Supervisory Network

Wat is een Supervisory Network?

Een Supervisory Network is het netwerksegment binnen een industriële OT-architectuur waarin de systemen voor toezicht, bediening en dataverzameling staan, zoals SCADA-servers, operatorstations (HMI), de historian en engineeringstations, en dat deze systemen verbindt met de besturingen in het onderliggende Control Network. Het netwerk beslaat niveau 2 (area supervisory control) en niveau 3 (site operations) van het Purdue Model. Hier kijkt de operator mee, worden alarmen afgehandeld en wordt procesdata bewaard en doorgegeven aan MES en de IT-omgeving.

Het Supervisory Network zit tussen de real-time besturing (PLC’s en IO op niveau 1 en 0) en het bedrijfsnetwerk op niveau 4 en 5. Daarmee is het de plek waar de meeste OT-convergentie samenkomt, en het belangrijkste doelwit van aanvallers die het proces willen raken.

🧠 Hoe werkt een Supervisory Network?

Een Supervisory Network draait om vier stromen:

1. Dataverzameling en visualisatie

• SCADA-servers vragen realtime procesdata op bij PLC’s en DCS-controllers via het Control Network, meestal met pollingintervallen van 0,5 tot enkele seconden
• Operatorstations tonen die data in procesbeelden en trends via SCADA of HMI

2. Commando’s naar de besturing

• De operator wijzigt setpoints of geeft start/stop-opdrachten; de SCADA-server stuurt die naar de PLC via OPC UA (TCP 4840), Modbus (TCP 502) of S7 (TCP 102). De PLC voert de opdracht uit en stuurt de veldapparatuur aan
• Daarnaast worden alarmen volgens alarmmanagement, recepten en batchinformatie beheerd

3. Historie en rapportage

• De historian of een time-series database slaat meetwaarden op voor trending, kwaliteitsregistratie en OEE-rapportage

4. Koppeling naar boven

• MES staat doorgaans zelf op niveau 3; ERP, kantoorgebruikers en cloud-diensten krijgen alleen toegang via een DMZ of IDMZ op niveau 3,5
• De grenzen worden bewaakt met firewalls, industriële switches en VLAN’s

🧱 Welke systemen horen in het Supervisory Network?

Veel moderne installaties draaien deze systemen als virtuele machines op een redundant cluster (zie Virtualisatie). Engineeringstations staan in grotere omgevingen vaak in een apart Engineering Network, omdat zij schrijfrechten op de PLC-logica hebben en dus een hoger risico vormen.

🔄 Wat is het verschil tussen een Supervisory Network en een Control Network?

Beide netwerken hebben segmentatie én toegangsbeheer nodig. Het verschil zit vooral in het platform: het Supervisory Network bestaat uit gewone servers en werkstations en is daardoor kwetsbaar voor dezelfde malware als een kantoornetwerk.

🔐 Hoe beveiligt u een Supervisory Network?

• Segmentatie volgens zones en conduits - plaats het Supervisory Network in een eigen zone en laat verkeer naar het Control Network en de IDMZ alleen via gedefinieerde conduits lopen. IEC 62443-3-2 beschrijft hoe u die zones en conduits bepaalt; IEC 62443-3-3 legt de technische eisen vast onder FR 5 (Restricted data flow), met SR 5.1 (netwerksegmentatie) en SR 5.2 (bescherming van zonegrenzen)
• Geen direct verkeer van niveau 4 naar niveau 2 - NIST SP 800-82 Rev. 3 (september 2023) adviseert alle verkeer tussen bedrijfsnetwerk en OT via een DMZ te laten lopen, met industriële firewalls aan beide kanten
• Eigen OT-domein - gebruik een apart Active Directory-domein voor OT, zonder vertrouwensrelatie met het kantoordomein. Entra ID hoort hooguit bij toegang op afstand via de IDMZ, niet als directe aanmeldbron op niveau 2
• Least privilege - scheid operator-, engineer- en beheeraccounts; geef operators geen beheerrechten op Windows
• Toegang op afstand via een jump server - VPN-sessies eindigen in de IDMZ, met MFA, opname van sessies en tijdelijke toegang
• Beveiligde protocollen - OPC UA met SignAndEncrypt, HTTPS voor webclients en S7 Comm Plus met TLS (pas vanaf TIA Portal V17 en recente firmware), met certificaatbeheer
• Application whitelisting en hardening - op servers die zelden veranderen is whitelisting effectiever dan alleen antivirus
• Logging, audit en SIEM - stuur Windows-, firewall- en SCADA-logs naar een centrale omgeving, aangevuld met passieve netwerkmonitoring

Het Supervisory Network is een belangrijk aanvalsdoelwit: wie een operatorstation overneemt, kan het proces bedienen zonder de PLC te hacken.

⚠️ Welke aanvallen raakten het Supervisory Network?

