Wat is Tenable OT?
Tenable OT is een cybersecurityplatform van het Amerikaanse bedrijf Tenable dat industriële netwerken in kaart brengt, kwetsbaarheden van PLC’s, SCADA-systemen en andere OT-assets zichtbaar maakt en verdacht gedrag in ICS-omgevingen detecteert, door passieve netwerkmonitoring te combineren met gerichte, protocolbewuste actieve queries. Het product is ontstaan uit de overname van het Israëlische Indegy in 2019 en heette eerst Tenable.ot, daarna Tenable OT Security en in de recente documentatie Tenable One OT Exposure. Het wordt ingezet in onder meer energie, water, farmacie, chemie, maakindustrie en gebouwautomatisering, naast HMI’s, DCS-omgevingen en embedded apparaten.
🧠 Wat doet Tenable OT?
Tenable OT richt zich op drie vragen die elke OT-securityaanpak eerst moet beantwoorden: wat staat er in het netwerk, hoe kwetsbaar is het en wat gebeurt er nu. Het platform bundelt daarvoor:
- Asset Discovery en Asset Inventory - automatische herkenning van controllers, RTU’s, IED’s, historians, engineering stations, switches en ook IT- en IoT-apparaten in het OT-netwerk
- Vulnerability Management - koppeling van gevonden firmware- en softwareversies aan bekende CVE’s en advisories
- Dreigingsdetectie - policies die configuratiewijzigingen, afwijkend netwerkverkeer en aanvalssignaturen melden
- Netwerkvisualisatie - een kaart van wie met wie communiceert, als basis voor Netwerksegmentatie
Naast IP- en MAC-adressen legt het platform per asset onder meer leverancier, model, firmwareversie, serienummer, rack- en slotpositie en protocolrol vast. Die gegevens vormen de basis voor Asset Management, synchronisatie met een CMDB en risicobeoordelingen.
Tenable OT is daarmee een monitoring- en zichtbaarheidsplatform, vergelijkbaar met Claroty, Nozomi en Dragos. Het blokkeert zelf geen verkeer.
🔧 Uit welke componenten bestaat Tenable OT?
De architectuur volgt de opbouw van een industrieel netwerk volgens het Purdue Model:
| Component | Functie | Plaats in het netwerk |
|---|---|---|
| Sensor | Klein apparaat dat verkeer op een segment opvangt, comprimeert en doorstuurt; vanaf versie 3.14 kan een sensor ook actieve queries versturen | Op SPAN-poorten of TAP’s, maximaal één per managed switch |
| Industrial Core Platform (ICP) | Centrale appliance die netwerkdetectie en Active Query uitvoert en de assetdatabase bijhoudt | In het OT Netwerk of een beheerzone |
| Enterprise Manager (EM) | Overkoepelend beheer en rapportage over meerdere ICP’s en locaties | On-premises appliance of virtuele machine in private of publieke cloud |
| Tenable One / Security Center | Samenvoegen van OT-assets en -bevindingen met IT-kwetsbaarheden en risicoscores | IT-omgeving, vaak via de IDMZ |
Tenable biedt een cloud-, on-premises- en hybride model. On-premises past bij afgeschermde of air-gapped OT-netwerken; de cloudvariant geeft centraal overzicht over veel locaties. Gebeurtenissen gaan via Syslog of API’s naar een SIEM of SOC, gebruikersbeheer kan via Active Directory (LDAP) en de Enterprise Manager ondersteunt single sign-on via SAML, bijvoorbeeld met Entra ID. Zo sluit het platform aan op het bestaande IAM-beleid van de organisatie.
🔍 Hoe combineert Tenable OT passieve monitoring en Active Query?
Tenable OT wordt vaak als puur passief omschreven, maar dat klopt niet. De kracht van het product, en de reden van de Indegy-overname, is juist de combinatie van twee technieken.
Passieve monitoring leest kopieën van het netwerkverkeer en ontleedt industriële protocollen zoals Modbus TCP, Ethernet IP, ProfiNET, BACnet, DNP3, IEC 60870-5-104, OPC UA, S7 Comm en S7 Comm Plus. Zo ziet het platform welke apparaten actief zijn, welke rollen ze hebben en wanneer een engineering station een programma naar een PLC downloadt.
