OT-netwerksegmentatie voor Defensie: Het Purdue-model met Classificatie-overlay

Operationele-technologie (OT)-netwerken in defensiesystemen — de besturingsvlakken achter radars, voortstuwingsinstallaties, testtafels voor wapensystemen, magazijnafhandeling, grondstationsantenneconfiguraties — falen anders dan ondernemings-IT. Een ransomware-event op een bedrijfsbestandsshare is herstelbaar; een in de war gebrachte programmeerbare logische controller op een voortstuwingsinstallatie tijdens een betwiste doortocht is dat niet. De eerste engineeringvraag is daarom niet "hoe patchen we sneller" maar "hoe is het netwerk ingedeeld en wat steekt elke grens over." Dat is de segmentatievraag, en vijftig jaar lang is het canonieke antwoord de Purdue Enterprise Reference Architecture geweest, gelaagd over de zones-en-conduits-taal van IEC 62443. Dit artikel behandelt het model van begin tot eind, dan legt het defensiespecifieke zorgen over: classificatie, cross-domain overdracht, bewaking van een zogenaamd luchtgat-stack en de accreditatiedocumentatie waaraan de architectuur uiteindelijk moet voldoen.

1. Waarom Purdue Nog Steeds Relevant Is

Purdue was oorspronkelijk opgesteld voor chemische en productieprocessbeheersing, maar zijn kerninsicht — dat een netwerk kan worden opgesplitst in lagen met strikt gedefinieerde vertrouwensrelaties ertussen — heeft elke generatie hardware overleefd waarop het werd toegepast. Een "plat OT"-netwerk waar technische werkstations, historici, mens-machine-interfaces en veldcontrollers allemaal een ongefilterd Layer-2-broadcastdomein delen, kan niet worden verdedigd. Er is geen waarneembare grens waarop een analist kan zeggen "verkeer dat dit punt oversteekt zou Modbus moeten zijn, niets anders"; elke host vertrouwt elke andere host impliciet; een gecompromitteerde laptop bereikt elke PLC via ARP.

IEC 62443 legt dezelfde instinct vast in andere bewoordingen: een zone is een groepering van activa met gemeenschappelijke beveiligingsvereisten, en een conduit is het gecontroleerde pad tussen zones. Conduits, niet hosts, zijn waar beveiligingscontroles worden afgedwongen. De Purdue-niveaus zijn in feite een standaard zoneringssjabloon — een startpunt dat defensieprogramma's aanpassen in plaats van opnieuw uitvinden. Voor de rest van dit artikel gebruiken we Purdue-niveaunummers en IEC 62443-zone/conduit-termen door elkaar; in de defensiecyberbeveiligingspraktijk beschrijven ze hetzelfde artefact.

2. De Zes Purdue-niveaus

Niveau 5 — Onderneming. Bedrijfs-IT: e-mail, ERP, intranet, aannemerstoegang. Op een defensielocatie is dit het niet-geclassificeerde zakelijke LAN waarop auditors, salarisadministratie en programmamanagers werken. Het mag nooit rechtstreeks procesapparatuur aanraken.

Niveau 4 — Locatiezakelijke planning en logistiek. Onderhoudsmanagement, reserveonderdeleninventaris, werkopdrachtsystemen. Voor een marinecombatsysteem is dit de kustlogistiekstaart; voor een luchtafweerbatterij, het depot-niveau ondersteuningssysteem. Nog steeds IT-achtig, nog steeds gepatcht op een IT-cadans.

Niveau 3.5 — Industriële DMZ. De enige belangrijkste zone in het model. Elke stroom tussen bedrijfs-IT en operaties loopt hier doorheen, beëindigd en opnieuw gestart door bemiddelde diensten: historicus-replica's, jump-hosts, patch-staging, anti-malware-updatespiegel. Geen native protocol steekt de DMZ over; niets op Niveau 3 stelt een sessie in met iets op Niveau 4 of hoger behalve via een DMZ-proxy.

