Wat is USB Control?
USB Control is het geheel aan beleid, technische restricties en monitoring dat bepaalt welke USB-apparaten wanneer, door wie en op welke systemen mogen worden gebruikt, met als doel Malware, datalekken en ongeautoriseerde toegang via USB te voorkomen. In OT-omgevingen is USB vaak nog een onmisbaar kanaal voor Firmware-updates, het overzetten van PLC-projecten, datalogging en onderhoud door leveranciers. Juist daardoor is het ook een van de meest misbruikte routes om een geïsoleerd productienetwerk binnen te komen.
Een USB-stick overbrugt elke air gap. Wie het netwerk goed segmenteert maar USB-poorten openlaat, laat de achterdeur van de fabriek open.
⚠️ Waarom is USB zo riskant in OT?
USB is ontworpen voor gebruiksgemak: het besturingssysteem vertrouwt een aangesloten apparaat standaard en installeert automatisch een driver. Een toetsenbord, netwerkadapter of opslagapparaat wordt zonder vragen geaccepteerd. Daar komt in OT bij dat systemen lang meegaan, vaak niet gepatcht worden en dat externe technici met eigen media werken.
Het Duitse BSI zet het binnenbrengen van malware via verwisselbare media en mobiele systemen als eerste van tien dreigingen in zijn publicatie Industrial Control System Security: Top 10 Bedrohungen und Gegenmaßnahmen 2022. Honeywell meldde in zijn USB Threat Report 2022 dat 52% van de op industriële locaties gevonden dreigingen specifiek was ontworpen om via verwisselbare media te werken, tegen 37% een jaar eerder. In MITRE ATT&CK for ICS heeft deze aanvalsroute een eigen techniek: Replication Through Removable Media (T0847).
| Risico | Voorbeeld in industriële context |
|---|---|
| Malware via USB-opslag | Een besmette stick infecteert een Engineering Station, dat daarna PLC-logica wijzigt |
| Ongeautoriseerde tools | Een engineer start een niet-goedgekeurde analyse- of back-uptool vanaf een stick |
| Datalekken | Recepturen, procesdata of netwerktekeningen worden naar een privéschijf gekopieerd |
| Firmwaremanipulatie | Gemanipuleerde firmware op een stick lijkt legitiem en wordt in een veldapparaat geladen |
| BadUSB / HID-aanval | Een apparaat doet zich voor als toetsenbord en typt in seconden commando’s in |
| Netwerkbrug | Een USB-modem of -netwerkadapter maakt een ongeziene verbinding naar buiten |
🏭 Welke incidenten verliepen via USB?
- Stuxnet (ontdekt in 2010) - verspreidde zich onder meer via USB-sticks met een kwetsbaarheid in Windows-snelkoppelingen (CVE-2010-2568). De worm infecteerde Windows-systemen met Siemens-engineeringsoftware en wijzigde van daaruit de logica van PLC’s, terwijl de HMI normale waarden bleef tonen.
- Agent.btz (2008) - besmette via een USB-stick netwerken van het Amerikaanse ministerie van Defensie. Het opruimen duurde maanden en leidde tot een tijdelijk verbod op USB-opslag.
- Twee Amerikaanse elektriciteitscentrales (2012) - volgens ICS-CERT bracht een externe technicus tijdens een gepland onderhoud via zijn USB-stick malware in het turbinebesturingssysteem van een centrale. Ongeveer tien computers raakten besmet en de herstart liep circa drie weken vertraging op. Bij een tweede centrale werd malware op twee engineeringwerkstations gevonden, ook via USB.
- BadUSB (2014) - onderzoekers van SRLabs toonden op Black Hat aan dat de firmware van USB-controllers kan worden herprogrammeerd. Een gewone stick gedraagt zich dan als toetsenbord of netwerkkaart, en een virusscanner ziet dat niet.
Deze voorbeelden laten zien dat USB-risico niet alleen draait om bestanden, maar ook om het soort apparaat dat zich aanmeldt.
🧠 Wat valt onder USB Control?
