Device Guard en Application Control-beleid configureren via Intune voor SMB’s

Device Guard en Windows Defender Application Control (WDAC) zijn beveiligingstechnologieën op enterpriseniveau die een Zero Trust-model afdwingen waarbij alleen geautoriseerde apps mogen draaien. Voor kleine en middelgrote bedrijven (SMB) biedt het uitrollen van deze functies via Intune een schaalbare, cloudbeheerde manier om endpoints te verharden tegen laterale verplaatsing en shadow IT-dreigingen.

Deze gids neemt u stap voor stap mee door het configureren van Application Control-beleid en Device Guard in Intune, van de onderliggende componenten tot uitrolstrategieën en validatietechnieken.

Wilt u snel een visueel overzicht? Bekijk dan onze videogids: Device Guard en Application Control-beleid configureren via Intune voor SMB’s

Stappen om Device Guard en Application Control-beleid via Intune te configureren

Dit hebt u nodig om Device Guard en Application Control-beleid via Intune te configureren:

📌 Algemene vereisten:

• Microsoft Intune (Microsoft Endpoint Manager)
• Windows 10/11 Pro, Enterprise of Education
• Hardware die Device Guard en WDAC ondersteunt (UEFI, virtualisatie-extensies)
• Beheerderstoegang tot de endpoints en de Intune-portal
• Optioneel: toegang tot NinjaOne RMM voor monitoring en aanvullende handhaving

Stap 1: de componenten van Device Guard en WDAC begrijpen

Voordat u iets instelt, is het belangrijk te begrijpen wat Device Guard en WDAC zijn en hoe ze samen uw systemen beveiligen:

Wat is Device Guard in Intune?

Device Guard is een ingebouwde set beveiligingstechnologieën in Windows die devices zo vergrendelt dat ze alleen vertrouwde applicaties kunnen uitvoeren. Het bundelt verschillende krachtige componenten:

• Credential Guard – beschermt referenties tegen aanvallen met Virtualization-Based Security (VBS).
• Code Integrity (CI) – zorgt dat alleen ondertekende, vertrouwde code wordt uitgevoerd.
• Application control (WDAC) – bepaalt welke apps, uitvoerbare bestanden, scripts en DLL’s op het device mogen draaien.

Samen dwingen deze technologieën een Zero Trust-uitvoeringsmodel af, waarbij niets draait tenzij het expliciet is toegestaan.

Hoe wordt het beleid geconfigureerd?

Beleid voor Device Guard en WDAC wordt geconfigureerd via XML of een Configuration Service Provider (CSP) en toegepast met Intune of lokale scripthandhaving.

Stap 2: kies een uitrolmethode

Nu de kernbegrippen duidelijk zijn, kiest u een uitrolmethode die past bij uw infrastructuur (beheerd via Intune, on-premises AD of hybride).

Methode A: een WDAC-beleid maken met PowerShell

Met deze methode bepaalt u volledig zelf wat mag draaien, op basis van wat er al op uw referentiesysteem aanwezig is.

📌 Toepassingen:

• U wilt een aangepaste allowlist voor omgevingen met hoge beveiligingseisen
• U test WDAC op een beperkte groep devices

📌 Vereisten:

• U moet PowerShell als administrator uitvoeren
• PowerShell 5.1+ om lokaal beleid te maken

Stap voor stap:

1. Druk op Win + S en zoek naar PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell in de resultaten en kies Als administrator uitvoeren. (Zie punt 2 bij ⚠️ Waar u op moet letten.)
3. Maak een standaard WDAC-beleid aan (auditmodus):

$policyPath = "C:\Policies\WDAC_Policy.xml"
New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs

4. Zet de XML om naar binair:

ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath "C:\Policies\WDAC_Policy.bin"

5. Optioneel: schakel alleen de auditmodus in: (Zie punt 1 bij ⚠️ Waar u op moet letten.)

Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode

U kunt dit beleid nu in Intune gebruiken als aangepaste OMA-URI-configuratie of het handmatig uitrollen op testmachines.