Active Query stuurt gerichte, leesbare verzoeken in het eigen protocol van het apparaat, bijvoorbeeld om firmwareversie, serienummer, backplane- en modulegegevens op te vragen. Deze techniek komt van Indegy, dat er een patent op had, en Tenable presenteert haar als veilig en niet-verstorend. Het voordeel: ook stille apparaten die zelden communiceren, of modules achter een backplane, komen in de inventaris. Daarnaast kunnen projectbestanden van PLC’s, SCD/ACD-bestanden en CSV-lijsten worden ingelezen om de inventaris te verrijken.
Een gewone IT-scanner is iets anders. Vanuit de console kan wel een Nessus-scan op geselecteerde Windows- en netwerkapparaten worden gestart, standaard met maximaal 5 hosts tegelijk, 2 checks per host en een time-out van 15 seconden. Tenable adviseert zelf om Nessus niet op OT-apparaten te gebruiken, omdat het de normale werking kan verstoren.
🛡️ Welke dreigingen detecteert Tenable OT?
Detectie loopt via policies, ingedeeld in vier families:
| Policycategorie | Wat wordt gedetecteerd | Voorbeeld |
|---|---|---|
| Configuration Events | Activiteiten op controllers (Controller Activities, Controller Validation) | Nieuwe logic-download, firmwarewijziging, PLC in stop-modus |
| Network Events | Nieuwe assets en afwijkende communicatiestromen | Onbekende engineering laptop, IT-systeem praat met een PLC |
| SCADA Events | Wijzigingen van procesparameters | Een setpoint dat buiten zijn normale bereik wordt gezet |
| Network Threats | Bekende aanvalspatronen op basis van Suricata-signaturen | Poortscans, bekende ICS-malware, exploitpogingen |
Policies kunnen tijdvensters bevatten, zodat bijvoorbeeld een programmawijziging buiten een onderhoudsvenster als kritiek wordt gemeld. Detecties worden gekoppeld aan MITRE ATT&CK for ICS en getoond in een heatmap, zodat een SOC ze in vertrouwde termen kan classificeren. Verdachte RDP-sessies naar HMI’s of nieuwe externe verbindingen naar controllers zijn typische voorbeelden.
📊 Hoe prioriteert Tenable OT kwetsbaarheden?
OT-kwetsbaarheidsbeheer verschilt van IT: assets draaien vaak twintig jaar of langer, patches vragen leveranciersgoedkeuring en elke herstart raakt de productie. Tenable OT correleert gevonden versies met CVE’s, CISA ICS-advisories en vendor advisories en scoort ze met de eigen Vulnerability Priority Rating (VPR), die naast CVSS meeweegt of een kwetsbaarheid in de praktijk wordt misbruikt. Daarnaast telt de kritikaliteit die u zelf aan een asset toekent.
Typische bevindingen:
- Verouderde firmware - end-of-life PLC-firmware zonder updates
- Onveilige protocollen en services - onversleuteld Modbus, open FTP of Telnet
- Standaardwachtwoorden - fabrieksaccounts op HMI’s en switches
- Ongepatchte Windows-systemen - oude HMI- en historianservers
- Onbedoelde verbindingen - directe paden van IT naar OT
Omdat veel bevindingen niet direct te patchen zijn, is het resultaat vooral input voor Patchmanagement, compenserende maatregelen en de risicobeoordeling.
🧭 Hoe zet u Tenable OT stap voor stap in?
Een gangbare aanpak bij een productielocatie met Siemens- of Rockwell Automation-controllers:
- Netwerk in kaart brengen - bepaal welke switches en segmenten (cel, supervisie, IDMZ) gemonitord moeten worden en waar SPAN of TAP mogelijk is.
- Passief starten - laat het platform enkele weken alleen meeluisteren om een baseline van normaal verkeer en assets op te bouwen.
- Active Query gefaseerd aanzetten - eerst in een test- of onderhoudsvenster, per segment en querytype, in overleg met de procesverantwoordelijke en de leverancier.
