Cached referenties verwijderen en hergebruik voorkomen in Windows

Het opslaan van inloggegevens op laptops kan een serieus risico worden, zeker wanneer devices verloren gaan of medewerkers vertrekken. Alleen weten hoe u cached referenties verwijdert is niet genoeg; u hebt een schaalbare strategie nodig.

In deze gids leert u een compleet proces om cached referenties in uw hele omgeving op te sporen, op te schonen en te voorkomen, inclusief automatisering en auditbestendige documentatie.

Stap voor stap cached Windows-referenties wissen

Het wissen van cached referenties is essentieel voor de beveiliging en voor het oplossen van toegangsproblemen.

📌Use case: wis cached Windows-referenties na een beveiligingsincident, bij het opnieuw uitrollen van een device of wanneer een medewerker het bedrijf verlaat. Het is ook een veelgebruikte troubleshootingstap bij problemen met toegang tot netwerkbronnen.

📌Vereisten: een geslaagd proces vraagt om voorbereiding. Zorg dat u het volgende hebt:

• Een inventarisatie van uw endpoints (inclusief OS-versies zoals Windows 11) en de gegevens van de lokale beheerdersaccounts.
• Zorg dat uw automatiseringstools (PowerShell, Intune, RMM) klaar zijn voor uitvoering op afstand.
• Controleer of basisbeveiligingsbeleid, zoals Credential Guard, actief is om uw beveiligingsbeleid te versterken voordat u begint.

Zodra u aan deze voorwaarden voldoet, volgt u de onderstaande stappen.

Een visuele uitleg bij deze gids vindt u ook in Cached referenties verwijderen en hergebruik voorkomen in Windows.

Stap 1: cached referenties opsporen en het risico in kaart brengen

Zoek eerst alle opgeslagen logins op om te begrijpen hoe groot uw risico is. U moet daarbij onderscheid maken tussen opgeslagen referenties voor bronnen en cached aanmeldingsreferenties voor offline aanmelden.

Opgeslagen referenties opsporen

Voor opgeslagen wachtwoorden die toegang geven tot specifieke bronnen zoals netwerkshares gebruikt u deze methoden:

• Grafische weergave:open Windows Referentiebeheer door ernaar te zoeken in het startmenu.
• Opdrachtregel: voer cmdkey /list uit in de Opdrachtprompt (Administrator).
• Browseropslag: controleer de opgeslagen wachtwoorden in de instellingen van Chrome, Firefox enzovoort.

Wat cached aanmeldingsreferenties zijn

Cached aanmeldingsreferenties zijn gehashte verifiers die tijdens het aanmelden bij het domein worden aangemaakt voor offline toegang. Ze worden niet beheerd zoals opgeslagen wachtwoorden.

• Doel:aanmelden mogelijk maken op een pc in een domein wanneer die de server niet kan bereiken.
• Beheer: uitsluitend geregeld via het groepsbeleid Aantal vorige aanmeldingen in cache.
• Opslag: veilig bewaard in het systeemregister, niet in Referentiebeheer.

Het risico in kaart brengen

Maak een lijst van alle gevonden referenties en noteer bij welke devices ze horen. De belangrijkste risico’s zijn:

• Opgeslagen referenties: kunnen worden uitgelezen en gebruikt voor laterale beweging binnen uw netwerk.
• Cached aanmeldingsverifiers: geven offline toegang tot een device met een oud wachtwoord, waardoor recente wachtwoordwijzigingen worden omzeild.

Deze inventarisatie levert het bewijsmateriaal dat u nodig hebt om een gerichte opschoning te plannen.

Stap 2: de opschoning op alle endpoints automatiseren

Gebruik scripts om referenties efficiënt van meerdere computers te verwijderen. De automatisering verschilt voor opgeslagen referenties (voor bronnen) en cached aanmeldingsreferenties (voor offline aanmelden).

