Spoofing

Wat is spoofing?

Spoofing is een verzamelterm voor aanvallen waarbij een aanvaller zich voordoet als een vertrouwd apparaat, gebruiker of dienst door een identiteitskenmerk te vervalsen, zoals een MAC-adres, IP-adres, DNS-antwoord, afzender of protocolbericht. Het doel is misleiding: het slachtoffer accepteert verkeer, opdrachten of meetwaarden omdat ze van een bekende bron lijken te komen. In OT-netwerken kan spoofing leiden tot datavervalsing, ongeautoriseerde aansturing van apparatuur en het ondermijnen van netwerkbeveiliging, vaak zonder dat de operator iets merkt.

🧠 Hoe werkt spoofing?

Elk netwerk vertrouwt op kenmerken die zeggen wie iets verstuurt: een MAC-adres op laag 2, een IP-adres op laag 3, een domeinnaam in DNS of een stationsadres in een industrieel protocol. Zolang zo’n kenmerk niet cryptografisch is beschermd, kan een aanvaller het gewoon invullen. Spoofing is dus geen inbraak in de klassieke zin, maar misbruik van vertrouwen dat nooit is gecontroleerd.

In de kantoor-IT is dat risico grotendeels afgedekt met versleutelde verbindingen (TLS), certificaten en sterke authenticatie. In de industriële automatisering ligt dat anders. Veel protocollen stammen uit een tijd van gesloten seriële netwerken: Modbus (1979), DNP3 en klassieke S7comm accepteren elk bericht dat het juiste formaat en adres heeft. Een PLC kan niet zien of een schrijfopdracht van de echte SCADA-server komt of van een laptop die op een vrije switchpoort is aangesloten.

Spoofing is daarom vaak de eerste stap van een grotere aanval. Wie zich als gateway voordoet, zit tussen twee partijen in (Man-In-The-Middle); wie zich als engineeringstation voordoet, kan opdrachten sturen; wie meetwaarden vervalst, kan een operator laten geloven dat alles normaal is.

🔧 Welke soorten spoofing komen voor in OT?

E-mail-spoofing lijkt een IT-probleem, maar is in de praktijk een veelgebruikte route naar OT: een vervalste mail “van de leverancier” met een nieuwe firmwareversie of een verzoek om externe toegang is een klassiek begin van social engineering.

🏭 Waarom zijn industriële protocollen zo vatbaar voor spoofing?

De meeste veldbus- en controllerprotocollen zijn ontworpen voor betrouwbaarheid en snelheid, niet voor authenticatie. Inmiddels bestaan voor de belangrijkste protocollen beveiligde varianten, maar die zijn in bestaande installaties nog zeldzaam.

Twee kanttekeningen. Ten eerste werkt een beveiligde variant alleen als beide kanten hem ondersteunen en de oude variant daarna wordt uitgeschakeld. Ten tweede vraagt elke certificaatoplossing om certificaatbeheer; een verlopen certificaat in een onderstation is een beschikbaarheidsrisico.

🎯 Welke OT-scenario’s zijn het meest realistisch?

Het bekendste voorbeeld van het laatste scenario is Stuxnet. De malware nam volgens de analyse van Ralph Langner ongeveer 21 seconden aan normale sensorwaarden op en speelde die tijdens de sabotage steeds opnieuw af, zodat operators en bewakingssystemen een gezond proces zagen. Dat is een combinatie van spoofing en een replay-aanval.

MITRE ATT&CK for ICS beschrijft dit soort gedrag sinds versie 19 (april 2026) onder Unauthorized Message (T1692), met de subtechnieken Command Message (valse opdrachten) en Reporting Message (valse meldingen en meetwaarden). Daarnaast staat Adversary-in-the-Middle als aparte techniek in de matrix.

🔄 Wat is het verschil tussen spoofing, replay en man-in-the-middle?

De drie overlappen: spoofing is meestal het middel om in de middelste positie te komen, en replay is een vorm van spoofing met echte, maar verouderde berichten. Daarom beschermen dezelfde maatregelen vaak tegen alle drie: authenticatie met volgnummers of tijdstempels en integriteitscontrole.

🛡️ Hoe beschermt u een OT-netwerk tegen spoofing?

Let op de grenzen. MAC-filtering en port security alleen houden een aanvaller niet tegen die het MAC-adres van een uitgeschakeld of losgekoppeld apparaat overneemt; 802.1X met certificaten wel. Omdat 802.1X alleen bij het opkomen van de poort authenticeert, kan een aanvaller met een hub of tap achter een geauthenticeerd apparaat nog meeliften; MACsec (IEEE 802.1AE) sluit dat gat door elk frame op de verbinding cryptografisch te beschermen. Voor IP-spoofing aan de rand van het netwerk geldt ingress filtering volgens BCP 38 (RFC 2827, mei 2000): een router accepteert alleen bronadressen die bij het aangesloten netwerk horen.

In IEC 62443-3-3 vallen de anti-spoofingeisen vooral onder SR 1.2 (identificatie en authenticatie van softwareprocessen en apparaten, vanaf security level 2) en SR 3.1 (integriteit van communicatie). Wie een zone op SL 2 of hoger ontwerpt, moet dus aantonen dat apparaten elkaar kunnen herkennen en dat berichten onderweg niet ongemerkt veranderen.

🔍 Hoe detecteert u spoofing?