USB Control is geen enkel product, maar een combinatie van maatregelen in lagen, in lijn met Defense in Depth.
| Beheersmaatregel | Beschrijving |
|---|---|
| Poorten uitschakelen | Ongebruikte poorten fysiek, via UEFI of via het besturingssysteem uitschakelen |
| Device whitelisting | Alleen specifieke apparaten toestaan op basis van vendor-ID (VID), product-ID (PID) en serienummer; deze waarden zijn wel te vervalsen |
| Klasse-restrictie | Toetsenbord en muis toestaan, maar opslag, netwerkadapters en draadloze dongles blokkeren |
| Read-only modus | Alleen lezen van media toestaan, schrijven blokkeren tegen datalekken |
| Scanstation | Media eerst controleren op een aparte scanzuil voordat ze de OT-zone in mogen |
| EDR / antivirus | Verwisselbare media scannen bij aansluiten, waar de leverancier van het OT-systeem dat ondersteunt |
| SIEM-logging | Elk USB-gebruik registreren met tijd, gebruiker, apparaat-ID en bestanden, en afwijkingen alarmeren |
| Security Awareness | Medewerkers en leveranciers leren waarom gevonden of privé-sticks taboe zijn |
🔧 Hoe implementeert u USB Control technisch?
| Methode | Toepassing | Aandachtspunt |
|---|---|---|
| UEFI/BIOS-instelling | USB-poorten of USB-boot uitschakelen in de firmware van de pc | Blokkeert ook toetsenbord en muis als u alle poorten uitzet |
| Windows Group Policy | Device Installation Restrictions op device-ID of setup-klasse, en Removable Storage Access (lezen/schrijven weigeren) | Werkt ook op oudere, niet-verbonden Windows-systemen |
| AutoRun uitschakelen | Voorkomt dat code automatisch start bij aansluiten | Sinds Windows 7 standaard uit voor USB-sticks, op oudere systemen expliciet controleren |
| Device control in EDR | Toegang per apparaat, gebruiker en actie (lezen, schrijven, uitvoeren), inclusief audit | Microsoft Defender device control ondersteunt bijvoorbeeld geen servers |
| Application Whitelisting | Alleen goedgekeurde programma’s mogen starten, ook niet vanaf een stick | Een sterk vangnet tegen onbekende malware |
| Versleutelde, beheerde sticks | Sticks met hardware-encryptie en registratie, eigendom van het bedrijf | Combineer met encryptie-beleid, zoals BitLocker-verplichting voor schrijven |
| Fysieke sloten | Afsluitbare USB-pluggen, poortblokkers of het verwijderen van poorten | Goedkoop en effectief op HMI’s in de productiehal |
Op systemen die de leverancier beheert, mag u niet altijd zomaar software installeren. Vraag daarom vooraf welke USB-maatregelen en agents de leverancier heeft gevalideerd, zodat u de garantie of ondersteuning niet verliest.
🔐 Wat eisen IEC 62443 en de wet?
IEC 62443-3-3 behandelt USB in een aantal systeemeisen:
- SR 2.3 – Use control for portable and mobile devices - het systeem moet het gebruik van draagbare en mobiele apparaten kunnen beperken en bewaken. De uitbreiding RE 1 eist dat de securitystatus van zo’n apparaat wordt gecontroleerd voordat het wordt toegelaten.
- SR 3.2 – Malicious code protection - bescherming tegen kwaadaardige code, met RE 1 specifiek voor entry and exit points zoals USB.
- SR 7.7 – Least functionality - onnodige functies, poorten en diensten uitschakelen, wat aansluit op hardening.
Ook NIST SP 800-82 (Rev. 3, september 2023) en ISO 27001:2022 (beheersmaatregel 7.10 voor opslagmedia) vragen om beleid voor verwisselbare media. Voor Nederlandse organisaties die onder NIS2 vallen, is USB Control onderdeel van de zorgplicht uit de Cyberbeveiligingswet, die op 15 augustus 2026 in werking trad. Basismaatregelen zoals toegangsbeheer en cyberhygiëne moeten aantoonbaar zijn, en een beleid voor verwisselbare media is daar een concreet bewijsstuk van.
🧭 Hoe richt u USB Control stap voor stap in?
- Inventariseer - welke systemen hebben USB-poorten, waarvoor worden ze gebruikt en door wie? Denk aan engineeringstations, HMI’s, SCADA-servers en bedieningspanelen.
- Bepaal de echte behoefte - vaak zijn maar een paar workflows nodig: firmware laden, PLC-back-ups maken, procesdata exporteren.
- Blokkeer standaard - zet opslagklassen uit en sta per systeem alleen toetsenbord en muis toe. Sluit ongebruikte poorten fysiek af.
- Richt een gecontroleerde route in - een scanstation bij de ingang van de OT-zone, bij voorkeur met meerdere antivirusengines en een ander besturingssysteem dan de onderhoudsapparatuur, zoals het BSI adviseert.
