Conditional Access in Microsoft Entra ID onder de knie krijgen: een Zero Trust-perimeter bouwen

By Mirko Peters · 2026-08-27

Welkom terug bij de podcast! Vandaag gaan we dieper in op een onderwerp dat de absolute basis vormt van moderne cloudbeveiliging: Conditional Access in Microsoft Entra ID. Als je onze recente aflevering hebt gehoord, weet je dat we er een goed uur over hebben gehad waarom de traditionele netwerkperimeter dood is. Voorbij zijn de dagen dat je alles achter de corporate firewall zomaar kon vertrouwen

Automatically translated with AI from the original post. Read the English original

Titelbild: Mastering Conditional Access in Microsoft Entra ID: Building a Zero Trust Perimeter

Microsoft Entra ID Conditional Access is de motor achter deze nieuwe perimeter. Het fungeert als een slimme, geautomatiseerde beveiligingsbewaker voor je organisatie: het beoordeelt de context van elke toegangsaanvraag voordat het beslist of toegang wordt verleend, geblokkeerd, of er een extra verificatiestap wordt gevraagd. In deze blogpost duiken we diep in de kerncomponenten van Conditional Access-beleid. We bekijken hoe je signalen evalueert, sterke authenticatie afdwingt en een robuuste Zero Trust-beveiligingshouding opbouwt die je organisatie beschermt zonder de productiviteit stil te leggen.

Introductie tot Conditional Access en Zero Trust

Om Conditional Access echt onder de knie te krijgen, moeten we eerst onze mindset afstemmen op de principes van Zero Trust. De kernfilosofie van Zero Trust is samen te vatten in drie simpele woorden: nooit vertrouwen, altijd verifiëren. Vroeger vertrouwden organisaties op een kasteel-en-slotgracht-strategie. Zodra een gebruiker de kasteelmuren had doorbroken, of door in het kantoor-ethernet te prikken, of door succesvol in te loggen via een corporate VPN, kreeg die gebruiker grotendeels het vertrouwen om zich lateraal door het netwerk te bewegen. Zoals we bij talloze cyberaanvallen door de jaren heen hebben gezien, is deze aanpak fundamenteel gebrekkig.

Zero Trust gaat uit van een inbreuk en verifieert elke aanvraag alsof die afkomstig is van een onbetrouwbaar netwerk. Elke toegangsaanvraag moet worden geauthenticeerd, geautoriseerd en versleuteld voordat toegang wordt verleend. Maar verificatie alleen is niet genoeg; het verificatieproces moet slim zijn en rekening houden met de context.

Hier komt Microsoft Entra ID Conditional Access om de hoek kijken. Zie Conditional Access als een als-dan-statement-engine. Als aan een bepaalde set voorwaarden is voldaan, dan wordt een bepaalde set beheersmaatregelen afgedwongen. Door signalen uit verschillende bronnen te analyseren, zoals wie er probeert in te loggen, vanaf welke locatie, met welk apparaat, en of het gedrag verdacht lijkt, neemt Conditional Access geautomatiseerde beslissingen in real time die beveiliging en gebruikerservaring in balans houden. Het zorgt ervoor dat de juiste gebruikers de juiste toegang hebben tot de juiste resources, onder de juiste omstandigheden.

De anatomie van een beleid: toewijzingen en voorwaarden

Een effectief Conditional Access-beleid vraagt om een grondig begrip van de architectuur. Elk beleid in Microsoft Entra ID is in essentie opgesplitst in twee hoofdfasen: Toewijzingen en Toegangsbeheersingen. Binnen de fase Toewijzingen bepaal je voor wie het beleid geldt en wat ze proberen te openen. Laten we deze fundamentele elementen eens uitsplitsen.

Allereerst hebben we Gebruikers en groepen. Hier bepaal je de reikwijdte van het beleid. Wil je dat dit beleid geldt voor alle gebruikers in de hele organisatie, of moet het zich richten op specifieke afdelingen, zoals Financiën of IT-beheerders? Best practices adviseren doorgaans om eerst met pilotgroepen te beginnen voordat je beleid breed uitrolt, maar uiteindelijk moeten kritieke beveiligingsbasislijnen iedereen omvatten.

Vervolgens kijken we naar Cloud-apps of acties. Hier bepaal je welke resources het beleid beschermt. Je kunt specifieke applicaties targeten, zoals Microsoft Exchange Online, SharePoint of eigen enterpriseapplicaties die met Entra ID zijn geïntegreerd. Je kunt beleid ook toepassen op alle cloud-apps, wat een krachtige manier is om een beveiligingsbasislijn af te dwingen voor elke saas-applicatie die je organisatie gebruikt.

