Waarom 'instellen en vergeten' faalt: Microsoft Defender behandelen als een levend systeem

By Mirko Peters · 2026-08-11

Welkom terug bij de podcast en onze doorlopende deep dives over het beveiligen van je cloudomgeving. Als je ooit dat benauwde gevoel hebt gehad toen een geraffineerde phishingmail recht in de inbox van een gebruiker terechtkwam, ondanks dat Microsoft 365-beveiliging was ingeschakeld, ben je zeker niet de enige. Te veel organisaties behandelen Microsoft Defender for Office 365 als een vinkje dat je

Automatically translated with AI from the original post. Read the English original

Welkom terug bij de podcast en onze doorlopende deep dives over het beveiligen van je cloudomgeving. Als je ooit dat benauwde gevoel hebt gehad toen een geraffineerde phishingmail recht in de inbox van een gebruiker terechtkwam, ondanks dat Microsoft 365-beveiliging was ingeschakeld, ben je zeker niet de enige. Te veel organisaties behandelen Microsoft Defender for Office 365 als een vinkje dat je zet. Ze zetten het aan, laten de instellingen op de standaardwaarden staan en laten het verder rusten, in de veronderstelling dat de cloudreuzen achter de schermen alles regelen. Helaas is die 'instellen en vergeten'-mentaliteit precies waar moderne dreigingsactoren op rekenen om langs je verdediging te glippen.

Standaardbeveiligingsinstellingen in Microsoft 365 zijn slechts een startpunt, geen volledige verdediging. Om je organisatie echt te beschermen tegen zich ontwikkelende phishingaanvallen, business email compromise en kwaadaardige bijlagen, heb je continue afstemming, regelmatige reviews en actieve feedbacklussen nodig. Wil je deze concepten verder uitgewerkt horen en een gedetailleerde bespreking over het afstemmen van je omgeving beluisteren? Luister dan zeker naar onze gerelateerde aflevering, Tune Microsoft Defender for Office 365 Against Phishing. In deze post leggen we uit hoe de beveiligingspijplijn in de praktijk werkt, onthullen we de verborgen configuratievallen en geven we je een werkbare blauwdruk om je verdediging te versterken zonder je bedrijfsprocessen te verstoren.

Wat je gaat leren

• Hoe Safe Links, Safe Attachments, anti-phishing machine learning en transportregels in de e-maildoorlevering daadwerkelijk op elkaar inwerken.
• De verborgen naden en blinde vlekken waardoor gerichte phishingcampagnes nog steeds door de mazen glippen.
• De meest voorkomende configuratievallen waar beheerders in trappen en hoe je ze actief kunt vermijden.
• Een stappenplan om Defender zeer effectief te maken zonder de normale e-mailworkflows van het bedrijf te breken.

In de pijplijn: waar berichten winnen, of door de mazen glippen

Om te begrijpen waarom standaardinstellingen tekortschieten, moeten we eerst kijken naar hoe Microsoft Defender een binnenkomend e-mailbericht verwerkt. Het is geen enkele poortwachter, maar eerder een beveiligingspijplijn met meerdere lagen. Als deze lagen niet op elkaar zijn afgestemd en goed zijn ingesteld, kunnen berichten dwars door de mazen heen glippen.

1. Safe Links: Deze functie herschrijft URL's in binnenkomende berichten en controleert ze op het moment van klikken, zelfs dagen nadat de e-mail is afgeleverd. Verkeerd afgebakende beleidsregels of te agressief blokkeren kunnen echter legitieme links van marketingteams of enquêteplatforms gemakkelijk breken, wat leidt tot enorme interne druk om beperkingen volledig te versoepelen.
2. Safe Attachments (ATP): Dit onderdeel laat bestanden detoneren in een beveiligde cloudsandbox voordat ze de gebruiker bereiken. Als dit is ingesteld op de modus Monitoren in plaats van Blokkeren of Dynamische bezorging, worden dreigingen alleen gelogd in plaats van gestopt. Dat betekent dat je gebruikers kwaadaardige payloads ontvangen, terwijl je beveiligingsteam achteraf simpelweg een melding krijgt.
3. Anti-Phishing: Deze laag maakt gebruik van geavanceerde machine learning in combinatie met bescherming tegen imitatie en beschermt tegen het vervalsen van weergavenamen, domein-lookalikes en afwijkend afzendergedrag. Slecht afgestelde drempelwaarden kunnen leiden tot vervelende false positives bij legitieme externe partners, of juist tot volledige misses bij gerichte imitaties van VIP's.
4. Transportregels: Mailflowregels hebben de gevaarlijke mogelijkheid om de bescherming volledig te omzeilen of berichten onnodig dubbel te filteren. Hele partnerdomeinen via transportregels op de witte lijst zetten, creëert vaak enorme blinde vlekken die aanvallers maar wat graag misbruiken.

Configuratievallen om te vermijden

Veel organisaties saboteren onbedoeld hun eigen beveiliging door in veelvoorkomende configuratievallen te trappen. Deze valkuilen herkennen is de eerste stap naar een veerkrachtige e-mailverdedigingsarchitectuur.

