Modbus heeft geen eigen authenticatie of encryptie. Elk commando wordt in platte tekst verzonden en elk apparaat op het netwerk kan instructies naar elke PLC sturen. OPC-UA biedt beveiligingsfuncties zoals authenticatie op basis van certificaten en berichtversleuteling, maar deze worden zelden correct ge\u00efmplementeerd in productieomgevingen. Beide protocollen draaien op apparatuur die geen beveiligingsagenten kan installeren, waardoor inline isolatie de meest praktische methode is om ze te beschermen. <\/p>\n
Elke fabriek die PLC’s, HMI’s of SCADA-systemen op een bedrijfsnetwerk aansluit, opent een pad dat aanvallers kunnen volgen van een phishingmail rechtstreeks naar een productielijn. OPC-UA en Modbus zijn de twee meest gebruikte industri\u00eble protocollen en beide zijn ontworpen in een tijdperk waarin cyberbeveiliging geen overweging was. De apparaten die deze protocollen gebruiken gaan tientallen jaren mee, kunnen niet eenvoudig worden gepatcht en bevinden zich op netwerken die steeds meer verbonden zijn met IT-infrastructuur. Deze gids laat zien waar elk protocol tekortschiet, hoe aanvallers de kloof tussen IT en OT uitbuiten en hoe inline isolatie de productie beschermt zonder dat er software nodig is op een industrieel apparaat. <\/p>\n
OPC-UA (Open Platform Communications Unified Architecture) is de standaard voor interoperabiliteit in industri\u00eble automatisering. Het vervangt de oudere, Windows-afhankelijke OPC Classic door een platformonafhankelijk framework dat gegevens modelleert als objecten in een adresruimte. Twee communicatiemodellen domineren: client-server, waarbij een HMI verbinding maakt met een PLC om gegevens te lezen of te schrijven, en publish-subscribe (PubSub), waarbij een publisher gegevens naar meerdere subscribers tegelijk pusht. <\/p>\n
Het protocol is ontworpen met ingebouwde beveiliging. Authenticatie op applicatieniveau maakt gebruik van X.509 certificaten. Beveiliging op transportniveau ondertekent en versleutelt berichten met AES en RSA. Gebruikersauthenticatie ondersteunt tokens, Kerberos en certificaten. Toegangscontrolelijsten bepalen welke acties een gebruiker kan uitvoeren op specifieke knooppunten. <\/p>\n
Dat klinkt goed op papier. In de praktijk wordt het door drie problemen ondermijnd. <\/p>\n
Ten eerste bestaat de specificatie uit 14 delen en is buitengewoon complex. Verschillende leveranciers implementeren het op verschillende manieren en inconsistenties tussen implementaties zorgen voor exploiteerbare gaten. Het Duitse Federale Bureau voor Informatiebeveiliging (BSI) analyseerde OPC-UA versie 1.04 en ontdekte dat de instelling “SecurityPolicy: None” instelling, bedoeld voor testen, vaak actief wordt gelaten in productie om compatibiliteitsproblemen of prestatie-overhead te voorkomen. <\/p>\n
Ten tweede dwingt de specificatie de sterkte van wachtwoorden niet af. Brute force aanvallen op gebruikersaccounts blijven mogelijk in omgevingen waar standaard of zwakke wachtwoorden blijven bestaan. <\/p>\n
Ten derde zorgt de complexiteit van de stack zelf voor kwetsbaarheden. Tussen 2022 en 2026 hebben onderzoeksteams van Claroty en Kaspersky kritieke fouten gedocumenteerd in OPC-UA implementaties van grote leveranciers. Deze omvatten denial-of-service-aanvallen via misvormde certificaatketens en chunk flooding, geheugencorruptie via misvormde UTF-8-verwerking en uitputting van bronnen door overmatige verzoeken voor het beveiligde kanaal. Elke kwetsbaarheid versterkt dezelfde conclusie: native beveiliging werkt alleen als de implementatie foutloos is en de configuratie strikt. Op een fabrieksvloer met verouderde firmware en beperkte OT-beveiligingsexpertise gaat die aanname zelden op. <\/p>\n
Modbus is het oudste en meest gebruikte industri\u00eble protocol. De populariteit komt voort uit de eenvoud: het protocol leest en schrijft registers (16-bits waarden) en spoelen (1-bits waarden). Meer niet. Die eenvoud is ook de grootste zwakte. <\/p>\n
