Skip to main content

    1 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

    OT pentest: hoe industriële besturingssystemen (ICS en SCADA) worden getest zonder het proces in gevaar te brengen

    Een penetratietest op een kantoornetwerk verdraagt een vastgelopen dienst. Een penetratietest op een waterzuivering of een productielijn niet. Deze gids legt uit wat operationele technologie is, waarom zij anders wordt getest dan IT, waar in het Purdue-model actief testen veilig is, hoe een beheerste opdracht verloopt, welke kaders gelden en wat de oplevering moet bevatten.

    Plan een OT- of netwerkpentest

    Wat OT, ICS en SCADA betekenen

    Operationele technologie (OT) is de hardware en software die fysieke processen bewaakt en bestuurt: kleppen, pompen, motoren, transportbanden, turbines, schakelinstallaties. Industriële besturingssystemen (ICS, industrial control systems) zijn de OT-onderdelen die het besturen doen. SCADA (supervisory control and data acquisition) is de architectuur waarmee operators vele besturingen op een locatie of in een regio vanuit één punt bewaken. In de praktijk overlappen de termen en gebruiken leveranciers ze losjes; een tester moet de onderdelen kennen, niet de etiketten.

    De onderdelen keren in elke sector terug. PLC's (programmable logic controllers) voeren de besturingslogica uit, vlak naast het proces; RTU's (remote terminal units) doen hetzelfde op afgelegen locaties. Een DCS (distributed control system) coördineert continue processen in installaties zoals raffinaderijen en energiecentrales. HMI's (human-machine interfaces) zijn de schermen waar operators mee werken. Historians slaan procesdata op voor analyse en verantwoording. Engineeringwerkstations bevatten de software waarmee de besturingen worden geprogrammeerd, en zijn daarmee de gevoeligste machines in de omgeving. Veiligheidssystemen (SIS, safety instrumented systems) staan daar los van en brengen het proces in een veilige toestand wanneer iets misgaat.

    Wie OT heeft: energieopwekking en -distributie, drinkwater- en afvalwaterbedrijven, olie en gas, chemie, farmacie, voeding en dranken, maakindustrie, spoor- en havenbedrijven, luchthavens, ziekenhuizen (gebouwbeheer, medische gassen), datacenters (stroom en koeling) en elk groot gebouw met een gebouwbeheersysteem. Veel organisaties die zichzelf als IT-organisatie zien, hebben OT in hun panden zonder dat iemand verantwoordelijk is voor de beveiliging ervan. Daar begint een opdracht vaak.

    Waarom een OT pentest anders is dan een IT pentest

    De technieken overlappen. De randvoorwaarden niet. Vijf verschillen bepalen hoe een opdracht wordt gescopet en uitgevoerd.

    Beschikbaarheid en veiligheid gaan vóór vertrouwelijkheid

    In IT is de klassieke volgorde vertrouwelijkheid, integriteit, beschikbaarheid. In OT is zij omgekeerd: het proces moet blijven draaien en mag geen mensen, apparatuur of milieu schaden. Een test die een zwakte aantoont door een besturing stil te leggen, heeft het incident veroorzaakt dat zij moest voorkomen. Elke testbeslissing wordt daartegen afgewogen.

    Verouderde protocollen zijn nooit voor een vijandig netwerk ontworpen

    Modbus/TCP, DNP3, Profinet, EtherNet/IP en IEC 61850 zijn ontworpen voor betrouwbaarheid op afgesloten netwerken. De meeste kennen geen authenticatie en geen versleuteling; een apparaat accepteert een opdracht omdat zij binnenkomt. OPC UA voegde beveiligingsfuncties toe, maar oudere OPC Classic-installaties zijn nog gangbaar. De taak van de tester is laten zien van waaruit deze protocollen bereikbaar zijn, niet opdrachten naar draaiende besturingen sturen.

