligt u een SPAN-poort?
Een SPAN-poort ziet al het verkeer van de bron, inclusief wachtwoorden in onversleutelde protocollen. Daarmee is ze een aantrekkelijk doelwit:
- Fysiek - gebruik een gelabelde poort in een afgesloten kast en schakel ongebruikte poorten uit
- Logisch - sluit alleen vertrouwde sensoren aan en configureer de meet-NIC zonder IP-adres, zodat de sensor via de monitorinterface niet bereikbaar is
- Beheer apart - geef de sensor een aparte beheerinterface in een management-VLAN, afgeschermd met ACL’s en een firewall
- Wijzigingen loggen - leg configuratiewijzigingen aan SPAN-sessies vast via Syslog en stuur ze naar het SIEM; een onverwachte nieuwe sessie kan wijzen op een aanvaller die meekijkt
- Datastroom naar IT - moet de kopie naar een centrale OT SOC, overweeg dan een datadiode tussen sensor en IT-netwerk
SPAN is geen beveiligingsmaatregel op zich, maar een hulpmiddel binnen netwerkmonitoring en Defense in Depth.
🇳🇱 Waarom is SPAN relevant voor IEC 62443 en de Cyberbeveiligingswet?
IEC 62443 vraagt in systeemeis SR 6.2 van deel 3-3 om continue monitoring van het besturingssysteem. Voor bestaande installaties met verouderde PLC’s is passieve monitoring via SPAN of TAP vaak de enige praktische manier om daaraan te voldoen. De Cyberbeveiligingswet, van kracht sinds 15 augustus 2026 als Nederlandse uitwerking van NIS2, verplicht essentiële en belangrijke entiteiten om passende maatregelen te nemen en significante incidenten te melden. Wie incidenten tijdig wil herkennen en onderbouwen, heeft zicht op het OT-verkeer nodig, en een SPAN-poort is daarvoor meestal het eerste aftakpunt.
❓ Veelgestelde vragen
Is SPAN hetzelfde als port mirroring?
Ja, SPAN en port mirroring beschrijven dezelfde functie: een switch kopieert verkeer van bronpoorten naar een monitorpoort. SPAN is de term van Cisco, terwijl veel andere switchfabrikanten, ook van industriële switches, de functie port mirroring noemen.
Kan een SPAN-poort het productienetwerk verstoren?
Een correct ingerichte SPAN-sessie verstoort het productieverkeer niet, omdat de switch het originele frame gewoon doorstuurt en de kopie een lagere prioriteit krijgt. Problemen ontstaan vooral door configuratiefouten, zoals een monitorpoort die ook productieverkeer draagt of een RSPAN-VLAN dat over drukke trunks wordt geflood.
Waarom mist mijn analyser pakketten op de SPAN-poort?
Een SPAN-poort mist pakketten wanneer er meer verkeer gespiegeld wordt dan de monitorpoort kan versturen, bijvoorbeeld bij beide richtingen van een volle gigabit-link. Daarnaast kopieert SPAN geen frames met CRC-fouten of te korte frames, zodat fysieke kabelproblemen onzichtbaar blijven.
Wanneer kiest u een TAP in plaats van SPAN?
Een TAP is de betere keuze voor kritieke links, voor forensisch onderzoek waarbij elk pakket telt en voor switches zonder port mirroring. SPAN volstaat voor ad-hoc analyse, voor brede monitoring van VLAN’s en wanneer een kabelonderbreking voor het plaatsen van een TAP niet acceptabel is.
Wat is het verschil tussen SPAN, RSPAN en ERSPAN?
Lokale SPAN kopieert verkeer naar een poort op dezelfde switch. RSPAN transporteert de kopie via een apart VLAN naar een andere switch, en ERSPAN verpakt de kopie in GRE zodat die over een gerouteerd IP-netwerk naar een verre sensor kan.
Hebben industriële switches een SPAN-functie?
De meeste managed industriële switches ondersteunen port mirroring, vaak met één lokale sessie en zonder RSPAN of ERSPAN. Onmanaged switches hebben deze functie niet; daar is een TAP of vervanging door een managed switch nodig.
📌 Samengevat
SPAN maakt van een bestaande managed switch een aftakpunt voor analyse en detectie. Het is goedkoop en flexibel, maar kopieert niet alles: foutieve frames ontbreken en bij overboeking verdwijnen pakketten stil. Met goede dimensionering, een exclusieve en afgeschermde monitorpoort en TAP’s op de kritieke links vormt SPAN de basis van passieve OT-monitoring.
SPAN maakt netwerkverkeer zichtbaar zonder in de communicatie in te grijpen, en is daarmee de eerste stap naar monitoring, troubleshooting en forensisch onderzoek in OT-omgevingen waar beschikbaarheid voorop staat.