Eindpuntbeveiliging voor supportmedewerkers

Een trage computer en een vergrendeld document kunnen beide tekenen zijn van malware: software die is ontworpen om apparaten te beschadigen, gegevens te stelen of te vergrendelen, of middelen te gebruiken zonder geïnformeerde toestemming. Bepaal afzonderlijk hoe de malware binnenkwam en wat die doet. Een vals installatieprogramma kan een Trojaans paard zijn dat ransomware aflevert.

Volg de route naar binnen

Een Trojaans paard voor toegang op afstand (RAT) geeft een aanvaller controle op afstand. Een valse PDF-converter kan een RAT installeren en tegelijk een document converteren. Dat iets nuttig lijkt, maakt het dus niet veilig.

Herken de schade

Ransomware versleutelt bestanden en eist betaling voor een sleutel. Aanvallers stelen vaak eerst gegevens. Bestanden die eindigen op .locked en een losgeldbericht zoals HOW_TO_RECOVER.txt zijn dringende waarschuwingssignalen. Ook gekoppelde shares en gesynchroniseerde cloudmappen kunnen worden getroffen. Koppel een getroffen apparaat snel los; voor herstel moet je het apparaat opschonen of opnieuw inrichten en schone back-upgegevens terugzetten. Betalen biedt geen garantie op herstel.

Spyware verzamelt stiekem informatie. Een keylogger registreert toetsaanslagen en kan software zijn of een hardwareadapter bij een toetsenbordaansluiting. Controleer op gedeelde computers zowel de fysieke aansluitingen als de geïnstalleerde software. Stalkerware volgt iemands berichten of locatie voor een bekende van die persoon. Verwijderen kan die bekende waarschuwen; laat de eigenaar van het apparaat beslissen wanneer verwijderen veilig is.

Een cryptominer gebruikt processor- of grafische-processortijd om cryptovaluta te delven. Warmte, lawaaiige ventilatoren en een leeglopende accu terwijl het apparaat niet wordt gebruikt, kunnen bij dit patroon passen. Controleer de actieve processen voordat je bepaalt wat de oorzaak is.

Begrijp verborgen besmettingen

Een rootkit wijzigt de interfaces of onderdelen die systeemactiviteit melden. De rootkit kan werken via toepassingsinterfaces, de kernel, opstartcode of firmware. Het besmette besturingssysteem kan een scanner een onjuist beeld geven. Een offline scan onderzoekt het apparaat terwijl dat systeem niet draait. Herinstallatie is vaak nodig; bij besmetting van firmware kan ook herstel met vertrouwde firmware nodig zijn.

Bestandsloze malware werkt in het geheugen en kan PowerShell of Windows Management Instrumentation (WMI) misbruiken. Geplande taken of registervermeldingen kunnen de malware na een herstart terugbrengen. Gedragsgebaseerde hulpmiddelen kunnen de acties herkennen, ook als er weinig op de schijf staat om met een bekende handtekening te vergelijken.

Onderscheid ongewenste van schadelijke software

Adware toont ongewenste advertenties of wijzigt zoekresultaten. Een potentieel ongewenst programma (PUP) kan met een vooraf geselecteerde aanbieding in een installatieprogramma zijn meegeleverd. Het kan ongewenst zijn zonder schadelijk te zijn. Controleer geïnstalleerde apps en browserextensies, verwijder ongewenste toevoegingen en gebruik aangepaste installatieopties om meegeleverde extra's te weigeren.

Malware richt zich zowel op Macs en telefoons als op Windows-pc's. Een scan die niets vindt, is nuttig bewijs, maar onverklaarde symptomen moeten nog steeds worden onderzocht omdat verborgen of nieuwe malware detectie kan ontwijken.

Social engineering manipuleert mensen om toegang of informatie te geven of een handeling uit te voeren. De aanvaller kan tijdsdruk creëren, zich op gezag beroepen of een beroep doen op behulpzaamheid. Een goed geconfigureerde computer kan niet voorkomen dat iemand een frauduleuze betaling goedkeurt.

Herken het bericht en het doelwit

Phishing bootst een vertrouwde afzender na om inloggegevens te verkrijgen of mensen op links te laten klikken of bijlagen te laten openen. Telefonische phishing gebruikt telefoongesprekken; sms-phishing gebruikt tekstberichten; QR-codephishing verbergt een bestemming in een scanbare code. Bekijk de bestemming van een QR-code voordat je die opent. Een code op een vertrouwde poster kan zijn vervangen.

Gerichte phishing gebruikt gegevens over een bepaalde persoon of een bepaald team. Phishing gericht op topbestuurders heeft hoge bestuurders als doelwit. Deze namen beschrijven het doelwit, dus een zorgvuldig voorbereid tekstbericht kan zowel sms-phishing als gerichte phishing zijn.

Bij fraude via zakelijke e-mail (BEC) vraagt een aanvaller via een nagebootste of gecompromitteerde mailbox om geld, cadeaubonnen of wijzigingen van bankgegevens. Het bericht bevat mogelijk geen link of bijlage. Bevestig een gevraagde betalingswijziging via een nummer dat al bekend is. Als je het nummer in het verdachte bericht belt, volg je simpelweg de instructies van de aanvaller.

Lees een bestemming nauwkeurig

Stel dat medewerkers normaal northwind.example gebruiken. Er komt een bericht van helpdesk@northwind-support.example met als onderwerp “Mailbox vol: bevestig je account binnen 2 uur.” De zichtbare link luidt https://portal.northwind.example, maar de bestemming is https://northwind.example.login-verify.net/reset.

1. Controleer het volledige adres van de afzender. Het extra woord verandert het domein.
2. Bekijk de werkelijke bestemming zonder die te openen. De linktekst kan vrij worden gekozen.
3. Lees de hostnaam tussen https:// en de eerstvolgende enkele schuine streep. Het geregistreerde domein is login-verify.net; de vertrouwde woorden links daarvan zijn subdomeinen die de eigenaar van dat domein beheert.
4. Zie de deadline als druk om de controle over te slaan. Open de dienst via een bekende bladwijzer om zelfstandig onderzoek te doen.

HTTPS versleutelt de verbinding met het genoemde domein. Ook een phishingsite kan een geldig certificaat hebben.

Reageer zonder de aanval verder te helpen

Meld een verdacht bericht via de meldknop van de organisatie of bij de helpdesk. Antwoord niet, open geen bijlagen en probeer de link niet uit om te zien wat er gebeurt. Door snel te melden kan support kopieën uit andere mailboxen verwijderen.

Heeft een gebruiker een wachtwoord ingevoerd, wijzig het dan vanaf een aantoonbaar schoon apparaat, beëindig actieve sessies en controleer op onbekende MFA-methoden of doorstuurregels. Leg in een ticket vast wat er is gebeurd. Alleen het wachtwoord wijzigen laat andere toegangsroutes over die ook moeten worden gecontroleerd.

Controleer mensen even zorgvuldig als berichten

Bij zich voordoen als een ander gebruikt iemand een geloofwaardige rol of een geloofwaardig verhaal. Bij ongeautoriseerd meelopen volgt iemand een ander door een beveiligde deur zonder zelf bevoegd te zijn. Bij over de schouder meekijken kijkt iemand mee op een scherm of toetsenbord; een pincode afschermen en een privacyfilter gebruiken helpen. Bij afval doorzoeken zoekt iemand in afval naar bruikbare documenten of schijven.

Een beller die beweert directeur te zijn, kan dringend een reset eisen. Volg de goedgekeurde identiteitscontroles, zoals terugbellen naar een nummer in de adreslijst of bevestiging via de ticketprocedure. Rang en tijdsdruk vervangen geen controle. Ook getrainde medewerkers kunnen door een overtuigende aanpak worden misleid; snel melden helpt meer dan iemand de schuld geven.

Een kwetsbaarheid is een zwakke plek, zoals een toepassing zonder beschikbare patch. Een dreiging is iets wat die zwakke plek kan uitbuiten, zoals een kwaadwillende persoon binnen de organisatie. Een aanval is de poging om de zwakke plek te gebruiken. Deze woorden duiden verschillende onderdelen van het probleem aan.

