Wat is Vulnerability Scanning?
Vulnerability scanning is het geautomatiseerd onderzoeken van systemen, apparaten en software op bekende kwetsbaarheden, zoals ongepatchte software, verkeerde configuraties, standaardwachtwoorden of verouderde firmware. Een scanner vergelijkt wat hij aantreft (productnamen, versies, open poorten, instellingen) met een database van bekende zwakheden, meestal op basis van CVE-nummers. Het is de meetstap binnen het bredere proces van vulnerability management: scannen laat zien wát er kwetsbaar is, het managementproces beslist wat u eraan doet. In OT-omgevingen is scannen waardevol maar riskant, omdat industriële apparatuur slecht bestand is tegen agressief netwerkverkeer.
🧠 Waarom is vulnerability scanning belangrijk in OT?
Industriële installaties draaien vaak tien tot twintig jaar met dezelfde PLC’s, HMI’s en SCADA-servers. In die tijd verschijnen er tientallen nieuwe kwetsbaarheden, terwijl lang niet altijd bekend is welke firmwareversie waar draait. Een scan maakt dat zichtbaar.
| Uitdaging | Wat scanning oplevert |
|---|---|
| Legacy-systemen zonder patchbeheer | Overzicht van bekende kwetsbaarheden per apparaat en versie |
| Onbekende componenten of versies | Inventarisatie van firmware, besturingssystemen en software |
| Supply chain-risico’s | Herkenning van kwetsbare leverancierscomponenten en bibliotheken |
| Onbedoelde blootstelling | Open poorten, overbodige services en vergeten remote toegang |
| Configuratiedrift | Afwijkingen van de afgesproken hardening-baseline |
Zonder dit inzicht prioriteert u op gevoel. Met een actueel kwetsbaarheidsbeeld kunt u gericht beslissen welke systemen eerst een patch, een extra firewallregel of strengere segmentatie nodig hebben.
🔧 Welke soorten vulnerability scans bestaan er?
| Type | Werking | Geschikt voor OT? |
|---|---|---|
| Netwerkscan (zonder inloggegevens) | Stuurt pakketten naar een IP-bereik en leidt uit poorten, banners en antwoorden af welke software draait | Alleen beperkt, getest en in een onderhoudsvenster |
| Credentialed scan | Logt in op het systeem en leest geïnstalleerde software, patches en instellingen direct uit; nauwkeuriger en minder vals-positieven | Goed voor Windows- en Linux-servers in de OT, zoals historians en engineeringstations |
| Passieve scan | Leest netwerkverkeer mee via een SPAN-poort of TAP en herkent apparaten en versies uit de communicatie | Ja, de veiligste basis; ziet alleen apparaten die communiceren |
| Active query (eigen protocol) | Vraagt apparaten in hun eigen industriële protocol om identiteit en firmwareversie, alleen-lezend | Ja, mits vooraf getest per type controller |
| Firmware- en softwareanalyse | Vergelijkt firmwareversies of ontleedt binaire bestanden en SBOM’s op bekende kwetsbare componenten | Ja, dit gebeurt offline |
| Webapplicatiescan | Test webinterfaces van HMI’s, VPN-gateways en historians op bijvoorbeeld zwakke authenticatie | Alleen in een testomgeving of met grote terughoudendheid |
Een vulnerability scan is iets anders dan een pentest. De scan zoekt breed en geautomatiseerd naar bekende zwakheden; een pentester probeert ze daadwerkelijk te misbruiken en combineert ze tot een aanvalspad.
⚠️ Waarom is actief scannen in OT riskant?
Veel embedded apparaten hebben een minimale TCP/IP-stack en weinig rekenkracht. Een standaard IT-scan opent in korte tijd duizenden verbindingen en stuurt ongebruikelijke pakketten. Een controller kan daardoor vastlopen, naar een stopstand gaan of de communicatie met zijn I/O verliezen. NIST SP 800-82 noemt twee bekende voorbeelden: een ping sweep op een SCADA-netwerk waardoor een robotarm van ruim 2,7 meter die in stand-by stond plotseling 180 graden rondzwaaide, en een ping sweep voor inventarisatie die een systeem in een chipfabriek liet vastlopen, met 50.000 dollar aan verloren wafers. Dezelfde richtlijn merkt op dat geautomatiseerd netwerkscannen niet werkt op niet-routeerbare verbindingen zoals seriële netwerken; daar blijft u aangewezen op een handmatige inventarisatie en vergelijking met advisories.