Methode B: Device Guard/WDAC uitrollen via Intune

Deze methode gebruikt de blade Eindpuntbeveiliging van Intune om WDAC-regels te maken en uit te rollen. Dit is de meest schaalbare manier om WDAC-beleid over meerdere devices te verspreiden.

📌 Toepassingen: het beste voor cloud-first SMB’s en ondernemingen

📌 Vereisten:

• Devices moeten zijn toegevoegd aan Azure AD of hybride AAD en zijn ingeschreven in Intune
• Een passende licentie voor Intune (Microsoft 365 Business Premium, E3+, enzovoort)

Stap voor stap:

1. Ga naar Microsoft Intune-beheercentrum > Eindpuntbeveiliging > Kwetsbaarheid voor aanvallen verminderen > Beleid maken.
2. Kies het platform en profiel:
   • Platform: Windows 10 en hoger
   • Profiel: Windows Defender Application Control
3. Configureer het beleid:
   • Gebruik eerst de auditmodus. Geblokkeerde activiteit wordt dan wel gelogd maar niet daadwerkelijk geblokkeerd. (Zie punt 1 bij ⚠️ Waar u op moet letten.)
   • Dwing de regels pas af na het testen (alleen ondertekende Microsoft-apps en Windows-onderdelen).
   • Schakel de integratie met Intelligent Security Graph in.
4. Wijs het beleid toe aan een testgroep of een deel van de endpoints. (Zie punt 3 bij ⚠️ Waar u op moet letten.)
5. Schakel na validatie over naar de handhavingsmodus. Dan draaien alleen vertrouwde apps en worden niet-vertrouwde apps geblokkeerd.

Methode C: afdwingen via Groepsbeleid (optioneel/hybride)

Deze methode past het beste bij hybride of on-premises AD waar Intune nog niet volledig wordt gebruikt of waar Groepsbeleid het belangrijkste configuratiemechanisme blijft.

📌 Toepassingen: het beste voor organisaties die van on-premises naar de cloud overstappen.

📌 Vereisten: devices moeten aan AD zijn toegevoegd (on-premises of hybride)

Stap voor stap:

1. Druk op Win + R, typ gpedit.msc en druk op Enter om de Editor voor lokaal groepsbeleid te openen.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Device Guard

3. Schakel in:
   • Virtualization-Based Security inschakelen
   • Credential Guard inschakelen
   • Windows Defender Application Control uitrollen

Gebruik GPO’s voor on-premises of hybride domeingekoppelde devices wanneer Intune niet beschikbaar is.

Stap 3: application control valideren met PowerShell en gebeurtenislogboeken

Controleer na de uitrol of het beleid actief is en werkt.

📌 Toepassingen: gebruik dit voor compliance en audits of om serviceonderbrekingen door false positives te voorkomen.

📌 Vereisten: PowerShell 5.1+ om beleid lokaal te verifiëren

Controleren via PowerShell

1. Open PowerShell.
2. Voer de volgende opdracht uit om de WDAC-status te bevestigen:

Get-CIPolicy | Format-List

3. Controleer de auditlogboeken: (Zie punt 4 bij ⚠️ Waar u op moet letten.)

Get-WinEvent -LogName "Microsoft-Windows-CodeIntegrity/Operational" | Format-Table TimeCreated, Id, Message -AutoSize

4. Verifieer Credential Guard:

Get-CimInstance -ClassName Win32_DeviceGuard

In de uitvoer hoort VirtualizationBasedSecurityStatus = 2 te staan voor een actieve status.

Controleren via Logboeken

1. Druk op Win + R, typ eventvwr.msc en druk op Enter om Logboeken te openen.
2. Ga naar Logboeken voor toepassingen en services > Microsoft > CodeIntegrity > Operational.
3. Let op:
   • Gebeurtenis-ID 3033 – WDAC-beleid is geladen
   • Gebeurtenis-ID 3076 – app geblokkeerd door WDAC (handhavingsmodus)
   • Gebeurtenis-ID 3099 – app zou zijn geblokkeerd (auditmodus)

Deze gebeurtenissen laten zien of het WDAC-beleid succesvol is toegepast en of apps zijn geblokkeerd of geblokkeerd zouden zijn.