• ARP-bewaking - signaleert een IP-adres dat plotseling bij een ander MAC-adres hoort, of twee apparaten met hetzelfde adres
• IDS/IPS - systemen zoals Suricata herkennen bekende aanvalspatronen; een netwerkmonitor als Zeek legt alle ARP-, DNS- en protocolverkeer vast voor analyse
• Passieve OT-monitoring - leert de normale communicatierelaties (welke HMI praat met welke PLC, met welke functiecodes) en alarmeert bij een nieuwe afzender
• Netwerkmonitoring - visualiseert afwijkingen in verkeerspatronen, zoals een nieuw apparaat of een onbekend apparaat op een switchpoort
• SIEM - verzamelt en correleert spoofinggerelateerde logs van switches (DAI-drops, port security-violations) en firewalls
• Procesplausibiliteit - vergelijk meetwaarden met fysieke verwachtingen; een sensor die exact hetzelfde patroon blijft herhalen is verdacht

Een actuele asset-inventaris is de basis: zonder lijst van bekende MAC- en IP-adressen is een vervalst apparaat niet te onderscheiden van een legitiem apparaat.

🛠️ Hoe pakt u spoofing stapsgewijs aan?

1. Inventariseer alle apparaten met MAC-adres, IP-adres, switchpoort en communicatierelaties.
2. Segmenteer het netwerk in zones en conduits, zodat spoofing binnen één zone blijft.
3. Schakel switchfuncties in die al aanwezig zijn op een managed switch: port security, DHCP Snooping, Dynamic ARP Inspection en IP Source Guard. Gebruik statische bindingen voor apparaten met een vast IP-adres, want de meeste PLC’s gebruiken geen DHCP.
4. Voer 802.1X of NAC in waar de apparaten het ondersteunen, en MAB (MAC Authentication Bypass) met strikte VLAN-toewijzing waar dat niet kan.
5. Kies beveiligde protocolvarianten bij vervanging of uitbreiding: OPC UA met SignAndEncrypt, Modbus/TCP Security, DNP3 SAv5.
6. Bewaak met passieve monitoring en stuur alarmen naar het OT SOC of SIEM.
7. Test periodiek in een testomgeving of tijdens onderhoud of de maatregelen ARP- en IP-spoofing daadwerkelijk blokkeren.

In Nederland is dit geen vrijblijvende keuze meer. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, is sinds 15 augustus 2026 van kracht en verplicht essentiële en belangrijke entiteiten tot passende maatregelen voor netwerkbeveiliging en toegangsbeheer. Anti-spoofingmaatregelen op laag 2 en 3 zijn daar een concrete, aantoonbare invulling van.

❓ Veelgestelde vragen

Is spoofing hetzelfde als hacken?

Spoofing is één specifieke techniek binnen hacken: de aanvaller doet zich voor als een vertrouwde bron door een adres of afzender te vervalsen. Spoofing is vaak de eerste stap, waarna een man-in-the-middle-aanval, datamanipulatie of het sturen van valse opdrachten volgt.

Kan een PLC zien dat een opdracht gespooft is?

Een PLC met een klassiek protocol zoals Modbus TCP of S7comm kan een gespoofte opdracht niet herkennen, omdat het protocol geen authenticatie kent. Alleen met beveiligde varianten zoals OPC UA met ondertekening, Modbus/TCP Security of DNP3 Secure Authentication kan de controller de afzender controleren.

Helpt MAC-filtering tegen spoofing?

MAC-filtering helpt beperkt tegen spoofing, omdat een aanvaller een toegestaan MAC-adres eenvoudig kan kopiëren van een apparaat dat uit staat of is losgekoppeld. Combineer MAC-filtering daarom met 802.1X, Dynamic ARP Inspection en monitoring die dubbele of verplaatste MAC-adressen signaleert.

Wat is het verschil tussen ARP-spoofing en IP-spoofing?

ARP-spoofing vervalst de koppeling tussen IP- en MAC-adres binnen een lokaal netwerk, zodat verkeer via de aanvaller loopt. IP-spoofing vervalst het bron-IP-adres in pakketten zelf, vaak om firewallregels te omzeilen of om eenzijdige opdrachten via UDP te versturen.

Is GPS-spoofing een risico voor industriële installaties?

GPS-spoofing is een reëel risico voor installaties die hun tijd uit GNSS halen, zoals onderstations en netwerken met PTP-grandmasters. Een gespoofte tijdbron verschuift ongemerkt de klok, waardoor de gebeurtenisvolgorde, logging en certificaatcontrole onbetrouwbaar worden.

Welke norm stelt eisen aan bescherming tegen spoofing in OT?

IEC 62443-3-3 stelt de belangrijkste eisen tegen spoofing in OT, met name SR 1.2 voor de authenticatie van apparaten en softwareprocessen en SR 3.1 voor de integriteit van communicatie. Voor energienetten vult IEC 62351 dit aan met beveiliging van protocollen als IEC 61850 en DNP3.

📌 Samengevat

Spoofing is een fundamentele dreiging in OT-netwerken, omdat industriële systemen vertrouwen op adressen en berichten die zelden worden gecontroleerd. Door identiteit af te dwingen met 802.1X en switchbeveiliging, beveiligde protocolvarianten te kiezen en verkeer passief te bewaken, voorkomt u dat systemen worden misleid of overgenomen.