TAP

Wat is een TAP?

Een TAP (Test Access Point) is een hardwareapparaat dat fysiek in een netwerkverbinding wordt geplaatst en een kopie van al het verkeer in beide richtingen doorgeeft aan monitoringapparatuur, zonder zelf pakketten aan het netwerk toe te voegen. Anders dan een SPAN-poort op een switch hangt een TAP niet af van de configuratie of belasting van een netwerkcomponent. Daarom is de TAP in OT-netwerken de voorkeursmethode om kritieke verbindingen permanent te bewaken met een IDS, een NDR-sensor of een analysetool zoals Wireshark.

Een TAP geeft een betrouwbare, volledige kopie van het verkeer voor netwerkmonitoring en forensisch onderzoek, mits u het juiste type kiest en de installatie zorgvuldig plant.

🧠 Hoe werkt een TAP?

Een TAP wordt in de kabel tussen twee apparaten geplaatst, bijvoorbeeld tussen een PLC en een industriële switch. Een klassieke TAP heeft vier poorten:

• Twee netwerkpoorten (A en B) - de bestaande verbinding loopt via deze poorten door de TAP heen.
• Twee monitorpoorten - de ene poort geeft het verkeer van A naar B door, de andere het verkeer van B naar A.

De monitorpoorten zijn eenrichtingsverkeer: de TAP stuurt data naar de monitoringtool, maar accepteert niets terug richting het netwerk. Een gecompromitteerde of verkeerd ingestelde sensor kan het productienetwerk daardoor niet via de TAP bereiken. Dat lijkt op het principe van een datadiode, al is een TAP daar niet voor gecertificeerd.

Omdat beide richtingen apart worden aangeboden, gaat er bij een volle Ethernet-verbinding geen verkeer verloren door een overvolle monitorpoort. Ook frames met een CRC-fout, die een switch normaal weggooit, komen bij de monitoringtool aan. Dat maakt een TAP waardevol bij het zoeken naar pakketverlies, jitter of een slechte bekabeling.

🔄 Welke soorten TAP’s zijn er?

Niet elke TAP is volledig passief. Het type bepaalt wat er gebeurt bij stroomuitval en hoe volledig de kopie is.

Bij een glasvezel-TAP met een splitsing van 70/30 gaat ongeveer 70% van het licht door naar het netwerk en 30% naar de monitorpoort. Typisch betekent dat circa 2 dB extra demping op de netwerkzijde en circa 6 dB op de monitorzijde. Op lange singlemode-verbindingen of oude multimode-vezels moet u nagaan of dat binnen het optische budget past.

🔍 Wat is het verschil tussen een TAP en SPAN?

Bij een volle link telt de bandbreedte van beide richtingen op, wat SPAN kwetsbaar maakt. In de praktijk combineren veel organisaties beide: TAP’s op de belangrijkste verbindingen, SPAN waar een TAP te duur of onpraktisch is. Een managed switch met SPAN is vaak al aanwezig, terwijl een TAP per link moet worden aangeschaft en ingebouwd.

🏭 Waar plaatst u een TAP in een industrieel netwerk?

Een TAP hoort op verbindingen waar veel relevant verkeer samenkomt. Typische aftakpunten zijn:

• Tussen SCADA en de controllers - hier ziet u Modbus TCP-, ProfiNET- en OPC UA-verkeer, inclusief schrijfacties naar PLC’s.
• Op de uplink van een cel of zone - één TAP op de verbinding naar de bovenliggende laag geeft zicht op een hele zone uit het Purdue Model, meestal op niveau 1 tot 3.
• Bij de overgang IT/OT - rond de firewall naar de DMZ, om te zien wat een conduit werkelijk doorlaat.
• Op redundante netwerken - bij PRP lopen twee onafhankelijke netwerken parallel; een TAP op beide paden laat zien of de frames op beide netwerken aankomen. Bij HSR loopt het verkeer in een ring, wat het aftakpunt kritischer maakt.

Het doel is meestal een continu beeld voor passieve monitoring: welke apparaten communiceren, welke commando’s worden gestuurd en wat afwijkt van de normale baseline. Zo voeden TAP’s ook de asset-inventaris en het OT SOC.

🔧 Hoe richt u TAP-monitoring in de praktijk in?

1. Bepaal de kritieke verbindingen - begin bij de koppelingen tussen SCADA, controllers en de IT/OT-grens. Gebruik de zone-indeling uit uw netwerksegmentatie.
2. Kies het type per link - glasvezel waar mogelijk passief, koper tot 100 Mbit/s passief, gigabit-koper alleen actief met fail-safe.
3. Controleer de faalwijze - bij een actieve koper-TAP sluiten relais bij stroomuitval de verbinding direct door. Fabrikanten noemen schakeltijden van enkele tot tientallen milliseconden. Duurt de onderbreking langer, bijvoorbeeld rond 300 ms, dan onderhandelen de apparaten de link opnieuw en kan een ProfiNET-verbinding met een korte watchdog-tijd afvallen. Voed actieve TAP’s daarom redundant.
4. Plan de inbouw - plaatsen vraagt een korte kabelonderbreking. Doe dat in een stilstand of onderhoudsvenster en test vooraf met de procesverantwoordelijke.
5. Sluit de sensor aan op een apart netwerk - leid de monitorpoorten naar een afzonderlijk monitoringnetwerk of VLAN, niet terug het productienetwerk in. Sluit alleen vertrouwde, beheerde meetapparatuur aan.
6. Verwerk en bewaar de data - stuur meldingen en logs bij voorkeur versleuteld naar een SIEM, bijvoorbeeld via Syslog, en bewaar zo nodig pakketopnames voor incidentonderzoek.
7. Beveilig de TAP fysiek - wie bij een monitorpoort kan, ziet al het verkeer. Plaats TAP’s in afgesloten kasten en registreer ze als asset.