Stap 4: instellingen bevestigen of afdwingen via het register

Deze methode pusht WDAC-beleid naar devices en controleert of Device Guard, Credential Guard of VBS zijn ingeschakeld.

📌 Toepassingen: gebruik dit als u na de uitrol wilt valideren of de instellingen worden afgedwongen.

📌 Vereisten:

• Beheerdersrechten zijn vereist (Zie punt 2 bij ⚠️ Waar u op moet letten.)
• Device Guard-instellingen zijn uitgerold (via GPO of Intune)

⚠️ Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.

Stap voor stap:

1. Druk op Win + R, typ regedit en druk op Enter om de Register-editor te openen.
2. Ga naar de registersleutels van WDAC en Device Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

• • EnableVirtualizationBasedSecurity (DWORD) = 1
  • RequirePlatformSecurityFeatures (DWORD) = 1

3. Validatie van Credential Guard in het register:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

• • LsaCfgFlags (DWORD) = 1

Gebruik PowerShell of aangepaste velden van NinjaOne om deze waarden op grote schaal uit te lezen en te rapporteren.

⚠️ Waar u op moet letten

Waarom Device Guard en WDAC belangrijk zijn voor SMB’s

Kleine en middelgrote bedrijven (SMB’s) worden doorgaans gedefinieerd op basis van hun personeelsbestand en omzet. Ze werken met kleinere teams en minder on-premises middelen dan grote ondernemingen, maar krijgen met dezelfde dreigingen te maken. Ze hebben dus oplossingen nodig die niet te complex zijn maar wel effectief.

Device Guard en WDAC bieden SMB’s precies die balans. Zo helpen ze:

• Intune verlaagt de administratieve last door uitrol en monitoring te stroomlijnen.
• Met cloud-first beheer wordt beleid geleverd en afgedwongen zonder afhankelijkheid van on-premises infrastructuur.
• Betere eindpuntbeveiliging ontstaat doordat WDAC niet-vertrouwde of kwaadaardige applicaties blokkeert.
• Intune en WDAC leveren bescherming op enterpriseniveau en op schaal doordat beveiligingsmaatregelen consistent op alle devices worden toegepast.
• Application control verkleint het aanvalsoppervlak door minder toegangspunten voor dreigingen en laterale verplaatsing te bieden.

Aanvullende overwegingen

Houd bij het uitrollen van Windows Defender Application Control (WDAC) rekening met de volgende punten:

Test eerst in de auditmodus

Voordat u WDAC in productie afdwingt, test u het beste eerst in de auditmodus. Deze modus logt applicaties die geblokkeerd zouden zijn zonder ze daadwerkelijk tegen te houden, zodat u de impact van uw beleid veilig kunt inschatten.

Beleid ondertekenen

In sommige omgevingen moet WDAC-beleid digitaal zijn ondertekend met een code-signing-certificaat om onder Secure Boot te worden afgedwongen. Ondertekend beleid garandeert integriteit en vertrouwen, terwijl niet-ondertekend beleid kan worden genegeerd of alleen in de auditmodus draait.

Compatibiliteit met updates

Elke Windows-update kan nieuwe systeembestanden of stuurprogramma’s introduceren of bestaande wijzigen, die vervolgens onbedoeld door WDAC worden geblokkeerd. Valideer uw beleid daarom altijd na grote updates. U kunt na een update ook tijdelijk overschakelen naar de auditmodus om nieuwe blokkeringen te loggen en te zien welke bestanden een uitzondering nodig hebben.

Omgaan met uitzonderingen

SMB’s vertrouwen vaak op tools, scripts of automatiseringsagents van derden die niet zijn ondertekend en door WDAC geblokkeerd kunnen worden. Gebruik in dat geval toestaanregels op basis van bestandspad, hash of uitgever.

