Active Directory-beveiliging: gids voor identiteitsbescherming

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

Leer Active Directory-beveiliging met praktische richtlijnen over architectuur, implementatie, beveiliging en governance.

Automatically translated with AI from the original post. Read the English original

Active Directory is in elk bedrijf erg interessant voor aanvallers. Als iemand er de controle over krijgt, verlies je de controle over mensen, bestanden, e-mail en clouddiensten. Aanvallers hebben geen speciale hackvaardigheden nodig. Ze gebruiken kleine fouten om volledige toegang te krijgen. Je moet snel handelen en duidelijke stappen zetten om te beschermen wat belangrijk is.

Belangrijkste punten

• Active Directory bepaalt wie je netwerk mag gebruiken. Als je het veilig houdt, voorkom je dat aanvallers bij belangrijke gegevens en systemen komen.

• Controleer beheerdersaccounts regelmatig en verwijder accounts die je niet nodig hebt. Zo wordt het voor aanvallers moeilijker om krachtige accounts te misbruiken.

• Zet tiering en segmentatie op in je netwerk. Hiermee voorkom je dat aanvallers zich makkelijk verplaatsen en help je grote problemen te stoppen.

• Schakel Multi-Factor Authentication (MFA) in voor alle beheerdersaccounts. Dit biedt extra bescherming tegen mensen die geen toegang mogen krijgen.

• Houd logboeken in de gaten en gebruik beveiligingstools om afwijkende acties te ontdekken. Problemen vroeg vinden betekent dat je snel kunt ingrijpen om dreigingen te stoppen.

Waarom aanvallers Active Directory als doelwit kiezen

Centrale rol bij authenticatie

Active Directory bepaalt mede wie je netwerk, bestanden en apps mag gebruiken. Het is de belangrijkste bewaker van de meeste bedrijven. Aanvallers weten dat. Als zij de controle over Active Directory krijgen, kunnen ze vrijwel alles beheersen.

Hieronder staat een tabel die uitlegt waarom aanvallers Active Directory willen hebben:

Met Active Directory beheer je alle gebruikers, computers en regels op één plek. Je kunt groepsbeleid instellen om regels voor iedereen vast te leggen. Dat maakt je werk makkelijker. Maar als aanvallers binnendringen, kunnen ze vanaf één punt bij alles.

Gevolgen van een compromittering

Als iemand Active Directory overneemt, kunnen er vervelende dingen gebeuren. Je kunt de toegang tot bestanden of diensten verliezen. Aanvallers kunnen je buitensluiten, je gegevens stelen of je bedrijf stilleggen.

Dit zijn enkele dingen die kunnen gebeuren:

• Gebruikers kunnen geen toegang krijgen tot bronnen of diensten.

• IT-systemen kunnen uitvallen en stilliggen.

• Bedrijfsprocessen kunnen stilvallen, waardoor je geld en tijd kunt verliezen.

Tip: Active Directory beschermen gaat niet alleen over het tegenhouden van hackers. Het zorgt ook dat je bedrijf blijft draaien en je gegevens veilig blijven.

Als je de risico's kent, begrijp je waarom aanvallers Active Directory willen binnendringen. Zoek naar zwakke plekken en los ze op voordat aanvallers dat doen.

Aanvalsroutes in Active Directory

Aanvallers hebben geen geavanceerde tools nodig om binnen te komen. Ze beginnen klein en proberen steeds meer controle te krijgen. Je moet elke stap kennen om ze vroeg te stoppen.

Initiële toegang en laterale beweging

Aanvallers beginnen vaak met eenvoudige trucs. Ze sturen nep-e-mails om wachtwoorden te stelen. Soms gebruiken ze wachtwoorden die nooit zijn gewijzigd. Ze proberen mogelijk veelgebruikte wachtwoorden op veel accounts. Als je netwerk zwakke plekken heeft, kunnen aanvallers die met tools vinden.

