Scenario's voor het omzeilen van Conditional Access: moderne identiteitsdreigingen begrijpen en voorkomen

By Mirko Peters · 2026-04-26

Conditional Access is de eerste verdedigingslinie om te bepalen wie toegang krijgt tot je Microsoft 365- of Azure-omgeving, en onder welke omstandigheden. Telkens wanneer iemand inlogt of probeert toegang te krijgen tot resources, beslissen Conditional Access-beleidsregels of die persoon wordt toegelaten, een extra controle krijgt of wordt geblokkeerd. Deze gids laat je zien hoe echte aanvallers d

Automatically translated with AI from the original post. Read the English original

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

Je krijgt een overzicht van het volledige dreigingslandschap, inclusief veelvoorkomende misconfiguraties, slimme trucs van aanvallers en geavanceerde technieken zoals misbruik van hybride identiteiten. We hebben het hier niet alleen over theorie: je krijgt ook praktische tips voor detectie en verdediging. Als je verantwoordelijk bent voor cloudidentiteit, laat dit artikel zien waar de zwakke plekken meestal ontstaan en hoe je ze dichtzet voordat iemand erdoorheen glipt.

Inleiding tot de risico's van het omzeilen van Conditional Access en het dreigingslandschap

Conditional Access is het belangrijkste controlepunt van Microsoft dat cloudidentiteiten en gevoelige bedrijfsgegevens beschermt. In de kern kun je hiermee regels opstellen, beleid genoemd, die bepalen wie verbinding mag maken, vanaf welke locatie, op welke apparaten en met welke beveiligingscontroles (zoals MFA of een compliant apparaat).

Het kerndoel is eenvoudig: alleen de juiste personen, onder de juiste omstandigheden, moeten toegang krijgen. Maar aanvallers weten dat ook. Een omzeiling van Conditional Access ontstaat wanneer iemand een manier vindt om die beleidsregels te ontlopen. Soms is het een technische kwetsbaarheid, soms een riskante keuze, zoals kritieke resources uitsluiten van controles.

Deze risico's zijn niet alleen theoretisch. Aanvallers zoeken actief naar over het hoofd geziene uitsluitingen, verkeerd geconfigureerd beleid en vertrouwensrelaties tussen identiteiten die misbruikt kunnen worden. In de wereld van Microsoft Entra ID (voorheen Azure AD) kan het omzeilen van toegang leiden tot datalekken, inbraken en blijvende achterdeuren als je niet strak afsluit.

Het opsporen en dichten van deze omzeilingsroutes is belangrijker dan ooit. Je verdedigt je niet alleen tegen het raden van wachtwoorden, maar ook tegen aanvallers die federatieve vertrouwensrelaties, verouderde diensten en gaten tussen on-premises en cloud misbruiken. Inzicht in het moderne risicolandschap helpt je ervoor te zorgen dat je Conditional Access echt voorwaardelijk blijft en dat je verdediging altijd een stap voor is.

Hoe aanvallers inloggegevens verkrijgen en kwaadaardige browseractiviteit benutten

Phishing en social engineering: Aanvallers beginnen vaak met basale phishing-e-mails of nepinlogpagina's om de inloggegevens van een gebruiker te stelen. Of het nu gaat om een slim bericht of gewoon een generieke ‘Stel je wachtwoord opnieuw in’-link, phishing blijft de makkelijkste manier naar binnen.
Password spray- en brute-force-aanvallen: Soms spuiten de slechteriken gewoon veelgebruikte wachtwoorden over meerdere accounts, in de hoop op een zwakke schakel. Deze methode test veel accounts met weinig pogingen per account, zodat accountblokkades worden vermeden en de aanval onopgemerkt blijft.
Sessiekaping via kwaadaardige browsers: Geavanceerde aanvallers infecteren de browser van de gebruiker met extensies of malware. Eenmaal binnen houden ze de authenticatiesessies in de gaten en stelen ze beveiligingstokens rechtstreeks uit de browser. Zo omzeilen ze MFA en Conditional Access en lijken ze voor de backend van Microsoft precies op de legitieme gebruiker.
Tokendiefstal en consent-phishing: In plaats van traditionele wachtwoorden gebruiken sommige campagnes OAuth-consent-phishing om de gebruiker een kwaadaardige app te laten autoriseren. Deze apps bemachtigen machtigingstokens, die vaak langs Conditional Access en MFA glippen, waardoor aanvallers blijvende toegang krijgen zonder dat ze je wachtwoord nodig hebben.
Misbruik van vertrouwensrelaties: Misbruik van gastentoegang, B2B-samenwerking of verouderde federatieve identiteitsopzetten geeft aanvallers direct legitimiteit. Als je beleid gastgebruikers niet grondig dekt, kunnen aanvallers via die vertrouwensaannames langs je toegangspoort glippen.
Credential Stuffing met gelekte gegevens: Dreigingsactoren gebruiken gebruikersnamen en wachtwoorden uit oude datalekken en proberen die op Microsoft-cloudaanmeldingen, in de hoop op hergebruik van wachtwoorden. Combineer dit met een slecht onderhouden Conditional Access-architectuur en deze methode wordt snel gevaarlijk.