• Stuxnet (ontdekt in 2010) - besmette Windows-engineeringstations met Step 7 en misbruikte een hardgecodeerd wachtwoord van de WinCC-database om andere SCADA-servers te infecteren. Vanaf het engineeringstation werd de PLC-logica gemanipuleerd
• Oekraïne, 23 december 2015 - aanvallers met vooraf buitgemaakte inloggegevens bedienden via VPN met software voor beheer op afstand of de eigen SCADA-clients van drie distributiebedrijven op afstand de schakelaars, waardoor ongeveer 225.000 klanten zonder stroom kwamen te zitten. Daarna wisten zij systemen met KillDisk en schakelden zij de UPS van servers uit
• Colonial Pipeline (mei 2021) - de ransomware trof alleen IT, maar de pijpleiding werd uit voorzorg stilgezet. Het laat zien dat een IT-incident de productie kan stilleggen, ook als het Supervisory Network zelf niet besmet is, zolang onduidelijk is of de scheiding tussen IT en OT werkelijk standhoudt

🔧 Hoe richt u een Supervisory Network in?

1. Inventariseer - breng alle servers, clients en datastromen tussen niveau 1, 2, 3 en 4 in kaart
2. Deel in - wijs elk systeem een Purdue-niveau en een zone toe en bepaal per zone een security level
3. Scheid - zet minimaal een eigen VLAN met firewall tussen Control Network en Supervisory Network, en bouw een IDMZ richting IT. Dit sluit aan bij Segmentatie en Netwerksegmentatie
4. Maak redundant - SCADA-servers in een redundant paar, dubbele switches en een ring (zie Redundantie), zodat een storing niet tot verlies van zicht op het proces leidt
5. Synchroniseer tijd - gebruik een interne NTP-bron, zodat alarmen, historian-data en logs dezelfde tijd hebben
6. Beheer - test patches eerst op een testomgeving, maak offline back-ups van servers en projectbestanden, en oefen het herstel

In Nederland valt het Supervisory Network van essentiële en belangrijke entiteiten onder de zorgplicht van de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden. De wet vraagt passende maatregelen voor de beveiliging van netwerk- en informatiesystemen; een gedocumenteerde scheiding tussen IT, supervisory en control is een van de concreetste manieren om dat aan te tonen.

❓ Veelgestelde vragen

Op welk Purdue-niveau zit het Supervisory Network?

Het Supervisory Network beslaat niveau 2 en niveau 3 van het Purdue Model. Op niveau 2 staan SCADA, HMI en engineeringstations voor toezicht op een procesgebied, op niveau 3 de historian, MES en sitebrede diensten zoals domeincontrollers en tijdservers.

Is het Supervisory Network hetzelfde als het OT-netwerk?

Nee, het Supervisory Network is een onderdeel van het OT-netwerk. Het OT-netwerk omvat ook het Control Network op niveau 0 en 1, terwijl het Supervisory Network alleen de toezicht- en operations-laag op niveau 2 en 3 beslaat. De IDMZ op niveau 3,5 vormt de buffer tussen het OT-netwerk en het bedrijfsnetwerk.

Mag een SCADA-server rechtstreeks met het kantoornetwerk communiceren?

Een SCADA-server in het Supervisory Network hoort niet rechtstreeks met het kantoornetwerk te communiceren. Verkeer tussen IT en OT loopt via een IDMZ, bijvoorbeeld via een historian-replica of een jump server, zodat er geen directe verbinding bestaat tussen niveau 4 en niveau 2.

Hoort het engineeringstation in het Supervisory Network?

In kleinere installaties staat het engineeringstation in het Supervisory Network op niveau 2. Grotere organisaties plaatsen engineeringstations vaak in een apart Engineering Network, omdat ze PLC-logica kunnen wijzigen en dus strenger beveiligd moeten worden dan operatorstations.

Waarom is het Supervisory Network zo kwetsbaar?

Het Supervisory Network bestaat grotendeels uit Windows-servers en werkstations, die vatbaar zijn voor dezelfde malware en ransomware als kantoorsystemen. Bovendien kan een aanvaller via een overgenomen operatorstation het proces bedienen zonder de PLC zelf aan te vallen, zoals in Oekraïne in 2015 gebeurde.

Welke normen gelden voor het Supervisory Network?

Voor het Supervisory Network is IEC 62443 de belangrijkste norm, met deel 3-2 voor de indeling in zones en conduits en deel 3-3 voor de technische eisen per security level. NIST SP 800-82 geeft aanvullende praktische richtlijnen voor OT-netwerkarchitectuur.

📌 Samengevat

Het Supervisory Network is de toezichtlaag op niveau 2 en 3 van het Purdue Model, waar SCADA, HMI, historian en MES procesdata verzamelen, tonen en bewaren, en waar operators het proces bedienen.

Omdat het netwerk uit standaard servers en werkstations bestaat en tussen IT en de besturing in zit, is het een geliefd doelwit. Goede segmentatie met zones en conduits, een eigen OT-domein, toegang via een jump server en continue monitoring zijn cruciaal voor de veiligheid en betrouwbaarheid van de OT-infrastructuur in de industriële automatisering.