- Kritikaliteit toekennen - markeer assets die veiligheid of productie direct raken, zoals een SIS of hoofd-PLC.
- Policies afstemmen - stel onderhoudsvensters in en filter ruis, zodat het SOC niet verdrinkt in meldingen.
- Koppelen - stuur events naar SIEM en SOAR, synchroniseer assets met de CMDB en voeg Threat Intelligence toe.
- Maatregelen nemen - gebruik de communicatiekaart voor zones en conduits, scherp Firewall-regels aan en beperk externe toegang.
🌐 Wat brengt de communicatiekaart in de praktijk aan het licht?
In oudere OT-netwerken laat de eerste communicatiekaart vrijwel altijd verrassingen zien. Typische bevindingen in een fabriek met Siemens-PLC’s, SCADA-servers, historians en onderhoudsverbindingen van leveranciers:
| Bevinding | Risico | Vervolgmaatregel |
|---|---|---|
| Plat netwerk zonder zonering | Eén besmette HMI bereikt alle controllers | Zones met VLAN’s en firewalls, waar nodig Microsegmentatie |
| Onbekende engineering laptops | Ongeautoriseerde logicwijzigingen | Vaste engineering stations, melding bij nieuwe assets |
| Open SMB-shares op HMI’s | Verspreiding van ransomware | Shares sluiten, Application Whitelisting invoeren |
| Leveranciersverbinding buiten onderhoudsvenster | Ongecontroleerde externe toegang | Toegang via een beheerde jump host, alleen op afspraak |
| Ongebruikte protocollen tussen zones | Onnodig aanvalsoppervlak | Firewallregels inperken tot wat operationeel nodig is |
Ook schaduw-OT komt zo boven water: apparaten die ooit door een leverancier of monteur zijn geplaatst en in geen enkele inventaris staan. Door eerst de werkelijke stromen te meten en daarna pas regels aan te scherpen, verkleint u het aanvalsoppervlak zonder dat de productie onverwacht stilvalt.
🔐 Hoe ondersteunt Tenable OT IEC 62443 en de Cyberbeveiligingswet?
Een actuele assetinventaris en continue monitoring zijn eisen in vrijwel elk OT-kader. Binnen IEC 62443 gaat het onder meer om de componentinventaris (SR 7.8) en continue monitoring (SR 6.2) uit IEC 62443-3-3, en om het beheer van conduits tussen zones. Tenable levert ook rapportages voor NERC CIP, NIST CSF, NIST SP 800-82 en ISO 27001.
In Nederland is de Cyberbeveiligingswet, de uitwerking van NIS2, sinds 15 augustus 2026 van kracht. De zorgplicht vraagt om inzicht in uw systemen en risico’s, en de meldplicht vereist dat u incidenten snel herkent. Een platform als Tenable OT helpt daarbij, maar is geen complete compliance-oplossing: governance, processen, Defense in Depth en Zero Trust-principes blijven organisatorisch werk.
🔄 Wat is het verschil met een traditionele IT-scanner?
| Aspect | Traditionele IT-scanner | Tenable OT |
|---|---|---|
| Techniek | Actief scannen van poorten en services | Passief meeluisteren plus gerichte queries in het eigen protocol |
| Kennis van OT-protocollen | Beperkt | Diepgaand (S7, CIP, Modbus, DNP3 en meer) |
| Risico voor PLC’s | Kan storingen of herstarts veroorzaken | Laag, mits queries gefaseerd en getest worden ingezet |
| Detectie van logicwijzigingen | Nee | Ja |
| Procescontext | Nee | Kritikaliteit, rollen, setpoints |
| Gebruikt in | Kantoor- en datacenternetwerk | ICS-, SCADA- en DCS-netwerken |
⚠️ Wat zijn de beperkingen van Tenable OT?
- Geen actieve bescherming - het platform vervangt geen Industrial Firewall, IPS, NAC, EDR of veiligheidsinstrumentatie; het kan wel firewallregels laten aanpassen via integraties.