Begrijp het raden van wachtwoorden

Een bruteforceaanval probeert mogelijke combinaties. Voor een vaste verzameling tekens is de zoekruimte:

Hier is $a$ het aantal toegestane tekens en $n$ de wachtwoordlengte. Met 26 kleine letters geven 8 tekens ongeveer 209 miljard combinaties. Bij een voorbeeldsnelheid van 10 miljard offline pogingen per seconde duurt het ongeveer 21 seconden om ze allemaal te testen. Bij die snelheid kosten acht tekens gekozen uit 94 symbolen ongeveer 7,1 dagen; 16 kleine letters kosten ongeveer 138.000 jaar. Dit vergelijkt volledige zoekruimtes bij willekeurige keuzes. De werkelijke aanvalssnelheid hangt af van het systeem voor wachtwoordhashing en de hardware; voorspelbare zinnen kunnen veel eerder worden gevonden.

Een online aanval stuurt pogingen naar een actieve aanmelddienst, waar accountvergrendeling en snelheidslimieten de aanval vertragen. Een offline aanval gebruikt gestolen wachtwoordhashes, buiten die beveiligingsmaatregelen om. Een woordenboekaanval probeert eerst veelgebruikte woorden, gelekte wachtwoorden en varianten zoals “Summer2026!”. Credential stuffing probeert al gelekte gebruikersnaam-wachtwoordcombinaties bij andere diensten. Lange, unieke wachtwoorden en MFA pakken verschillende delen van deze risico's aan.

Herken onderschepping en valse identiteiten

Een tussenpersoonsaanval plaatst een aanvaller tussen communicerende partijen. Een vals wifitoegangspunt kopieert een legitieme netwerknaam om verbindingen aan te trekken. Laat apparaten niet automatisch met open netwerken verbinden; controleer de netwerkidentiteit, gebruik HTTPS, neem certificaatwaarschuwingen serieus en gebruik de goedgekeurde VPN op openbare wifi. Een VPN beschermt de route van het verkeer, maar maakt een valse aanmeldpagina niet betrouwbaar.

Spoofing vervalst een identiteit zoals een afzenderadres, weergegeven telefoonnummer of MAC-adres. Een zerodayaanval gebruikt een zwakke plek waarvoor nog geen oplossing beschikbaar is of die de leverancier nog niet kent. Gedragsdetectie, beperkte accounts en firewalls helpen de blootstelling te beperken voordat er een patch beschikbaar is.

Herken aanvallen op diensten en toepassingen

Een DoS-aanval overbelast een dienst; een DDoS-aanval gebruikt veel bronnen, vaak een botnet van gecompromitteerde apparaten. Een interne dreiging misbruikt legitieme toegang opzettelijk of door onachtzaamheid.

SQL-injectie laat een onveilige toepassing invoer als databaseopdrachten behandelen. Cross-site scripting (XSS) laat een website een door de aanvaller aangeleverd script uitvoeren in de browsers van bezoekers. Een aanval op de toeleveringsketen compromitteert een vertrouwd product of een vertrouwde update; de compromittering van SolarWinds Orion in 2020 is een voorbeeld. Supportmedewerkers houden software actueel en melden tekenen van compromittering; ontwikkelaars van toepassingen verhelpen onveilige invoerverwerking.

Zoek het blootgestelde eindpunt

Op een niet-gepatcht apparaat ontbreken beschikbare oplossingen. Een onbeschermd apparaat mist werkende antivirus- of firewallbeveiliging. Een niet-conform apparaat overtreedt het beleid, bijvoorbeeld doordat versleuteling ontbreekt. BYOD betekent dat privéapparaten voor werk worden gebruikt; ook hun beveiliging moet worden gecontroleerd.

Software aan het einde van de productlevenscyclus (EOL) ontvangt geen normale beveiligingsoplossingen meer. De ondersteuning voor Windows 10 Home en Pro eindigde op 14 oktober 2025; aangemelde apparaten kunnen beperkte Extended Security Updates ontvangen. Vervang of isoleer niet-ondersteunde systemen. Geef voorrang aan oplossingen voor zwakke plekken die aanvallers al uitbuiten.

Een sterk wachtwoord moet zowel lang als uniek zijn. Meer tekens vergroten de zoekruimte, maar hergebruik van een sterk wachtwoord zorgt ervoor dat één datalek meerdere accounts kan treffen. Tekentypen, complexiteitseisen en verloop zijn afzonderlijke beleidsinstellingen.

Pas beleid toe met begrip van het doel

De NIST-richtlijn van 2025 vereist minstens 15 tekens voor een wachtwoord dat op zichzelf wordt gebruikt. Wanneer een wachtwoord met MFA wordt gebruikt, mag het minimum 8 zijn. De richtlijn beveelt aan minstens 64 tekens te accepteren en wijst verplichte tekencombinaties en gewone periodieke wijzigingen af. Bij aanwijzingen voor compromittering is een wijziging verplicht en veelgebruikte, voorspelbare of gelekte wachtwoorden moeten worden geblokkeerd.

Veel werkgevers vereisen nog steeds verschillende tekentypen, wachtwoordgeschiedenis of wachtwoordverloop. Pas het beleid van de organisatie toe en leg de instellingen nauwkeurig uit. Voldoen aan een complexiteitsregel maakt een bekend woord niet onvoorspelbaar: “P@ssw0rd!” is een standaarddoelwit bij wachtwoordaanvallen.

Een wachtwoordzin combineert willekeurige, niet-gerelateerde woorden. “Paars anker tractor zingend” heeft 27 tekens inclusief spaties. Een bekend citaat, een liedtekst of een persoonlijk gegeven is gemakkelijker te voorspellen. Houd een echte wachtwoordzin geheim en gebruik die voor slechts één account.

Maak unieke wachtwoorden praktisch met een wachtwoordmanager

Een wachtwoordmanager bewaart wachtwoorden in een versleutelde kluis en genereert lange willekeurige waarden voor afzonderlijke sites. Bescherm de kluis met een sterk hoofdwachtwoord en MFA. Wachtwoordmanagers in browsers en besturingssystemen kunnen deze functie bieden, net als afzonderlijke toepassingen.

Automatisch invullen is ook een nuttige controle. Een wachtwoordmanager koppelt een opgeslagen aanmelding normaal aan de bijbehorende website. Een vertrouwd ogende pagina waarop het opgeslagen wachtwoord niet wordt aangeboden, verdient dus onderzoek. Open de echte dienst via een bekende route in plaats van inloggegevens naar de pagina te kopiëren om het toch te laten werken.

Weet wat Windows-instellingen regelen

Open in Windows Pro en hogere edities Lokaal beveiligingsbeleid met secpol.msc en bekijk Accountbeleid. Domeinbeleid kan deze instellingen centraal beheren.

Accountvergrendeling vertraagt pogingen bij de actieve aanmelddienst. Ze vertraagt geen aanvaller die gestolen hashes offline test. Een zeer lage drempel voor mislukte pogingen laat een aanvaller ook opzettelijk veel accounts vergrendelen en veroorzaakt vermijdbare supportverzoeken.

Een eenvoudig voorbeeld van een snelheidslimiet: stel dat een dienst 5 pogingen per periode van 15 minuten toestaat. Er zijn 96 perioden per dag, dus zijn 480 pogingen per dag toegestaan. Alle 10.000 mogelijke pincodes van vier cijfers proberen zou bij die limiet ongeveer 21 dagen duren. De werkelijke werking van accountvergrendeling hangt af van de ingestelde drempel, resetperiode en duur.

Reset zonder het wachtwoord bloot te geven

Controleer de identiteit van de beller volgens de goedgekeurde procedure voordat je iets wijzigt. Waar tijdelijke wachtwoorden worden gebruikt, stel je “Gebruiker moet wachtwoord bij volgende aanmelding wijzigen” in en geef je het tijdelijke wachtwoord door via het goedgekeurde veilige kanaal. Vraag nooit naar het huidige wachtwoord en zet een wachtwoord nooit in een ticket, gewone chat of e-mail. Leg de identiteitscontroles en de handeling vast, zonder het wachtwoord te noteren.

Authenticatie controleert een opgegeven identiteit. De belangrijkste factorcategorieën zijn iets wat je weet, zoals een wachtwoord; iets wat je hebt, zoals een beveiligingssleutel; en iets wat je bent, zoals een vingerafdruk. Locatie en typgedrag kunnen extra signalen geven.

Tel categorieën, geen schermen

Multifactorauthenticatie (MFA) combineert minstens twee factorcategorieën. Een wachtwoord plus een door een telefoon gegenereerde code combineert kennis en bezit. Een wachtwoord plus een beveiligingsvraag gebruikt kennis twee keer, ook als de dienst twee schermen toont.

Een wachtwoord en een biometrische controle kunnen ook categorieën combineren als ze als onafhankelijke controles zijn ingericht. Op telefoons en apparaten met Windows Hello ontgrendelt een lokale controle van vingerafdruk of gezicht meestal een beschermde sleutel op het apparaat.