💡 Tip: houd een lijst bij van vertrouwde tools die op de allowlist moeten staan en controleer en actualiseer de uitzonderingsregels regelmatig om verstoringen te voorkomen.

Problemen oplossen

Hieronder staan veelvoorkomende problemen bij het configureren van WDAC en hoe u ze oplost:

Geblokkeerde apps

Geblokkeerde apps zijn een teken dat WDAC goed werkt: er wordt een applicatie geblokkeerd die niet op de allowlist staat. Controleer in dat geval de CodeIntegrity-logboeken op de hashes van uitvoerbare bestanden:

1. Druk op Win + R, typ eventvwr.msc en druk op Enter om Logboeken te openen.
2. Ga naar:

Logboeken voor toepassingen en services > Microsoft > Windows > CodeIntegrity > Operational

3. Zoek naar gebeurtenis-ID 3076 en gebeurtenis-ID 3099 om geblokkeerde uitvoerbare bestanden en hun hashes te zien.
4. Gebruik de hash of het pad uit de gebeurtenis om een uitzonderingsregel te maken.

Beleid wordt niet toegepast

Ontvangt of past een device het beleid niet toe? Dan kunt u dit doen:

• Forceer een synchronisatie op het endpoint:

1. 1. Open Instellingen (Win + I) > Accounts > Toegang tot werk of school > Info > Synchroniseren

• Controleer de uitrolstatus van het Intune-beleid:

1. 1. Ga naar Microsoft Intune-beheercentrum > Apparaten > [Naam van device] > Apparaatconfiguratie
   2. Bekijk de status van het beleid (In behandeling, Geslaagd of Mislukt)

• Controleer de doelgroep:

Controleer of het device aan de juiste groep is toegewezen en of het beleid op devices van toepassing is en niet alleen op gebruikers.

Credential Guard mislukt

Vergeet niet dat Credential Guard bepaalde hardwarefuncties vereist, waaronder ondersteuning voor virtualisatie en Secure Boot. Zo controleert u of het device die ondersteunt:

1. Start opnieuw op in BIOS/UEFI en controleer of:
   • Secure Boot is ingeschakeld
   • Ondersteuning voor virtualisatie aanstaat

Register wordt niet bijgewerkt

Worden registerwijzigingen niet toegepast? Dan kunt u dit doen:

• Zorg dat scripts of query’s met beheerdersrechten worden uitgevoerd.
• Controleer of het registerpad en de sleutels bestaan:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

NinjaOne-diensten

NinjaOne ondersteunt een veilige uitrol van Device Guard- en WDAC-beleid met:

Met NinjaOne kunnen MSP’s de verhardingsfuncties van Microsoft bij al hun klanten uitbreiden en monitoren met minimale overhead.

Configureer Device Guard en WDAC voor SMB’s en versterk zo eindpuntbeveiliging en application control

Device Guard en Windows Defender Application Control (WDAC) zijn krachtige middelen om SMB-endpoints te beveiligen door te beperken welke apps en scripts mogen draaien. Deze gids behandelde de kerncomponenten en voordelen van beide oplossingen, met de nadruk op hun rol bij een zero-trust-uitvoeringsmodel.

Daarnaast kreeg u een uitgebreide uitleg over het uitrollen, auditen en afdwingen van beleid met Microsoft Intune, naast methoden via PowerShell, het register, CMD en GPO voor testdoeleinden en compliance. Tot slot liet de gids zien hoe NinjaOne helpt om de uitrol van beleid bij klanten op te schalen en te auditen, voor sterkere eindpuntbeveiliging en betere application control.

Gerelateerde onderwerpen:

• Zo controleert u of Device Guard is in- of uitgeschakeld in Windows
• Zo controleert u of Credential Guard is in- of uitgeschakeld in Windows
• Zo omzeilt u ‘Deze app is voor uw beveiliging geblokkeerd’ in Windows 10