Naast wie en wat duiken we in Voorwaarden. Voorwaarden laten je de reikwijdte van het beleid verfijnen op basis van contextuele triggers. Deze omvatten:

Gebruikersrisico en aanmeldingsrisico

Met behulp van het enorme dreigingsinformatienetwerk van Microsoft berekent Entra ID voortdurend de kans dat een gebruikersaccount is gecompromitteerd (gebruikersrisico) of dat een specifiek aanmeldingsverzoek van een aanvaller afkomstig is (aanmeldrisico). Met voorwaarden kun je beleid specifiek laten activeren wanneer een gemiddeld of hoog risico wordt gedetecteerd.

Apparaatplatforms

Je kunt beleid richten op het besturingssysteem van het apparaat dat wordt gebruikt, of het nu Windows, macOS, iOS, Android of Linux is. Zo kun je verschillende beveiligingseisen toepassen, afhankelijk van het type apparaat.

Locaties

Voorwaardelijke toegang laat je vertrouwde IP-adresbereiken definiëren (zoals de netwerken van je kantoren) of koppelen aan benoemde locaties op basis van landcodes. Je kunt deze locatiesignalen gebruiken om toegang vanuit risicolanden te blokkeren, of om alleen meervoudige verificatie te vereisen wanneer gebruikers buiten de vertrouwde bedrijfsperimeter verbinden.

Realtimesignalen evalueren: locatie, risico en apparaatconformiteit

De echte kracht van voorwaardelijke toegang zit in het vermogen om signalen in realtime te evalueren. In een traditionele IT-omgeving waren beveiligingsbeleidsregels statisch. Had je de juiste gebruikersnaam en het juiste wachtwoord, dan kwam je erin, ongeacht of je inlogde vanaf een beheerde zakelijke laptop in New York of vanaf een gecompromitteerde publieke computer in het buitenland om 03:00 uur 's nachts. Voorwaardelijke toegang verandert deze dynamiek volledig door authenticatie om te vormen tot een doorlopende risicobeoordeling.

Neem bijvoorbeeld de apparaatstatus. Via de integratie met Microsoft Intune of ondersteunde oplossingen voor mobiel apparaatbeheer (MDM) van derden kan voorwaardelijke toegang controleren of een apparaat voldoet aan de beveiligingsstandaarden van je organisatie. Is het besturingssysteem up-to-date? Is schijfversleuteling ingeschakeld? Wordt het apparaat beheerd door de organisatie, of gaat het om een niet-beheerd privéapparaat (Bring Your Own Device, of BYOD)? Door de apparaatstatus realtime te evalueren, zorg je ervoor dat bedrijfsgegevens alleen naar gezonde, veilige eindpunten stromen.

Risicobeoordeling gaat nog een stap verder. Microsoft Entra ID Protection analyseert elke dag biljoenen signalen, zoals onmogelijke reisscenario's, atypische aanmeldfrequenties, gelekte inloggegevens en anonieme IP-adressen. Wanneer een gebruiker probeert in te loggen, beoordeelt Entra ID deze signalen direct. Als een gebruiker normaal gesproken vanuit Londen inlogt en tien minuten later probeert toegang te krijgen tot resources vanaf een verdacht IP-adres op het andere halfrond, wordt het aanmeldrisico als hoog gemarkeerd. Het voorwaardelijke toegangsbeleid kan dit verzoek vervolgens onderscheppen, de verificatievereisten verscherpen of de toegangspoging volledig blokkeren, voordat er gegevens naar buiten kunnen worden gelekt.

Locatiegebaseerde signalen voegen een extra laag context toe. Netwerkperimeters zijn weliswaar niet meer het alfa en omega van beveiliging, maar geografische context is nog steeds enorm waardevol. Je kunt beleid instellen dat toegang vanuit landen waar je bedrijf geen legitieme activiteiten heeft volledig blokkeert. Zo verklein je het aanvalsoppervlak aanzienlijk tegen geautomatiseerde credential-stuffingaanvallen die afkomstig zijn van bekende hotspots van dreigingsactoren.

Beveiliging afdwingen: toekenningsbeheer en verificatiesterktes

Zodra je beleid de toewijzingen en realtimevoorwaarden heeft geëvalueerd, komt het in de afdwingingsfase: toekenningsbeheer (Grant Controls). Hier bepaalt het beleid wat er moet gebeuren voordat de toegang formeel wordt verleend tot de cloudtoepassing.