Na binnenkomst verplaatsen aanvallers zich naar andere computers. Ze gebruiken pass-the-hash om wachtwoordhashes te stelen. Vervolgens gebruiken ze die hashes om ergens anders in te loggen. Kerberoasting richt zich op serviceaccounts met zwakke wachtwoorden. Aanvallers gebruiken BloodHound om je netwerk in kaart te brengen en manieren te vinden om meer macht te krijgen.

Veelvoorkomende aanvalspaden zijn:

• Kerberoasting om wachtwoorden van serviceaccounts te kraken.

• LLMNR/NBT-NS-poisoning om wachtwoordhashes te bemachtigen.

• Hard gecodeerde wachtwoorden gebruiken in scripts.

• LDAP-reconnaissance om informatie over gebruikers en computers te verzamelen.

Let op: de meeste van deze acties lijken op normaal beheerwerk. Je moet letten op kleine signalen dat er iets niet klopt.

Technieken voor privilege-escalatie

Na binnenkomst willen aanvallers meer macht. Ze gebruiken verschillende methoden om hogere privileges te krijgen. Hieronder zie je een tabel met enkele veelvoorkomende methoden:

Methoden voor domeindominantie

Met hoge privileges willen aanvallers volledige controle. Ze kunnen valse tickets maken, zogenaamde golden tickets. Daarmee krijgen ze lang toegang tot alles. Sommigen gebruiken DCSync-aanvallen om alle wachtwoordhashes van domeincontrollers te kopiëren. Anderen stelen het NTDS.dit-bestand, dat elk wachtwoord in je netwerk bevat.

Signalen van domeindominantie zijn onder meer:

• Ransomware die elke domeincontroller wist.

• Back-ups die malware terugbrengen wanneer ze worden hersteld.

• Geen schone back-up om van te herstellen.

• Aanvallers blijven zelfs nadat je probeert het op te lossen.

• Grote fouten waardoor iedereen buiten de deur wordt gehouden.

Als aanvallers zover komen, beheersen ze je hele netwerk. Je moet ze stoppen voordat ze dit stadium bereiken.

Zwakte: impact van beheerdersaccounts

Risico's door overmatige privileges

Als te veel accounts hoge toegang hebben, is dat riskant. Aanvallers zoeken juist naar deze accounts. Eén fout kan hen controle geven. Soms behouden accounts hun toegang terwijl dat niet meer nodig is. Deze oude accounts zijn voor aanvallers makkelijk te vinden. Shadow admins kunnen zich in je systeem verbergen. Ze kunnen ontstaan door noodoplossingen of via serviceaccounts. Deze accounts komen in krachtige groepen terecht. Je ziet ze mogelijk niet. Geneste groepen in Active Directory maken ze moeilijk te herkennen.

• Aanvallers gebruiken krachtige accounts om bij belangrijke zaken te komen.

• Als één beheerdersaccount wordt gekraakt, kunnen aanvallers instellingen wijzigen, gegevens stelen of kwaadaardige software installeren.

• Oude beheerdersaccounts die niet worden gecontroleerd, helpen aanvallers om verborgen te blijven.

Tip: controleer beheerdersaccounts regelmatig. Verwijder accounts die je niet nodig hebt.

Tiering en segmentatie

Je kunt het risico verkleinen door je netwerk in lagen op te splitsen. Dit heet tiering en segmentatie. Het helpt je bepalen wie belangrijke onderdelen kan bereiken. Wanneer je afzonderlijke segmenten maakt, kunnen aanvallers zich moeilijk verplaatsen. Segmentatie voorkomt ook dat malware zich snel verspreidt.

• Gescheiden onderdelen beperken hoe ver aanvallers kunnen komen.

• Segmentatie bepaalt wie toegang krijgt tot belangrijke systemen.

• Goede segmentatie vertraagt ransomware en andere dreigingen.

Snelle winst voor beheerbeheer

Je kunt eenvoudige stappen zetten om veiliger te worden. Begin met het opsporen en verwijderen van oude beheerdersaccounts. Deze accounts worden vaak over het hoofd gezien en kunnen door aanvallers worden misbruikt. Schakel globale beheerdersaccounts uit die zijn gemaakt voor oude projecten of tools. Zo wordt je netwerk snel veiliger.

