Wat is het Purdue Model?
Een enkele gecompromitteerde HMI-werkstation geeft een aanvaller directe commandoautoriteit over PLC's die fysieke processen aansturen. Het verschil tussen dat werkstation achter drie afgedwongen beveiligingsgrenzen of op hetzelfde vlakke netwerk als uw zakelijke mailserver is, in praktische termen, het Purdue Model.
De Purdue Enterprise Reference Architecture (PERA), algemeen bekend als het Purdue Model, is een hiërarchisch referentiekader dat industriële controlesystemen (ICS) opdeelt in afzonderlijke functionele lagen, van fysieke processen op veldniveau tot enterprise IT en externe netwerken. Ontwikkeld aan het Laboratory for Applied Industrial Control van Purdue University in 1991 door Theodore J. Williams en het Industry-Purdue University Consortium for Computer-Integrated Manufacturing, richtte het model zich oorspronkelijk op datastromen in computer-geïntegreerde productie, niet op cybersecurity.
Naarmate industrieën OT met IT verbonden, werd de hiërarchische structuur de natuurlijke basis voor het definiëren van wat wel en niet mag communiceren over netwerkgrenzen heen. Tegenwoordig organiseert het model ICS-omgevingen in niveaus 0 tot en met 5 (plus een kritisch niveau 3.5 Industrial DMZ), elk met gedefinieerde componenten, vertrouwensgrenzen en beveiligingseisen.
Onderzoek van het DOE bevestigt dat het model "wordt gebruikt als basisarchitectuur voor alle industriële controlesysteemkaders zoals API 1164 en NIST 800-82."
Begrijpen wat het Purdue Model is, is echter slechts de eerste stap. De betekenis ervan in moderne industriële beveiliging komt voort uit hoe het die hiërarchische structuur vertaalt naar concrete cybersecuritymaatregelen.
Hoe het Purdue Model zich verhoudt tot cybersecurity
De kernwaarde van het Purdue Model op het gebied van beveiliging is het vaststellen van duidelijke vertrouwensgrenzen tussen OT- en IT-omgevingen, waarmee defense-in-depth mogelijk wordt gemaakt via gelaagde beveiligingszones. ISA-95 heeft de hiërarchische benadering formeel vastgelegd in gestandaardiseerde terminologie, en ISA/IEC 62443 heeft zijn zones en conduits-beveiligingsarchitectuur direct op de basis van het model gebouwd.
CISA, NIST en het DoD bevelen het Purdue Model actief aan in de huidige richtlijnen voor 2025:
- CISA's adviezen voor 2025 verwijzen ernaar als "een leidraad voor gelaagde beveiligingszones"
- NIST heeft het opgenomen in SP 800-82 Revisie 3
- Het Department of Defense verwijst ernaar in zero-trust OT-richtlijnen
Wanneer u architectuurbeslissingen verdedigt tegenover auditors of toezichthouders, heeft het Purdue Model federale goedkeuring over meerdere instanties heen.
De maakindustrie was goed voor 27,7% van alle cyberaanvallen in 2025, het hoogste van alle sectoren voor het vijfde jaar op rij, volgens de IBM X-Force 2026 Index. Deze cijfers tonen aan waarom gestructureerde segmentatie in industriële omgevingen geen optionele verbetering is.
Om te begrijpen hoe die segmentatie in de praktijk werkt, moet u weten wat zich op elk niveau bevindt en welke beveiligingsverplichtingen elk niveau heeft.
De zes niveaus van het Purdue Model
Het Purdue Model definieert zes functionele niveaus (0–5), plus de Industrial DMZ die is toegevoegd om IT/OT-convergentie aan te pakken. Elk niveau bevat specifieke componenten, heeft een gedefinieerd risicoprofiel en vereist aparte beveiligingsmaatregelen.
Niveau 0: Fysiek proces
Het daadwerkelijke industriële proces dat wordt aangestuurd. Sensoren, actuatoren, kleppen, motoren en productieapparatuur bevinden zich hier. De primaire vereiste is fysieke toegangscontrole en bescherming van signaalintegriteit.