    Patchen is zeldzaam en ligt bij de leverancier

    Een PLC draait soms vijftien jaar op zijn oorspronkelijke firmware. Patchen vraagt een onderhoudsvenster, een door de leverancier vrijgegeven versie en vaak een hervalidatie van de veiligheidsonderbouwing. Bevindingen vragen daarom om compenserende maatregelen (segmentatie, monitoring, toegangsbeperking) in plaats van de IT-reflex 'werk het bij'.

    Garanties en onderhoudscontracten beperken wat aangeraakt mag worden

    Veel contracten met integrators en leveranciers laten de ondersteuning vervallen wanneer software van derden op hun apparatuur draait of er niet-goedgekeurd verkeer naartoe wordt gestuurd. De scoping moet de besturingsengineers van de eigenaar en, waar nodig, de leverancier betrekken vóór enige actieve test.

    Kwetsbare apparaten reageren slecht op gewoon scannen

    Standaard IT-scanners sturen verkeer waar embedded apparaten nooit op zijn getest. Besturingen zijn vastgelopen door poortscans en misvormde pakketten, en daarom waarschuwt NIST SP 800-82 tegen actief scannen van productienetwerken zonder zorgvuldige voorbereiding. Passieve methoden en offline analyse vervangen een groot deel van de actieve toolkit.

    Het Purdue-model: waar testen veilig is

    Het Purdue-referentiemodel, gebruikt door ISA-95 en IEC 62443, verdeelt een industrieel netwerk in niveaus. Het niveau bepaalt de methode.

    NiveauWat er staatHoe het wordt getestActief testen op productie?
    Niveau 4 en 5: kantoor-ITBedrijfsnetwerk, ERP, e-mail, internetverbindingStandaard IT-penetratietest: extern, intern, Active DirectoryJa, zoals elk IT-netwerk
    Niveau 3.5: industriële DMZJump hosts, patch- en antivirusrelays, databrokers, gateways voor toegang op afstandActief testen van de grens vanaf beide kanten; hier wordt een IT-naar-OT-compromittering gestopt, of nietJa, in afgesproken vensters
    Niveau 3: locatiebeheerHistorians, MES, engineeringwerkstations, OT-domeincontrollers, back-upserversBehoedzaam actief testen van Windows- en Linux-hosts; configuratiereview; review van inloggegevens en toegang op afstandBeperkt, in wijzigingsvensters, met operations erbij
    Niveau 2: supervisieHMI's, SCADA-servers, alarmservers, lokale operatorstationsPassieve verkeersanalyse, configuratie- en accountreview, alleen-lezen bevragingen; actief testen alleen op staging of een twinAlleen met een expliciete go/no-go per systeem; nooit tijdens productie
    Niveau 1: basisbesturingPLC's, RTU's, besturingen, protocolgatewaysFirmware- en configuratiereview offline, bench-testen op reserve-units, passief meekijken met protocolverkeerNee. Alleen bench of digital twin
    Niveau 0: het fysieke procesSensoren, actuatoren, aandrijvingen, instrumentenDocumentatiereview en fysieke inspectie; veiligheidssystemen beoordeeld met de veiligheidskundigeNee

    De veilige methode: zo verloopt een beheerste OT-opdracht

    Zes stappen onderscheiden een OT pentest van een IT-test die op een fabriek wordt losgelaten. Elke stap bestaat omdat het ergens zonder is misgegaan.

    1. Scoping met operations, niet alleen met IT

    Bij de kick-off zitten de plantmanager, de besturingsengineers, de veiligheidskundige en de IT-securityverantwoordelijke aan tafel. Samen benoemen zij elke zone, elke klasse apparatuur, de productiekalender, de veiligheidskritische systemen die voor alles wat actief is buiten scope blijven, en de beperkingen van leveranciers. Het resultaat is een schriftelijke scope met een methode per zone en een go/no-go-bevoegde bij naam.

    2. Eerst passieve discovery

    De inventarisatie wordt opgebouwd vanaf een gespiegelde switchpoort of een netwerktap: verkeer lezen in plaats van genereren. Dat onthult de werkelijke apparatenlijst (meestal langer dan de gedocumenteerde), protocolstromen, wie met wie praat, onverwachte verbindingen met IT of internet, en inloggegevens die onversleuteld over de lijn gaan. Hiervoor worden tools gebruikt die industriële protocollen verstaan; standaard IT-scanners worden niet op niveau 1 of 2 gericht.

