Zo operationaliseert u Active Directory Domain Services-baselines bij al uw klanten

Net als een Azure AD-beveiligingsbaseline legt een sterke baseline voor Active Directory Domain Services (AD DS) vast welke beleidsregels en werkwijzen gelden in on-prem omgevingen. Dat versterkt uw beveiligingsbeleid, maar om het in alle on-prem domeinen door te voeren is een gestructureerde aanpak nodig.

Bouw een schaalbaar kader voor AD DS-beveiliging. Dit artikel legt uit hoe u Active Directory (AD)-baselines veilig op grote schaal uitrolt met Monitoring en beheer op afstand (RMM).

Wilt u een visuele stap-voor-stap uitleg? Bekijk dan onze video: Zo operationaliseert u Active Directory Domain Services-baselines bij al uw klanten.

Bouw een schaalbaar kader voor AD DS-beveiliging

Uw AD DS-baseline bepaalt hoe wachtwoorden, gebruikersaanmeldingen, protocollen en verhoogde rechten moeten worden geconfigureerd in on-prem Active Directory. Zo rolt u AD DS-baselines uit en houdt u ze in stand met hulp van RMM:

📌 Vereisten:

• Beheerderstoegang tot domein(en) of gedelegeerde OU’s
• Windows 11 Pro, Education of Enterprise
• PowerShell (5.1+) met AD- en GPO-modules, RSAT-hulpprogramma’s
• Een vastgestelde baseline (bijvoorbeeld de standaardwaarden die Microsoft aanbeveelt, CIS-benchmarks of een hybride, op maat gemaakte baseline)
• Centrale logging/gebeurtenisverzameling (Windows Event Forwarding, SIEM, RMM)
• Een platform voor automatisering of scriptuitrol (bijvoorbeeld NinjaOne of een gelijkwaardig alternatief)

Stap 1: een baselinekader opzetten

Begin met een duidelijk omschreven AD DS-beveiligingsbaseline op basis van gezaghebbende bronnen (bijvoorbeeld de Microsoft Security Compliance Toolkit of de AD DS-benchmarks van CISA). Daarin legt u het beleid vast rond het aanmaken van wachtwoorden, aanmeldingen, GPO’s, auditing en geprivilegieerde toegang.

Microsoft raadt beveiligingsbaselines aan die uw criteria afstemmen op interne risico’s en externe standaarden, zoals CIS (Center for Internet Security) en NIST (National Institute of Standards and Technology).

Uw baseline moet het volgende regelen:

• Wachtwoorden en accountvergrendeling
• Kerberos-beleid
• Beperkingen voor verouderde protocollen
• Model voor geprivilegieerde toegang
• AD DS-auditing
• Verharding van domein controllers

Daarnaast zijn het opsporen van compliance drift en het vastleggen van de canonieke staat van uw baseline cruciaal voor proactief beheer. NinjaOne RMM maakt beide mogelijk via het centrale dashboard en veilige IT documentatie – allemaal zichtbaar in één enkel dashboard.

Stap 2: handhaving van de baseline automatiseren

Nadat u uw beveiligingsbaseline hebt uitgewerkt, moet u de configuraties in alle klantdomeinen afdwingen en voortdurend controleren. Dat gebeurt meestal op twee manieren: met modulaire scripts of met wijzigingen in Group Policy.

Handhavingsmodules in PowerShell

Hieronder staan voorbeelden van hoe u uw AD DS-beveiligingsbaseline afdwingt via PowerShell.

📌 Toepassingen: het uitrollen van uw on-prem Active Directory-beveiligingsbaseline op meerdere systemen.

📌 Vereisten: beheerdersrechten, domeinbeheerdersrechten, PowerShell 5.1 of hoger, Active Directory Module.

