Webserver

Wat is een webserver?

Een webserver is software, vaak ingebouwd in een apparaat, die webpagina’s of webapplicaties via HTTP of HTTPS aanbiedt aan een browser of een andere client. In OT-omgevingen zit zo’n webserver in veel apparaten, zodat technici zonder speciale software de status kunnen bekijken, instellingen kunnen wijzigen en diagnose kunnen stellen. Dat gemak heeft een prijs: een ingebouwde webserver is ook een van de meest gevonden en misbruikte aanvalsoppervlakken in industriële netwerken.

Webservers zitten in veel industriële componenten, zoals PLC’s, HMI’s, Drives, switches, slimme sensoren en firewalls.

🧠 Hoe werkt een webserver?

1. Verzoek - een client, zoals een laptop of Engineering Station, stuurt een HTTP-verzoek naar het IP-adres van het apparaat, bijvoorbeeld https://192.168.0.10. Standaard gebruikt HTTP poort 80 en HTTPS poort 443.
2. Verwerking - de webserver controleert, als het goed is, eerst wie de gebruiker is. Daarna leest hij de gevraagde gegevens uit het apparaat of voert hij de gevraagde wijziging uit.
3. Antwoord - de server stuurt een HTML-pagina of, bij moderne apparaten, JSON-data terug via een REST-interface.
4. Interactie - via de browser kan de gebruiker:
   • statusinformatie en diagnosebuffers uitlezen;
   • configuratieparameters zoals IP-adres en tijdsynchronisatie aanpassen;
   • logboeken bekijken en exporteren;
   • Firmware-updates uitvoeren of back-ups van instellingen maken.

De betekenis van HTTP-methoden en statuscodes is sinds 2022 vastgelegd in RFC 9110. HTTPS is dezelfde HTTP-communicatie, maar dan via een versleutelde TLS-verbinding.

🔧 Welke soorten webservers komen voor in OT?

Een industriële webserver is meestal geen Apache- of IIS-installatie, maar een kleine, ingebouwde server in de firmware. Dat bepaalt hoe u hem beheert en beveiligt.

Oudere apparaten gebruiken soms nog Java-applets of oude browserplug-ins. Moderne browsers ondersteunen die niet meer, waardoor technici verouderde browsers of Java-versies op hun laptop houden. Dat is een risico op zich.

🔄 Wat is het verschil tussen een webserver en engineeringsoftware?

De webserver is dus vooral een onderhoudstool. Engineeringsoftware is niet automatisch veiliger: ook protocollen zoals S7 Comm hadden lange tijd zwakke of geen authenticatie. Het verschil zit vooral in hoeveel functies u openzet.

🏭 Waar gebruikt u een webserver in industriële netwerken?

• PLC-diagnose - de webinterface van een PLC of HMI toont de diagnosebuffer, de cyclustijd en de status van modules, handig bij een storing zonder engineeringlaptop.
• Aandrijvingen - een Frequentieregelaar instellen of een parameterback-up maken via de ingebouwde webpagina.
• Netwerkbeheer - configuratie van een Industrial Ethernet-switch, bijvoorbeeld van Hirschmann, Moxa of Cisco.
• Beveiligingsapparatuur - Firewall-beheer via een webinterface op OT-firewalls en routers.
• Onderhoud - firmware-updates of back-ups van instellingen via webgebaseerde tools.
• Bediening op afstand - web-HMI’s en dashboards op tablets in de fabriek.

Een webserver geeft snel toegang tot apparaatinstellingen, vaak zonder extra software. Dat is precies waarom een aanvaller hem ook aantrekkelijk vindt.

🔐 Waarom is een webserver een risico in OT?

Ingebouwde webservers combineren drie zwakke punten: ze draaien op firmware die zelden wordt bijgewerkt, ze hebben vaak standaardaccounts, en ze geven schrijftoegang tot het proces.

• Kwetsbaarheden in de firmware - een bekend voorbeeld is de Phoenix Contact ILC 1xx-reeks. Volgens een CISA-advies uit november 2016 konden aanvallers daar de authenticatie van de webserver omzeilen, HMI-pagina’s openen en PLC-variabelen lezen en schrijven. Wachtwoorden voor HMI-pagina’s konden bovendien onversleuteld worden opgeslagen en verzonden. Zulke CVE’s verschijnen nog steeds regelmatig voor allerlei merken.
• Onversleutelde verbindingen - via HTTP gaan wachtwoorden en parameters leesbaar over het netwerk.
• Standaardwachtwoorden - fabrieksaccounts worden na inbedrijfname vaak niet gewijzigd.
• Self-signed certificaten - technici leren browserwaarschuwingen weg te klikken, waardoor een man-in-the-middle niet meer opvalt.
• Blootstelling aan internet - zoekmachines zoals Shodan vinden webinterfaces van PLC’s en HMI’s die direct aan internet hangen; zie Internetblootstelling van OT.