• Controleer en verwijder oude beheerdersaccounts.

• Schakel globale beheerdersaccounts voor oude tools uit.

Let op: kleine wijzigingen helpen je netwerk aanzienlijk beschermen.

PKI- en certificaatsjabloonrisico’s

Gevaren van verkeerde configuratie

Wachtwoorden zijn niet het enige waar je je zorgen over moet maken. Certificaatsjablonen kunnen aanvallers de kans geven binnen te komen. Zwakke sjablonen helpen aanvallers certificaten te maken die werken als loopsleutels. Met deze certificaten kan iemand beheerdersrechten krijgen zonder wachtwoord. Aanvallers noemen dit “onzichtbare” beheerders. Ze verschijnen niet in de normale logboeken.

Hieronder staat een tabel met de meest voorkomende gevaren van verkeerde configuratie:

Let op: aanvallers zoeken naar zwakke plekken. Ze willen beheerdersrechten zonder dat iemand het merkt.

Certificaatsjablonen beveiligen

Je kunt veel aanvallen blokkeren door je certificaatsjablonen veiliger te maken. Controleer eerst wie zich in elk sjabloon kan inschrijven. Verwijder of schakel sjablonen uit die je niet gebruikt. Beperk de toegang tot belangrijke sjablonen, zoals die voor smartcards.

Hieronder staat een tabel met stappen om je sjablonen te beveiligen:

Tip: bekijk je sjablonen om de paar maanden. Zo blijft je systeem beschermd tegen nieuwe problemen.

Praktische PKI-acties

Je kunt eenvoudige dingen doen om je PKI sterker te maken. Gebruik een offline root-CA om je vertrouwensanker veilig te houden. Gebruik een aan het domein gekoppelde enterprise-CA om certificaten alleen aan vertrouwde gebruikers uit te geven. Richt automatische inschrijving via groepsbeleid in om certificaten eenvoudig te beheren.

Hieronder staat een tabel met praktische PKI-acties:

Onthoud: sterke PKI-instellingen voorkomen dat aanvallers onzichtbare beheerdersaccounts kunnen maken. Controleer je sjablonen en machtigingen regelmatig.

Hybride synchronisatie en blootstelling in de cloud

Hybride identiteitsopstellingen koppelen je Active Directory aan cloudservices. Dit helpt je gebruikers op beide plekken te beheren. Maar het brengt ook nieuwe risico’s met zich mee. Als aanvallers toegang krijgen tot je on-premises AD, kunnen ze ook cloudaccounts bereiken. Hetzelfde kan andersom gebeuren. Een zwak cloudaccount kan aanvallers toegang geven tot je on-premises AD.

Kwetsbaarheden in Azure AD Connect

Azure AD Connect is een brug tussen je lokale AD en de cloud. Aanvallers willen deze brug beheersen omdat hij sterke accounts bevat. Als iemand het computeraccount van de AD DS-connector of Seamless SSO krijgt, kan hij wachtwoorden of machtigingen op beide plekken wijzigen.

Aanvallers gebruiken netwerktools om je hele omgeving aan te vallen. Ze kunnen het AZUREADSSOACC-account gebruiken om van AD naar Entra ID over te stappen. Als aanvallers beheerdersrechten krijgen op de Entra Connect-server, beheersen ze het synchronisatieaccount. Ze kunnen identiteiten op beide plekken wijzigen. Sommige aanvallers gebruiken SyncJacking om accounts met hoge bevoegdheden in de cloud te krijgen door accounts met lage bevoegdheden te wijzigen.

Tip: gebruik het synchronisatieaccount met de laagste bevoegdheden. Houd Azure AD Connect in de gaten op vreemde activiteit.

Voorwaardelijke toegang en MFA

Conditional Access en MFA helpen hybride omgevingen beveiligen. Conditional Access-regels zorgen ervoor dat gebruikers extra stappen moeten doorlopen, zoals MFA, voordat ze toegang krijgen. Deze regels controleren onder andere wie je bent, welk apparaat je gebruikt en waar je vandaan inlogt. Op basis daarvan bepalen ze of je toegang krijgt.