1. Druk op Win + R, typ PowerShell en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit om drempelwaarden voor wachtwoordvergrendeling in te stellen:

Set-ADDefaultDomainPasswordPolicy -MinPasswordLength 14 -LockoutThreshold 5 -MaxPasswordAge (New-TimeSpan -Days 60)

3. Voer het volgende uit om het verouderde SMBv1-protocol uit te schakelen:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

4. Voer het volgende uit om anonieme toegang uit te schakelen en gevoelige gegevens te beschermen:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "RestrictAnonymous" -Value 1

5. Voer het volgende uit om gelaagde beheerdersgroepen aan te maken en least privilege af te dwingen:

New-ADGroup -Name "Tier0-Admins" -GroupScope Global -Path "OU=Privileged,DC=domain,DC=com"

🥷🏻| Gebruik kant-en-klare, aangepaste scripts om workflows rond beveiligingsbaselines te stroomlijnen. Bekijk hier de script hub van NinjaOne.

Gebruik Group Policy Objects voor blijvende instellingen

Group Policy Objects (GPO’s) zijn onmisbaar om een strikte beveiligingsbaseline door te voeren, van losse systemen tot complete klantomgevingen. Anders dan PowerShell-scripts zorgen GPO’s ervoor dat uw configuraties intact blijven na een herstart of een beleidsvernieuwing.

Zo rolt u AD DS-beveiligingsbaselines centraal uit in on-prem omgevingen via GPO’s:

1. Druk op Win + R, typ gpmc.msc en druk op Ctrl + Shift + Enter.
2. Maak een nieuw Group Policy Object aan voor uw AD DS-beveiligingsbaseline.
3. Koppel de nieuwe GPO aan de Organizational Unit (OU) van de domein controller.
4. Configureer het accountbeleid, schakel verouderde protocollen uit en kies auditbeleid dat least privilege vooropstelt.
   1. Apparaten onder die DC nemen uw baselineconfiguraties hiërarchisch over.

🥷🏻| Gebruik de beleidsgestuurde automatiseringsworkflows van NinjaOne om protocollen te verbeteren met half zoveel risico. Ontdek hoe het beleid van NinjaOne taken vereenvoudigt.

Stap 3: continue validatie & drift-detectie

Uw instellingen voortdurend valideren is essentieel om afwijkingen in uw AD DS-beveiligingsbaseline te voorkomen. Deze “drift” kan ontstaan wanneer patches verkeerd worden toegepast of wanneer instellingen handmatig worden gewijzigd. Monitoring rond de klok is daarom onmisbaar.

Gezondheidsaudits via PowerShell

Zo vergelijkt u uw AD DS-beveiligingsbaseline met de huidige situatie om mogelijke drift op te sporen:

📌 Toepassingen: gebruik dit om uw huidige beveiligingsbaseline te vergelijken met de verwachte configuraties.

📌 Vereisten: PowerShell 5.1 of hoger, beheerdersrechten.

1. Druk op Win + R, typ PowerShell en druk op Ctrl + Shift + Enter.
2. Noteer het volledige bestandspad van het tekstbestand met uw canonieke baseline (bijvoorbeeld C:\Baseline\expected-config.txt).
3. Voer het volgende uit om baselines te vergelijken en drift op te sporen:

$baseline = Get-Content "<expectedConfigFilepath>"

$liveConfig = Get-Content "<actualConfigFilepath>"

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Vervang <expectedConfigFilepath> door het bestandspad van uw echte baselinebestand.

Vervang <actualConfigFilepath> door het bestandspad van uw huidige baselinebestand.

4. Markeer het volgende:
   1. GPO-wijzigingen
   2. Registerwijzigingen
   3. Drift in geprivilegieerde groepen
   4. Wijzigingen in de domeinconfiguratie

5. Gebruik Taakplanner om dit script wekelijks of maandelijks op grote schaal uit te voeren.

Periodieke rapportage & rapportage op aanvraag

Bevindingen over compliance drift en wijzigingen in de baseline moeten tijdens governance-reviews worden besproken. Neem het volgende op in uw rapportages zodat de communicatie tussen uw team en uw klanten open blijft:

• Dekkingsgraad: hoeveel van uw huidige instellingen overeenkomen met de baseline.
• Ontwikkelingen: het volgen van trends sinds de vorige audit.
• Vervolgstappen: herstelacties voor systemen die niet voldoen.