    3. Testen van de grens en de IT-kant

    Het IT-netwerk, de industriële DMZ en de paden voor toegang op afstand worden actief getest met standaardmethoden. De vraag is of een aanvaller die een werkstation op niveau 4 overneemt niveau 3 of lager kan bereiken, en waarlangs: een host met twee netwerkkaarten, een gedeeld account, een VPN van een leverancier, een firewallregel die tijdelijk bedoeld was.

    4. Staging, digital twin of bench voor de besturingslaag

    Waar het gedrag van besturingen of HMI's getest moet worden, gebeurt dat op een stagingomgeving, een opstelling voor fabrieks- of locatieacceptatietest (FAT/SAT), een digital twin van de leverancier of een reserve-unit op de werkbank. Bevindingen worden daarna op productie bevestigd door inspectie van configuratie en firmwareversie, nooit door de test tegen het draaiende apparaat te herhalen.

    5. Wijzigingsvensters, stopcriteria en terugvalplan

    Elke activiteit die niveau 3 of lager raakt, loopt in een gepland onderhoudsvenster met operators achter de console, een schriftelijk stopcriterium (een alarm, een latentiedrempel, een procesafwijking) en een terugvalplan. De tester stopt eerst en stelt daarna vragen.

    6. Bevindingen gewogen op procesgevolg, niet alleen op CVSS

    CVSS v4.0 scoort technische ernst. OT-bevindingen krijgen daarnaast een gevolgenclassificatie: wat er met het proces, met mensen en met het milieu gebeurt als dit pad wordt gebruikt. Een bevinding met een medium CVSS-score die een veiligheidssysteem bereikt, is een bevinding van de hoogste prioriteit, en zo staat zij in het rapport.

    Kaders en regelgeving voor OT-testen

    Drie bronnen bepalen hoe goede OT-beveiliging eruitziet en waar een toezichthouder naar zal vragen. Geldt ISO 27001:2022, dan vallen OT-assets in scope onder dezelfde eisen aan kwetsbaarheidsbeheer (A.8.8) als IT.

    IEC 62443

    De internationale normenreeks voor de beveiliging van industriële automatiserings- en besturingssystemen. IEC 62443-3-2 definieert de risicobeoordeling in zones en conduits waar een test op moet aansluiten. IEC 62443-3-3 stelt systeembeveiligingseisen en de vier beveiligingsniveaus (SL 1 tot 4) waartegen een systeem wordt beoordeeld. IEC 62443-4-1 beschrijft de veilige ontwikkelcyclus voor componentleveranciers en is het document om aan te halen wanneer u een leverancier vraagt hoe zijn product is getest. Een penetratietest is een van de manieren waarop een eigenaar aantoont dat een zone haar beoogde beveiligingsniveau haalt.

    NIST SP 800-82 Rev. 3

    De Guide to Operational Technology (OT) Security, herzien in 2023, is de meest gebruikte praktische referentie. Zij beschrijft OT-architecturen, dreigingen, risicobeheer en aanbevolen maatregelen, en stelt uitdrukkelijk dat actief testen van productie-OT met voorzichtigheid moet worden benaderd en bij voorkeur op representatieve testsystemen plaatsvindt. De maatregelen sluiten aan op NIST SP 800-53, wat helpt voor organisaties die het NIST-raamwerk al voor IT gebruiken.

    NIS2 en de Cyberbeveiligingswet

    Energie, vervoer, drinkwater en afvalwater zijn sectoren van hoge kriticiteit onder bijlage I van de NIS2-richtlijn; de productie van medische hulpmiddelen, elektronica, machines en voertuigen en de voedingsindustrie vallen onder bijlage II. Artikel 21, lid 2, vereist risicobeheersmaatregelen, waaronder beveiliging van de toeleveringsketen (onderdeel d) en beleid en procedures om de doeltreffendheid van die maatregelen te beoordelen (onderdeel f). Voor organisaties met veel OT verwacht de toezichthouder een gedocumenteerd testprogramma dat de industriële omgeving dekt en niet alleen het kantoornetwerk. In Nederland is de richtlijn omgezet in de Cyberbeveiligingswet.

