Welkom bij weer een nieuwe aflevering van Microsoft Knowledge Nuggets op M365FM. Ik ben Mirko Peters en vandaag behandelen we Microsoft Defender XDR. Stel je voor, je zit op dinsdagochtend aan je bureau. Je telefoon trilt, een beveiligingswaarschuwing. Is het echt of is het slechts ruis? Dan nog een melding over een verdachte e-mail, weer een over een vreemde inlogpoging vanaf een onbekende locatie. Zijn ze met elkaar verbonden? Misschien wel, misschien niet. Dat is het probleem waar de meeste bedrijven vandaag de dag voor staan. Vandaag kijken we naar wat Defender XDR nu eigenlijk is, waarom Microsoft het heeft gebouwd en waarom het belangrijk is voor elke organisatie die Microsoft 365 gebruikt. Dit is het punt met moderne aanvallen. Aanvallers vallen niet slechts één ding aan. Ze gaan snel te werk. E-mail, apparaten, identiteiten, ze vallen ze allemaal aan. Jouw beveiligingsstools moeten dit kunnen bijhouden.

We nemen de vijf bouwstenen van Defender XDR onder de loep en laten zien hoe ze samen één uniforme beveiligingslaag vormen. Maar eerst moeten we het hebben over het probleem dat het oplost. Het probleem, gefragmenteerde beveiliging. Twintig jaar geleden was beveiliging simpel. Je kocht antivirus voor je pc's, een spamfilter voor e-mail, een firewall voor je netwerk. Elke tool deed één ding en ze communiceerden nooit met elkaar. Dat werkte destijds prima, omdat aanvallen ook eenvoudiger waren. Maar dit is wat er vandaag de dag gebeurt. Een aanvaller verstuurt een phishing-e-mail. Iemand klikt erop. Malware belandt op een apparaat. De malware stilt een wachtwoord. Nu dringt de aanvaller door tot je cloudapps, je bestandsopslag, je klantgegevens. Het is één keten van gebeurtenissen. Maar je tools zien het als vijf losse problemen. Het e-mailfilter ziet een bericht. De antivirus ziet een bestand.

Het identiteitssysteem ziet een login. Geen van hen beseft dat ze naar dezelfde aanval kijken. Zie het als een gebouw met drie beveiligers. Eén bij de voordeur, één op de parkeerplaats, één in de postkamer. Ze delen nooit informatie. Een dief loopt de voordeur binnen en de beveiliger in de postkamer heeft geen idee dat hij eraan komt. Zo werken de meeste beveiligingstoels tegenwoordig. Ze zitten in hetzelfde gebouw, maar praten niet met elkaar. Het resultaat, je team krijgt vijf meldingen in plaats van één verhaal. Ze verspillen tijd aan het najagen van loos alarm. De echte dreiging gaat verloren in de ruis. Tegen de tijd dat iemand de verbanden legt, heeft de aanvaller al gewonnen. Wat je echt nodig hebt, is een systeem dat over al die domeinen heen kijkt en zegt, deze meldingen horen bij elkaar. Dit is het volledige beeld. Dit is wat je moet doen. Aanhalingsteken, dat is precies waarvoor Microsoft Defender XDR is gebouwd.

Wat is Defender XDR? De paraplu. Laten we dus definiëren wat dit nu eigenlijk is. Microsoft Defender XDR is een zogeheten Extended Detection and Response platform. Dat zijn veel lettergrepen, dat begrijp ik, maar de kern is heel simpel. Dit systeem haalt signalen uit heel Microsoft 365, je eindpunten, je e-mail, je gebruikersaccounts en je cloud-apps en voegt die samen in één overzicht. XDR staat voor Extended Detection and Response en het belangrijkste woord daarvan is extended, want het gaat niet meer alleen over computers. Het beslaat e-mail, identiteiten, cloud-applicaties en meer. Het verschil is als kijken naar één beveiligingscamera of naar elke camera in een gebouw vanaf één scherm. Je krijgt het volledige plaatje in plaats van slechts een klein stukje. Dit is wat de meeste mensen verrast. Defender XDR is geen gloednieuw product dat je moet gaan kopen. Het is eerder een verbindende laag die bovenop de beveiligingstools ligt die je misschien al hebt.