• Globaal beleid, één maat voor iedereen: Je financiële afdeling en het management hebben niet hetzelfde risicoprofiel als je marketingafdeling of algemene medewerkers. Wie geen rolgebaseerd beleid hanteert, laat zijn meest waardevolle doelwitten onvoldoende beschermd.
• Safe Attachments op Monitor-only: Er kunnen wel waarschuwingen afgaan, maar gebruikers krijgen de gevaarlijke payload nog steeds binnen. Je moet overstappen op Dynamic Delivery en strikte blokkeringsbeleidsregels.
• Allow lists in transportregels: Omzeil Defender nooit volledig voor hele domeinen. Gebruik in plaats daarvan mechanismen voor vertrouwde afzenders en laat de scanengines actief.
• Niet-afgestemde bescherming tegen imitatie: Als je je bestuurders, financiële afdeling en medewerkers crediteurenadministratie niet actief beschermt tegen spoofing van weergavenamen en domeinen, nodig je wire-fraud phishing rechtstreeks uit.
• Standaardinstellingen voor altijd: Machine learning-modellen hebben feedback van mensen nodig en periodiek afstemmen van drempelwaarden. Standaardinstellingen uit de doos zijn alleen een startpunt.
• Geen feedback of vast reviewritme: Wanneer false positives en false negatives nooit gecorrigeerd worden, driften de modellen af en verliezen je gebruikers snel het vertrouwen in de beveiligingstools.

Het werkbare blauwdruk (gelaagd en bedrijfsbewust)

Een veilige omgeving vraagt om een strategische aanpak die robuuste bescherming in balans brengt met productiviteit. Hier lees je hoe je een gelaagde, bedrijfsbewuste beveiligingsopzet kunt bouwen.

1) Beleid ontwerpen per risicogroep

Financiën & bestuurders:

• Safe Links: ingeschakeld, met verificatie op klikmoment, blokkering van onbekende links en realtime scannen actief in Office-apps en Microsoft Teams.
• Safe Attachments: geconfigureerd voor Dynamic Delivery plus Block.
• Anti-phishing: ingesteld op hoge bescherming, met strikte bescherming tegen imitatie voor VIP's, interne domeinen en bekende lookalike-domeinen van leveranciers.

Algemene medewerkers:

• Safe Links: ingeschakeld, met behoud van URL-herschrijving en een duidelijke route om legitieme false positives in te dienen en te melden.
• Safe Attachments: Dynamic Delivery plus Block.
• Anti-phishing: standaardbescherming, gecombineerd met doorlopende gebruikersmeldingen en bewustwordingstraining.

Marketing/Operations met linkintensieve werkprocessen:

• Safe Links: ingeschakeld met zorgvuldig afgestemde uitzonderingen voor gevalideerde platforms, zonder organisatiebrede bypass.
• Safe Attachments: Dynamic Delivery.
• Richt een snel, gestructureerd beoordelingsproces in voor geblokkeerde campagnelinks via een gedeelde mailbox of SecOps-wachtrij.

2) Handhaven, niet alleen observeren

Verschuif je houding van passief observeren naar actief handhaven. Zet Safe Attachments op Block of Replace met Dynamic Delivery. Voor anti-phishingbeleid stuur je phishingpogingen met hoge zekerheid direct naar quarantaine, zet je bedreigingen met gemiddelde zekerheid in de map Ongewenste e-mail en lever je items met lage zekerheid alleen af met een beveiligingstag.

3) Bypass-paden onder controle houden

Controleer alle transportregels in je tenant op voorwaarden die spam-, malware- of phishingfilters omzeilen. Vervang brede bypassregels voor het hele domein door correct afgebakende vertrouwde afzenders, en zorg dat achtergrondscannen actief blijft. Houd daarnaast strikte controle op automatisch doorsturen van e-mail naar externe adressen.

4) Feedbacklussen en monitoring

Stel een vast operationeel ritme vast. Bekijk wekelijks je quarantainelogs, meldingen van false positives en false negatives, Threat Explorer-gegevens en berichtentraces. Leer je gebruikers actief de invoegtoepassing Bericht melden te gebruiken, zodat je Security Operations Center die meldingen kan terugkoppelen aan je allow- en blocklijsten en zo de machine learning-modellen kan bijsturen.

5) Incidentbestendigheid inoefenen

Wanneer een phishingbericht onvermijdelijk in een postvak terechtkomt, moet je team snel en nauwkeurig handelen. Zoek via Threat Explorer naar vergelijkbare berichten in de hele organisatie, voer bulkverwijderingen uit, forceer wachtwoordresets als er op een link is geklikt, controleer OAuth-toepassingstoestemmingen en voeg het verdachte domein toe aan je actieve watchlists.

Snelle configuratiechecklist

Voordat je je audit afrondt, loop je deze snelle checklist door om te controleren of je omgeving van Microsoft Defender for Office 365 goed is beveiligd:

• Safe Links ingeschakeld voor e-mail, Office-apps en Teams, met bescherming op klikmoment ingeschakeld.
• Safe Attachments ingesteld op Dynamic Delivery en Block/Replace (geen Monitor-modus).
• Anti-phishing geconfigureerd met bescherming tegen imitatie voor VIP's, financiën, crediteurenadministratie en interne domeinen.
• Geen bypasses van transportregels voor hele domeinen; vervangen door afgebakende vertrouwde afzenders en actief scannen.
• Rolgebaseerd beleid opgezet voor bestuurders, financiën, algemene medewerkers en marketing, met eigen risicodrempels.
• Gebruikersmelding-invoegtoepassing uitgerold naar eindpunten en actief gemonitord.
• Wekelijks reviewritme ingesteld voor Threat Explorer, Quarantine, False Positives/Negatives en Message Trace.
• Operationele runbooks gedocumenteerd en getest voor het verwijderen van phishing uit mailboxen, het opschonen van berichten en reacties op spoofing door leveranciers.

Microsoft Defender als een levend systeem behandelen in plaats van als een statische checklist, maakt van je beveiligingsaanpak een proactieve in plaats van een reactieve. Wil je deze strategieën verder uitdiepen? Luister dan naar de volledige discussie in de podcast via Tune Microsoft Defender for Office 365 Against Phishing. Blijf veilig, blijf je beleid afstemmen, en tot in de volgende aflevering!