Ondersteun codes en verzoeken correct

Een tijdgebonden eenmalig wachtwoord (TOTP) gebruikt een gedeeld geheim dat in de app is geregistreerd, meestal door een QR-code te scannen. De app combineert het geheim met de tijd om een code te genereren, vaak zes cijfers die elke 30 seconden veranderen. Voor de berekening is geen netwerk nodig, maar een verkeerd ingestelde apparaatklok kan problemen veroorzaken. Een OTP is geldig voor één gebruik; een code van zes cijfers heeft één miljoen mogelijke waarden.

Bij MFA-vermoeidheid worden herhaaldelijk pushverzoeken gestuurd totdat iemand goedkeurt. Gebruikers moeten verzoeken die ze niet zelf hebben gestart weigeren en melden. Bij nummervergelijking voeren ze het nummer van hun eigen aanmeldscherm in, wat achteloos goedkeuren vermindert. Een proces waarbij gegevens worden ingevoerd of doorgestuurd, wordt daardoor niet gelijkwaardig aan een phishingbestendige sleutel.

FIDO2-beveiligingssleutels en passkeys zijn bestand tegen doorsturen via een nepsite, omdat ze bij de juiste dienst authenticeren. Codes die op een neppagina worden ingevoerd, kunnen worden doorgestuurd naar de echte dienst zolang ze nog geldig zijn.

Bereid verlies voor zonder identiteitscontroles te omzeilen

Controleer bij verlies van een telefoon met authenticator-app de identiteit, trek de verloren methode in, gebruik een goedgekeurde reservemethode of herstelcode en registreer daarna het vervangende apparaat. Moedig gebruikers aan twee methoden te registreren, zodat verlies van één methode de toegang niet blokkeert. Registreer geen nieuwe telefoon alleen omdat een beller de gebruikersnaam kent.

Biometrische lezers kunnen ten onrechte de verkeerde persoon accepteren of de juiste persoon afwijzen. Beschermde hardware bewaart het lokale sjabloon en een pincode of wachtwoord blijft beschikbaar als alternatief. Een biometrisch kenmerk is moeilijker te vervangen dan een gecompromitteerd wachtwoord.

Herken de dienst achter het verzoek

Kerberos geeft tijdelijk geldige tickets voor aanmelding bij Windows Active Directory; de standaardtolerantie voor klokverschillen is vijf minuten. Onderzoek dus de tijdsynchronisatie wanneer domeinauthenticatie mislukt. RADIUS controleert wifi- en VPN-toegang. Met eenmalige aanmelding (SSO) geeft één aanmelding toegang tot meerdere apps, vaak via SAML-beweringen. Door die centrale aanmelding met MFA te beschermen, bescherm je een belangrijke toegangsroute naar gekoppelde toepassingen.

Windows maakt onderscheid tussen van wie het account is en wat het mag wijzigen. Een lokaal account, Microsoft-account of werkaccount kan verschillende rechten hebben. De juiste identiteit kiezen rechtvaardigt op zichzelf geen beheerderstoegang.

Kies de identiteit

Een standaardgebruiker kan geïnstalleerde apps uitvoeren en persoonlijke instellingen wijzigen. Een beheerder kan ook systeembrede wijzigingen aanbrengen en andere accounts beheren. Gebruik standaardrechten voor dagelijks werk en een afzonderlijke beheerdersidentiteit voor goedgekeurd onderhoud. Dit beperkt wat software die in een gewone sessie wordt gestart, kan wijzigen.

Houd Gast uitgeschakeld. De oudere groep Hoofdgebruikers bestaat nog voor compatibiliteit en geeft standaard geen extra rechten ten opzichte van een standaardgebruiker.

Geef een taak verhoogde bevoegdheden zonder iemand te promoveren

Gebruikersaccountbeheer (UAC) houdt toepassingen op gewone rechten totdat verhoogde bevoegdheden worden aangevraagd. Een beheerder ziet normaal een toestemmingsverzoek; een standaardgebruiker moet beheerdersreferenties opgeven. Het verduisterde beveiligde bureaublad helpt het verzoek tegen andere toepassingen te beschermen.

Een schild markeert instellingen waarvoor verhoogde bevoegdheden nodig zijn. Als je met de rechtermuisknop op een programma klikt en Als administrator uitvoeren kiest, krijgt dat programma verhoogde bevoegdheden. Voor een goedgekeurde reparatie met sfc /scannow is bijvoorbeeld een opdrachtvenster met verhoogde bevoegdheden nodig. Controleer zowel het programma als de reden voordat je goedkeurt. Ook een schadelijk programma met verhoogde rechten kan het systeem wijzigen.

Maak een medewerker geen beheerder alleen om één goedgekeurd programma te installeren. Geef voor die taak bevoegde inloggegevens op bij het verzoek van Gebruikersaccountbeheer. Houd Gebruikersaccountbeheer ingeschakeld; “Nooit een melding weergeven” verwijdert een nuttige controle.

Begrijp Windows Hello

Windows Hello biedt een apparaatpincode, vingerafdruk of gezichtsherkenning. Gezichtsherkenning vereist geschikte infraroodhardware. Instellingen voor aanmelden zonder wachtwoord kunnen de wachtwoordoptie verbergen.

Een Hello-pincode ontgrendelt een sleutel die wordt beschermd door de Trusted Platform Module (TPM) van het apparaat, met bescherming tegen herhaald raden. Het is niet het herbruikbare wachtwoord dat naar een online account wordt gestuurd. Wie de pincode kent maar het apparaat niet in handen heeft, krijgt niet dezelfde toegang op afstand als iemand die het wachtwoord van dat account kent. Dit verklaart waarom een korte lokale pincode en een lang online wachtwoord verschillende beveiligingsrollen hebben.

Bereid een laptop voor een medewerker voor en onderhoud die

1. Schrijf de laptop in of koppel die volgens de goedgekeurde werkaccountprocedure van de organisatie.
2. Controleer of de medewerker standaardrechten heeft en de technicus een afzonderlijke onderhoudsidentiteit heeft.
3. Stel Hello in en houd Gebruikersaccountbeheer op het goedgekeurde niveau.
4. Schakel ongebruikte lokale accounts uit en controleer of Gast uitgeschakeld blijft.
5. Controleer of de vereiste beheerinstellingen van toepassing zijn.

Een Active Directory-domein centraliseert accounts en instellingen. Groepsbeleid kan regels voor wachtwoorden, firewall en versleuteling, aanmeldscripts, koppelingen naar persoonlijke mappen en mapomleiding toepassen. Op welke doelen het beleid van toepassing is, hangt af van organisatie-eenheden en beveiligingsgroepen. gpresult /r toont toegepast beleid; gpupdate /force vraagt om vernieuwing. Als een lokale instelling steeds wordt teruggezet, controleer dan het beheerbeleid voordat je die opnieuw wijzigt.

Open Windows-beveiliging om Virus- en bedreigingsbeveiliging, Accountbeveiliging, Firewall- en netwerkbeveiliging, App- en browserbeheer en Apparaatbeveiliging te bekijken. SmartScreen waarschuwt voor verdachte downloads en phishing. Apparaatbeveiliging toont functies zoals de TPM en beveiligd opstarten.

Houd antivirus actief

Microsoft Defender Antivirus biedt realtimecontroles, controles via de cloud en manipulatiebeveiliging. De beveiligingsinformatie-updates bevatten actuele detectiegegevens en komen binnen via Windows Update. Controleer Beveiligingsupdates wanneer definities handmatig moeten worden vernieuwd.

Realtimebeveiliging uitschakelen via de interface is tijdelijk; Windows schakelt die normaal weer in. Een geregistreerd antivirusproduct van een andere leverancier dan Microsoft wordt het belangrijkste realtime-antivirusprogramma. Defender kan worden uitgeschakeld of in een beheerde passieve modus draaien, afhankelijk van de configuratie. Controleer welk product verantwoordelijk is voordat je een inactief Defender-scherm als een storing ziet. Twee concurrerende realtime-antivirusprogramma's kunnen conflicteren en de computer vertragen.

Kies de scan die bij het probleem past

Defender Offline ondersteunt Windows 11-pc's met x64; het is niet beschikbaar op Windows 11 met een ARM-processor. Sla het werk van de gebruiker op vóór een offline scan. De scan duurt ongeveer 15 minuten en helpt malware te vinden die zich verbergt terwijl Windows draait. Beoordeel daarna de bevindingen en onverklaarde symptomen.