Zie het als het commando centrum dat ik eerder noemde. De individuele Defender producten, Defender 4 at Point, Defender 4 Office 365, Defender 4 Identity, Defender 4 Cloud Apps en de Vulnerability Management Tools zijn als beveiligingscamera's die verschillende ruimtes bewaken. Defender XDR is de operator die achter het hoofdscherm zit en de verbanden tussen al die beelden legt. Wat doet het dan eigenlijk? Het verzamelt automatisch waarschuwingen van al die individuele Defenders. Vervolgens groepeert het gerelateerde waarschuwingen in iets wat een incident wordt genoemd. Dus in plaats van tien afzonderlijke alarmen die bij elkaar horen, krijg je één incident dat het hele verhaal vertelt. De e-mail waarmee de aanval begon, het apparaat dat besmet raakte, het account dat gecompromitteerd werd, alles op één plek voor je neus. En dit deel komt voor veel mensen onverwacht. Je koopt Defender XDR niet als een apart product.

Het is inbegrepen bij Microsoft 365 E5 en maakt ook deel uit van de E5-beveiliging sat-on. Als je Microsoft 365 Business Premium of E3 hebt met bepaalde add-ons, heb je mogelijk al toegang tot sommige functies zonder dat je het weet. We praten later verder over licenties, maar de kernboodschap is simpel. Als je al betaalt voor Microsoft 365, ben je misschien veel dichter bij deze beveiliging dan je denkt. De vijf onderdelen. Laten we de vijf componenten bekijken die het systeem vormen, want Defender XDR klinkt abstract totdat je begrijpt wat erin gevoerd wordt. Als eerste Defender for a Point. Deze beschermt apparaten, Windows, Mac, Linux en zelfs mobiele telefoons. Het is de moderne versie van antivirus, maar dan veel uitgebreider. In plaats van alleen te scannen op bekende schadelijke bestanden, let het op verdacht gedrag. Als een programma vreemd begint te doen, bestanden versleutelt, verbinding maakt met onbekende servers of systeeminstellingen wijzigt, markeert Defender for a Point.

Het kan automatisch onderzoek doen en indien nodig dat apparaat volledig isoleren van het netwerk. Met één klik wordt die machine afgesloten van alles. De volgende is Defender for Office 365. Dit beschermt uw e-mail en samenwerkingsstools. Het blokkeert phishing, e-mails, schadelijke bijlagen en onveilige links voordat ze uw inbox bereiken, maar scant ook Teams berichten, SharePoint bestanden en OneDrive opslag op bedreigingen. Dus als iemand een gevaarlijk bestand deelt in een teamchat, vangt dit systeem het op. Dan hebben we Defender for Identity. Deze houdt uw identiteitsinfrastructuur in de gaten. Als u een on-premises Active Directory heeft, het systeem dat gebruikersaccounts en wachtwoorden op kantoor beheert, controleert Defender for Identity dit op verdachte activiteiten. Het detecteert diefstal van inloggegevens waarbij een aanvaller een wachtwoord stilt en dit elders probeert te gebruiken.

Het ziet laterale bewegingen waarbij iemand van het ene naar het andere account springt en markeert privilege escalatie waarbij een gewone gebruiker plotseling beheerdersrechten probeert te krijgen. Dit zijn precies de technieken die aanvallers gebruiken zodra ze in uw netwerk zitten. Het vierde onderdeel is Defender for Cloud Apps. Dit geeft u inzicht in alle cloud-applicaties die uw medewerkers gebruiken, zowel de goedgekeurde als de niet-goedgekeurde. Het ontdekt Shadow IT, oftewel diensten waar uw team zich voor heeft aangemeld zonder dit te melden. Het detecteert ongebruikelijk gedrag, zoals een gebruiker die om twee uur s'nachts duizenden bestanden downloadt en het kan risicovolle apps blokkeren of bepalen welke gegevens er worden gedeeld. Als laatste is er Vulnerability Management. Dit is eigenlijk ingebouwd in Defender for AdPoint, maar verdient een aparte vermelding. Het scant continu uw apparaten op ontbrekende beveiligingspatches, zwakke configuraties en andere kwetsbaarheden.