Het protocol bestaat in drie hoofdvarianten. Modbus RTU communiceert via seri\u00eble verbindingen (RS-485 of RS-232) met behulp van slave-ID’s. Modbus ASCII is een minder effici\u00ebnte seri\u00eble variant die leesbare tekens gebruikt. Modbus TCP\/IP verpakt Modbus frames in TCP pakketten over poort 502 en is de variant die het meest blootgesteld wordt aan netwerkgebaseerde aanvallen. <\/p>\n
Geen van deze varianten bevat enige vorm van beveiliging. Geen enkele authenticatie verifieert of een commando afkomstig is van een geautoriseerd SCADA-systeem of van de laptop van een aanvaller. Geen versleuteling beschermt gegevens tijdens het transport, dus proceswaarden en besturingscommando’s worden in platte tekst verzonden. Aanvallers kunnen standaard functiecodes misbruiken om registers te schrijven, setpoints te wijzigen, motoren te stoppen of kleppen te openen. En omdat Modbus geen sessietracking of tijdstempels heeft, kunnen legitieme commando’s naar believen worden opgenomen en herhaald. <\/p>\n
In 2018 introduceerde de Modbus-organisatie Modbus\/TCP Security, dat het verkeer verpakt in een TLS-tunnel voor wederzijdse authenticatie en versleuteling. Adoptie in 2026 blijft minimaal. Veel PLC’s en RTU’s draaien op 8-bits microcontrollers met kilobytes geheugen, die fysiek niet in staat zijn om cryptografische TLS-bewerkingen uit te voeren. De latentie die TLS toevoegt is onacceptabel in real-time processen waar milliseconden van belang zijn. En het beheren van duizenden digitale certificaten op een fabrieksvloer zonder betrouwbare internetverbinding is een logistieke uitdaging waar de meeste OT-teams niet op zijn voorbereid. <\/p>\n
Het resultaat: Modbus-apparaten die vandaag de dag worden verkocht, werken nog steeds standaard met de niet-versleutelde variant voor achterwaartse compatibiliteit.<\/p>\n
Het aanvalspad is consistent voor alle incidenten. Het begint in het IT-netwerk, niet op de fabrieksvloer. <\/p>\n
Een aanvaller krijgt aanvankelijk toegang via phishing, diefstal van referenties of een kwetsbaar publiek systeem. Van daaruit bewegen ze zich zijdelings door de IT-omgeving totdat ze een systeem bereiken dat een brug vormt tussen IT en OT. Dit kan een engineering-werkstation zijn met dubbele netwerkverbindingen, een slecht geconfigureerde firewall of een VPN van een leverancier dat brede toegang verleent tot het productienetwerk. Eenmaal in het OT-segment maken het gebrek aan authenticatie in Modbus en de frequente verkeerde configuratie van OPC-UA protocolmanipulatie eenvoudig. <\/p>\n
Gegevens uit de industrie ondersteunen dit patroon. Dragos meldt dat meer dan 75% van de OT-incidenten hun oorsprong vinden in het IT-netwerk, met laterale beweging als primaire techniek. De gemiddelde verblijftijd in OT-omgevingen, de periode dat een aanvaller onopgemerkt blijft, ligt rond de 42 dagen. Dat geeft aanvallers weken de tijd om processen in kaart te brengen, kritieke controllers te identificeren en hun aanval te plannen. <\/p>\n
Europa is een primair doelwit geworden voor operationeel gemotiveerde aanvallen. Groepen als ELECTRUM hebben vernietigende operaties uitgevoerd tegen energie-infrastructuur in Oekra\u00efne en Polen, gericht op warmte- en duurzame energiesystemen. Waterbedrijven in verschillende Europese landen hebben melding gemaakt van inbraken via aan het internet blootgestelde HMI’s met standaardgegevens of bekende Modbus-exploits. De verschuiving van spionage naar actieve verstoring betekent dat de gevolgen van een OT-inbreuk niet langer beperkt blijven tot diefstal van gegevens. Ze strekken zich uit tot fysieke schade, productieverlies en openbare veiligheid. <\/p>\n
Hoe deze aanvalspaden in de praktijk werken, wordt nader besproken in onze IT-OT convergentiegids<\/a>, waarin drie specifieke scenario’s worden besproken en de controlemechanismen die elk van deze scenario’s tegenhouden.<\/p>\n De meeste organisaties vertrouwen op een of meer van deze methoden om industri\u00eble netwerken te beschermen. Elke methode pakt een deel van het probleem aan. <\/p>\nHuidige benaderingen en waarom ze tekortschieten<\/h2>\n