VM

Wat is een VM (Virtual Machine)?

Een Virtual Machine (VM) is een softwarematige computer met eigen virtuele CPU, geheugen, schijven en netwerkkaarten, die met behulp van een hypervisor op een fysieke host draait en daar de hardware deelt met andere virtuele machines. Een VM boot een eigen besturingssysteem, zoals Windows Server of Linux, en gedraagt zich voor de software daarin als een gewone computer. In OT en industriële omgevingen worden VM’s vooral ingezet om SCADA-servers, historians, engineering stations en MES-systemen te consolideren, sneller te herstellen en beter te beheren.

🧠 Hoe werkt een VM?

Een VM bestaat uit drie lagen:

1. Hypervisor-laag - de hypervisor verdeelt de fysieke hardware over de VM’s en houdt ze van elkaar gescheiden. Een Type 1-hypervisor (bare metal) draait direct op de server, bijvoorbeeld VMware ESXi, Microsoft Hyper-V, KVM of Proxmox VE. Een Type 2-hypervisor zoals VirtualBox of VMware Workstation draait bovenop een gewoon besturingssysteem en is vooral geschikt voor test- en engineeringwerk op een laptop.
2. Virtuele hardware - elke VM krijgt virtuele CPU’s (vCPU’s), RAM, virtuele schijven en virtuele netwerkkaarten. Die zijn per VM aan te passen aan de behoefte van het systeem.
3. Gastbesturingssysteem - binnen de VM draait een volledig eigen besturingssysteem met applicaties. Een crash of infectie in de ene VM raakt de andere VM’s op dezelfde host in principe niet.

De theoretische basis dateert van 1974, toen Popek en Goldberg de eisen formuleerden waaraan een processor moet voldoen om efficiënt te virtualiseren. IBM bood virtuele machines al in 1972 aan met VM/370 op mainframes. Op x86-servers werd virtualisatie pas echt efficiënt met hardware-ondersteuning in de processor: Intel VT-x (2005) en AMD-V (2006).

Omdat een VM in feite een set bestanden is (configuratie plus virtuele schijven), kan zij worden gekopieerd, geback-upt, verplaatst en hersteld als gewone bestanden. Dat maakt een Snapshot voor een wijziging of het klonen van een complete testomgeving eenvoudig.

🔄 Wat is het verschil tussen een VM, een container en een fysieke server?

Containers zijn lichter, maar delen de kernel van de host. Voor klassieke Windows-gebaseerde OT-software die een volledig besturingssysteem verwacht, blijft de VM de gangbare keuze. Meer over de achterliggende technologie staat bij Virtualisatie.

🏭 Waar worden VM’s in industriële omgevingen gebruikt?

• Supervisie en data - SCADA-servers, HMI-servers, Historian, MES en batch control
• Engineering - engineering stations met PLC-software per project of per softwareversie, zodat oude projecten bewerkbaar blijven met de juiste toolversie
• Infrastructuur - domain controllers en Active Directory in het OT-segment, licentieservers, jump servers voor remote access
• Beheer - Backup-servers, Patchmanagement-platforms en Monitoring-tools
• Test en simulatie - staging-omgevingen voor PLC- en HMI-wijzigingen en virtuele inbedrijfstelling met een digitaal procesmodel
• Besturing - steeds vaker draait ook de regeling zelf virtueel als Soft PLC. Siemens toonde in 2023 de SIMATIC S7-1500V, een virtuele PLC die als Industrial Edge-app wordt uitgerold

Het grootste voordeel in OT is levensduur: een Windows-applicatie die aan een verouderd besturingssysteem vastzit, kan als VM op nieuwe hardware blijven draaien. Dat lost het onderliggende probleem van legacy systemen niet op, maar maakt het beheersbaar.

🔧 Hoe virtualiseert u een OT-omgeving in de praktijk?