Vervolgens krijgt u een prioriteitenlijst van wat als eerste moet worden opgelost. Dus in plaats van gokken welke updates het belangrijkst zijn, vertelt het u precies welke kwetsbaarheden het meest waarschijnlijk worden misbruikt. Nu komt het belangrijkste inzicht. Elk van deze producten bestond al op zichzelf voordat Defender XDR er was. Microsoft heeft ze in de loop per jaren afzonderlijk gebouwd en toen stelde iemand een slimme vraag. Wat als ze allemaal samenwerken? Dat is precies wat Defender XDR mogelijk maakt. Het is de lijn die vijf goede producten verandert in één krachtig systeem. Hoe ze samenwerken? Laat me u meenemen door een echt scenario zodat u ziet hoe dit in de praktijk werkt. Een van uw medewerkers ontvangt een phishing-email. Het lijkt alsof het van hun baas komt met het verzoek een document te beoordelen. Defender for Office 365 markeert dit misschien niet omdat de link legitiem lijkt.

De werknemer klikt dus en voert het wachtwoord in op wat lijkt op een echte Microsoft-inlogpagina, waardoor de aanvaller nu de inloggegevens heeft. Binnen enkele minuten ziet Defender for Identity dat dezelfde gebruiker inlogt vanuit een land waar diegene nog nooit is geweest. Terwijl Defender for het Point een verdacht proces op de laptop detecteert dat probeert verbinding te maken met een externe server. Denk nu eens na over wat er gebeurt zonder XDR. Je krijgt drie afzonderlijke meldingen. Eén van e-mailbeveiliging, één van identiteitsbewaking en één van het Point beveiliging. Elk in een aparte console met een andere inloggegevens. Je beveiligingsteam probeert handmatig uit te zoeken of ze met elkaar verbonden zijn. Hoe dan ook, de aanvaller dringt tijdens die zoektocht steeds dieper je netwerk binnen. Met Defender XDR verloopt dat hele proces automatisch. Het platform legt de verbanden.

Het herkent dat de e-mail, de vreemde inlogpoging en het vreemde proces allemaal onderdeel zijn van één aanvalsketen. Het bouwt één enkel incident op met een tijdlijn. Je opent het en ziet het volledige verhaal. De inlogpoging, de apparaatactiviteit, alleskeurig op volgorde. En het vertelt je niet alleen wat er is gebeurd. Defender XDR kan ook actie ondernemen. Afhankelijk van je instellingen kan het automatisch het gecompromitteerde apparaat isoleren van het netwerk. Het wachtwoord van de gebruiker resetten of inlogpogingen vanaf die verdachte locatie blokkeren. Dit alles binnen enkele minuten, zonder dat iemand een ticket hoeft aan te maken of hoeft te bellen. Zie het als een team van specialisten, een brandweerman, een ambulanceverpleegkundige, een politieagent, die allemaal rapporteren aan één coördinator. De coördinator hoort van iedereen, ziet het patroon en zet de juiste reactie in voordat iemand anders zelfs maar doorheeft dat er een probleem is.

Dit gaat niet om gemak. Het gaat om snelheid. Aanvallers kunnen dagenlang in een netwerk rondspoken voordat iemand het opmerkt. Met XDR krimpt dat venster tot uren of zelfs minuten. En bij beveiliging is tijd het enige wat je nooit meer terugkrijgt. Wat het concreet voor je doet. Dus, wat betekent dit alles voor je bedrijf? Laten we het concreet maken. Ten eerste, minder meldingen om op te volgen. Wanneer de Vender XDR gerelateerde meldingen groepeert in incidenten, ziet je team niet elke dag onder aparte alarmen. Ze krijgen misschien tien heldere verhalen, elk met context, bewijs en een aanbevolen volgende stap. Ze werken aan echte bedreigingen in plaats van achterspoken aan te jagen. Dan is er nog sneller onderzoek. Vanuit het incidentoverzicht zie je de volledige aanval als een tijdlijn. Klik op elk onderdeel, het apparaat, het gebruikersaccount, de e-mail en krijg meer details zonder het scherm te verlaten.