Niveau 3 — Locatieoperaties. Productiewijde systemen: de operationele historicus, batchbeheersservers, installatiebrede technische applicaties, OT-domeincontrollers, OT-patchservers. Op een wapenssysteemtestbank is dit de bereikcontrolekamer — de plek waar testleiders runs orkestreren over meerdere cellen.

Niveau 2 — Toezichthoudende besturing. HMI's, lokale technische werkstations, alarmservers, zichtlijn-SCADA. Voor een voortstuwingsinstallatie is dit de machineriebesturingsconsole; voor een radar, de tactische weergaveserver van de operator. Mensen sturen het proces vanaf Niveau 2.

Niveau 1 — Basisbesturing. PLC's, RTU's, veiligheidsgeinstrumenteerde systemen, toegewijde controllers. De logica die stoomdruk handhaaft, een antenne zwenkt, een launcher sequentieert of een reactor uitschakelt. Realtime, deterministisch, vaak niet in staat zelfs een milliseconde jitter te verdragen die wordt geïntroduceerd door een verkeerd geconfigureerde firewall.

Niveau 0 — Proces. Sensoren en actuatoren, kleppen, motoren, transducers, de fysica van het systeem. Steeds digitaler (HART, IO-Link, Profibus-PA, FOUNDATION Fieldbus) en daarom steeds meer onderdeel van het cyberbeveiligingsbereik.

De cruciale eigenschap is dat hoe dieper je gaat, hoe deterministischer, hoe minder gepatcht en hoe minder in staat de apparatuur is zichzelf te verdedigen. Een Niveau-1-controller gebouwd in 2009 heeft geen authenticatie op zijn engineeringprotocol. Het hele punt van segmentatie is om dat te compenseren met grenscontroles.

3. Classificatie-overlay op Purdue-zones

Defensie voegt een tweede as toe die Purdue niet anticipeerde: classificatie. Een NATO RESTRICTED-logistiekweergave van een onderhoudsachterstand en een GEHEIME tactische weergave van hetzelfde platform kunnen op hetzelfde Purdue-niveau leven maar kunnen geen broadcastdomein delen. Het resultaat is een matrix: Purdue-niveau op één as, classificatie op de andere.

In de praktijk zakt de matrix in tot een klein aantal geaccrediteerde combinaties. Niveau 5 onderneming is doorgaans NIET-GECLASSIFICEERD of NATO RESTRICTED. De industriële DMZ kan bestaan op meerdere classificaties, één per enclave. Niveaus 3 tot 0 — de eigenlijke procesbesturing — zijn gewoonlijk vastgepind op de hoogste classificatie van alle data die ze verwerken, op het principe dat de controller geen classificatie kan strippen van zijn eigen toestand. Een niveau-1-controller van een radar die een geclassificeerde golfvorm uitvoert, bevindt zich in een GEHEIME enclave, ook al is de controller zelf een standaard-PLC.

De architectureel eerlijke stap is de matrix vroeg te tekenen, elke cel te labelen met zijn accreditatie-eigenaar en zijn toegestane conduits, en te weigeren iets te implementeren dat niet in een gelabelde cel past. Dit is ook waar zero-trustprincipes klassieke defensie-in-diepte ontmoeten: identiteitsbewust beleid binnen een zone, hardwaregedwongen scheiding tussen classificaties.

4. Cross-domain Oplossingen in OT

Als de matrix eenmaal bestaat, wordt de vraag hoe data tussen cellen beweegt. Twee categorieën cross-domain-oplossingen domineren OT-implementaties.

Eenrichtings-data-diodes. Hardwareapparaten (Owl, Waterfall, Fox-IT FoxDataDiode, Advenica) die fysiek verkeer in slechts één richting toestaan — doorgaans een optisch vezel-zender aan één kant en een ontvanger aan de andere, zonder terugpadmogelijkheid op de fysieke laag. Het klassieke OT-gebruiksscenario is het exporteren van historicusdata van Niveau 3 naar een Niveau-4 of ondernemingsreplica zonder de OT-kant bloot te stellen aan retourverkeer. Diodes zijn het juiste antwoord wanneer de datastroom monoton is: telemetrie naar buiten, niets naar binnen. Ze zijn het verkeerde antwoord voor alles wat bevestiging, patches naar binnen of externe leverancierondersteuning vereist.