Een uitsluiting geeft Defender opdracht een opgegeven locatie of proces over te slaan. Gebruik die alleen voor een gecontroleerde behoefte van een toepassing en met de kleinst mogelijke goedgekeurde reikwijdte. De map Downloads of een hele schijf uitsluiten creëert een grote blinde vlek. Een geblokkeerd installatieprogramma moet worden onderzocht; antivirus uitschakelen om het te laten draaien, verwijdert de controle die de waarschuwing gaf.

Stem firewallregels af op het netwerk

Windows Defender Firewall is een hostfirewall die deze computer beschermt. De profielen zijn Domein voor een herkende domeinverbinding, Particulier voor een vertrouwd thuis- of kantoornetwerk en Openbaar voor onbekende netwerken. Kies Openbaar op een netwerk dat je niet beheert. Houd de beveiliging op elk profiel ingeschakeld.

Standaard blokkeert de firewall ongevraagde inkomende verbindingen tenzij een regel ze toestaat, terwijl uitgaand verkeer wordt toegestaan. Een toepassingsregel staat een programma toe op geselecteerde profielen. Geavanceerde regels in wf.msc kunnen ook protocol, poort en externe adressen beperken.

Herstel toegang met een gerichte wijziging

Stel dat de helpdesk een domein-pc niet kan bereiken via Extern bureaublad:

1. Controleer of Extern bureaublad is goedgekeurd en ingeschakeld op de doelcomputer.
2. Bekijk de bestaande regel voor inkomend verkeer op TCP 3389.
3. Sta het domeinprofiel en het goedgekeurde adresbereik van de helpdesk toe.
4. Test vanaf een bevoegde bron en leg de regelwijziging vast.

Dezelfde poort op elk profiel voor elke bron openen veroorzaakt onnodige blootstelling. De hele firewall uitschakelen verwijdert ook andere beveiligingsmaatregelen. Een regel moet het vereiste verkeer zo nauwkeurig beschrijven als de taak toelaat.

De toegang van een gebruiker hangt af van de route naar het bestand en de machtigingen op die route. NTFS-machtigingen gelden lokaal en via het netwerk. Sharemachtigingen gelden alleen wanneer iemand een gedeelde map via het netwerk bereikt.

Combineer de juiste instellingen

NTFS biedt Volledig beheer, Wijzigen, Lezen en uitvoeren, Mapinhoud weergeven, Lezen en Schrijven. Sharemachtigingen bieden Volledig beheer, Wijzigen en Lezen. Voor netwerktoegang moet de gevraagde handeling door beide lagen worden toegestaan.

Stel dat de share Rapporten Iedereen Lezen geeft, terwijl NTFS de groep Verkoop Wijzigen geeft. Ana hoort bij Verkoop:

1. Via de share staat de sharelaag alleen lezen toe.
2. NTFS staat wijzigen toe, maar kan geen recht toevoegen dat door de sharelaag wordt geblokkeerd.
3. Ana kan daarom via het netwerk lezen. Als ze lokaal is aangemeld, geldt de beperking van de share niet en is haar NTFS-machtiging Wijzigen van toepassing.

Een veelgebruikt ontwerp houdt sharemachtigingen ruim genoeg voor het bedoelde werk en beheert gedetailleerde toegang via NTFS-groepen.

Begrijp meerdere groepen en overerving

Toestaan-machtigingen uit groepslidmaatschappen worden doorgaans bij elkaar opgeteld. Lezen van de ene groep en Wijzigen van een andere groep staan Wijzigen toe. Een Weigeren op hetzelfde voorrangsniveau gaat vóór de overeenkomstige Toestaan, maar expliciete vermeldingen gaan vóór overgenomen vermeldingen. Een expliciete Toestaan kan dus vóór een overgenomen Weigeren gaan. De vuistregel “Weigeren wint altijd” verbergt dit onderscheid.

Nieuwe bestanden en submappen nemen normaal de vermeldingen van de doelmap over. Overgenomen vermeldingen worden grijs weergegeven. Als je overerving uitschakelt, kun je ze omzetten in expliciete vermeldingen of verwijderen. Bekijk voor een afgeschermde HR-submap de overgenomen afdelingstoegang voordat je beslist welke vermeldingen moeten blijven.

Ken waar mogelijk rechten toe aan groepen en gebruik Weigeren spaarzaam. Het tabblad Effectieve toegang in Geavanceerde beveiligingsinstellingen helpt de NTFS-toegang van een bepaalde gebruiker te onderzoeken. Controleer bij een probleem met netwerktoegang de sharemachtigingen afzonderlijk.

Voorspel kopiëren en verplaatsen

Als je bijvoorbeeld een beperkt toegankelijk bestand tussen mappen op hetzelfde volume verplaatst, kan het beperkt toegankelijk blijven, ook wanneer de andere bestanden in de doelmap leesbaar zijn. Een kopie in de doelmap krijgt meestal de machtigingen van die map. Hulpmiddelen met speciale opties om machtigingen te behouden kunnen bewust anders werken, dus controleer bij een onverwacht resultaat welke handeling is gebruikt.

Houd kenmerken apart

Alleen-lezen, Verborgen, Systeem en Archief zijn kenmerken en geen vervanging voor toegangsmachtigingen. attrib +r +h notes.txt markeert een bestand als alleen-lezen en verborgen. Een gebruiker met geschikte rechten kan kenmerken wijzigen en door verborgen bestanden weer te geven worden verborgen namen zichtbaar. Geavanceerde kenmerken omvatten ook compressie en EFS-versleuteling.

Geef Iedereen geen Volledig beheer om een toegangsprobleem op te lossen; daardoor kunnen gegevens toegankelijk worden voor accounts die ze niet nodig hebben.

Systeemverharding verkleint het aanvalsoppervlak: de accounts, services, programma's en verbindingen die een toegang kunnen bieden. Behoud wat voor het werk nodig is, beveilig het en verwijder ongebruikte toegang.

Beperk accounttoegang

Vervang fabrieksinloggegevens voor beheerders door unieke gegevens, hernoem standaardbeheerdersaccounts waar het beleid dat vereist en schakel ongebruikte accounts en Gast uit. Alleen hernoemen laat het wachtwoord ongewijzigd en biedt onvoldoende bescherming. Gebruik standaardrechten voor dagelijks werk.

Stel vervaldatums in voor tijdelijke medewerkers en beperk aanmeldingstijden waar dat passend is. Voor een lokaal account stelt net user jdoe /times:M-F,08:00-18:00 aanmeldingstijden op werkdagen in; voor domeinaccounts kunnen de tijden centraal worden beheerd. Configureer accountvergrendeling na mislukte pogingen via beleid. Controleer geplande werkzaamheden en supportbehoeften voordat je tijdschema's aanscherpt.

Stel een korte vergrendelingstijd bij inactiviteit in, bijvoorbeeld vijf minuten op een kantoor-pc, en vereis aanmelding bij terugkomst. Gebruikers kunnen op Windows-toets + L drukken voordat ze weglopen en zich aan het einde van de dag afmelden. Dynamische vergrendeling gebruikt de aanwezigheid van de gekoppelde telefoon via Bluetooth om de computer te helpen vergrendelen wanneer de gebruiker wegloopt.

Bescherm opstartinstellingen en opgeslagen gegevens

Een firmwarebeheerderswachtwoord beschermt BIOS/UEFI-instellingen. Een gebruikers- of inschakelwachtwoord wordt vóór het opstarten gevraagd. Ze hebben verschillende doelen.

Een beheerderswachtwoord alleen kan het eenmalige USB-opstartmenu beschikbaar laten. Zet de interne schijf als eerste, schakel extern opstarten en het eenmalige menu uit of beveilig ze met een wachtwoord, en houd beveiligd opstarten ingeschakeld. Schijfversleuteling beschermt gegevens als iemand de schijf helemaal verwijdert. Bewaar firmware-inloggegevens veilig; voor een verloren wachtwoord van een zakelijke laptop kan de servicedienst van de fabrikant nodig zijn.

Verwijder onnodige mogelijkheden om software uit te voeren

De huidige Windows-versies voeren programma's op gewone USB-schijven niet automatisch uit via autorun.inf, maar Automatisch afspelen kan nog steeds acties aanbieden wanneer media worden geplaatst. Schakel dit uit via Instellingen > Bluetooth en apparaten > Automatisch afspelen of vereis dat elke keer een keuze wordt gemaakt. Groepsbeleid kan deze keuzes beheren.