• Conditional Access gebruikt MFA om dingen veilig te houden.

• Regels gebruiken signalen om slimme keuzes te maken.

• Dit sluit aan bij Zero Trust en controleert gebruikers telkens opnieuw.

Let op: MFA gebruiken voor alle beheerdersaccounts voorkomt veel aanvallen.

Geïntegreerde identiteitsbeveiliging

Je moet on-premises en cloudidentiteit als één systeem behandelen. Geïntegreerde beveiliging helpt je dreigingen sneller te vinden en snel te reageren. Volg deze stappen om je verdediging te versterken:

1. Plaats Defender for Identity-sensoren op je domeincontrollers.

2. Koppel Defender for Identity aan Microsoft 365 Defender voor monitoring.

3. Schakel risicogebaseerde Conditional Access in Entra in voor realtimebescherming.

4. Gebruik Entra ID Governance om alle accounts least privilege-machtigingen te geven.

5. Koppel beide aan Microsoft Sentinel voor betere dreigingsdetectie.

Onthoud: sterke beveiliging van hybride identiteiten voorkomt dat aanvallers zich tussen on-premises- en cloudsystemen verplaatsen.

Active Directory-beveiligingschecklist

Een goede checklist helpt je je netwerk snel te beschermen. Met deze gids vind en verhelp je de grootste risico's in je omgeving. Begin met snelle triagestappen en houd je verdediging daarna sterk met regelmatig onderhoud.

Triagestappen van 60 minuten

Je kunt al in één uur veel verschil maken. Volg deze stappen om je risico snel te verlagen:

1. Controleer op urgente patches. Installeer de nieuwste update van Microsoft voor CVE-2025-59287 op elke WSUS-server. Deze patch dicht een ernstig beveiligingslek.

2. Blokkeer risicovolle netwerkpoorten. Als je niet meteen kunt patchen, blokkeer dan inkomend TCP 8530 en 8531 op je firewalls. Zo voorkom je dat aanvallers je WSUS-servers bereiken. Je moet mogelijk met IT overleggen, omdat updates hierdoor kunnen stilvallen.

3. Stop en schakel WSUS-services uit. Als je niet kunt patchen of poorten blokkeren, stop dan de WSUS-services totdat je het probleem hebt opgelost.

4. Isoleer internetgerichte WSUS-servers. Behandel deze servers als hoog risico. Houd ze uit de buurt van je hoofdnetwerk.

5. Bewaar bewijs als je een aanval vermoedt. Sla geheugen, schijfimages en gebeurtenislogs op. Bel je incidentresponseteam.

6. Controleer gebeurtenislogs op wijzigingen in AdminSDHolder. Let op gebeurteniscode 5136. Die laat zien of iemand de beheerdersmachtigingen heeft gewijzigd.

7. Controleer wie de wijzigingen heeft gedaan. Zoek het gebruikersaccount dat bij deze wijzigingen hoort. Bekijk de activiteit ervan op iets verdachts.

8. Vergelijk de machtigingen. Controleer of het AdminSDHolder-object overeenkomt met je beveiligingsbasislijn.

9. Zoek naar nieuwe geprivilegieerde accounts. Controleer op wijzigingen in groepslidmaatschappen of machtigingen.

10. Overleg met je beveiligingsteam. Bevestig of wijzigingen zijn goedgekeurd.

11. Isoleer getroffen systemen. Haal ze van het netwerk om te voorkomen dat aanvallers zich verder verspreiden.

12. Draai ongeautoriseerde wijzigingen terug. Maak alle wijzigingen aan AdminSDHolder ongedaan die je niet hebt goedgekeurd.