Transferbewakers. Applicatiebewuste gateways (Forcepoint DDP, Fox-IT DataDiode in bewakermodus, Everfox Trusted Gateway, Owl ReCon) die inhoud inspecteren en filteren die een classificatiegrens in beide richtingen oversteekt. Een bewaker kan een gesanitiseerde onderhoudswerkopdracht van GEHEIM naar BEPERKT vrijgeven na verificatie dat deze geen geclassificeerde annotaties draagt, of een gecontroleerde PLC-firmware-update van een lagere enclave naar een hogere binnenhalen. Bewakers zijn langzamer, duurder en moeilijker te accrediteren dan diodes, maar ze zijn het enige eerlijke antwoord wanneer bidirectionele stroom werkelijk vereist is.

De engineeringregel is te beginnen met een diode en alleen te escaleren naar een bewaker wanneer het operationele gebruik-scenario bewijst dat bidirectionele stroom onvermijdelijk is.

5. Oost-West vs Noord-Zuid Segmentatie

Purdue is primair een noord-zuidsmodel: verkeer beweegt op en neer de niveaus en wordt gefilterd bij elke conduit. Maar moderne aanvallen zijn oost-west — zodra een tegenstander op een Niveau-2-HMI zit, is de volgende stap zijwaarts naar de naburige HMI, niet omhoog naar de historicus. Oost-westsegmentatie binnen een Purdue-niveau is daarom het tweede front.

Microsegmentatie in OT is moeilijker dan in IT om drie redenen. Ten eerste dragen veel legacy-protocollen (Modbus/TCP, DNP3, IEC 60870-5-104, S7) geen authenticatie en gaan ze uit van een plat L2-domein. Ten tweede kunnen controllers geen host-gebaseerde firewalls draaien zonder hun realtime-garanties te schenden en vaak hun leveranciersgarantie. Ten derde betekenen deterministische timingbudgets dat een verkeerd geconfigureerd beleidshandhavingspunt de installatie sneller neer kan halen dan de aanvaller zou doen.

De twee praktische benaderingen zijn VLAN-plus-ACL-ontwerpen op beheerde industriële switches (Hirschmann, Cisco IE, Moxa) en SDN-overlays speciaal gebouwd voor OT (TXOne, Claroty xDome Secure Access, Dragos met NAC-integraties). VLAN's zijn vertrouwd en accrediteerbaar maar grof; SDN is fijnmaziger maar introduceert een controller waarvan de eigen beschikbaarheid een enkel storingspunt wordt. De meeste echte programma's eindigen met het draaien van beide, met VLAN's als baseline en SDN-beleid erboven voor cellen met hoge waarde.

6. Bewaking van een Luchtgat-stack

Elk OT-programma beweert luchtgat te zijn. Bijna geen enkel is dat daadwerkelijk. Er is een USB-poort op de technische laptop, een leverancierslaptop die eens per kwartaal binnenkomt, een onderhoudmodem dat op papier buiten gebruik is gesteld maar nog steeds een simkaart heeft, een draadloos instrument dat tijdens een refit werd toegevoegd. De architectuur moet ervan uitgaan dat het luchtgat lek is en dienovereenkomstig instrumenteren.

Passieve bewakingsplatforms — Nozomi Networks Guardian, Claroty CTD/xDome, Dragos Platform, Tenable OT Security — zitten op span-poorten binnen elke zone en reconstrueren activainventarissen, protocolbaselines en anomaliesignalen uit passief waargenomen verkeer. Ze injecteren nooit pakketten, wat ze implementeerbaar maakt op productie-OT zonder leveranciersweerstand. Gecombineerd met historicus-gebaseerde detectie (zoekopdrachten bij de historicus voor onmogelijke instelwaardeveranderingen, commandosnelheden boven menselijke capaciteit, sequenties die procesvergrendelingen schenden) en engineering-workstation-EDR, vormen ze een verdedigbaar bewakingsstapel zelfs wanneer het netwerk nominaal geïsoleerd is. Dit is de lijn die wordt verkend in onze ICS/OT forensica walkthrough.