Beheerders hebben verschillende opties onder toekenningsbeheer. Je kunt ervoor kiezen de toegang volledig te blokkeren, wat handig is bij scenario's met een hoog risico of bij niet-toegestane apparaatstatussen. Daarnaast kun je de toegang wel verlenen, maar alleen als aan bepaalde eisen is voldaan. Deze eisen kunnen onder meer zijn:

Meervoudige verificatie (MFA) vereisen
Vereisen dat het apparaat als conform is gemarkeerd
Vereisen dat een apparaat hybride is toegevoegd aan Microsoft Entra
Vereisen dat een goedgekeurde clienttoepassing wordt gebruikt
Vereisen dat een app-beschermingsbeleid wordt toegepast (mobiel applicatiebeheer)
Vereisen dat het wachtwoord wordt gewijzigd voor gebruikers met een hoog risico

Een bijzonder krachtige functie die Microsoft heeft geïntroduceerd, zijn verificatiesterktes. Vroeger werd MFA vaak als een binaire keuze behandeld: je deed MFA of niet. Maar niet alle verificatiemethoden bieden hetzelfde beveiligingsniveau. Phishingaanvallen hebben zich ontwikkeld om traditionele sms-, spraak- en zelfs eenvoudige pushmeldingen te omzeilen via geavanceerde adversary-in-the-middle-aanvallen.

Met Authentication Strengths bepaal je precies welke verificatiemethoden zijn toegestaan voor waardevolle assets of scenario's met een hoog risico. Je kunt bijvoorbeeld een beleid maken dat phishing-resistente MFA vereist, zoals FIDO2-beveiligingssleutels of Windows Hello for Business, en minder veilige methoden zoals sms of traditionele telefoonoproepen blokkeert. Zo bouw je een genuanceerd, op risico gebaseerd verificatiemodel: voor dagelijkse apps volstaat standaard MFA, terwijl beheerportalen en gevoelige financiële systemen phishing-resistente inloggegevens vragen.

Best practices voor het ontwerpen en testen van je beleid

Conditional Access kan je beveiliging enorm versterken, maar bij een verkeerde configuratie kan het ook je hele organisatie buitensluiten, inclusief de globale beheerders. Zoals het spreekwoord zegt: met grote macht komt grote verantwoordelijkheid. Om te voorkomen dat je jezelf buitensluit, lopen we een aantal essentiële best practices door voor het ontwerpen, testen en beheren van je Conditional Access-beleid.

Allereerst: sluit jezelf nooit buiten. Sluit altijd minstens één break-glass-account uit van je kernbeleid voor Conditional Access. Dit is een noodaccount van een globale beheerder dat alleen in de cloud bestaat, met een sterk wachtwoord dat veilig is opgeslagen. Zorg daarnaast dat beheerdersaccounts grondig getest worden en goed gemonitord worden, maar houd altijd een vangnet over zodat je kunt herstellen als een beleid misgaat.

Ten tweede: hanteer een gefaseerde uitrol. Maak geen restrictief beleid aan en pas het meteen toe op alle gebruikers. Gebruik in plaats daarvan de modus ‘Alleen rapportage’. In deze modus kun je de impact van een beleid evalueren zonder het daadwerkelijk af te dwingen. Entra ID logt in de aanmeldingslogboeken of het beleid de toegang zou hebben geblokkeerd of toegestaan. Zo zie je vooraf waar gebruikers last kunnen krijgen of waar werkprocessen kunnen vastlopen, nog voordat het beleid live gaat.

Als je klaar bent om af te dwingen, begin dan met een pilotgroep, zoals je IT-afdeling of een meewerkende business unit. Monitor hun aanmeldingslogboeken, verzamel feedback, verfijn de voorwaarden en breid de scope geleidelijk uit totdat het beleid de hele organisatie dekt.

Tot slot: documenteer je beleid duidelijk en evalueer het regelmatig. Bedrijfseisen veranderen, medewerkers wisselen van functie en beveiligingsdreigingen evolueren. Een beleid dat twee jaar geleden logisch was, kan vandaag te restrictief of gevaarlijk verouderd zijn. Door vast te leggen hoe vaak je je Conditional Access-configuratie controleert, zorg je ervoor dat je Zero Trust-perimeter veerkrachtig, effectief en afgestemd blijft op de doelen van je organisatie.

Bedankt voor het luisteren en meelezen! Conditional Access beheersen is een reis, maar met deze stappen ben je goed op weg naar een veerkrachtige Zero Trust-beveiligingsperimeter in Microsoft Entra ID. Abonneer je zeker op de podcast voor meer diepgaande verhalen over cloudbeveiliging, en tot de volgende aflevering!