Aanvallers combineren deze methoden voor maximaal succes. Een gephishte beheerdersaccount in combinatie met het stelen van browsertokens kan betekenen dat Conditional Access volledig wordt omzeild, vooral in omgevingen waar uitzonderingen, verouderd beleid of te veel vertrouwen zijn ingeslopen.

Veelvoorkomende misconfiguraties die Conditional Access-omzeiling mogelijk maken

Conditional Access-beleid is alleen zo sterk als de zwakste configuratie. De technologie is solide, maar er zit een groot verschil tussen het ontwerpen van waterdichte regels en het ook zo houden. De meeste omzeilingsscenario's beginnen niet met een spectaculaire zero-day. Ze beginnen met een saaie misconfiguratie, een over het hoofd geziene scope of apparaatdrift.

Veel omgevingen ontwikkelen in de loop van de tijd gaten. Beleid krijgt uitzonderingen, oude groepen vallen buiten de MFA-vereisten, of apparaten worden verondersteld beheerd te zijn maar worden in de praktijk niet regelmatig gecontroleerd. Aanvallers gedijen in deze onduidelijke zones en glippen erdoorheen waar handhaving niet consistent is.

Sommige van de riskantste situaties hebben te maken met te veel accounts, apps of apparaten die "tijdelijk" zijn vrijgesteld, en vervolgens vergeten de gaten te dichten. Er schuilt ook gevaar in de aanname dat apparaatcompliance gelijkstaat aan apparaatbeveiliging. Onbeheerde of verkeerd geregistreerde apparaten kunnen Trojaanse paarden worden die je regels stilletjes van binnenuit omzeilen.

Om te begrijpen hoe deze gaten ontstaan en waarom aanvallers ze zo aantrekkelijk vinden, is het de moeite waard om te kijken naar de veelvoorkomende fouten rond beleidsscope, uitzonderingen, MFA-handhaving en apparaatbeheer. Voor meer over het blootleggen van onzichtbare beveiligingslekken kun je deze diepgaande analyse over vertrouwensproblemen en beleidsdrift bekijken. De volgende secties gaan dieper in op de details achter deze veelvoorkomende valkuilen en op wat ze zo aantrekkelijk maakt voor tegenstanders.

MFA-misconfiguraties en risico's van scopeomzeiling

Te ruime beleidsuitzonderingen: Accounts, groepen of applicaties die zijn uitgesloten van MFA-handhaving, creëren stille gaten. Aanvallers richten zich bewust op deze uitzonderingen, die bij audits vaak onopgemerkt blijven.
Niet-uniforme MFA-handhaving: Beleid dat beperkt is tot bepaalde apps, platforms of aanmeldlocaties, mist gebruikers die buiten die grenzen werken. Aanvallers misbruiken deze onflexibele opzetten om toegang te krijgen zonder dat er een MFA-prompt wordt getriggerd.
Verouderde authenticatie blijft ingeschakeld: Oude protocollen (zoals IMAP, POP of SMTP) kunnen moderne Conditional Access omzeilen, waardoor aanvallers met alleen een wachtwoord verbinding kunnen maken. Deze eindpunten trekken brute-forcepogingen als een magneet aan.
Tijdelijke of nood-omzeilaccounts: "Break glass"-beheerders of tijdelijke uitzonderingen worden vaak vergeten zodra de crisis voorbij is. Deze accounts worden doelwitten van hoge waarde totdat ze weer goed zijn afgeschermd.