Niveau 1: Basisbesturing
Realtime programmeerbare besturing van fysieke processen. PLC's, RTU's, Safety Instrumented Systems (SIS) en intelligente elektronische apparaten voeren besturingslogica uit. Dit zijn waardevolle doelwitten omdat compromittering directe manipulatie van fysieke processen mogelijk maakt. Ze draaien doorgaans op realtime besturingssystemen zonder ondersteuning voor moderne authenticatie of patching. Het DOE classificeert niveaus 0 en 1 samen als de Safety Zone met een kritisch risicoprofiel.
Niveau 2: Supervisory Control
Mens-machine-interactie en superviserende monitoring. HMI's, SCADA-systemen, operatorwerkstations en lokale besturingsservers bevinden zich hier. Dit niveau is het primaire doelwit voor laterale beweging van aanvallers vanuit IT omdat het Windows-gebaseerde besturingssystemen draait en directe commandoautoriteit over niveau 1 PLC's behoudt, een kritisch monitoring- en containmentsgat in veel omgevingen.
Niveau 3: Site Operations
Beheer van de gehele fabriek. Manufacturing Execution Systems (MES), data historians, batchbesturingssystemen en OT-netwerkmonitoringplatforms aggregeren alle OT-data die naar boven stroomt. Historians op dit niveau zijn een veelvoorkomend IT/OT-knooppunt en zijn historisch gezien misbruikt als draaipunt tussen omgevingen.
Niveau 3.5: Industrial DMZ (iDMZ)
Deze laag bestond niet in het oorspronkelijke model uit de jaren 90. DOE-richtlijnen stellen: "Dit niveau was aanvankelijk niet ontworpen binnen het Purdue-model; echter, met de voortdurende convergentie van OT en IT is deze abstracte laag essentieel om scheiding van communicatie te waarborgen." Het bevat perimeterfirewalls op zowel IT- als OT-grenzen, datadiodes, proxyservers, historian-replica's en jump servers. Er lopen geen directe IT-naar-OT-verbindingen door deze zone.
Niveau 4: Enterprise Network
Zakelijke IT-systemen, waaronder ERP, CRM, Active Directory en bedrijfsapplicaties. De kritieke eis: geen directe connectiviteit met niveau 2 of lager.
Niveau 5: Extern netwerk
Systemen met internettoegang, clouddiensten en leveranciersportalen die, mits correct ingericht, geen pad naar OT hebben zonder meerdere beveiligingsgrenzen te passeren.
Het begrijpen van deze componenten is noodzakelijk, maar weten hoe het verkeer ertussen stroomt is waar de daadwerkelijke beveiligingshandhaving plaatsvindt.
Hoe het Purdue Model werkt
Het Purdue Model handhaaft beveiliging door hiërarchische communicatiecontrole. Elk niveau communiceert voornamelijk met zijn directe buren, en al het verkeer tussen de OT-zone (niveaus 0 tot en met 3) en de IT-zone (niveaus 4 en 5) moet door de Industrial DMZ op niveau 3.5 gaan.
NIST SP 800-82 Rev. 3 vereist expliciet firewallregels die voorkomen dat niveau 4-apparaten direct communiceren met niveau 2-, 1- of 0-apparaten. De standaard beveelt ook aan dat organisaties uitgaande regels net zo streng maken als inkomende regels, om zowel inkomende aanvallen als uitgaande data-exfiltratie te voorkomen.
ISA/IEC 62443 formaliseert dit via zones en conduits. Een zone is een verzameling assets met gedeelde beveiligingseisen. Een conduit is het communicatiekanaal tussen zones en moet worden beveiligd op het niveau van de meest vertrouwde zone die het verbindt.