7. Identiteit en Toegang in OT

Identiteit in OT wordt gedomineerd door drie populaties: technische werkstations gebruikt door locatiepersoneel, externe toegangssessies van leveranciers en noodaccounts aangehouden voor calamiteitenbeheersing. Elk vereist zijn eigen discipline.

Technische werkstations moeten authenticeren naar een OT-zijdige directory — nooit de bedrijfs-IT-directory — met hardware-verankerde inloggegevens en sessieopname. Het delen van de bedrijfs-Active Directory over de industriële DMZ is de meest voorkomende architectuurfout in defensie-OT; het converteert een inloggegevenscompromis in de onderneming naar een OT-compromis. Combineer dit met hardware-vertrouwensankers op de werkstations zelf om de inloggegevens aan het apparaat te binden.

Externe leverancierstoegang is het permanente risico. Het juiste patroon is een jump-host in de industriële DMZ, bemiddelde toegang met volledige sessieopname, tijdsgebonden autorisaties en een operator-in-the-loop "scherm-deel"-model in plaats van autonome leveranciersverbinding. Het verkeerde patroon — nog steeds gangbaar — is een permanente site-to-site VPN van het kantoor van de leverancier naar Niveau 3.

Noodprocedures moeten bestaan omdat OT-prioriteiten soms de cyberprioritieten omkeren: in een calamiteit moet een wachter een controller nu overriden, niet na een tokenrotatie. Documenteer de noodinloggegevens, sla ze fysiek op, registreer elk gebruik en behandel elk gebruik als een incident dat een beoordeling na het evenement vereist.

8. Accreditatiebewijs

Niets van het bovenstaande is van belang tenzij de segmentatie accreditatie overleeft. Een Authority to Operate (ATO)-pakket voor een defensie-OT-segment bevat doorgaans: het zone-en-conduit-diagram met classificatielabels; de IEC 62443 Security Level Target (SL-T)-bepaling per zone, gerechtvaardigd op basis van het dreigingsmodel; conduit-per-conduit controle-toewijzingen (wat filtert, welke protocollen, welke logging); bewijs van accreditatie van cross-domain-oplossing (NCDSMO-basislijn voor VS, nationale equivalenten in NATO-leden); residu-risicostellingen voor elke controlehiaat; en een operationeel continu bewakingsplan dat beschrijft hoe de SL-T in de loop van de tijd opnieuw zal worden bewezen.

SL-T-bepaling is waar engineering papierwerk ontmoet. IEC 62443-3-2 definieert vier beveiligingsniveaus (SL 1 tot SL 4) die de capaciteit vertegenwoordigen van de tegenstander die de zone moet weerstaan — van toevallig tot natiestaat met uitgebreide middelen. Een radarbesturingssegment op een voorwaartsgeplaatstplatform is doorgaans SL 3 of SL 4. Het gekozen SL drijft elke stroomafwaartse controlervereiste in IEC 62443-3-3, van wachtwoordbeleid tot cryptografische algoritmekeuze. Kies de SL te laag en de accrediteerder wijst het pakket af; kies het te hoog en u kunt het niet betalen om te bouwen.

Ten slotte is heraccreditatie een terugkerend ritme, geen eenmalige gebeurtenis. De meeste defensieregimes vereisen een volledige herevaluatie om de drie jaar en een delta-beoordeling bij elke "significante wijziging" — wat in OT elke volgende leveranciersfirmware-update omvat. Architecteer de segmentatie zodat het bewijs zichzelf regenereert: configuratie vastgelegd in versiebeheer, bewakingsoutputs gearchiveerd als accreditatieartefacten, wijzigingsregisters gekoppeld aan risico-herbeoordelingen. De segmentatie die u niet opnieuw kunt bewijzen, is de segmentatie die u niet meer heeft.