Voor praktische oplossingen om deze gaten te dichten zonder de gebruikerservaring te verpesten, zie de best practices in deze M365-beveiligingsgids.

Apparaatcompliance en registratiekwetsbaarheden in omzeilingsscenario's

Niet-geregistreerde apparaten: Apparaten die niet zijn geregistreerd in Intune of het bedrijfsportaal, kunnen vaak apparaatgebaseerde toegangscontroles omzeilen, waardoor gevoelige systemen worden blootgesteld.
Compliancedrift: Zelfs geregistreerde apparaten kunnen uit de compliance met het beleid raken door verouderd antivirus, ontbrekende patches of versleuteling, maar worden door verouderd beleid nog steeds als "veilig" behandeld.
Omzeilingen van apparaatregistratie: Aanvallers vinden creatieve manieren om apparaatregistratie te spoofen of te omzeilen, vooral wanneer oude methoden nog zijn ingeschakeld. Hybride opzetten of een onvolledige Intune-uitrol vergroten het aanvalsoppervlak.
Gebrek aan continue monitoring: Beleid dat alleen bij aanmelding controleert op compliance en niet dynamisch tijdens sessies, laat ruimte voor wijzigingen en compromittering nadat toegang is verleend. Lees meer over realtime compliancestatus in deze Defender for Cloud-bron.

Gedocumenteerde en opkomende methoden om Conditional Access te omzeilen in de praktijk

Het omzeilen van conditional access-beleid is geen theoretisch probleem. Echte aanvallers en beveiligingsonderzoekers prutsen er dagelijks in productieomgevingen mee. Sommige methoden zijn tot in detail gedocumenteerd, andere ontstaan zodra er nieuwe functies worden geïntroduceerd of cloudomgevingen complexer worden.

Twee van de gevaarlijkste categorieën zijn uitsluitingen van resources of services en misbruik van authenticatiestromen. Uitsluitingen, of het nu gaat om legacy-protocollen, cloud-API's of weinig opvallende apps, kunnen per ongeluk werken als gouden sleutels voor aanvallers en je beste beleid volledig omzeilen. Tegelijkertijd laten zwakke punten in authenticatiestromen, zoals OAuth-toestemming of slecht beheerde autorisatiecodes, tegenstanders binnenkomen zonder elke controle te raken.

Dit landschap verandert voortdurend, doordat Microsoft functies bijwerkt en aanvallers creatieve achterdeurtjes vinden. Blijven opletten, zowel voor de klassieke als de nieuwste exploits, is cruciaal om een verdediging op te bouwen die niet alleen op papier goed is, maar ook in de praktijk standhoudt. Laten we een aantal van de belangrijkste strategieën doornemen die je moet herkennen en waartegen je je moet beschermen.

Omzeiling via resource-uitsluitingen en bekende publieke methoden

Uitsluitingen voor legacy-authenticatie-eindpunten: Als je eindpunten zoals POP3, IMAP of SMTP AUTH buiten conditional access laat, geef je aanvallers gemakkelijke doelwitten. Deze oudere diensten negeren vaak MFA, waardoor aanvallers wachtwoorden kunnen bruteforcen zonder dat moderne beveiliging aanslaat.
Uitsluitingen voor Graph API en apps: Conditional access richt zich vaak op de belangrijkste gebruikersapps, maar soms worden kritieke backend-API's (zoals Graph API) per ongeluk uitgesloten. Aanvallers misbruiken deze gaten om gegevens te oogsten of privileges uit te breiden. Meer over op toestemming gebaseerde API-aanvallen lees je hier.
Niet-interactieve serviceaccounts: Systeem- of automatiseringsaccounts die algemeen zijn uitgesloten van conditional access, vormen achterdeurtjes. Ze omzeilen vaak MFA- en apparaatcontroles volledig.