In de praktijk werkt de datastroom als volgt:
- Niveau 0-sensoren leveren data aan niveau 1-controllers
- Niveau 1-controllers rapporteren aan niveau 2-HMI's en SCADA-systemen
- Niveau 2 stuurt data naar niveau 3-historians
- Niveau 3-historian-replica's in de DMZ leveren data aan niveau 4 IT-gebruikers
IT-systemen bevragen OT nooit direct
Deze eenrichtings-datastroomarchitectuur, versterkt door firewalls, toegangscontroles en optioneel hardwarematige datadiodes, voorkomt dat een aanvaller die het bedrijfsnetwerk compromitteert de systemen bereikt die fysieke processen aansturen.
Belangrijkste voordelen van implementatie van het Purdue Model
Correct geïmplementeerd levert het Purdue Model cumulatieve beveiligingswaarde op in vier operationele gebieden.
- Defense-in-depth door afgedwongen segmentatie. Elk Purdue-niveau creëert een beveiligingsgrens die een aanvaller moet passeren. Zelfs als het bedrijfsnetwerk volledig wordt gecompromitteerd door ransomware, kan juiste segmentatie operationele stilstand van fysieke processen voorkomen.
- Regelgeving- en standaardafstemming. Het Purdue Model vormt de expliciete basis voor ISA/IEC 62443-compliancebeoordelingen, NIST SP 800-82-architectuureisen en actieve CISA-adviezen. Implementatie biedt een auditeerbare, regulator-verdedigbare architectuur.
- Beperking van laterale beweging. De 2025 Verizon DBIR constateerde dat ransomware nu 44% van alle datalekken vertegenwoordigt. In OT-omgevingen bedreigt ransomware direct de operationele beschikbaarheid en veiligheid, niet alleen data. Purdue-segmentatie beperkt de verspreiding van ransomware van IT naar OT-zones.
- Compensatiecontrole voor legacy-systemen. Industriële apparatuur met levenscycli van 15 tot 25 jaar betekent dat uw OT-omgeving waarschijnlijk systemen bevat die niet gepatcht, geauthenticeerd of gemonitord kunnen worden met moderne tools. CISA's richtlijnen bevelen netwerksegmentatie specifiek aan als primaire bescherming voor deze systemen.
Deze voordelen stapelen zich op, maar alleen als de implementatie solide is. En solide implementatie begint met het begrijpen van de structurele uitdagingen die het Purdue Model moeilijker maken om te implementeren dan het op papier lijkt.
Uitdagingen bij implementatie van het Purdue Model
De principes van het Purdue Model zijn duidelijk op papier. De operationele realiteit van implementatie in live industriële omgevingen is dat niet. Verschillende structurele uitdagingen zorgen consequent voor wrijving tussen wat het architectuurdiagram toont en wat het verkeer daadwerkelijk doet op het netwerk.
- IT/OT-convergentie creëert ongedocumenteerde architectuur. Moderne operationele eisen creëren continu nieuwe verbindingen over Purdue-grenzen heen. Peer-reviewed onderzoek gepubliceerd in 2025 identificeert datastroomvereisten, complexiteit van beveiligingszones en protocolbridging als de drie belangrijkste convergentie-uitdagingen.
- Legacy-systemen verzetten zich tegen moderne beveiligingsmaatregelen. Niveau 1 PLC's en RTU's draaien doorgaans op realtime besturingssystemen met eigen protocollen die de meeste IT-beveiligingstools niet kunnen inspecteren. U kunt geen endpoint-agent installeren op een PLC met RTOS uit 2005. Netwerkgebaseerde segmentatie wordt uw enige haalbare controle.
- Operationele veiligheid beperkt beveiligingsopties. NIST SP 800-82 Rev. 3 vereist expliciet dat segmentatie rekening houdt met "operationele prestaties en veiligheid." ICS-omgevingen kunnen geen authenticatiefouten of netwerkvertragingen tolereren die in IT acceptabel zouden zijn. Geen enkele beveiligingsmaatregel mag een single point of failure worden voor productie- of veiligheidssystemen.