Daarom geldt in OT de volgorde eerst passief, dan pas gecontroleerd actief:
- Passieve monitoring als basis - platforms zoals Tenable OT, Nozomi, Claroty en Dragos bouwen uit meegelezen verkeer een assetlijst en koppelen die aan bekende kwetsbaarheden (zie ook Passive Monitoring)
- Active queries in plaats van brede scans - gerichte, alleen-lezende vragen in het eigen protocol van het apparaat, bijvoorbeeld om een firmwareversie op te halen; NIST noemt deze combinatie van passief leren en apparaatspecifiek bevragen “safe active scanning”
- Credentialed scans voor IT-achtige systemen - Windows- en Linux-machines in de OT kunnen meestal veilig met inloggegevens worden gescand, mits de leverancier van het procesbesturingssysteem (DCS of SCADA) scanner en scanprofiel heeft goedgekeurd
- Langzame instellingen bij actief scannen - in Nmap bijvoorbeeld het polite-profiel (T2) met 400 milliseconden tussen de probes, zonder agressieve versie- of scriptdetectie
- Eerst testen - probeer elk scanprofiel uit op een reserve-PLC, in een OTAP-testomgeving of een digital twin
🛠️ Hoe voert u een vulnerability scan in OT veilig uit?
- Bepaal de scope - welke zones en assets, op basis van uw asset-inventaris en het Purdue Model; sluit veiligheidssystemen standaard uit.
- Kies de methode per assettype - passief voor controllers, credentialed voor servers, offline analyse voor firmware.
- Stem af via change management - leg tijdstip, scanprofiel, contactpersonen en een terugvalplan vast, en betrek engineering en operations.
- Test het profiel - op identieke hardware of in een testomgeving, en noteer welke apparaten afwijkend reageren.
- Voer uit in een onderhoudsvenster - bij voorkeur tijdens een geplande stop, met iemand van operations stand-by die het proces bewaakt.
- Beoordeel en prioriteer - combineer de CVSS-score met bereikbaarheid, procesimpact en de KEV-lijst van CISA.
- Registreer en volg op - leg bevindingen vast in het risicoregister en zet ze door naar patchmanagement of compenserende maatregelen.
Typische frequenties verschillen sterk tussen IT en OT:
| Omgeving | Gangbare aanpak | Typische frequentie |
|---|---|---|
| IT-kantoornetwerk | Geautomatiseerde, vaak credentialed scans | Wekelijks tot maandelijks; PCI DSS eist minimaal elk kwartaal |
| Internetkoppelvlak | Externe scan van publieke IP-adressen | Doorlopend of maandelijks |
| OT-servers (historian, engineeringstation) | Credentialed scan in onderhoudsvenster | Per kwartaal of per onderhoudsstop |
| OT-controllers en veldapparatuur | Passieve monitoring plus koppeling aan advisories | Doorlopend passief; actief hooguit tijdens een geplande stop |
Een blik van buitenaf is ook nuttig: veel organisaties controleren daarnaast of er onbedoeld OT-systemen vanaf internet bereikbaar zijn (zie internetblootstelling van OT).
🔐 Welke normen en wetten vragen om vulnerability scanning?
- IEC 62443-4-1 - leveranciers moeten in praktijk 5 (verificatie en validatie) hun product testen op kwetsbaarheden (SVV-3), onder meer met scans op bekende kwetsbaarheden, softwarecompositieanalyse en fuzzing, en daarnaast pentesten (SVV-4).
- NIST SP 800-82 - de OT-richtlijn van NIST (revisie 3, september 2023) adviseert doorlopende identificatie van kwetsbaarheden met passieve of actieve middelen, scantools eerst offline te testen en actieve scans waar mogelijk in te plannen tijdens geplande stilstand.
- Cyberbeveiligingswet - sinds 15 augustus 2026 van kracht; de zorgplicht uit NIS2 artikel 21 noemt expliciet de behandeling en openbaarmaking van kwetsbaarheden.