Regelmatig uitsluitingen in je beleid controleren en het aantal vrijstellingen beperken is een van de snelste manieren om deze bekende risico's te dichten.

Misbruik van authenticatiestromen en het kapen van autorisatiecodes

Misbruik van OAuth2-toestemmingsverlening: Aanvallers gebruiken phishing om gebruikers te verleiden machtigingen te geven aan kwaadaardige apps via OAuth-toestemmingsstromen, vaak zonder dat conditional access of MFA een rol speelt. Persistente toegang blijft bestaan na het resetten van wachtwoorden. Meer lees je in deze diepgaande analyse van consent-aanvallen.
Hergebruik van autorisatiecodes: Door OAuth-autorisatiecodes te onderscheppenof af te luisteren, kunnen aanvallers toegangstokens claimen buiten de gemonitorde stroom om. Zo omzeilen ze de conditional access-beslissing op het moment van uitgifte.
Hergebruik van tokens en replay-aanvallen: Gestolen tokens uit gecompromitteerde browsers of slecht ontworpen applicaties kunnen opnieuw worden gebruikt, zeker als de levensduur van tokens te ruim is. Daarmee krijgen aanvallers toegang zonder herhaalde authenticatie of controles.

Door deze stromen te begrijpen, blijft je verdediging strak op elk overdrachtspunt, en niet alleen bij het inloggen of het toestemmingsscherm.

Geavanceerd omzeilen van Conditional Access: browserextensies en risico's in hybride omgevingen

Nu gaan we naar het geavanceerde aanvalsterrein. Naarmate toegangscontroles in de cloud scherper worden, worden ook de technieken van aanvallers geavanceerder. Denk aan browserextensies die stilletjes tokens afvangen, of aanvallers die de naden tussen on-premises Active Directory en cloudgebaseerde Microsoft Entra ID misbruiken.

Moderne aanvallers raden niet langer alleen wachtwoorden. Ze maken gebruik van scenario's waarin apparaat-, identiteits- en sessiecontext niet gelijktijdig worden afgedwongen. Niet-gemonitorde browserplugins kunnen toegangstokens ongezien wegsturen, terwijl hybride omgevingen gaten in de handhaving van beleid introduceren, zeker als ADFS of oudere federatieopstellingen in het spel zijn.

In cross-platform- en hybride omgevingen krijgen aanvallers meer kansen om door te dringen: zwakke instellingen voor koppelen of synchroniseren, onvolledige compliance van apparaten, of vertrouwensketens die niet overal even goed beveiligd zijn. Je organisatie beschermen in dit landschap is meer dan één instelling aanpassen. Je hebt een holistische zero-trustmindset nodig, waarbij je beseft dat grenzen tussen identiteit en sessies kunnen vervagen door slimme aanvallen uit de praktijk. Laten we nu bekijken hoe deze risico’s zich ontvouwen en wat securityteams in hun eigen omgevingen moeten herkennen (en snel moeten afsluiten).

Kwaadaardige browserextensies en naadloos misbruik van toegang

Tokendiefstal via extensies: Kwaadaardige browserextensies leggen authenticatiecookies of OAuth-tokens vast terwijl gebruikers zich aanmelden, zodat aanvallers geldige sessies vanaf elke locatie kunnen hergebruiken.
Stille MFA-omzeiling: Extensies werken nadat de gebruiker de MFA heeft voltooid. Aanvallers erven daardoor een ‘vooraf goedgekeurde’ sessie, omzeilen alle voorwaardelijke toegang en blijven vaak onopgemerkt.
Automatische API-aanroepen: Sommige malware gebruikt extensies om acties rechtstreeks in de browser te automatiseren, data te exfiltreren of e-mails door te sturen zonder ooit standaard toegangscontroles te activeren.
Lastig te detecteren: Deze aanvallen zijn met traditionele logging moeilijk op te sporen, omdat alles eruitziet als echte gebruikersactiviteit vanaf een compliant apparaat.