- Cloud en IIoT hebben geen duidelijke plaats in Purdue. Het DOE specificeert dat niveau 0- en 1-apparaten niet geschikt zijn voor virtualisatie of cloudhosting vanwege realtime timingvereisten. Cloud en virtualisatie zijn van toepassing op niveau 3 en hoger, maar veel organisaties integreren cloud analytics en IIoT-sensoren zonder een duidelijk kader voor waar ze thuishoren.
- Remote access schendt fundamentele principes. Traditionele VPN-oplossingen creëren vaak directe connectiviteit naar lagere OT-niveaus, wat direct in strijd is met de controlehiërarchie van het Purdue Model. CISA heeft gedocumenteerd dat pro-Russische hacktivistengroepen met succes OT-controleapparaten hebben gecompromitteerd via minimaal beveiligde, internetgerichte VNC-verbindingen.
Het kennen van deze uitdagingen helpt u ze te anticiperen. Maar de gevaarlijkste fouten zijn die welke teams zelf creëren.
Veelvoorkomende fouten met het Purdue Model om te vermijden
Waar uitdagingen structureel zijn, zijn fouten keuzes: beslissingen die teams nemen tijdens ontwerp, implementatie of beheer die de bescherming ondermijnen die het model moet bieden. Dit zijn de fouten die CISA threat hunters het vaakst tegenkomen in echte industriële omgevingen.
Het implementeren van VLAN's zonder inter-VLAN-toegangscontrole af te dwingen. CISA's proactieve threat hunt ontdekte organisaties met correct geconfigureerde aparte IT- en SCADA-VLAN's maar zonder bijbehorende firewallregels, waardoor inter-VLAN-routing onbeperkt bleef. Het resultaat: "een niet-bevoorrechte gebruiker binnen het IT-netwerk [kon] met zijn inloggegevens toegang krijgen tot het kritieke SCADA-VLAN." VLAN's alleen zijn een netwerkbeheerhulpmiddel, geen beveiligingsmaatregel.
De volgende fouten versterken die fundamentele fout en komen net zo vaak voor in live omgevingen:
- Permissieve firewallregels laten staan. "Tijdelijke" troubleshooting-regels (allow any/any, open RDP/VNC) worden permanente instellingen die audits en personeelswisselingen overleven.
- Directe IT-toegang tot veldcontrollers toestaan. NIST SP 800-82 Rev. 3 vereist firewallregels die voorkomen dat niveau 4-apparaten communiceren met niveau 2, 1 of 0. Overtredingen creëren aanvalspaden die alle superviserende controles omzeilen.
- Implementatie als een eenmalig project beschouwen. Organisaties die Purdue-segmentatie implementeren en deze nooit herzien, krijgen ongedocumenteerde verbindingen naarmate operationele behoeften veranderen. Architectuurvalidatie moet daadwerkelijke verkeersanalyse en regel-auditing omvatten, niet alleen diagramreview.
- Brede leveranciers-remote access tot OT-zones toestaan. CISA's threat hunt-richtlijnen identificeren leveranciers-remote access als een vaak misbruikte kwetsbaarheid. VPN-toegang die direct eindigt in OT-zones in plaats van DMZ-jump servers creëert aanhoudende aanvalspaden.
Het vermijden van deze fouten vereist bewuste, standaardgerichte werkwijzen.
Purdue Model Best Practices
Weten wat er mis kan gaan is de helft van het werk. De andere helft is het bouwen en onderhouden van de architectuur op een manier die standhoudt onder operationele druk, auditcontroles en actieve dreigingen. De volgende werkwijzen weerspiegelen de huidige CISA-, NIST- en DOE-richtlijnen voor ICS-omgevingen.
Implementeer een twee-firewall Industrial DMZ. CISA's richtlijnen zijn expliciet: implementeer firewalls op zowel de IT-DMZ-grens als de OT-DMZ-grens, twee aparte handhavingspunten. Host alle gedeelde diensten (historians, jump servers, remote access endpoints) binnen de DMZ. DMZ-hosts mogen geen verbindingen initiëren naar OT-zones.