Alles wat je nodig hebt, staat daar direct. Niet meer schakelen tussen consoles, niet meer kopiëren en plakken. En de grootste winst is misschien wel de geautomatiseerde opschoning. Als de dreiging duidelijk is, handelt de Vender XDR de oplossing zelfstandig af. Het verwijdert de kwaadaardige e-mail uit ieders inbox, verwijdert het geïnfecteerde bestand van het apparaat en draait zelfs wijzigingen in het register terug die de aanvaller heeft aangebracht. Zie het als een zelfreinigend beveiligingssysteem. Je hoeft er niet iemand met een dweil op af te sturen, het systeemruimte rommelt zelf op. En dan is er nog proactieve beveiliging, hier schittert vulnerability management. In plaats van alleen te reageren, helpt de Vender XDR je om aanvallen te voorkomen. Het scant continue apparaten op ontbrekende patches, zwakke wachtwoorden en onjuiste configuraties. Je krijgt een prioriteitenlijst van wat je eerst moet aanpakken, gebaseerd op welke kwetsbaarheden het meest waarschijnlijk worden misbruikt.

Geen gegok meer, gewoon een duidelijk actieplan. En hier is iets wat veel mensen over het hoofd zien. De Vender XDR werkt op verschillende platforms, niet alleen op Windows. Het dekt ook Mac, Linux, iOS en Android. Als je bedrijf een mix van apparaten gebruikt, ben je nog steeds beschermd. Hier is een praktijk geval. We werkten samen met een partner die de beveiliging beheerde voor een middelgroot bedrijf. Voor XDR bedroeg hun responstijd bij incidenten gemiddeld ongeveer 4 uur. Nadat ze het hadden ingeschakeld en geautomatiseerde responsregels hadden geconfigureerd, daalde dat naar ongeveer 20 minuten. Het verschil was niet een groter team of betere training, het was het systeem dat de verbanden voor hen legden. Dat is dus de praktische impact. Minder meldingen, sneller onderzoek, geautomatiseerde opschoning en proactieve preventie. Het gaat niet alleen om betere tools, maar om tools die samenwerken zodat je team zich kan richten op wat echt belangrijk is.

Verbinding, de echte kracht zit in integratie. We hebben de vijf componenten behandeld, maar de kern is, de echte waarde zit niet in één enkel onderdeel, maar in hoe ze integreren. Wanneer de Vendor for at Point ziet dat een bestand wordt gedownload, de Vendor for Identity een wachtwoordwijziging vanaf een ongebruikelijke locatie detecteert en de Vendor for Cloud Apps opmerkt dat gegevens naar een persoonlijke opslagdienst worden geüpload. Op zichzelf is elke datapunt een signaal op een dashboard. Maar samen vertellen ze een verhaal en dat verhaal is duidelijk. Iemand's account is gecompromitteerd en er verlaten gegevens je organisatie. De meeste mensen denken dat beveiliging betekent de beste antivirus of het beste e-mailfilter kopen. Dat is wat de industrie ons al decennia leert. Maar de realiteit is, beveiliging draait niet om één enkel product. Het gaat om het leggen van verbanden tussen alles wat er in je omgeving gebeurt.

De Vendor XDR legt die verbanden automatisch, zodat je team niet alles handmatig aan elkaar hoeft te knopen. Er is hier een vermenigvuldigingseffect dat makkelijk over het hoofd wordt gezien. Wanneer één Defender-component iets nieuws detecteert, wordt die intelligentie gedeeld met alle anderen. Laat me je een concreet voorbeeld geven. Stel dat Defender-forwardpoint een nieuwe variant van malware ontdekt op een van je apparaten. Die informatie blijft niet zomaar liggen. Defender-for-Office 365 begint direct met het scannen van inkommende e-mails op diezelfde malware... ...en Defender-for-identity houdt toezicht op tekenen van inloggegevensdiefstal. De detectie op één plek versterkt de beveiliging overal. Dat is een niveau van coördinatie dat je simpelweg niet kunt bereiken door losse tools van verschillende leveranciers te kopen. Je zou een toegewijd team nodig hebben om de integraties werkend te houden.