Hybride identiteit en technieken om Global Secure Access te omzeilen

Misbruik van de ADFS-brug: Verouderde federatie, zoals ADFS, past cloudbeleidsupdates soms niet consequent toe. Aanvallers die via de brug binnenkomen, kunnen afdwingbare voorwaardelijke toegang vermijden, vooral als tokenregels niet strak gesynchroniseerd zijn.
B2B- en cross-tenant-vertrouwensketens: Externe gebruikers of partners die via Azure AD B2B zijn uitgenodigd, kunnen strengere beleidsregels omzeilen als gast- of gefedereerde accounts niet aan dezelfde norm worden gehouden. Aanvallers misbruiken deze ‘vertrouwde’ relaties voor laterale verplaatsing.
Omzeiling via niet-beheerde apparaten: In hybride omgevingen kunnen gaten in apparaatregistratie, afwijkingen in Intune-compliance of aannames over ‘vertrouwde’ besturingssystemen routes creëren waarlangs niet-beheerde eindpunten naar binnen glippen.
Problemen met vertrouwen van apparaten op meerdere platforms: Beleidsregels die alleen op Windows-compliance controleren, kunnen per ongeluk toegang vanaf macOS, mobiele apparaten of gemengde omgevingen goedkeuren, elk met hun eigen eigenaardigheden en kwetsbaarheden. Voor een diepgaande uitleg over het bereiken van uniforme zero-trustbescherming, zie deze Zero Trust by Design-bron.

Detectie-, mitigatie- en herstelstrategieën voor omzeilingsaanvallen

De dreigingen kennen is de halve strijd. De andere helft? Sterke verdediging bouwen en onderhouden die pogingen tot omzeiling opvangt, stopt en erop reageert, bij voorkeur lang voordat aanvallers gevoelige data bereiken. Het gaat niet alleen om een instelling aanzetten. Het gaat om voortdurende waakzaamheid en gedisciplineerd beleidsbeheer.

Effectieve detectie berust op het combineren van beveiligingsanalyse, gedetailleerde logging en een helder beeld van hoe verkeer in jouw organisatie eruit hoort te zien. Het integreren van SIEM-tools, het gebruik van native Microsoft 365-functies en het koppelen aan kaders zoals MITRE ATT&CK kan je helpen nieuwe, veranderende tactieken te herkennen voordat ze schade aanrichten.

Aan de mitigatiekant hebben organisaties een levende aanpak nodig voor het verharden van beleid: scopes, uitzonderingen en vereisten voor apparaatvertrouwen regelmatig herzien, en waar mogelijk automatiseren om saaie handmatige controles te elimineren. Herstel gaat niet alleen over eenmalig repareren, maar over controles inrichten zodat riskante wijzigingen worden gemarkeerd en beoordeeld voordat ze zwakke plekken voor aanvallers worden.

In onderstaande secties vind je praktische checklists en hunting-strategieën, zodat je voorwaardelijke toegangscontroles niet alleen vandaag sterk zijn, maar ook bestand blijven tegen de dreigingen van morgen.

Mitigatie, beleidsverharding en het beveiligen van gevoelige data

Regelmatige beleidsaudits: Plan frequente reviews van de scopes en uitzonderingen van voorwaardelijk toegangsbeleid. Zoek naar verouderde regels en te brede uitzonderingen die na verloop van tijd zijn ingeslopen.
MFA consequent afdwingen: Accepteer geen gedeeltelijke uitrol. Pas multifactorauthenticatie (MFA) overal toe waar het wordt ondersteund, vooral voor beheeraccounts en integraties van derden.
Minimaliseer en monitor uitzonderingen: Elke uitsluiting, of het nu gaat om een gebruiker, app of apparaat, moet beperkt blijven, een einddatum hebben en actief gemonitord worden op misbruik of afwijking. “Instellen en vergeten” werkt hier niet.
Geef prioriteit aan apparaatcompliance: Verleen alleen toegang aan apparaten die voldoen aan de huidige compliancenormen. Gebruik geautomatiseerde compliancetools om de status up-to-date te houden en vertrouw niet alleen op de initiële registratie.
Data Loss Prevention (DLP)-beleid: Leg extra lagen op je toegangsbeheer met goed beheerde DLP-strategieën om de blootstelling van gevoelige informatie te beperken, vooral in standaardomgevingen of omgevingen waar samengewerkt wordt.
Zoek een balans tussen beveiliging en gebruiksgemak: Vermijd extremen. Streef naar gestage toepassing van “least privilege” en adaptieve beleidsuitrol. Praktisch plannen advies vind je in deze discussie over gebruikersvrijheid versus zero trust.