Verwijder ongebruikte proefsoftware, verouderde plug-ins en onnodige toepassingen. Schakel ongebruikte services pas uit nadat je afhankelijkheden in services.msc hebt gecontroleerd. Extern bureaublad uitschakelen is verstandig op een pc waarvoor geen goedgekeurde behoefte aan toegang op afstand bestaat; een benodigde service uitschakelen kan daarentegen het werk van de gebruiker verstoren.

Zorg dat oplossingen worden toegepast

Installeer beveiligingsupdates voor het besturingssysteem, toepassingen en stuurprogramma's snel. Geef voorrang aan een zwakke plek die al wordt uitgebuit. Een patch helpt pas wanneer die is geïnstalleerd en een eventueel vereiste herstart is voltooid. Vervang of isoleer niet-ondersteunde producten die geen oplossingen meer ontvangen.

Voor een reservekantoorlaptop is een nuttige volgorde: verwijder verouderde accounts en software, pas actuele updates toe, controleer de status van antivirus en firewall, controleer vergrendeling bij inactiviteit en versleuteling en test daarna de vereiste toepassingen. Zo bevestig je dat het verharde apparaat bruikbaar blijft.

Bescherm ook de hardware en de informatie eromheen. Beveilig een laptop als je die onbeheerd achterlaat, laat die liever niet in een auto liggen, sluit gevoelige afdrukken op, ruim het bureau op en gebruik privacyfilters waar anderen op schermen kunnen meekijken. Persoonsgegevens zijn gegevens die een persoon identificeren en die tijdens gewone supportwerkzaamheden bescherming nodig hebben.

Opgeslagen gegevens staan op een apparaat; gegevens tijdens verzending bewegen zich over een netwerk. Schijfversleuteling beschermt opgeslagen gegevens als een uitgeschakeld apparaat wordt gestolen of de schijf eruit wordt gehaald. Zodra de gebruiker een sessie ontgrendelt, kunnen toepassingen en malware in die sessie toegankelijke bestanden lezen. Houd ook schermvergrendeling en antimalwaresoftware actief.

Kies het Windows-hulpmiddel

BitLocker gebruikt normaal een Trusted Platform Module (TPM) om sleutelmateriaal te beschermen en de integriteit bij het opstarten te controleren. BitLocker ondersteunt TPM 1.2 of later; Windows 11 vereist TPM 2.0. Een opstartpincode voegt een controle toe vóór automatische ontgrendeling. Zonder TPM gebruiken ondersteunde configuraties een USB-opstartsleutel. Voer manage-bde -status uit om de versleutelings- en beveiligingsstatus te bekijken.

Windows 11 versie 24H2 heeft de geschiktheid voor automatische apparaatversleuteling uitgebreid. Bij een geschikte schone installatie kan de versleuteling worden geïnitialiseerd voordat de beveiliging actief is. Aanmelden met een Microsoft- of werkaccount maakt een back-up van de herstelsleutel en schakelt de beveiliging in. Bij een installatie met alleen lokale accounts kan een onbeschermde sleutel achterblijven, gelijk aan onderbroken beveiliging. Controleer de Beveiligingsstatus, niet alleen het versleutelde percentage. Externe schijven hebben hun eigen beveiliging nodig.

Herstel na een opstartwijziging

De BitLocker-herstelsleutel is een herstelwachtwoord van 48 cijfers in acht groepen van zes cijfers. Een sleutel-id identificeert de bijbehorende registratie. Firmwarewijzigingen, aangepaste opstartinstellingen, een verplaatste schijf of herhaaldelijk verkeerde opstartpincodes kunnen herstel activeren.

Bij een herstelscherm na een firmware-update:

1. Zoek de sleutel-id op in de directory van de organisatie of het Microsoft-account van de eigenaar.
2. Haal de bevoegde waarde van 48 cijfers op en ontgrendel de schijf.
3. Controleer of de opstartwijziging werd verwacht en of de beveiliging daarna actief is.

Bewaar herstelgegevens buiten de versleutelde schijf: in de goedgekeurde directory, een account, een afzonderlijke bestandslocatie of op een beveiligde afdruk. Microsoft kan geen ontbrekende sleutel maken. Volg vóór geplande firmware- of hardwarewerkzaamheden de goedgekeurde procedure om de beveiliging te onderbreken. Tijdens de onderbreking blijven gegevens versleuteld, maar is een sleutel tijdelijk toegankelijk; hervat de beveiliging na de wijziging en controleer die.

Bescherm bestanden en andere platforms

EFS gebruikt een gebruikerscertificaat en privésleutel om geselecteerde NTFS-bestanden te versleutelen. De eigenaar opent ze normaal; andere gebruikers, inclusief beheerders, kunnen ze standaard niet ontsleutelen alleen omdat ze beheerdersrechten hebben. Maak een back-up van het certificaat met de privésleutel, normaal als een beveiligd .pfx-bestand, of zorg dat een sleutel van een bevoegde herstelagent bestaat. Verlies van het profiel of een reset van het lokale wachtwoord door een beheerder kan bestanden anders ontoegankelijk maken. Kopiëren naar FAT32 of exFAT verwijdert de EFS-beveiliging.

BitLocker beschermt tegen iemand die de schijf in handen heeft; EFS beschermt geselecteerde bestanden tegen toegang door andere gebruikers. FileVault biedt Mac-schijfversleuteling met geconfigureerde herstelopties. iPhones en iPads gebruiken versleuteling en gegevensbescherming die aan een toegangscode is gekoppeld. Huidige Android-telefoons gebruiken opslagversleuteling met schermvergrendeling. Sterke vergrendelingen en geteste herstelvoorzieningen blijven op elk platform nodig.

Een bestand verwijderen is geen betrouwbare methode voor gegevenssanering. Op een HDD wordt de verwijzing verwijderd, maar kunnen gegevens blijven staan totdat ze worden overschreven. TRIM en achtergrondopruiming op een SSD kunnen verwijderde blokken wissen, maar het moment waarop dat gebeurt, vormt geen betrouwbare afvoerprocedure.

Kies het vereiste resultaat

Het kader van NIST voor gegevenssanering van opslagmedia onderscheidt drie resultaten:

Kies het niveau op basis van de gevoeligheid van de gegevens, het beleid van de organisatie en de bestemming van het apparaat. Controleer voordat je begint of belangrijke gegevens zijn geback-upt en of het wissen is toegestaan.

Een snelformattering maakt een leeg bestandssysteem. Op een HDD kan veel van de vorige inhoud blijven staan. Een volledige formattering in de huidige Windows-versies overschrijft ook de geselecteerde partitie, maar saneert geen gebieden daarbuiten of reserveblokken van een SSD. Een echte low-levelformattering hoort bij de productie; hulpprogramma's met die naam overschrijven meestal de opslag.

Stem de methode af op het opslagmedium

Met één goedgekeurde volledige overschrijfronde kun je een HDD wissen; voor moderne schijven volstaat één ronde op dat niveau. Meer rondes kosten extra tijd zonder nuttige verbetering van de bescherming tegen gewoon herstel. Bij 150 MB/s betekent 1 TB schrijven dat je 1.000.000 MB schrijft. Dat levert na deling ongeveer 6.667 seconden op, oftewel 1 uur en 51 minuten; drie rondes duren ongeveer 5,6 uur.

Een SSD spreidt schrijfbewerkingen via slijtagespreiding en reserveblokken. Overschrijven vanuit het besturingssysteem kan oude gegevens missen. Gebruik een goedgekeurde sanerings- of veilig-wissenprocedure van de fabrikant die geschikt is voor die schijf, of een gevalideerde procedure voor cryptografisch wissen, en controleer daarna of de procedure is voltooid.

Cryptografisch wissen maakt versleutelde gegevens ontoegankelijk door het sleutelmateriaal te vernietigen dat nodig is om ze te ontsleutelen. De gegevens moeten voldoende zijn versleuteld en elke bruikbare kopie van het relevante sleutelmateriaal moet worden verwijderd. Eén bestand met een herstelsleutel verwijderen of één BitLocker-sleutelbeveiliging verwijderen is onvoldoende. Een goedgekeurde saneringsprocedure voor het apparaat regelt de vereiste levenscyclus van de sleutel. Resetprocedures voor moderne versleutelde telefoons kunnen sleutels wissen; meld je vóór een goedgekeurde overdracht af bij het Apple- of Google-account van de eigenaar, zodat Activeringsslot of Factory Reset Protection de volgende gebruiker niet blokkeert.