- Cyber Resilience Act - fabrikanten van producten met digitale elementen moeten kwetsbaarheden identificeren en documenteren, inclusief een SBOM, en hun producten regelmatig testen.
Leveranciers publiceren kwetsbaarheden steeds vaker als machineleesbare advisories (CSAF en VEX). Een scanner of OT-monitoringplatform kan die direct koppelen aan uw assetlijst, zodat u ook zonder actieve scan ziet welke apparaten geraakt worden.
✅ Wat zijn de best practices?
- Combineer scanning met Asset Inventory en Asset Discovery: u kunt alleen beoordelen wat u kent
- Scan alleen op afgesproken momenten, afgestemd via Change Management
- Documenteer alle bevindingen in het Risicoregister en wijs per bevinding een eigenaar toe
- Prioriteer op risico: een CVSS-score alleen zegt weinig zonder context van bereikbaarheid en procesimpact
- Volg trends via SIEM- of dashboardrapportages, bijvoorbeeld het aantal openstaande kritieke kwetsbaarheden per zone
- Betrek leverancierscomponenten via Third Party Risk Management en vraag leveranciers om SBOM’s en advisories
- Gebruik standaard IT-scanprofielen van Nessus of OpenVAS nooit ongetest op een productienetwerk
❓ Veelgestelde vragen
Kan vulnerability scanning een PLC laten crashen?
Ja, een actieve vulnerability scan kan een PLC of ander embedded apparaat laten vastlopen of in een stopstand brengen. Dat komt door de beperkte netwerkstack en rekenkracht van veel controllers. Daarom begint vulnerability scanning in OT met passieve monitoring en worden actieve scans eerst getest.
Wat is het verschil tussen actieve en passieve vulnerability scanning?
Bij actieve vulnerability scanning stuurt de scanner zelf verkeer naar systemen en analyseert hij de antwoorden. Bij passieve scanning leest de tool alleen bestaand netwerkverkeer mee en leidt daaruit apparaten, versies en kwetsbaarheden af. Passief is veiliger, maar mist apparaten die zwijgen en versies die niet in het verkeer zichtbaar zijn.
Wat is een credentialed scan?
Een credentialed scan is een vulnerability scan waarbij de scanner met een account inlogt op het systeem en geïnstalleerde software en patches direct uitleest. Dat levert nauwkeuriger resultaten en minder vals-positieven op dan een scan van buitenaf. In OT is het vooral geschikt voor Windows- en Linux-servers zoals historians en engineeringstations.
Hoe vaak moet u scannen op kwetsbaarheden in OT?
Er is geen vaste wettelijke frequentie voor vulnerability scanning in OT. Gangbaar is doorlopende passieve monitoring, aangevuld met credentialed scans van servers per kwartaal of per onderhoudsstop. Nieuwe advisories van leveranciers en CISA houdt u daarnaast direct tegen uw assetlijst.
Is een vulnerability scan hetzelfde als een pentest?
Nee, een vulnerability scan zoekt geautomatiseerd en breed naar bekende kwetsbaarheden zonder ze te misbruiken. Een pentest is handwerk waarin een tester zwakheden daadwerkelijk uitbuit om de impact aan te tonen. In OT gebeurt een pentest bij voorkeur in een testomgeving, omdat misbruik het proces kan verstoren.
Welke tools gebruikt u voor vulnerability scanning in OT?
Voor OT worden vooral gespecialiseerde platforms als Tenable OT Security, Nozomi Networks Guardian, Claroty en Dragos gebruikt, die passieve monitoring combineren met alleen-lezende active queries. Algemene scanners zoals Nessus en OpenVAS zijn geschikt voor de IT-kant en voor OT-servers. Op controllers zet u ze alleen in met geteste, beperkte profielen.
📌 Samengevat
Vulnerability scanning maakt bekende zwakke plekken in uw IT- en OT-systemen zichtbaar, maar in OT begint het met passieve monitoring en wordt actief scannen alleen getest, gepland en in samenwerking met operations uitgevoerd.
Wie scanning koppelt aan een actuele asset-inventaris, risicogerichte prioritering en een sluitend proces voor patchen of compenserende maatregelen, voldoet aan de verwachtingen van IEC 62443, NIS2 en de Cyberbeveiligingswet zonder de productie in gevaar te brengen.