Opschoning van opgeslagen referenties automatiseren

1. Bouw uw uitrolscript:
   • Gebruik een PowerShell-script of uw RMM-tool om de opschoning uit te voeren. Hieronder staat een eenvoudig PowerShell-script dat met de opdracht cmdkey referenties opsomt en verwijdert:
   • Alle opgeslagen referenties opsommen:

cmdkey /list

• • Een specifieke referentie verwijderen op basis van de doelnaam:

cmdkey /delete "TARGET_NAME"
Write-Output "Deleted credential for TARGET_NAME"

2. Plan de uitvoering: voer dit buiten kantooruren uit via uw RMM of Intune. Zorg dat het script met beheerdersrechten draait en zijn acties vastlegt als auditbewijs.
3. Controleer en leg vast: laat uw script een eenvoudig logbestand genereren dat op elk device de geslaagde verwijdering bevestigt. Zo hebt u direct bewijs voor audits.

Opschoning van cached aanmeldingsreferenties automatiseren

Cached aanmeldingsreferenties kunnen niet achteraf met een script worden opgeschoond. In plaats daarvan configureert u een groepsbeleidsinstelling die voorkomt dat ze worden aangemaakt.

Volg deze procedure om caching uit te schakelen:

1. Open de Groepsbeleidsbeheer-editor en ga naar:
   • Computerconfiguratie > Beleid > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Beveiligingsopties
2. Zoek het beleid Interactieve aanmelding: aantal vorige aanmeldingen in cache (als domein controller niet beschikbaar is) en dubbelklik erop.
3. Stel de waarde in op 0 en klik op OK.

⚠️Belangrijke opmerkingen:

• Op bestaande devices is een herstart nodig voordat deze wijziging van kracht wordt.
• Deze instelling voorkomt alleen dat nieuwe referenties in de cache worden opgeslagen; bestaande worden er niet mee verwijderd.
• Voor consistente handhaving in het hele netwerk rolt u dit beleid uit via groepsbeleid in Active Directory of via een MDM zoals Microsoft Intune.

Na afloop zijn de opgeslagen referenties voor bronnen verwijderd en moeten gebruikers zich opnieuw authenticeren. De registerwijziging voorkomt dat domeinwachtwoorden lokaal in de cache worden opgeslagen voor toekomstige offline aanmeldingen, waarmee beide belangrijke risico’s worden afgedekt.

Stap 3: beleid aanscherpen om herhaling te voorkomen

Voor blijvende beveiliging configureert u beleid dat voorkomt dat referenties in de cache terechtkomen.

Implementeer de belangrijkste beveiligingsmaatregelen

Gebruik groepsbeleid of MDM-tools zoals Intune om twee belangrijke instellingen uit te rollen. Stel eerst “Interactieve aanmelding: aantal vorige aanmeldingen in cache (als domein controller niet beschikbaar is)” in op 0 om in de cache opgeslagen domeinaanmeldingsgegevens voor offline aanmelden uit te schakelen. Schakel daarnaast Credential Guard in op Windows-devices om hashes te beschermen met hardwarematige isolatie.

Accounttoegang beperken

Configureer beleid dat lokale aanmeldrechten weigert voor serviceaccounts en groepen met hoge rechten. Zorg dat deze accounts uitsluitend niet-interactief kunnen aanmelden, zodat hun referenties niet tijdens interactieve sessies in de cache belanden.

Zodra dit beleid actief is, voorkomt het dat domeinreferenties lokaal worden opgeslagen. Daarmee verdwijnt de aanvalsroute via cached referenties en hebt u doorlopende bescherming.

Stap 4: opschoning opnemen in lifecycle-gebeurtenissen

Neem onderhoud van referenties op in uw standaard IT-procedures voor doorlopende beveiliging. Integreer op belangrijke momenten specifieke geautomatiseerde acties voor zowel opgeslagen referenties als cached aanmeldingsreferenties.

Voor opgeslagen referenties (aanmeldingen bij bronnen)

Automatiseer het verwijderen van opgeslagen netwerkwachtwoorden tijdens kritieke gebeurtenissen.