13. Controleer alle geprivilegieerde accounts. Zorg dat ze voldoen aan je beveiligingsregels.

14. Reset wachtwoorden van accounts met risico. Richt je op beheerders- en serviceaccounts.

15. Voeg extra monitoring toe. Houd AdminSDHolder en andere belangrijke objecten in de gaten op nieuwe wijzigingen.

16. Informeer je security operations center. Laat hen weten van verdachte activiteit.

17. Werk je toegangsbeheerbeleid bij. Doe wijzigingen om vergelijkbare aanvallen in de toekomst te voorkomen.

Tip: Je kunt deze checklist afdrukken en bij je bureau bewaren. Gebruik hem wanneer je snel moet handelen.

Doorlopend onderhoud

Je moet je verdediging in de loop van de tijd sterk houden. Goede gewoonten helpen je problemen vroeg te signaleren en snel te herstellen.

• Pas updates regelmatig toe. Zorg dat elke patch correct wordt geïnstalleerd.

• Maak op een vast schema een back-up van je gegevens. Test je back-ups om zeker te weten dat je ze kunt terugzetten.

• Houd elke dag de gezondheid van je domein in de gaten. Let op signalen van problemen, zoals mislukte aanmeldingen of nieuwe beheerdersaccounts.

• Controleer elke maand de beheerdersaccounts en groepslidmaatschappen. Verwijder alles wat je niet nodig hebt.

• Controleer elk kwartaal je certificaatsjablonen en PKI-instellingen. Verwijder oude sjablonen en zet de machtigingen strakker.

• Houd je hybride synchronisatietools in de gaten, zoals Azure AD Connect. Let op ongebruikelijke activiteit of nieuwe machtigingen.

• Leer je team phishing en social engineering-trucs herkennen.

• Plan regelmatig beveiligingsreviews in. Gebruik je checklist om op koers te blijven.

Let op: kleine, gestage acties houden je netwerk veilig. Maak deze stappen onderdeel van je dagelijkse routine.

Met deze checklist bouw je een sterke verdediging rond je belangrijkste systemen. Je maakt het aanvallers veel moeilijker om binnen te dringen of verborgen te blijven.

Monitoring- en detectietools

Belangrijke gebeurtenis-ID's en logs

Je moet je Active Directory goed in de gaten houden. Aanvallers proberen hun sporen te verbergen. Je kunt ze vinden als je weet waar je moet kijken. Begin met het controleren van belangrijke logs en gebeurtenis-ID's. Deze registraties laten wijzigingen zien en helpen je problemen vroeg te signaleren.

• Wijzigingen in groepslidmaatschappen: Let op vreemde wijzigingen in beheergroepen. Gebeurtenis-ID 4728 betekent dat iemand een gebruiker aan een groep heeft toegevoegd. Gebeurtenis-ID 4729 betekent dat iemand een gebruiker heeft verwijderd.

• Accounts aanmaken en verwijderen: Gebeurtenis-ID 4720 laat zien wanneer iemand een nieuwe gebruiker aanmaakt. Gebeurtenis-ID 4726 laat zien wanneer iemand een gebruiker verwijdert.

• Replicatieverzoeken: Gebeurtenis-ID 4662 kan ongebruikelijke replicatieactiviteit laten zien. Aanvallers gebruiken dit om wachtwoordgegevens te kopiëren.

• Authenticatiegebeurtenissen: Gebeurtenis-ID 4624 registreert geslaagde aanmeldingen. Let op aanmeldingen op vreemde tijdstippen of vanaf nieuwe locaties.

• Wijzigingen in groepsbeleid: Gebeurtenis-ID 4739 houdt wijzigingen in groepsbeleid bij. Aanvallers kunnen deze wijzigen om controle te krijgen.

Let daarnaast op signalen van Kerberoasting- of Golden Ticket-aanvallen. Deze aanvallen laten sporen achter in je logs, zoals ongebruikelijke ticketaanvragen of nieuwe serviceaccounts.

Tip: Controleer je logs elke dag. Snelle controles helpen je problemen te ontdekken voordat ze erger worden.

Aanbevolen beveiligingstools

Met speciale tools kun je je Active Directory helpen bewaken en beschermen. Deze tools maken het eenvoudiger om te zien wat er gebeurt en zwakke plekken op te sporen.