Weet wanneer vernietiging nodig is

Een defecte schijf kan nog steeds leesbare gegevens bevatten. Gebruik een goedgekeurde vernietigingsmethode wanneer wissen niet kan worden voltooid of het beleid dat vereist. Industriële versnippering breekt opslagmedia in voldoende kleine stukken. Een paar gaten boren kan leesbare fragmenten van schijfplaten of chips achterlaten. Demagnetiseren werkt op magnetische media zoals HDD's en tape, niet op flashchips in SSD's. Erkende verwerkers kunnen ook verbranding gebruiken.

Wis bij overdracht aan een medewerker de laptop met de goedgekeurde methode en installeer daarna de bedrijfsimage. Gebruik voor een SSD met gevoelige gegevens die de organisatie verlaat een goedgekeurde methode voor grondig wissen en controleer het resultaat. Alleen een systeemimage terugzetten kan oude gegevens achterlaten.

Rond de afvoerregistratie af

Volg apparaten via een gedocumenteerde bewaar- en overdrachtsketen. Een certificaat van een afvoerverwerker moet serienummers, datum en methode vermelden en aangeven of het opslagmedium is vernietigd of gerecycled. Leg naast de gevraagde handeling ook bewijs van controle vast. Volg de toepasselijke eisen voor gegevensbescherming en elektronisch afval en lever apparaten en accu's in via erkende recyclingkanalen.

Een wifinetwerk heeft moderne versleuteling en een authenticatiemethode nodig die bij de gebruikers past. Een sterk gedeeld wachtwoord helpt een klein team, maar individuele identiteiten maken het gemakkelijker om toegang in te trekken wanneer een organisatie groeit.

Kies een ondersteunde beveiligingsgeneratie

TKIP was een tijdelijke oplossing voor oudere hardware. Het is zwakker en verhindert hoge datasnelheden van moderne wifi. Vermijd “WPA/WPA2 gemengd TKIP+AES”. AES is het moderne versleutelingsalgoritme dat WPA2 en WPA3 gebruiken. WPA3-Enterprise biedt ook een optionele sterkere 192-bitsbeveiligingsmodus.

Kies WPA3 als alle apparaten het ondersteunen. De WPA2/WPA3-overgangsmodus biedt ruimte aan oudere apparaten, maar die apparaten gebruiken nog steeds WPA2-beveiliging. Houd AES ingeschakeld en plan de vervanging van incompatibele apparatuur.

De persoonlijke modus deelt een geheim

In de persoonlijke modus gebruikt iedereen een gedeelde wachtwoordzin, meestal 8 tot 63 tekens. WPA2-Personal gebruikt een vooraf gedeelde sleutel (PSK). Met opgenomen verbindingsverkeer kan een aanvaller offline wachtwoordzinnen proberen, waardoor een lange willekeurige wachtwoordzin waardevol is.

WPA3-Personal gebruikt Simultaneous Authentication of Equals (SAE) om passief offline raden tegen te gaan en eerdere communicatie te beschermen: als het wachtwoord later uitlekt, wordt eerder opgenomen verkeer niet onthuld. Bij gebruik van alleen WPA3 zijn beveiligde beheerframes (PMF) vereist, die bepaalde beheerberichten tegen vervalsing beschermen. De overgangsmodus behoudt zwakker compatibiliteitsgedrag voor WPA2-clients.

Iedereen die het gedeelde geheim kent, kan verbinding blijven maken totdat het wordt gewijzigd. Houd gasten apart en wijzig het geheim voor medewerkers als het is blootgesteld of een voormalige gebruiker geen toegang meer mag hebben.

De zakelijke modus controleert elke gebruiker

De zakelijke modus gebruikt 802.1X en geeft gebruikers afzonderlijke inloggegevens of certificaten. Het toegangspunt geeft de authenticatie door aan een server, meestal RADIUS, die is verbonden met de directory van de organisatie. Schakel het account van een vertrekkende medewerker uit zonder het wachtwoord van elk apparaat te wijzigen. Configureer clients om het certificaat van de goedgekeurde authenticatieserver te controleren; alleen een overeenkomende netwerknaam is onvoldoende om een aanmeldverzoek te vertrouwen.

Een tandartspraktijk met 12 medewerkers kan WPA3-Personal en een geïsoleerd gastnetwerk voor patiënten gebruiken. Een bedrijf met 300 medewerkers en veel personeelswisselingen heeft baat bij de zakelijke modus en centraal accountbeheer. De keuze gaat zowel over toegangsbeheer als over de sterkte van versleuteling.

Herken de rol van protocollen

RADIUS ondersteunt vaak wifi, VPN en toegang op afstand. Traditionele RADIUS gebruikt UDP 1812 voor authenticatie en UDP 1813 voor activiteitenregistratie; de traditionele pakketbeveiliging versleutelt het wachtwoord, niet het hele pakket. TACACS+ gebruikt TCP 49, beschermt de berichtinhoud en scheidt authenticatie, autorisatie en activiteitenregistratie; het beheert vooral beheerderstoegang tot routers en switches. Kerberos levert tickets voor aanmelding bij een Windows-domein. MFA kan ook worden geïntegreerd met ondersteunde RADIUS-toegangssystemen.

Een router beheert de grens tussen lokale apparaten en internet. Het beheerderswachtwoord beschermt de configuratie; met de wifiwachtwoordzin kunnen clients verbinding maken. Het zijn verschillende geheimen die allebei sterk en uniek moeten zijn.

Beveilig eerst de beheerroute

Vervang gedeelde fabrieksinloggegevens voor de beheerder, inclusief de gebruikersnaam waar dat wordt ondersteund. Vraagt de installatie je een wachtwoord te maken, maak dan een uniek wachtwoord. Installeer actuele firmware en schakel automatische updates in waar die beschikbaar zijn. Vervang routers die geen oplossingen meer ontvangen.

Gebruik HTTPS voor de beheerpagina. Schakel beheer vanaf internet (WAN) uit tenzij er een specifieke goedgekeurde noodzaak is, en beperk beheer tot bekabelde LAN-clients of aangewezen adressen. Iemand die de interface met geldige inloggegevens bereikt, kan de instellingen van het netwerk wijzigen.

Configureer draadloze toegang

Wijzig de fabrieksnaam van de SSID, de netwerknaam, in een neutrale naam die het adres van de eigenaar noch het routermodel onthult. Stel WPA3 in, of de WPA2/WPA3-overgangsmodus op basis van AES voor oudere clients. Schakel Wi-Fi Protected Setup (WPS) uit. Het ontwerp van de pincode controleert twee delen afzonderlijk, waardoor de theoretische zoekruimte van alle pincodes van acht cijfers wordt teruggebracht tot maximaal 11.000 combinaties, nog voordat rekening wordt gehouden met bescherming door accountvergrendeling.

De netwerknaam verbergen verwijdert die uit gewone netwerklijsten, maar verbindingsverkeer onthult de naam nog steeds. Ook MAC-adresfiltering biedt beperkte bescherming, omdat een aanvaller een toegestaan adres kan kopiëren. Geen van beide vervangt versleuteling en sterke authenticatie.

Scheid gasten en blootgestelde diensten

Maak een netwerknaam voor gasten met een eigen wachtwoordzin. Controleer of gastclients internettoegang hebben, maar kantoorcomputers of printers niet kunnen bereiken. Clientisolatie kan ook voorkomen dat gasten elkaar bereiken. Scheid apparaten van het internet der dingen waar dat wordt ondersteund, omdat die mogelijk zwakkere update- en beheermogelijkheden hebben.

Universal Plug and Play (UPnP) laat lokale apparaten automatisch inkomende poorttoewijzingen aanvragen. Schakel het uit tenzij een ondersteunde behoefte het gebruik rechtvaardigt. Malware op een lokaal apparaat kan dit gemak ook misbruiken.

Poortdoorschakeling stuurt verkeer op een externe poort naar een bepaald intern apparaat. Bij een goedgekeurde webserver maakt doorschakeling van TCP 443 naar een gereserveerd intern adres die webdienst bereikbaar. Leg het doel vast en verwijder de doorschakeling wanneer de dienst stopt. De host heeft nog steeds eigen updates en firewallbeveiliging nodig.

De verkorte instelling op de router is geen geïsoleerd afgeschermd subnet. Gebruik een specifieke poortdoorschakeling wanneer één dienst nodig is; het doorschakelen van poorten die daar niet bij horen vergroot de blootstelling.

Rond de controles af

Houd de firewall van de router ingeschakeld. IP-filtering staat opgegeven adressen toe of blokkeert ze, terwijl inhoudsfiltering sitecategorieën of schadelijke domeinen blokkeert. Schakel ongebruikte firewallopeningen en ongebruikte fysieke poorten uit waar beheerde apparatuur dat toelaat.

