EASM integreren in je beveiligingsstack: Sentinel, Copilot en verder

By Mirko Peters · 2026-08-13

Welkom terug bij weer een diepgaande duik in de voortdurend veranderende wereld van cloudbeveiliging en Microsoft 365-architectuur. In onze podcastreeks benadrukken we steeds opnieuw dat moderne…

Automatically translated with AI from the original post. Read the English original

Welkom terug bij weer een diepgaande duik in de steeds veranderende wereld van cloudbeveiliging en Microsoft 365-architectuur. In onze podcastreeks benadrukken we steeds dat moderne beveiligingsoperaties een holistisch beeld van je digitale landschap nodig hebben. In een recente aflevering hebben we de basis van het ontdekken van externe assets uitgelegd. Als je die nog niet hebt beluisterd, bekijk dan zeker de gerelateerde aflevering, Microsoft Defender EASM - Simply Explained, waarin we laten zien hoe organisaties fundamenteel anders naar hun publieke footprint kunnen kijken.

Inzicht hebben in wat er op het publieke internet staat is een enorme stap vooruit, maar een overzicht van blootgestelde assets alleen is niet genoeg. De echte meerwaarde ontstaat wanneer je External Attack Surface Management (EASM)-informatie integreert in je bredere beveiligingsstack. In dit artikel gaan we dieper in op die concepten en laten we zien hoe Microsoft Defender EASM waardevolle context levert aan Microsoft Sentinel, Log Analytics, Azure Data Explorer en Security Copilot, zodat je de algehele beveiligingspositie aanzienlijk versterkt.

Inleiding tot External Attack Surface Management

Voordat we naar integratie kijken, schetsen we kort de kernuitdaging. Traditionele beveiligingsframeworks zijn sterk intern gericht. Platforms voor security information and event management, tools voor endpoint detection and response en kwetsbaarheidsscanners vertrouwen over het algemeen op agents die op beheerde apparaten zijn geïnstalleerd, of op scans van het interne netwerk. Aanvallers starten hun campagnes echter niet vanuit je interne netwerk; ze beginnen op het open internet.

Defender EASM dicht deze kloof doordat het fungeert als een verzamelaar van inlichtingen en niet als een traditioneel inline handhavingsmiddel, zoals een firewall of antivirus. Het brengt continu domeinen, subdomeinen, SSL-certificaten, publieke IP-adressen en open poorten in kaart vanuit een outside-in-perspectief. Maar het ontdekken van deze assets is pas het begin van de reis. Om echte operationele verandering teweeg te brengen, moeten deze externe inzichten worden doorgegeven aan de tools die je Security Operations Center (SOC)-analisten elke dag gebruiken.

Het externe perspectief versus interne inventarissen

Wanneer beveiligingsteams hun assetinventarissen opstellen, halen ze meestal gegevens op uit configuration management databases, historie van IT-tickets en portals voor cloudabonnementen. Helaas hebben deze interne inventarissen berucht veel blinde vlekken, veroorzaakt door shadow IT, vergeten marketingcampagnes, niet-gemonitorde testomgevingen en achtergebleven infrastructuur uit overnames.

Een extern perspectief doorbreekt de ruis van interne organisatorische silo's. Het maakt niet uit welke afdeling een cloudworkload heeft opgezet of welke leverancier een publieke portal heeft uitgerold. Als een asset bereikbaar is via een browser of een IP-scanner op het publieke web, dan vindt EASM hem. Door deze ruwe externe gegevens om te zetten in gestructureerde observaties, kunnen organisaties eindelijk vergelijken wat ze denken dat blootgesteld is met wat er daadwerkelijk toegankelijk is voor de buitenwereld.

Hoe Microsoft Defender EASM publieke assets ontdekt

Om te begrijpen hoe deze data integreert met de rest van je beveiligingsstack, is het nuttig te weten hoe de ontdekkingsengine werkt. Ontdekking begint met een eenvoudig startpunt, zoals een primair zakelijk domein, een Autonomous System Number of een bekend publiek IP-blok. Vanaf daar voert het systeem recursieve ontdekking uit.

Het volgt digitale kruimelpaden: een hoofddomein verwijst naar een certificaat, het certificaat verwijst naar alternatieve subdomeinen, die subdomeinen resolven naar specifieke hosts, en die hosts staan op publieke IP-adressen die aan specifieke webservices zijn gekoppeld. Terwijl Defender EASM deze relaties in kaart brengt, ontstaat een rijke graaf van assets. Als je deze relatiegedreven kaart exporteert naar downstream beveiligingstools, krijgen je analisten tijdens een onderzoek ongekende context.

EASM-inzichten integreren met Microsoft Sentinel

Microsoft Sentinel is het centrale zenuwstelsel van moderne beveiligingsoperaties en verzamelt logs, meldingen en threat intelligence uit de hele onderneming. Wanneer je Defender EASM-inzichten in Sentinel integreert, overbrug je de kloof tussen externe blootstelling en interne telemetrie.

Stel je voor dat er in Sentinel een waarschuwing afgaat over afwijkende authenticatiepogingen tegen een webapplicatie. Als EASM-gegevens in je Sentinel-werkruimte worden opgenomen, kunnen je analyseregels en correlatiequery's direct bepalen of die aangevallen webapp een officieel goedgekeurd productiesysteem is, of een onbeheerde, vergeten stagingserver die door je scan van het externe aanvalsoppervlak is gevonden. Deze directe contextverrijking helpt analisten incidenten sneller te triëren. Zo scheid je prioritaire dreigingen op kritieke assets van ruis die afkomstig is van verouderde shadow-IT-infrastructuur.