Dit is waarom Microsoft kan concurreren met bedrijven als CrowdStrike en Palo Alto in de XDR-markt. Niet omdat een individuele Defender-component aanzienlijk beter is dan die van de concurrentie... ...maar omdat de integratie binnen Microsoft 365 native is. Het is direct ingebouwd in het platform. Andere leveranciers kunnen hun producten ook integreren... ...maar het is nooit zo naadloos als wanneer alles van hetzelfde bedrijf komt en hetzelfde datamodel deelt. Dus, wie profiteert hier het meest van? Als je bedrijf Microsoft 365 gebruikt, heb je al een deel van deze infrastructuur in huis. Over stappen op E5 of het toevoegen van de E5-beveiligings-sat-an ontgrendelt de volledige Defender XDR-ervaring. Voor kleinere bedrijven biedt Microsoft 365 Business Premium een solide subset van deze mogelijkheden. Het punt is dat je misschien helemaal geen nieuwe beveiligingstack hoeft te kopen. Je hoeft misschien alleen maar in te schakelen wat je al hebt.

Belangrijkste punten, wat moet je doen? Laten we afsluiten met drie concrete stappen die je vanaf vandaag kunt zetten. Stap 1. Controleer je licenties. Dit is het makkelijkste wat je kunt doen. Ga naar het Microsoft 365 Beheer Centrum, bekijk je abonnementen en zie waar je voor betaalt. Heb je E5, E3 met de beveiligings-sat-an of Business Premium. Dat vertelt je tot welke Defender-mogelijkheden je al toegang hebt en je zult misschien verrast zijn door wat er is inbegrepen. Stap 2. Als je de juiste licenties hebt, schakel dan Defender XDR in. Het staat niet altijd standaard aan. Ga naar security.microsoft.com, zoek de instellingensectie en schakel de verenigde incidentervaring in. De documentatie van Microsoft zegt dat het ongeveer 10 minuten duurt. Je hoeft niet alles tegelijk te configureren. Alleen al het inschakelen van de correlatie-engine geeft je direct beter inzicht. Stap 3. Begin met het laaghangende fruit.

Implementeer Defender Forward Point op al je apparaten als je dat nog niet hebt gedaan. Als je in Toon gebruikt, is dit heel eenvoudig. Schakel de vooraf ingestelde beveiligingsbeleidsregels van Defender for Office 365 in. Er is een standaardbeleid en een strikt beleid en beide blokkeren direct het merendeel van de veelvoorkomende emailbedreigingen. Bekijk daarna het dashboard voor kwetsbaarheidsbeheer. Het laat je de meest kritieke risico's zien en vertelt je precies wat je als eerste moet oplossen. Een waarschuwing vooraf. Probeer niet alles tegelijk te doen. Elk onderdeel voegt bescherming toe, maar ook complexiteit. Begin met één onderdeel, raak vertrouwd met de werking en voeg dan de rest toe. Proberen om alles op de eerste dag in te schakelen is vragen om frustratie. Als je slechts één ding doet, kies dan voor de vooraf ingestelde Defender for Office 365 beleidsregels. Email is nog steeds de voornaamste manier waarop aanvallers organisaties binnendringen.

Die bedreigingen blokkeren bij de gateway is de meest effectieve stap die je kunt zetten. En zodra je aan de slag bent, kun je het Microsoft Secure Score dashboard gebruiken om je voortgang te volgen. Het geeft je een actuele lijst met aanbevolen acties en laat zien hoe elke actie je beveiliging verbetert. Het is als een takenlijst die zichzelf prioriteert. Als je niet zeker weet wat je hebt of waar je moet beginnen, neem dan contact op met je IT-leverancier of Microsoft Partner. Zij kunnen je licenties controleren, helpen bij het instellen van de juiste beveiliging en zorgen dat je geen geld of veiligheid laat liggen. Dat is dus wat Microsoft Defender XDR is. Het is geen enkel product dat je zo uit de winkel koopt. Het is een uniforme beveiligingslaag die je bestaande bescherming verbindt tot één intelligent systeem. De werkelijke waarde zit in de manier waarop deze componenten samenwerken.

Ze communiceren met elkaar, automatiseren reacties en beperken de tijd die aanvallers hebben om schade aan te richten. Begin met een licentie-added en schakel daarna de basis in. Je hebt al meer bescherming tot je beschikking dan je denkt. Bedankt voor het luisteren. Als dit geholpen heeft, deel het dan met iemand die probeert wegwijs te worden in Microsoft Beveiliging. Tot de volgende keer.