Stap 4: baselinecontroles op basis van triggers (event-driven)

Bij verdachte systeemgebeurtenissen en risicovolle wijzigingen moeten baselines in realtime opnieuw worden gevalideerd om compliant te blijven. Stel daarom triggers in die audits starten zodra rollen te snel worden verhoogd of er in realtime te veel wachtwoordfouten worden gedetecteerd.

📌 Toepassingen: gebruik dit om event-driven controles in te richten.

📌 Vereisten: Groepsbeleidsbeheer, beheerdersrechten.

1. Druk op Win + R, typ PowerShell en druk op Ctrl + Shift + Enter.
2. Open Taakplanner.
3. Stel in dat een PowerShell-script wordt uitgevoerd zodra een bepaalde Event ID in het beveiligingslogboek wordt gedetecteerd.
   1. Trigger: Event ID 4625.
   2. Actie: voer een script uit dat de compliance met de baseline controleert.
4. Gebruik dit script om de AD DS-compliance te verifiëren:

$baseline = Get-Content "<expectedConfigFilepath>"

$liveConfig = Get-Content "<actualConfigFilepath>"

Compare-Object -ReferenceObject $baseline -DifferenceObject $liveConfig

Vervang <expectedConfigFilepath> door het bestandspad van uw echte baselinebestand.

Vervang <actualConfigFilepath> door het bestandspad van uw huidige baselinebestand.

Voer automatisch controles uit op uw AD DS-beveiligingsbaseline bij:

• Event ID 4625 – Mislukte aanmelding
• Event ID 4672 – Aanmelding beheerder
• Event ID 4728–4729 – Wijziging groepslidmaatschap
• Event ID 1102 – Auditlogboek gewist

Stap 5: wijzigingsbeheer & documentatie

Het verharden van AD DS-beveiliging is een iteratief proces dat voortdurend bijstelling vraagt. Automatisering stroomlijnt uw workflow, maar door driftgebeurtenissen vast te leggen voorkomt u dat dezelfde fouten opnieuw worden gemaakt.

Leg elke afwijking van de baseline vast, noteer wat er sinds de laatste audit is veranderd, wie de herstelacties leidt en op welke datum en tijd gebeurtenissen zijn opgelost. Geef uw records een consistente naam (bijvoorbeeld ADDS-Hardening-[ClientName]-[YYYYMMDD]-v1) en bewaar validatierapporten om trends in de tijd te volgen.

Koppel uw documentatie tot slot aan belangrijke tickets in RMM-platforms voor snellere oplostijden. Die platforms integreren Professional Services Automation (PSA) om de AD DS-gereedheid verder te stroomlijnen.

Zo verbetert integratie met NinjaOne de AD DS-beveiliging

NinjaOne heeft niet alleen een eigen planningsengine, maar automatiseert ook rapportages en grafieken in het alles-in-één dashboard zodat belangrijke projecten sneller vooruitgaan. Zo vereenvoudigt integratie met NinjaOne de ontwikkeling van een AD DS-beveiligingsbaseline:

Til uw AD DS-baseline naar een hoger niveau met RMM

Een geoperationaliseerde AD DS-beveiliging bestaat uit geharde beveiligingscriteria, automatiseringsplannen en monitoring op de lange termijn. Zo kunt u zich richten op duurzame bescherming van klanten die naleving van SLA’s garandeert en drift direct herstelt, zeker met hoog gewaardeerd endpointbeheer dat controle zonder handwerk biedt.

Gerelateerde onderwerpen:

• Endpointverharding scripten voor MSP’s: CIS-benchmarks via PowerShell
• Zo stellen MSP’s OS-specifieke checklists voor endpointverharding op en dwingen ze die af
• Wat is Group Policy in Active Directory?
• Zo stelt u Windows DFS-shares op de juiste manier in (videogids)