- Gebruik alleen bedrijfssticks - genummerd, versleuteld en uitsluitend voor de OT-omgeving. Privé- of leveranciersmedia gaan nooit direct in een OT-systeem.
- Controleer firmware vóór gebruik - vergelijk de hash met die op de portal van de leverancier en controleer codesignering.
- Log en monitor - stuur USB-gebeurtenissen naar het SIEM en alarmeer op onbekende apparaten.
- Regel externe partijen - leg USB-afspraken vast in contracten en in uw leveranciersbeheer, en laat onderhoud op afstand via een jump server lopen in plaats van via media.
🔄 Hoe verhoudt USB Control zich tot de operationele noodzaak?
| Wat OT nodig heeft | Wat security vereist | Veilig alternatief |
|---|---|---|
| Snel een PLC-project laden | Alleen via goedgekeurde, gescande media met registratie | Projectbestanden via een beheerde bestandsoverdracht in de DMZ |
| Firmware bijwerken op locatie | Alleen na hashcontrole en controle op Code Signing | Centrale opslag van gecontroleerde firmware |
| Procesdata exporteren | Versleutelde media met logging, nooit terug naar OT | Eenrichtingsexport via een datadiode |
| Leverancier wil diagnose doen | Geen eigen stick of laptop direct in het netwerk | Begeleide sessie via jump server |
Een strenge blokkade zonder werkbaar alternatief leidt tot omzeiling. Daarom hoort bij elk verbod een veilige route die net zo eenvoudig is als een stick.
❓ Veelgestelde vragen
Is het uitschakelen van alle USB-poorten voldoende?
Alle USB-poorten uitschakelen is effectief, maar zelden praktisch, omdat toetsenbord, muis en soms licentiedongles ook via USB werken. USB Control werkt daarom beter met klasse-restricties en device whitelisting, aangevuld met fysieke sloten op ongebruikte poorten. Zo blijft het systeem bruikbaar zonder dat opslagapparaten toegang krijgen.
Wat is een BadUSB-aanval?
Een BadUSB-aanval gebruikt een USB-apparaat waarvan de controllerfirmware is aangepast, zodat het zich bijvoorbeeld als toetsenbord voordoet en automatisch commando’s intypt. Antivirus ziet dit niet, omdat er geen bestand wordt geopend. Bescherming vraagt om USB Control die nieuwe toetsenborden en netwerkadapters blokkeert of eerst laat goedkeuren, plus fysieke sloten op poorten. Vertrouw daarbij niet alleen op VID/PID, want een gemanipuleerd apparaat kan die waarden vervalsen.
Wat is een USB-scanstation?
Een USB-scanstation, ook wel sluis of kiosk genoemd, is een aparte computer waarop verwisselbare media worden gescand voordat ze in de OT-omgeving mogen worden gebruikt. Goede scanstations gebruiken meerdere antivirusengines en registreren welke bestanden zijn goedgekeurd. Het station staat buiten de besturingszone en is zelf goed gehard.
Mag een leverancier zijn eigen USB-stick gebruiken op een OT-systeem?
Een leverancier hoort zijn eigen USB-stick niet direct op een OT-systeem aan te sluiten. Bestanden gaan eerst via het scanstation naar een bedrijfsstick, of via een beheerde bestandsoverdracht. Het incident bij een Amerikaanse elektriciteitscentrale in 2012 begon juist met de besmette stick van een externe technicus.
Is USB Control verplicht onder NIS2?
NIS2 en de Nederlandse Cyberbeveiligingswet noemen USB niet letterlijk, maar eisen passende maatregelen voor onder meer toegangsbeheer, cyberhygiëne en beveiliging van systemen. Voor organisaties met OT is een beleid voor verwisselbare media een logische en aantoonbare invulling daarvan. Normen als IEC 62443-3-3 maken die eis concreet met SR 2.3 en SR 3.2.
Helpt application whitelisting tegen USB-malware?
Application whitelisting voorkomt dat onbekende programma’s starten, ook als ze vanaf een USB-stick komen. Het is daarom een sterke aanvulling op USB Control, maar het houdt datalekken en BadUSB-toetsenbordaanvallen niet tegen. Beide maatregelen samen geven de beste bescherming.
📌 Samengevat
USB Control bepaalt welke USB-apparaten op OT-systemen mogen, blokkeert de rest en registreert elk gebruik, zodat een stick geen ongemerkte route langs de air gap wordt. Combineer klasse-restricties, device whitelisting, fysieke sloten, een scanstation en logging met heldere afspraken voor medewerkers en leveranciers, en bied altijd een veilig alternatief voor de USB-stick.