Implementeer ICS-bewuste beveiligingsmaatregelen. Standaard IT-firewalls zijn onvoldoende. CISA vereist SCADA-bewuste firewalls die industriële protocollen op applicatieniveau kunnen inspecteren, applicatie-allowlisting voor geautoriseerde protocollen en deep packet inspection voor industriële communicatie.
Van daaruit versterken vier operationele controles de architectuur dagelijks:
- Handhaaf bidirectionele communicatiecontroles. NIST SP 800-82 Rev. 3 beveelt aan uitgaande regels net zo streng te maken als inkomende regels, om zowel inkomende aanvallen als uitgaande data-exfiltratie van gecompromitteerde OT-systemen te voorkomen.
- Gebruik datadiodes voor hoogbeveiligde datastromen. Hardwarematig afgedwongen eenrichtingsdatatransfer voor historian-replicatie voorkomt fysiek omgekeerde communicatie, waardoor het risico op command-and-control naar OT via historian-kanalen wordt geëlimineerd.
- Valideer architectuur aan de hand van daadwerkelijk verkeer. Vergelijk firewallregels met netwerkdiagrammen. CISA threat hunts hebben herhaaldelijk vastgesteld dat deze elkaar tegenspreken. Simuleer aanvallerscenario's: probeer kritieke SCADA-VLAN's te bereiken vanaf gecompromitteerde niet-bevoorrechte IT-accounts.
- Beëindig alle remote access in de DMZ. Elke leverancier-, medewerker- en aannemer-remote sessie moet landen op niveau 3.5 jump servers met sessielogging, nooit direct in OT-zones.
Breid uit met zero trust op hogere niveaus. Zowel CISA's richtlijnen voor 2025 als het Zero Trust voor OT van het DoD positioneren zero trust als complementair aan Purdue, niet als vervanging. Identiteitsverificatie is van toepassing op niveau 3.5 en hoger. Niveaus 0 tot en met 2 vereisen netwerkgebaseerde segmentatie als primaire controle.
Deze werkwijzen weerspiegelen het model zoals het bedoeld is te werken. Maar het Purdue Model zelf heeft niet stilgestaan, en begrijpen hoe het is geëvolueerd is essentieel voor teams die werken in omgevingen waar IT en OT niet langer strikt gescheiden zijn.
De moderne evolutie: IT/OT-convergentie en Purdue 2.0
Het Purdue Model is geëvolueerd van een 6-laags architectuur naar een 7-laags model met niveau 3.5 als verplichte beveiligingsmaatregel. Security-architecten verwijzen hier nu naar als "Purdue 2.0", wat staat voor aanpassing in plaats van vervanging. Het principe van hiërarchische segmentatie gecombineerd met de niveau 3.5 iDMZ blijft de meest operationeel gevalideerde aanpak voor het beschermen van fysieke industriële processen.
Voor beveiligingsteams die deze steeds meer geconvergeerde omgevingen beheren, wordt zichtbaarheid over omgevingen heen essentieel om dreigingen te detecteren die IT/OT-grenzen overschrijden en verdachte activiteiten te correleren over endpoints, identiteiten en netwerkverkeer.
AI-gestuurde cyberbeveiliging
Verhoog uw beveiliging met realtime detectie, reactiesnelheid en volledig overzicht van uw gehele digitale omgeving.
Vraag een demo aanBelangrijkste punten
Het Purdue Model blijft de door de overheid goedgekeurde referentiearchitectuur voor ICS-netwerksegmentatie, waarbij industriële omgevingen worden georganiseerd in hiërarchische niveaus met afgedwongen vertrouwensgrenzen. De Industrial DMZ op niveau 3.5 is nu verplicht voor elke verbonden OT-omgeving.
Succesvolle implementatie hangt af van handhaving, niet van ontwerp: valideer firewallregels aan de hand van daadwerkelijk verkeer, beëindig alle remote access in de DMZ en implementeer ICS-bewuste beveiligingsmaatregelen. Met ransomware aanwezig in 44% van de datalekken en de maakindustrie als meest aangevallen sector voor het vijfde jaar op rij, is Purdue-gebaseerde segmentatie niet optioneel.