Threat hunting en detectie met Graph API en MITRE ATT&CK-dekking

Gebruik Microsoft Graph API-logboeken: Gebruik Graph API om authenticatie-, toestemmings- en beleidsevaluatielogboeken op te halen voor proactieve analyse en om onregelmatige of omzeilde gebeurtenissen op te sporen.
SIEM-integratie (Microsoft Sentinel, Splunk, enz.): Stuur identiteits-, authenticatie- en voorwaardelijke toegangslogboeken naar je SIEM voor correlatie, alerting en forensisch onderzoek.
Koppel aan MITRE ATT&CK-tactieken: Stem je detectieregels en monitoringquery's af op het MITRE-framework, met aandacht voor technieken zoals initial access, token theft en lateral movement, zodat je een gestructureerd responsplan hebt.
Gebruikersactiviteit auditen met Purview: Microsoft Purview Audit biedt gebruikersregistratie voor de hele tenant. Upgrade naar premium-niveaus voor langere bewaring en rijkere signalen als je gereguleerde of risicovolle gegevens verwerkt.

Verder onderzoek, literatuur en tabel met gedocumenteerde omzeilingsmethoden

Om een stap voor te blijven op omzeilingstechnieken is voortdurend leren en echte praktijktests nodig. De officiële documentatie van Microsoft is een goed uitgangspunt, maar threat intelligence-feeds, beveiligingsblogs en publiek onderzoek ontdekken voortdurend nieuwe omzeilingsroutes. Voor een selectie van vraagstukken rond vertrouwen en beleidsafwijking kun je terecht bij deze diepgaande discussie over te brede uitzonderingen en verborgen afwijkingen.

Hieronder een korte tabel met enkele van de meest opvallende omzeilingen die in de praktijk zijn waargenomen, met bronnen voor verder onderzoek:

Misbruik van OAuth-toestemmingsverlening: Aanvallers verkrijgen persistentie via kwaadaardige app-autorisatie. (Lees hoe het werkt)
Hiaten in verouderde authenticatie: Uitgesloten IMAP/POP leidt tot MFA-omzeiling en het risico op password spraying.
B2B-/cross-tenant-vertrouwen misbruiken: Een niet-afgestemd gastgebruikersbeleid opent nieuwe risico's voor lateral movement.
ADFS-/hybride tokenreplay: On-premises ions of verkeerd geconfigureerde cloudsynchronisatie kunnen afwijkingen in de handhaving veroorzaken.

Voor diepgaander onderzoek en permanente professionele ontwikkeling volg je de beveiligingsblogs van Microsoft, incidentrapporten en nieuwe onderzoekspublicaties die nieuwe omzeilingsroutes documenteren terwijl het dreigingslandschap evolueert.

Conclusie en strategische belangrijkste punten voor de verdediging tegen omzeiling van voorwaardelijke toegang

Een stap voor blijven op omzeiling van voorwaardelijke toegang draait niet om één beleid of één instelling, maar om mentaliteit, waakzaamheid en discipline. Aanvallers vernieuwen voortdurend en zoeken naar de volgende vergeten uitzondering of over het hoofd geziene vertrouwensketen.

De beste verdediging is gebaseerd op defense-in-depth. Dat betekent toegangsbeheer in lagen opbouwen, nooit op één factor vertrouwen en regelmatig de beleidsscope en apparaatstatus opnieuw bekijken. Adaptieve beleidsregels, robuuste monitoring en snelle reactie op nieuwe dreigingen houden je omgeving veerkrachtig naarmate aanvalsmethoden veranderen.

Evalueer je strategieën regelmatig, sluit “tijdelijke” uitzonderingen snel af en houd nieuw onderzoek en nieuwe richtlijnen in de gaten. Door voorwaardelijke toegang te behandelen als een levende beveiligingslaag die regelmatig onderhoud nodig heeft, zet je echte barrières op voor aanvallers in plaats van alleen maar drempels.