Plaats de router waar bezoekers niet op Reset kunnen drukken of kabels kunnen vervangen. Een reset kan standaardinstellingen herstellen. Centrale plaatsing en geschikt zendvermogen kunnen het signaal buiten de werkruimte beperken, maar versleuteling blijft essentieel overal waar het signaal reikt.

Test voordat je de configuratietaak afsluit de toegang voor medewerkers, de isolatie van gasten en eventuele vereiste dienstdoorschakelingen vanaf het juiste netwerk. Sla de goedgekeurde configuratie op en documenteer inloggegevens in de daarvoor aangewezen beveiligde opslag.

Telefoons, tablets en laptops bevatten zowel opgeslagen bestanden als actieve toegang tot accounts. Combineer een sterke schermvergrendeling met versleuteling, updates en een herstelplan voordat het apparaat zoekraakt.

Stel een echte vergrendeling in

Vegen biedt geen bescherming. Patronen zijn gemakkelijk af te kijken en kunnen herkenbare vegen achterlaten. Een langere pincode biedt meer mogelijkheden: vier cijfers geven 10.000 combinaties, zes cijfers één miljoen. Een lang wachtwoord biedt een grotere zoekruimte als het onvoorspelbaar is gekozen.

Ontgrendeling met een vingerafdruk of gezicht is handig, maar de kwaliteit van de hardware is belangrijk. Gezichtsontgrendeling met alleen een camera kan zwakker zijn dan een geschikte pincode. De reservepincode of het reservewachtwoord moet nog steeds sterk zijn. Stel een korte automatische vergrendeling in, bijvoorbeeld één minuut, en schakel de beperkingen voor mislukte pogingen van de organisatie in.

Wachttijden vertragen herhaalde verkeerde pogingen. Op een iPhone verwijdert de optionele instelling Wis gegevens de apparaatgegevens na tien opeenvolgende mislukte toegangscodepogingen. Controleer de back-upvoorzieningen voordat je een goedgekeurd wisbeleid inschakelt. MDM kan instellingen voor toegangscodes en pogingen afdwingen.

Houd platformbeveiliging intact

Moderne iPhones en Android-telefoons gebruiken opslagversleuteling met bescherming door een toegangscode of schermvergrendeling. Laptops gebruiken BitLocker of FileVault. Installeer updates voor het besturingssysteem en apps snel en vervang telefoons voor werkgebruik die geen beveiligingsupdates meer ontvangen.

Installeer apps uit officiële winkels en vermijd rooten van Android of jailbreaken van iOS, omdat dit belangrijke ingebouwde beperkingen verwijdert. Beoordeel appmachtigingen die veel toegang geven. Android-beveiligingsapps kunnen andere geïnstalleerde apps scannen binnen de grenzen van het platform. Op iOS en iPadOS voorkomt de sandbox van toepassingen dat antivirussoftware van derden andere apps of systeembestanden scant; beveiligingshulpmiddelen richten zich daar op functies zoals het filteren van schadelijke sites en het controleren van configuraties.

Bereid herstelhulpmiddelen voor en gebruik ze

Met Zoek mijn van Apple en Find Hub van Google kun je een ondersteund verloren apparaat lokaliseren, een geluid laten afspelen, het beveiligen en om wissen vragen. Controleer vooraf of het apparaat bij de locatiedienst is aangemeld. Voor wissen op afstand moet het apparaat de opdracht ontvangen, dus bij een offline apparaat kan het verzoek blijven wachten. Versleuteling beschermt opgeslagen gegevens terwijl herstelacties wachten.

Maak via de goedgekeurde dienst een back-up van belangrijke gegevens, bijvoorbeeld met iCloud, Google-back-up of OneDrive. Vergrendel het apparaat na verlies of markeer het als verloren, volg het beleid voor wissen op afstand, trek blootgestelde sessies of inloggegevens in en leg de gebeurtenis vast. Zet gegevens vanuit een vertrouwde back-up terug op een vervangend apparaat.

Pas de juiste reikwijdte van het beheer toe

Bij beheer van mobiele apparaten (MDM) worden apparaten ingeschreven voor centrale beheersmaatregelen. Een configuratieprofiel kan wifi-, VPN- en e-mailinstellingen leveren of versleuteling, een minimale versie van het besturingssysteem en een toegangscode vereisen. Apparaten die niet aan de eisen voldoen, kunnen worden geblokkeerd voor werkdiensten.

Een selectieve wisactie verwijdert gegevens van de organisatie en behoudt binnen het ondersteunde beheermodel de foto's en persoonlijke apps van de eigenaar. Leg deze reikwijdte uit tijdens de inschrijving. Controleer bij een vertrekkende medewerker die een privételefoon gebruikt of het werkprofiel is verwijderd en accountsessies zijn beëindigd; kies niet voor het volledig wissen van het apparaat als alleen verwijdering van werkgegevens is toegestaan.

Een symptoom is een aanwijzing voor onderzoek, geen naam van malware. Zoek naar patronen, stel vast wanneer ze begonnen en controleer naast beveiligingsoorzaken ook gewone verklaringen.

Herken het patroon

Waarschuwingssignalen op een pc zijn onder meer onbereikbare netwerken, onverwachte waarschuwingen of meldingen, gewijzigde bestanden, mislukte updates, uitgeschakelde beveiligingssoftware en hoog processor-, schijf- of netwerkgebruik terwijl de gebruiker niets doet. Browsersignalen zijn onder meer herhaalde pop-ups, omleidingen, onbekende werkbalken of extensies, gewijzigde zoekinstellingen, certificaatwaarschuwingen en slechte prestaties.

Let op mobiele apparaten op ongewoon hoog dataverbruik, oververhitting, een leeglopende accu, trage reacties, onbekende apps, veel advertenties, valse waarschuwingen, gelekte bestanden en weggevallen verbindingen. Onofficiële appbronnen, roottoegang of een jailbreak en onnodige ontwikkelaarsinstellingen vergroten het risico. Bij applicatievervalsing lijkt een nepapp op een vertrouwde app.

Eén warme telefoon is misschien bezig met een update of een veeleisende app. Warmte in combinatie met een onbekende app en onverklaard netwerkgebruik is een sterkere reden om die app te onderzoeken.

Sluit veelvoorkomende storingen uit met nuttige controles

Vraag wat de gebruiker zag, wanneer het begon en wat de gebruiker kort daarvoor heeft geïnstalleerd of geopend. Taakbeheer toont processen en opstartitems. Bekijk geïnstalleerde apps, browserextensies en relevante vermeldingen in Logboeken. Het hostsbestand op C:\Windows\System32\drivers\etc\hosts kan namen omleiden als het is gewijzigd; vergelijk onverwachte vermeldingen met de goedgekeurde configuratie voordat je ze wijzigt.

Staat de klok verkeerd, corrigeer die dan via de goedgekeurde tijdinstellingen en test de website opnieuw. Negeer een certificaatwaarschuwing niet door die te omzeilen. Als een schijf defect raakt, zal alleen een malwarescan de hardware niet repareren.

Reageer op herkenbare patronen

Gewijzigde zoekresultaten, een nieuwe werkbalk en advertenties op niet-gerelateerde sites wijzen op adware of een browserkaper. Volg de verwijderingsprocedure en controleer extensies en geïnstalleerde toepassingen. Bestanden die plotseling zijn versleuteld of hernoemd naast losgeldeisen vragen om onmiddellijke netwerkisolatie, omdat ook gedeelde opslag kan worden getroffen.

Een browserpagina met de melding “Je pc is besmet! Bel nu Microsoft Support” is scareware. Echte fout- en waarschuwingsmeldingen van Microsoft geven geen telefoonnummer voor support. Sluit de pagina; gebruik zo nodig Taakbeheer om de browser te sluiten. Bel niet en installeer het aangeboden hulpmiddel niet. Voer daarna de passende controles uit.

Als de gebruiker een onbekende al op afstand heeft laten verbinden, behandel het apparaat dan als gecompromitteerd en wijzig blootgestelde wachtwoorden vanaf een schoon apparaat. Leg de toegang op afstand vast en volg de escalatieprocedure van de organisatie. Een browserpagina die een besmetting beweert en een bevestigde compromittering vragen om verschillende conclusies, ook als ze met dezelfde waarschuwing begonnen.

Een gestructureerd verwijderingsproces beheerst de verspreiding, maakt het apparaat schoon en controleert of het veilig kan worden teruggegeven. Volg op beheerde apparaten de regels van de organisatie voor beveiligingsescalatie. De standaardvolgorde voor werkstations omvat taken voor Systeemherstel op Windows-pc's die dit gebruiken.