Veelgestelde vragen
De Purdue Enterprise Reference Architecture (PERA), vaak het Purdue-model genoemd, is een hiërarchisch raamwerk dat industriële controlesystemen (ICS) opdeelt in afzonderlijke functionele lagen, van fysieke processen op Niveau 0 tot enterprise IT en externe netwerken op Niveau 4 en 5.
Ontwikkeld aan Purdue University in 1991, was het oorspronkelijk bedoeld voor computer-geïntegreerde productie en is het sindsdien de standaard referentiearchitectuur voor ICS-beveiliging geworden, actief onderschreven door CISA, NIST en het Department of Defense.
Het Purdue Model wordt in 2025 nog steeds actief onderschreven door CISA, NIST en het DoD. Zero trust vult het model aan in plaats van het te vervangen. De CISA-richtlijnen voor 2025 en de DoD-documentatie over Zero Trust for OT positioneren zero trust als een versterking die toepasbaar is vanaf niveau 3.5 en hoger.
Niveaus 0 tot en met 2 kunnen doorgaans geen identiteitsgebaseerde controles ondersteunen, waardoor netwerksegmentatie het primaire beschermingsmechanisme blijft voor fysieke procesbesturing.
Het oorspronkelijke model uit 1991 definieerde zes niveaus (0 tot en met 5) voor dataflows in computergeïntegreerde productie. Het Extended Purdue Model voegt niveau 3.5 toe, de Industrial DMZ, als verplichte bufferzone tussen OT (niveaus 0 tot en met 3) en IT (niveaus 4 en 5).
Het DOE heeft deze uitbreiding specifiek ontwikkeld omdat IT/OT-convergentie de oorspronkelijke grens onvoldoende maakte. Elke huidige overheidsaanbeveling beschouwt niveau 3.5 als essentieel.
ISA/IEC 62443 bouwt zijn zones- en conduits-beveiligingsarchitectuur direct op de hiërarchische niveaus van het Purdue Model. Elk Purdue-niveau komt overeen met een beveiligingszone met gedefinieerde Security Levels (SL 1 tot en met 4), variërend van basisbescherming tot verdediging tegen geavanceerde, door staten gesponsorde aanvallen.
Conduits die zones verbinden, moeten worden beveiligd met dezelfde mate van kritischheid als de meest vertrouwde zone waarmee ze zijn verbonden. Deze mapping biedt securityteams een controleerbare, op standaarden gebaseerde architectuur voor ICS-compliancebeoordelingen en regelgevende audits.
Niveau 2 bevat SCADA-systemen en HMI's die op Windows-gebaseerde besturingssystemen draaien en directe commando's kunnen geven aan niveau 1 PLC's. Dit maakt ze kwetsbaar voor standaard IT-aanvalstechnieken en tegelijkertijd in staat om fysieke processen aan te sturen.
Omdat niveau 2 vaak het draaipunt vormt tussen een bedrijfscompromis en impact op fysieke processen, vertegenwoordigt het in echte fabrieken vaak de grootste monitoring- en toegangscontrolegap.
VLAN's implementeren zonder inter-VLAN toegangscontroles af te dwingen. Proactieve dreigingsonderzoeken van CISA documenteerden organisaties met correct gescheiden IT- en SCADA-VLAN's, maar zonder firewallregels ertussen, waardoor niet-geprivilegieerde IT-gebruikers toegang hadden tot kritieke SCADA-netwerken.
VLAN's organiseren netwerkverkeer; ze beperken het niet. Zonder bijbehorende firewallregels die inter-VLAN-communicatie expliciet beperken, kan een aanvaller die het IT-netwerk compromitteert zich vrij bewegen naar OT-systemen. Alleen VLAN-segmentatie biedt geen betekenisvolle beveiligingsgrens.