• Lepide Auditor for Active Directory: Houdt wijzigingen in realtime bij en waarschuwt je bij verdachte acties.

• Netwrix Auditor: Stuurt direct meldingen en bewaart logs gedurende lange tijd.

• ManageEngine ADAudit Plus: Houdt gebruikersactiviteit in de gaten en laat je eigen waarschuwingen instellen.

• SolarWinds Access Rights Manager (ARM): Helpt je beheren wie wat mag openen en controleert op naleving.

• Quest’s oplossing: Houdt wijzigingen bij en werkt samen met SIEM-tools voor betere monitoring.

• BloodHound: Brengt aanvalspaden in kaart, zodat je ziet hoe aanvallers zich mogelijk verplaatsen.

• PingCastle: Controleert je AD op risico's en geeft je een gezondheidsscore.

• LAPS (Local Administrator Password Solution): Zorgt ervoor dat elke computer een uniek beheerderswachtwoord heeft.

• Defender for Identity: Houdt dreigingen en afwijkend gedrag op je domeincontrollers in de gaten.

Veel van deze tools werken goed samen met SIEM-systemen zoals Splunk. Zo zie je aanvallen sneller en kun je snel reageren.

Let op: met de juiste tools en het juiste loggen houd je aanvallers effectief buiten de deur.

Door Active Directory veilig te houden, voorkom je grote problemen voor je bedrijf. Je beschermt je netwerk door de impact van beheerdersaccounts te beperken. Je dicht ook PKI-lekken en maakt de hybride synchronisatie beter. Aanvallers bewegen zich snel als je deze stappen overslaat.

• Houd logs in de gaten met SIEM-tools.

• Geef minder mensen beheerderstoegang en wijzig wachtwoorden regelmatig.

• Gebruik MFA en houd beheerderscomputers gescheiden.

• Controleer groepsbeleid en lidmaatschappen regelmatig.

Gebruik je triagechecklist en controleer je beveiliging elke maand. Begin met één domein. Maak vaak kleine wijzigingen. Blijf alert om je kroonjuwelen veilig te houden.

Veelgestelde vragen

Wat is de belangrijkste stap om Active Directory te beveiligen?

Je moet het aantal beheerdersaccounts beperken. Zorg dat elke computer een eigen wachtwoord heeft. Controleer regelmatig wie in beheerdersgroepen zit. Zo voorkom je dat aanvallers grote problemen veroorzaken.

Hoe vaak moet je beheerdersaccounts en machtigingen controleren?

Bekijk beheerdersaccounts en machtigingen elke maand. Verwijder accounts die je niet gebruikt. Dit maakt je netwerk veiliger en helpt je problemen vroeg te ontdekken.

Waarom richten aanvallers zich op certificaatsjablonen?

Aanvallers maken graag gebruik van zwakke certificaatsjablonen. Ze gebruiken die om nep-beheerderstoegang te creëren. Deze certificaten werken als geheime sleutels. Je moet sjablonen goed afschermen en controleren wie ze mag gebruiken.

Kan een inbreuk in de cloud invloed hebben op on-premises Active Directory?

Ja. Als aanvallers toegang krijgen tot cloudaccounts, kunnen ze ook bij je on-premises AD komen. Je moet beide beschermen en letten op vreemde activiteiten.

Welke tools helpen je Active Directory te monitoren op aanvallen?

Je kunt BloodHound, PingCastle en Defender for Identity gebruiken. Deze tools helpen je zwakke plekken te vinden en waarschuwen je voor dreigingen.

Luister ook naar deze afleveringen

Als je onderzoek doet naar Active Directory-beveiliging, geven deze afleveringen praktische context over architectuur, beheer, beveiliging en governance:

• Microsoft AI Agent Harness – Simply Explained — Leer over orkestratie en guardrails.
• Azure AI Foundry – Simply Explained — Begrijp hoe AI-oplossingen binnen een onderneming worden geleverd.
• Microsoft Defender XDR – Simply Explained — Voeg beveiligingscontext toe.