Onderzoek en plaats daarna in quarantaine

Leg de symptomen, het begintijdstip en recente handelingen van de gebruiker vast. Controleer duidelijke andere oorzaken zoals een verkeerd ingestelde klok of een volle schijf. Koppel bij tekenen van actieve ransomware het apparaat snel los terwijl je het onderzoek voortzet.

Quarantaine betekent dat je het getroffen apparaat van het netwerk scheidt: trek de ethernetkabel eruit en schakel wifi uit. Sluit bij voorkeur geen verwisselbare stations aan die de besmetting kunnen meenemen. Markeer media die voor overdracht worden gebruikt, zodat ze daarna worden gescand of gesaneerd. Isolatie beperkt verdere verspreiding en gegevensoverdracht; ze verwijdert geen malware die al aanwezig is.

Verwijder besmette herstelpunten

Schakel vóór het opschonen volgens het beleid Systeemherstel uit op een Windows-pc die dit gebruikt. Bestaande herstelpunten worden verwijderd omdat ze malware kunnen bevatten. Systeemherstel legt een selectie van de systeemtoestand vast; het is niet de afzonderlijke back-updienst voor gegevens van de gebruiker. Leg deze handeling vast zodat de beveiliging op het juiste moment kan worden hersteld.

Herstel met actuele hulpmiddelen

1. Werk de antimalware-engine en definities bij. Gebruik voor een geïsoleerde pc een vertrouwd updatepakket dat op een schoon apparaat is opgehaald en goedgekeurde overdrachtsmedia.
2. Scan en verwijder vanuit een geschikte omgeving. De veilige modus start een beperkte verzameling Windows-onderdelen. Een pre-installatieomgeving, vertrouwd opstartmedium of Defender Offline werkt buiten de normale besmette sessie.
3. Onderzoek opstartvermeldingen, geplande taken en browserextensies op persistentie: instellingen die ongewenste code opnieuw starten.
4. Scan opnieuw en test de oorspronkelijke symptomen. Onderzoek een besmetting die terugkomt in plaats van elke nieuwe waarschuwing als een losstaand geval te behandelen.

Een rootkit kan zich verbergen voor hulpmiddelen binnen het gewone Windows. Alleen een snelle scan die niets vindt, verklaart aanhoudende signalen niet.

Richt opnieuw in als vertrouwen niet kan worden hersteld

Als een rootkit, ransomware of terugkerende besmetting niet met zekerheid kan worden verwijderd, wis en herinstalleer dan vanaf een schone bron voor het besturingssysteem of een goedgekeurde bedrijfsimage. Herstel gebruikersgegevens vanaf een back-up die op besmetting is gecontroleerd. Bij compromittering van firmware kan ook door de fabrikant goedgekeurd firmwareherstel nodig zijn; Windows opnieuw installeren vervangt de firmware niet.

Een systeemimage terugzetten is een herstelmethode, maar veilig wissen blijft nodig waar oude gegevens moeten worden gesaneerd. Houd schone back-ups gescheiden van het besmette systeem, zodat de herstelkopie niet samen met de actieve bestanden wordt versleuteld of gewijzigd.

Herstel de beveiliging en rond de overdracht af

Plan regelmatige scans en installeer updates voor het besturingssysteem, toepassingen en definities. Schakel Systeemherstel opnieuw in en maak na het opschonen een nieuw schoon herstelpunt. Als je het te vroeg maakt, kan de besmetting opnieuw worden bewaard.

Als spyware, een keylogger of diefstal van inloggegevens een rol speelde, wijzig dan betrokken wachtwoorden vanaf een schoon apparaat en pak de accounttoegang aan. Leer de gebruiker de relevante preventiestap, zoals updates ophalen van de echte leverancierspagina in plaats van via een pop-up. Documenteer bevindingen, isolatie, hulpmiddelen, resultaten, herstelbron en eindcontroles in het ticket voordat je het apparaat teruggeeft.

Preventie combineert hulpmiddelen die verschillende fasen van een aanval onderscheppen. Antivirus controleert software, e-mailfiltering controleert wat wordt afgeleverd, de hostfirewall beperkt verbindingen en gebruikers kunnen verdachte verzoeken herkennen. Houd elke beveiligingsmaatregel actueel, zodat een gemiste dreiging een volgende controle tegenkomt.

Herken de rollen van de hulpmiddelen

Detectie op basis van malwarehandtekeningen herkent bekende dreigingspatronen en heeft definitie-updates nodig. Heuristische of gedragsgebaseerde detectie zoekt naar verdachte acties, zoals snelle versleuteling van veel documenten, ook bij dreigingen zonder bekende bestandshandtekening.

Detectie en respons op eindpunten (EDR) legt activiteit op apparaten vast, detecteert verdacht gedrag en ondersteunt acties zoals isolatie op afstand. Uitbesteed detectie- en responsbeheer (MDR) levert een extern team dat detectie en respons uitvoert. Geïntegreerde detectie en respons (XDR) verbindt informatie van eindpunten, e-mail, netwerken en cloudidentiteiten. Dit zijn verwante mogelijkheden en diensten, geen drie onderling uitwisselbare namen voor antivirus.

Een e-mailbeveiligingsgateway controleert vóór aflevering op spam en phishing en onderzoekt bijlagen en links, soms door bestanden in een sandbox te testen. Filtering kan overtuigende verzoeken missen, vooral betalingsfraude zonder links. Gebruikerstraining en snel melden blijven nuttig.

Vertrouw de downloadroute en controleer het bestand

Haal software bij de leverancier of uit een officiële appwinkel. Een pop-up die een browserupdate aankondigt, is geen vertrouwde distributieroute. Als een leverancier een SHA-256-hashwaarde publiceert, bereken dan de hashwaarde van het gedownloade bestand in PowerShell:

Get-FileHash .\setup.exe -Algorithm SHA256

Je kunt ook certutil -hashfile setup.exe SHA256 gebruiken. Vergelijk alle 64 hexadecimale tekens met de waarde die je via de vertrouwde route van de leverancier hebt verkregen. Een verschil betekent dat het bestand anders of beschadigd is: voer het niet uit. Een overeenkomende hashwaarde van een pagina die door een aanvaller wordt beheerd, zou alleen overeenstemming met die pagina bevestigen. De herkomst van de referentiewaarde is dus belangrijk.

Onderhoud de browser

Laat automatische updates ingeschakeld en start de browser zo nodig opnieuw om ze te voltooien. Installeer alleen benodigde extensies uit officiële winkels en van vertrouwde uitgevers. Controleer gevraagde machtigingen: “Al je gegevens op alle websites lezen en wijzigen” geeft ruime toegang. Verwijder onbekende of ongebruikte extensies. Organisaties kunnen instellingen voor extensies en functies centraal beheren.

Houd pop-upblokkering ingeschakeld. Een goedgekeurde advertentieblokker kan ook de blootstelling aan schadelijke advertenties verminderen. De cache en browsegegevens wissen kan weergaveproblemen oplossen en lokaal opgeslagen gegevens op gedeelde computers verwijderen. Controleer proxy-instellingen wanneer onverklaarde omleidingen erop wijzen dat verkeer wordt omgeleid.

Beveiligde DNS, meestal DNS via HTTPS, versleutelt naamopzoekingen. Een filterende DNS-aanbieder kan ook bekende schadelijke domeinen blokkeren. Versleuteling van de opzoeking en filtering van het antwoord zijn afzonderlijke functies.

Begrijp privacy- en verbindingsindicatoren

HTTPS met een geldig certificaat beveiligt een verbinding met het genoemde domein; de eigenaar kan nog steeds een frauduleuze site beheren. Een certificaatwaarschuwing kan wijzen op een verkeerde naam, verlopen certificaat, niet-vertrouwde uitgever of onderschepping. Onderzoek de waarschuwing, vooral vóór aanmelding of betaling.

Privénavigatie beperkt de geschiedenis, cookies en formuliergegevens die lokaal worden bewaard nadat de privésessie is gesloten. Websites, werkgevers, netwerkbeheerders en internetproviders kunnen activiteit mogelijk nog steeds zien; downloads kunnen op de schijf achterblijven. Privénavigatie biedt geen bescherming tegen malware.

Browsersynchronisatie kan wachtwoorden, bladwijzers en geschiedenis naar andere aangemelde apparaten kopiëren. Bescherm het synchronisatieaccount met MFA en vermijd persoonlijke synchronisatie op gedeelde of openbare computers.