🛡️ Hoe beveiligt u een webserver op een OT-apparaat?

1. Inventariseer - leg in uw asset-inventaris vast welke apparaten een webserver hebben en of die aan staat. Een kwetsbaarheidsscan of passieve netwerkmonitoring helpt daarbij.
2. Zet uit wat u niet gebruikt - IEC 62443-3-3 (SR 7.7) en IEC 62443-4-2 (CR 7.7) eisen least functionality: alleen noodzakelijke functies, poorten en diensten. Bij een SIMATIC S7-1200 of S7-1500 moet u de webserver expliciet activeren in TIA Portal; laat hem uit als niemand hem nodig heeft.
3. Dwing HTTPS af - schakel HTTP uit en kies in de apparaatinstellingen voor alleen HTTPS. De TLS-richtlijnen van het NCSC noemen TLS 1.3 goed, TLS 1.2 voldoende en TLS 1.0 en 1.1 uit te faseren. Sinds RFC 8996 (maart 2021) zijn TLS 1.0 en 1.1 ook formeel afgeschaft.
4. Beheer certificaten - vervang self-signed certificaten door certificaten van een eigen CA via certificaatbeheer.
5. Regel accounts - wijzig standaardwachtwoorden, maak persoonlijke accounts met alleen-lezen of schrijfrechten en gebruik MFA waar het apparaat dat ondersteunt.
6. Beperk de toegang - laat webinterfaces alleen bereikbaar zijn vanuit een beheer-VLAN of via een jumpserver, met een Firewall of ACL ertussen. Dit past in netwerksegmentatie volgens het Purdue-model.
7. Monitor en patch - stuur inlogpogingen naar SIEM of Syslog en neem webserver-CVE’s op in uw patchmanagement.

🇪🇺 Welke regels gelden voor webservers in industriële producten?

Voor een Nederlands drinkwaterbedrijf of chemiebedrijf betekent dit concreet: webinterfaces van PLC’s en switches horen niet aan internet, worden alleen via beveiligde toegang op afstand gebruikt en staan in het risicoregister.

❓ Veelgestelde vragen

Moet ik de webserver van mijn PLC uitzetten?

Zet de webserver van een PLC uit als niemand hem gebruikt voor diagnose of onderhoud. Elke actieve webserver is een extra ingang voor aanvallers en vraagt om patches, accounts en monitoring. Hebt u hem wel nodig, beperk hem dan tot HTTPS en een beheernetwerk.

Is HTTPS op een industrieel apparaat voldoende beveiliging?

HTTPS op een industrieel apparaat versleutelt alleen de verbinding tussen browser en webserver. Het beschermt niet tegen zwakke wachtwoorden, kwetsbaarheden in de firmware of toegang vanuit het verkeerde netwerk. Combineer HTTPS daarom met sterke authenticatie, segmentatie en patchmanagement.

Waarom geeft mijn browser een certificaatwaarschuwing bij een PLC-webserver?

Veel PLC-webservers gebruiken een self-signed certificaat dat de browser niet vertrouwt. De verbinding is dan wel versleuteld, maar u kunt niet controleren of u echt met het juiste apparaat praat. Een certificaat van een eigen CA lost die waarschuwing structureel op.

Hoe vind ik webservers in mijn OT-netwerk?

Webservers in een OT-netwerk vindt u via een asset-inventaris, passieve netwerkmonitoring of een voorzichtige scan op poorten 80 en 443. Actief scannen kan oudere apparaten verstoren, dus doe dat alleen in overleg met de procesverantwoordelijke. Controleer daarnaast of apparaten vanaf internet zichtbaar zijn.

Wat is het verschil tussen een webserver en een web-HMI?

Een webserver is de technische dienst die pagina’s via HTTP of HTTPS aanbiedt. Een web-HMI is een bedieningsapplicatie die op zo’n webserver draait en procesbeelden in de browser toont. Een web-HMI geeft vaak schrijftoegang tot het proces en vraagt daarom extra bescherming.

📌 Samengevat

Een webserver geeft via de browser snel toegang tot de configuratie en status van industriële apparaten, maar is ook een van de meest misbruikte ingangen in OT-netwerken. Zet ongebruikte webservers uit, dwing HTTPS met moderne TLS af, vervang standaardwachtwoorden en houd beheerinterfaces achter segmentatie en een jumpserver, in lijn met IEC 62443, de Cyber Resilience Act en de Cyberbeveiligingswet.