• Gebruik in offboardingscripts: neem een opschoonscript met cmdkey op om de opgeslagen referenties van de vertrekkende medewerker van zijn device te verwijderen.
• Zet het op checklists: neem Opschoonscript voor opgeslagen referenties uitvoeren op in uw checklists voor offboarding en devicevernieuwing.

Voor cached aanmeldingsreferenties (offline aanmelden)

Deze worden beheerd via beleid, niet via scripts. Neem beleidshandhaving op in uw uitrol-lifecycle.

• Pas beleid toe bij bevoorrading: zorg dat de groepsbeleidsinstelling “Interactieve aanmelding: aantal vorige aanmeldingen in cache” wordt uitgerold naar nieuwe devices.
• Controleer het beleid bij audits: neem een controle van de status van dit beleid op in uw driemaandelijkse beveiligingsreviews.

Plan regelmatig onderhoud

Laat uw script voor opgeslagen referenties maandelijks via uw RMM draaien om opgebouwde logins te wissen. Voor cached aanmeldingsreferenties is doorlopende handhaving via beleid het onderhoud.

Stap 5: bewijsmateriaal en herstelgegevens documenteren

Houd een grondige documentatie bij om compliance aan te tonen en uw beveiligingsbeleid te volgen.

Zorg voor gestandaardiseerde logging

Leg bij elke opschoonactie deze essentiële gegevens vast in een centraal systeem:

• Devicenaam en gebruikers- of serviceaccount
• Welke referenties precies zijn verwijderd
• Datum en tijdstip van de actie
• Naam van de technicus die de opschoning heeft uitgevoerd
• Resultaten van de controle achteraf

Genereer maandelijkse compliancerapporten

Stel regelmatig overzichten samen met daarin:

• Het totale aantal verwijderde referenties
• Devices die niet aan het beleid voldoen
• Resterende accounts met een hoog risico die aandacht vragen
• Trends in de opbouw van referenties in uw omgeving

Deze documentatie levert een controleerbaar spoor op dat proactief beveiligingsbeheer aantoont. Wanneer auditors uw processen beoordelen, hebt u duidelijk bewijs van consistent onderhoud van referenties en van naleving van uw beveiligingsbeleid.

Referentiebeheer stroomlijnen met NinjaOne

NinjaOne centraliseert en automatiseert de beveiliging van referenties: het beheert opgeslagen referenties en handhaaft het beleid voor cached aanmeldingen.

• Opgeslagen referenties opsporen en opschonen: voer scripts uit om opgeslagen logins in Windows Referentiebeheer te vinden en te verwijderen.
• Beleid handhaven en monitoren: rol kritieke groepsbeleidsinstellingen uit en controleer ze, zoals het uitschakelen van credential caching, terwijl u verdedigingen als Credential Guard in de gaten houdt.
• Centraal auditbewijs: verzamel automatisch logs en bewijsmateriaal voor directe compliancerapportage.

Zo ontstaat een schaalbaar, geautomatiseerd systeem voor doorlopende beveiliging van referenties en permanente auditgereedheid.

Beveilig uw omgeving met goed beheer van cached referenties

Handmatig cached referenties verwijderen is een reactieve oplossing, maar echte beveiliging komt van een proactief systeem. Met geautomatiseerde opschoning, preventief beleid, integratie in de IT-lifecycle en gedetailleerde logging bouwt u een stevige verdediging tegen aanvallen via referenties.

Dit end-to-endproces verandert een veelvoorkomende kwetsbaarheid in een gedocumenteerde, beheerste beveiligingspraktijk die zowel aan technische als aan compliance-eisen voldoet.

Gerelateerde onderwerpen:

• Controleren of Credential Guard is in- of uitgeschakeld in Windows
• Cached referenties in- of uitschakelen met PowerShell
• IT-gids: opgeslagen RDP-referenties verwijderen in Windows