- Afhankelijk van netwerkdekking - zonder goede SPAN- of TAP-aansluiting op elk relevant segment ontstaan blinde vlekken, zeker bij serieel verkeer en veldbussen.
- Legacy-protocollen - oudere protocollen geven weinig metadata prijs, waardoor herkenning grover is.
- Opvolging kost capaciteit - zonder OT-kennis in het SOC of een OT SOC blijven meldingen liggen.
📈 Welke rol speelt Tenable OT in IT/OT-convergentie?
Binnen IT OT Convergentie brengt Tenable OT de OT-assets in hetzelfde risicobeeld als IT. Via Tenable One worden OT-assets, kwetsbaarheden en vanaf versie 4.4 ook policy-overtredingen met ATT&CK-technieken gesynchroniseerd naar één exposure-overzicht. Zo ontstaat één gezamenlijke monitoring van IT en OT en krijgt enterprise-security de OT-context die het mist: welke PLC kritiek is, welke onderhoudsvensters gelden en welke protocollen operationeel nodig zijn. Dat helpt OT-engineers, IT-securityteams, netwerkbeheerders en compliance-afdelingen dezelfde taal te spreken, terwijl beschikbaarheid en veiligheid in de fabriek voorop blijven staan.
❓ Veelgestelde vragen
Is Tenable OT volledig passief?
Nee, Tenable OT combineert passieve netwerkmonitoring met Active Query, gerichte leesverzoeken in het eigen protocol van een apparaat. Active Query is optioneel: u schakelt het per netwerksegment in en kunt afzonderlijke querytypes aan- of uitzetten. Veel organisaties beginnen daarom passief en zetten de queries later gefaseerd aan.
Wat is het verschil tussen Tenable OT en Nessus?
Nessus is de klassieke actieve kwetsbaarheidsscanner van Tenable voor IT-systemen. Tenable OT is gebouwd voor industriële netwerken en gebruikt passieve analyse en protocolbewuste queries. Tenable raadt zelf af om Nessus op OT-apparaten zoals PLC’s te gebruiken.
Waar komt Tenable OT vandaan?
Tenable OT is ontstaan uit de overname van het Israëlische OT-securitybedrijf Indegy, die Tenable op 2 december 2019 aankondigde voor 78 miljoen dollar. Het product heette daarna Tenable.ot en later Tenable OT Security. In de recente documentatie heet het Tenable One OT Exposure.
Welke concurrenten heeft Tenable OT?
De bekendste alternatieven voor Tenable OT zijn Claroty, Nozomi Networks, Dragos en Microsoft Defender for IoT. Ze bieden allemaal OT-assetinventaris, kwetsbaarheidsinzicht en dreigingsdetectie, met verschillen in detectietechniek, threat intelligence en integratie. Tenable onderscheidt zich vooral door de koppeling met zijn eigen IT-kwetsbaarheidsplatform.
Kan Tenable OT draaien in een air-gapped netwerk?
Ja, Tenable OT kan volledig on-premises worden geïnstalleerd met sensoren, een Industrial Core Platform en eventueel een Enterprise Manager. Er is dan geen cloudverbinding nodig. Kwetsbaarheidsupdates moeten in dat geval wel gecontroleerd worden aangevoerd.
Helpt Tenable OT bij de Cyberbeveiligingswet?
Tenable OT ondersteunt de zorgplicht en de meldplicht uit de Cyberbeveiligingswet met een actuele assetinventaris, kwetsbaarheidsinzicht en continue detectie. De wet vraagt echter ook om risicomanagement, governance en incidentprocessen. Tenable OT is daarom een hulpmiddel en geen volledige compliance-oplossing.
📌 Samengevat
Tenable OT geeft u zicht op uw industriële assets, kwetsbaarheden en verdachte activiteiten door passieve monitoring te combineren met veilige, protocolbewuste Active Queries. Met sensoren, een Industrial Core Platform en koppelingen naar SIEM, SOC en Tenable One ondersteunt het IEC 62443, NIS2 en de Cyberbeveiligingswet, maar het vervangt geen segmentatie, firewalls of goed ingerichte OT-processen.