1. Inventariseer en classificeer - bepaal per systeem uit de asset inventory of het geschikt is. Systemen met harde realtime-eisen, speciale insteekkaarten of USB-dongles vragen extra aandacht of blijven fysiek.
2. Controleer leveranciersondersteuning - DCS- en SCADA-leveranciers publiceren welke hypervisors en versies zij ondersteunen. Een niet-ondersteunde combinatie kan in een storing tot een supportweigering leiden.
3. Ontwerp voor beschikbaarheid - minimaal twee hosts (N+1) met gedeelde of gerepliceerde opslag. Met HA herstart een VM na hostuitval automatisch op een andere host; de onderbreking is dan de detectietijd plus de opstarttijd van de VM. Fault Tolerance houdt een schaduw-VM in lockstep mee en geeft vrijwel geen onderbreking, maar kost dubbele resources.
4. Reserveer resources - geef kritieke VM’s gegarandeerde CPU- en geheugenreserveringen en voorkom overcommit van geheugen, zodat een zware rapportage op de historian de SCADA-server niet vertraagt.
5. Scheid netwerken - gebruik aparte virtuele switches of VLAN’s voor beheer, opslag, live-migratie en procesnetwerk, en volg de zones uit het Purdue Model.
6. Regel herstel - leg per VM een RTO en RPO vast en test het terugzetten van back-ups als onderdeel van disaster recovery.

🔐 Hoe beveiligt u VM’s en de hypervisor?

Virtualisatie verhoogt het aanvalsoppervlak als het beheer niet goed is geregeld: wie de hypervisor of de beheerconsole bezit, bezit alle VM’s tegelijk. De isolatie tussen VM’s is sterk, maar niet absoluut. In maart 2025 dichtte Broadcom met VMSA-2025-0004 drie actief misbruikte kwetsbaarheden in ESXi, waaronder CVE-2025-22224, waarmee een aanvaller met beheerrechten in een VM code kon uitvoeren als het VMX-proces op de host. Begin 2023 versleutelde de ESXiArgs-campagne ruim 3.800 ongepatchte ESXi-servers wereldwijd.

Maatregelen per laag:

• Hypervisor en beheer - Hardening van de host, beheerinterfaces alleen bereikbaar vanuit een apart beheernetwerk, geen koppeling van de beheerconsole aan het kantoordomein, en tijdig patchen van de hypervisor
• Toegang - RBAC en toegangsbeheer voor beheerders, met multifactor-authenticatie en gescheiden accounts voor hypervisorbeheer en OT-applicaties
• Netwerk - verkeer tussen VM’s segmenteren via VLAN, virtuele switches of microsegmentatie, en een Firewall tussen zones in plaats van alles op één platte virtuele switch
• Gast-VM - per VM een host-based firewall, antivirus of application whitelisting volgens de goedgekeurde lijst van de OT-leverancier, plus reguliere patches
• Herstel - snapshots zijn geen back-up: ze staan op dezelfde opslag en worden door ransomware juist als eerste verwijderd. Combineer ze met offline of immutable back-ups
• Zicht - Audit- en logging-gegevens van hypervisor en beheerconsole centraal verzamelen en bewaken

Normen sluiten hierop aan. IEC 62443-3-3 vraagt onder meer netwerksegmentatie (SR 5.1), back-ups van het industriële besturingssysteem (SR 7.3) en herstel en reconstitutie na een verstoring (SR 7.4), ook als dat systeem gevirtualiseerd draait. NIST beschreef de specifieke risico’s van volledige virtualisatie al in januari 2011 in SP 800-125, en de architectuurmaatregelen uit NIST SP 800-82, zoals segmentatie en defense-in-depth, gelden onverkort voor een gevirtualiseerde OT-omgeving.

🇳🇱 Wat betekent dit voor Nederlandse organisaties?

Voor organisaties onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is als Nederlandse invulling van NIS2, vallen hypervisors en beheerconsoles gewoon onder de zorgplicht: patchbeheer, toegangsbeheer, back-ups en bedrijfscontinuïteit gelden voor de virtuele laag net zo goed als voor de VM’s zelf. Een ransomware-aanval op een ESXi-cluster legt in één keer de complete supervisielaag plat en kan dan een meldplichtig incident zijn.