Log Analytics en Azure Data Explorer gebruiken voor EASM-gegevens

Grote organisaties beheren vaak enorme publieke footprints, met duizenden domeinen, certificaten en IP-reeksen. Het analyseren van zoveel gegevens over het aanvalsoppervlak vraagt om een robuust dataplatform. Hier komen Log Analytics en Azure Data Explorer om de hoek kijken.

Door EASM-inventaris- en observatiegegevens te exporteren naar Log Analytics-werkruimten, kunnen securityengineeringteams aangepaste werkboeken en monitoringdashboards bouwen. Je kunt metrics bijhouden zoals hoeveel SSL-certificaten er de komende dertig dagen verlopen, hoeveel nieuwe niet-geclassificeerde publieke IP-adressen er deze week zijn verschenen, of welke business units de meeste risicovolle externe blootstellingen opbouwen.

Voor organisaties die op grote schaal opereren, met meerdere internationale dochterondernemingen, biedt Azure Data Explorer de rekenkracht die nodig is om complexe, bliksemsnelle query's uit te voeren over miljoenen historische datapunten van het aanvalsoppervlak. Security-architecten kunnen trendanalyses over maanden of jaren uitvoeren en in kaart brengen hoe de externe positie meeontwikkelt met de groei van het bedrijf, fusies en overnames.

Onderzoeken versnellen met Security Copilot

Naarmate securitytools geavanceerder worden, neemt de cognitieve belasting voor SOC-analisten steeds verder toe. Complexe Kusto Query Language-syntaxis schrijven om externe assetgegevens te correleren met interne logbronnen kan de actieve incidentrespons vertragen. Hier komt Microsoft Security Copilot om de hoek kijken en verandert de werkwijze.

Security Copilot fungeert als een interface in natuurlijke taal over je hele securityecosysteem, inclusief je EASM-gegevens. Een analist die een actief incident afhandelt, kan Copilot gespreksvragen stellen zoals: "Toon me alle externe IP-adressen die aan ons hoofdmerk zijn gekoppeld en die open remote-beheerpoorten hebben en recente brute-force-waarschuwingen in Sentinel."

Copilot combineert de gegevens over de externe positie uit Defender EASM met interne dreigingstelemetrie en levert binnen enkele seconden een uitgebreide incidentbriefing op. Menselijke securityprofessionals blijven uiteraard de regie houden. Zij interpreteren de bevindingen en voeren de herstelacties uit. Copilot verkort wel fors de tijd die verloren gaat met schakelen tussen losstaande beheerportalen.

EASM combineren met Microsoft Security Exposure Management

Naast traditionele SIEM- en analysetools speelt Defender EASM een belangrijke rol binnen Microsoft Security Exposure Management. EASM laat zien wat er vanaf het publieke internet zichtbaar is. Security Exposure Management brengt inzichten uit meerdere workloads samen, zoals cloudbeveiliging, identiteitspositie, endpointcompliance en externe aanvalsoppervlakken, in één geïntegreerde beveiligingsscore en prioriteringsengine.

Wanneer je EASM combineert met interne posture-managementtools, kunnen je securityteams herstel prioriteren op basis van het werkelijke risico in plaats van op gok. Een blootgestelde webserver die EASM vindt, kan bijvoorbeeld als hoog risico worden aangemerkt, niet alleen omdat hij publiek bereikbaar is, maar ook omdat Defender for Cloud meldt dat er een ongepatchte kritieke kwetsbaarheid op zit, en Microsoft Entra ID aangeeft dat de multifactorauthenticatie ontbreekt of onvoldoende is ingericht. Dit beeld uit meerdere lagen zorgt ervoor dat de herstelinspanningen gericht worden waar ze het meeste effect hebben.

Best practices om te starten en actie te ondernemen

EASM integreren in je bredere securitystack is een doorlopende operationele strategie en geen eenmalig implementatieproject. Volg om succes te garanderen deze praktische best practices:

• Begin met vertrouwde startpunten: Bepaal je initiële detectiescope aan de hand van de kernbedrijfsdomeinen, officiële merken en geverifieerde ASN-nummers. Probeer op dag één niet alles tegelijk aan te pakken.
• Betrek teams uit verschillende disciplines: Externe assets raken marketing, cloudengineering, ontwikkeling en externe leveranciers. Deel EASM-inzichten met deze business units, zodat je het eigenaarschap van assets correct kunt toewijzen.
• Automatiseer exportpijplijnen: Configureer continue gegevensexports van Defender EASM naar Log Analytics en Microsoft Sentinel, zodat je SOC-analisten altijd met actuele aanvalsoppervlaktekaarten werken.
• Stel vaste reviewcycli in: Plan regelmatige operationele reviews in om nieuwe observaties te beoordelen, valse positieven of assets die niet van jullie zijn te verwijderen en ontdekkingen om te zetten in concrete hersteltickets.

Conclusie

Zichtbaarheid is de basis van effectieve verdediging. Microsoft Defender EASM verandert het beveiligingsparadigma doordat organisaties hun infrastructuur kunnen bekijken door de ogen van een externe aanvaller. Maar als die inzichten gescheiden blijven, beperkt dat de waarde ervan. Door EASM-inzichten door te voeren naar Microsoft Sentinel, Log Analytics, Azure Data Explorer en Security Copilot, en die bevindingen te bundelen in Microsoft Security Exposure Management, bouw je een samenhangende, intelligente beveiligingsstack.

Wil je meer horen over de basisprincipes van het ontdekken van externe assets en hoe je de eerste stappen zet om je publieke footprint in kaart te brengen? Luister dan naar onze volledige bespreking in de bijbehorende aflevering, Microsoft Defender EASM - Simply Explained. Neem vandaag wat je hebt geleerd mee, kies drie publieke domeinen die bij je organisatie horen en begin nog vandaag met de lastige vragen over eigenaarschap, doel en herstel.