In Nederland vraagt de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is en NIS2 invoert, van essentiële en belangrijke entiteiten dat zij incidenten tijdig kunnen detecteren en melden. IEC 62443-3-3 vraagt met systeemeis SR 6.2 om continue monitoring van het besturingssysteem. Een TAP-netwerk is geen wettelijke eis, maar wel een betrouwbare basis om aan die detectie-eisen te voldoen. Een bekende TAP-fabrikant, Profitap, is gevestigd op de High Tech Campus in Eindhoven.

🔐 Welke beveiligingsrisico’s heeft een TAP zelf?

Een TAP is bedoeld om veiligheid te verhogen, maar introduceert ook aandachtspunten:

• Vertrouwelijkheid - een TAP kopieert alles, ook onversleutelde wachtwoorden en recepten. Behandel monitorpoorten en opgeslagen pakketopnames als gevoelige informatie.
• Fysieke toegang - een onbekende TAP in een kast kan juist een aanvaller dienen. Inventariseer alle TAP’s en controleer kasten periodiek.
• Beschikbaarheid - een actieve TAP is een extra component in de verbinding. Zonder fail-safe-ontwerp en betrouwbare voeding wordt hij een single point of failure.
• Management-interface - sommige actieve TAP’s en packet brokers hebben een beheerpoort. Zet die in een beheernetwerk en wijzig standaardwachtwoorden.

Als onderdeel van Defense in Depth zorgt een goed beheerde TAP-infrastructuur ervoor dat u aanvallen kunt zien zonder het proces te raken.

❓ Veelgestelde vragen

Kan een TAP het OT-netwerk verstoren?

Een passieve TAP voor glasvezel of 10/100 Mbit/s koper voegt geen pakketten toe en heeft geen stroom nodig, dus het risico op verstoring is zeer klein. Een actieve koper-TAP kan bij stroomuitval een korte onderbreking veroorzaken als de fail-safe-relais te traag schakelen. Plaatsen van elke TAP vraagt een korte kabelonderbreking.

Waarom is een TAP betrouwbaarder dan een SPAN-poort?

Een TAP kopieert beide richtingen in hardware en geeft ook foutieve frames door. Een SPAN-poort kan pakketten laten vallen als het gespiegelde verkeer groter is dan de capaciteit van de monitorpoort en geeft corrupte frames meestal niet door. Voor permanente bewaking van kritieke OT-verbindingen heeft een TAP daarom de voorkeur.

Heeft een TAP een IP-adres?

Een passieve TAP heeft geen IP-adres en is onzichtbaar in het netwerk. Ook de monitorpoorten van een actieve TAP hebben geen netwerkadres, maar sommige actieve modellen hebben wel een aparte beheerpoort. Die beheerpoort moet u net zo beveiligen als ander netwerkbeheer.

Wat is een aggregatie-TAP?

Een aggregatie-TAP voegt het verkeer van beide richtingen samen op één monitorpoort, zodat een tool met één netwerkkaart volstaat. Het nadeel is dat het samengevoegde verkeer groter kan zijn dan de poortcapaciteit, waardoor de buffer kan overlopen. Bij de lage belasting van veel OT-netwerken is dat zelden een probleem, maar controleer dit bij drukke uplinks.

Werkt een TAP met PROFINET en industrieel Ethernet?

Een TAP werkt op de fysieke laag en is daardoor protocolonafhankelijk, dus ook geschikt voor PROFINET, EtherNet/IP en Modbus TCP. Let wel op de vertraging die een actieve TAP toevoegt en op het gedrag bij stroomuitval, omdat realtimeprotocollen met korte watchdog-tijden gevoelig zijn voor onderbrekingen. Glasvezel-TAP’s zijn daarom vaak de veiligste keuze op kritieke links.

Hoeveel TAP’s heeft een fabriek nodig?

Het aantal TAP’s hangt af van de netwerkarchitectuur, niet van het aantal apparaten. Vaak volstaan TAP’s op de uplinks van elke zone, de SCADA-verbindingen en de IT/OT-grens, aangevuld met SPAN voor de rest. Een netwerktekening met zones en conduits is het beste startpunt.

📌 Samengevat

Een TAP geeft een volledige, hardwarematige kopie van het netwerkverkeer zonder de communicatie zelf te beïnvloeden. Glasvezel- en 10/100-koper-TAP’s zijn passief, gigabit-koper vraagt een actieve TAP met fail-safe-relais. Samen met SPAN, een IDS en een SIEM vormt de TAP de basis voor betrouwbare OT-monitoring.

Een TAP is de betrouwbaarste manier om kritieke OT-verbindingen permanent en volledig te bewaken, mits u het type en de faalwijze afstemt op het proces.