Daarnaast speelt de licentiekwestie. Broadcom rondde op 22 november 2023 de overname van VMware af, stopte met eeuwigdurende licenties en schakelde over op abonnementen. Ook de gratis versie van ESXi verdween begin 2024; sinds april 2025 (ESXi 8.0 Update 3e) is er weer een gratis variant, maar zonder vCenter-beheer, HA, ondersteuning en met een maximum van 8 vCPU’s per VM, en dus niet geschikt voor productie-OT. Veel industriële bedrijven heroverwegen daardoor hun platform, bijvoorbeeld richting Hyper-V of Proxmox VE. Zo’n migratie moet altijd via change management en met akkoord van de OT-leveranciers lopen.

❓ Veelgestelde vragen

Is een VM geschikt voor realtime besturing?

Een VM op een standaard hypervisor is meestal niet geschikt voor harde realtime-regelingen met cyclustijden van enkele milliseconden, omdat de planning van vCPU’s niet deterministisch is. Voor supervisie, historian en MES is een VM wel gangbaar. Virtuele PLC’s draaien daarom vaak op speciale realtime-hypervisors of edge-platforms in plaats van op een gewoon serverscluster.

Is een snapshot van een VM hetzelfde als een back-up?

Nee, een snapshot van een VM is afhankelijk van de oorspronkelijke virtuele schijf en staat op dezelfde opslag. Gaat die opslag verloren of wist ransomware de snapshots, dan is er niets om naar terug te keren. Een echte back-up staat los van de host, bij voorkeur offline of immutable.

Welke hypervisor wordt in OT het meest gebruikt?

In OT is VMware ESXi historisch de meest ondersteunde hypervisor voor SCADA- en DCS-software, met Microsoft Hyper-V als belangrijk alternatief. Sinds de licentiewijzigingen van Broadcom kijken meer organisaties ook naar KVM-gebaseerde platforms zoals Proxmox VE. Doorslaggevend blijft welke hypervisor uw OT-leverancier officieel ondersteunt.

Heeft elke VM eigen antivirus en patches nodig?

Ja, elke VM is een volledige computer met een eigen besturingssysteem en heeft dus eigen patches en endpointbescherming nodig. In OT gebeurt dat met producten en versies die de leverancier van de applicatie heeft goedgekeurd. Daarnaast moet ook de hypervisor zelf worden gepatcht, want een kwetsbaarheid daar raakt alle VM’s tegelijk.

Kan een aanvaller vanuit een VM de host overnemen?

Dat heet een VM escape en is zeldzaam, maar het komt voor: in maart 2025 werden drie actief misbruikte ESXi-kwetsbaarheden gepatcht waarmee dat mogelijk was. Snel patchen van de hypervisor en het beperken van beheerrechten binnen VM’s verkleinen dit risico sterk. Plaats VM’s met verschillend vertrouwensniveau daarom ook niet zomaar op dezelfde host.

Wat gebeurt er met een VM als de fysieke host uitvalt?

Met high availability herstart een VM na uitval van de host automatisch op een andere host in het cluster, met een onderbreking van enkele minuten: de tijd om de uitval te detecteren plus de opstarttijd. Met fault tolerance draait een schaduwkopie continu mee en is de onderbreking vrijwel nul. Zonder cluster ligt de VM stil tot de host is gerepareerd of de VM uit een back-up is teruggezet.

📌 Samengevat

Een VM maakt van een fysieke server een flexibel platform waarop meerdere OT-systemen veilig naast elkaar draaien, sneller te herstellen en langer te ondersteunen zijn. De winst komt alleen met goed ontwerp: redundante hosts, gereserveerde resources, gescheiden netwerken, echte back-ups en een strak beveiligde hypervisor.

Een Virtual Machine is een flexibele en efficiënte manier om industriële software in OT-omgevingen te hosten, mits de hypervisor net zo zorgvuldig wordt beheerd en beveiligd als de systemen die erop draaien.