    Wat een OT pentest doorgaans vindt

    De patronen herhalen zich in elke sector. De meeste zijn architectonisch en niet exotisch, en dat is goed nieuws: zij zijn op te lossen met segmentatie en toegangsbeheer in plaats van met firmware.

    • Platte netwerken: geen industriële DMZ, waardoor een overgenomen kantoorwerkstation HMI's en besturingen rechtstreeks kan bereiken
    • Hosts met twee netwerkkaarten: engineeringwerkstations of historians met één aansluiting in IT en één in OT, die de firewall volledig omzeilen
    • Standaard- of gedeelde inloggegevens op HMI's, besturingen, switches en leveranciersaccounts, soms letterlijk in de handleiding
    • Toegang op afstand zonder meervoudige authenticatie: VPN's van leveranciers, mobiele modems op besturingen, consumententools voor extern bureaublad die voor het gemak zijn geïnstalleerd
    • Niet meer ondersteunde besturingssystemen op hosts van niveau 2 en 3, zonder compenserende isolatie
    • Onversleutelde industriële protocollen bereikbaar vanuit zones die operationeel geen enkele reden hebben om met besturingen te praten
    • Engineeringsoftware en schrijftoegang tot besturingen beschikbaar vanaf elke host op het supervisienetwerk, niet alleen vanaf geautoriseerde werkstations
    • Geen monitoring op niveau 1 tot 3, zodat niets van het bovenstaande zou worden opgemerkt terwijl het wordt misbruikt
    • Ongedocumenteerde apparatuur: apparaten op het netwerk waar niemand eigenaar van is, vaak jaren geleden door een aannemer geplaatst

    Wat de oplevering moet bevatten, en hoe HackersHub OT test

    Een OT-pentestrapport moet de eigenaar vier dingen geven: een inventarisatieverschil (wat is gevonden tegenover wat was gedocumenteerd), een zone- en conduitkaart tegen IEC 62443-3-2 die laat zien waar de werkelijke grenzen liggen, bevindingen met zowel een CVSS v4.0-score als een gevolgenclassificatie voor het proces, en een herstelplan dat is ingepland op onderhoudsvensters, omdat de meeste oplossingen niet op een dinsdagmiddag kunnen. Voor NIS2-organisaties moet het rapport scope en methode ook zo beschrijven dat de toezichthouder het kan archiveren.

    HackersHub scopet OT-opdrachten vanaf het eerste gesprek samen met het operationele team. Onze testers hebben minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en werken vanuit PTES en NIST SP 800-115 voor de IT- en grenslagen en vanuit NIST SP 800-82 en IEC 62443 voor de industriële lagen. Analyse van besturingen en firmware gebeurt op de werkbank via onze praktijk voor hardware security testing. Michael van Mameren, Lead Penetration Tester (OSCP), tekent elke OT-scope af, inclusief de schriftelijke lijst van systemen die onder geen enkele omstandigheid actief worden aangeraakt.

    Het rapport bevat een managementsamenvatting, CVSS-gescoorde bevindingen met bewijs, een aanvalsverhaal en geprioriteerd hersteladvies, en een verificatiehertest van bevindingen van medium en hoger binnen 90 dagen, ingepland rond uw productiekalender en niet rond de onze.

    Veelgestelde vragen

    Verder lezen

    Verantwoordelijk voor een industriële omgeving?

    Wij scopen OT-opdrachten samen met uw operationele team, testen de IT-grens actief, beoordelen de besturingslagen zonder productie aan te raken en rapporteren bevindingen op procesgevolg én CVSS. Praat met een expert.

    Plan een OT pentestPraat met een expert