Clientbeleid afstemmen op CIS Controls met Intune-configuratieprofielen

Beveiliging is lang niet de enige uitdaging voor MSP’s die meerdere tenants beheren; consistentie, auditgereedheid en risicobeperking zijn net zo belangrijk. Beleid afstemmen met Intune is een manier waarop IT-teams deze doelen bereiken en voldoen aan belangrijke standaarden van het Center for Internet Security. IT-professionals die Windows-beveiligingsbeleid willen afstemmen op CIS Controls kunnen deze gids als startpunt gebruiken.

Wilt u een visuele uitleg van dit onderwerp? Bekijk dan Clientbeleid afstemmen op CIS Controls met Intune-configuratieprofielen.

Gids voor het afstemmen van beleid op CIS Controls met Intune

Gebruik de tabel om uw voorkeursmethode te kiezen en er direct naartoe te navigeren.

📌 Vereisten:

• Een licentie voor Microsoft 365 Business Premium of Enterprise
• Licentieverlening en inschrijving van Microsoft Intune afgerond
• De rol Globale beheerder of Intune-beheerder
• PowerShell 5.1+ geïnstalleerd met beheerdersrechten (Controleer uw PowerShell-versie)
• Bekendheid met CIS Benchmarks (Level 1/2)
• Windows 10/11-endpoints die zijn gekoppeld aan Azure AD of hybride zijn gekoppeld
• Werkkennis van CIS Benchmarks (Level 1 & Level 2)

👉 Let op: sommige stappen kunnen afwijken, afhankelijk van de standaardinstellingen of de actieve instellingen van het systeem.

💡 Tip: bekijk het gedeelte Waar u op moet letten voor tips over het beheersen van mogelijke risico’s.

Methode 1: CIS-controls doornemen en koppelen aan de Intune-instellingencatalogus

De instellingencatalogus van Intune is de snelste manier om de meeste CIS Controls af te dwingen zonder scripts te schrijven.

📌 Use cases: algemene configuratie, uitrol op ondernemingsniveau

1. Download de nieuwste CIS Benchmark voor Windows 10/11.
2. Bepaal welke controls relevant zijn op basis van de Level 1- of Level 2-benchmarks.
3. Open het Microsoft Intune-beheercentrum → Apparaten → Configuratieprofielen.
4. Maak een profiel aan:
   • Platform: Windows 10 en hoger
   • Profieltype: Instellingencatalogus
5. Zoek en pas instellingen toe die overeenkomen met de controls, zoals:
   • Beleid voor accountvergrendeling
   • Afdwingen van BitLocker-versleuteling
   • Instellingen van Windows Defender
   • Beperking van Extern bureaublad
   • Beperkingen voor het installeren van applicaties
6. Documenteer elke koppeling zodat u klaar bent voor een audit.

Methode 2: configuratieprofielen toepassen op meerdere tenants

Het exporteren en importeren van profielen geeft uw uitrolstrategie een impuls, vooral omdat u beleid zo consistent en actueel houdt over meerdere tenants heen.

📌 Use cases: MSP’s, grote organisaties, multi-tenant-uitrol

U kunt Microsoft Lighthouse (preview) gebruiken om gedeelde beveiligingssjablonen over tenants heen uit te rollen of JSON-profielen exporteren en importeren met PowerShell of de Graph API.

Export-IntuneConfigurationPolicy -PolicyName "CIS-Level1-Profile" -Path "C:\IntunePolicies\CIS_Level1.json"

Import-IntuneConfigurationPolicy -Path "C:\IntunePolicies\CIS_Level1.json"

💡 Opmerking: dit script kan worden uitgevoerd of mislukken zonder enige bevestiging of melding te tonen. Controleer de bijbehorende registersleutels of systeeminstellingen om te bevestigen dat de wijzigingen succesvol zijn toegepast.

Methode 3: PowerShell gebruiken voor CIS-beleid dat niet in Intune zit

Gebruik PowerShell wanneer de instellingencatalogus van Intune geen directe koppeling voor een control bevat.

📌 Use cases: CIS-beleid dat niet in de Intune-catalogus zit

1. Download de nieuwste CIS Benchmark voor het OS waar het om gaat (Windows 10 of 11).
2. Bekijk uw bestaande Intune-instellingenprofielen om te zien welke CIS-aanbevelingen al zijn afgedwongen.
3. Markeer alle controls die u niet terugvindt in de instellingencatalogus of via de ingebouwde CSP’s (Configuration Service Providers) van Intune.

Voorbeeld: het uitschakelen van het SMBv1-protocol (CIS Control 4.4.1) is niet beschikbaar in de instellingencatalogus, maar kan wel worden geconfigureerd met PowerShell.

4. Schrijf voor elke ontbrekende control een PowerShell-opdracht of -script dat de Windows-configuratie dienovereenkomstig aanpast.

💡 Tip: CIS Benchmarks biedt een overzicht van de aanbevolen instellingen en de documentatie van Intune geeft aan welke instellingen standaard beschikbaar zijn. Alles wat ontbreekt (bijvoorbeeld het configureren van NTP-clientinstellingen of het uitschakelen van anonieme SID-enumeratie) komt in aanmerking voor een PowerShell-script.

Methode 4: Groepsbeleid als referentie of back-up voor clients zonder Intune

Gebruik voor clients die nog on-premises Active Directory gebruiken een GPO om vergelijkbare, CIS-conforme controls toe te passen.

📌 Use case: clients zonder Intune

1. Druk op Win + R, typ gpmc.msc en klik op OK om GPMC te openen.
2. Ga naar Computerconfiguratie → Beheersjablonen → Systeem → Device Guard.

• • Schakel Op virtualisatie gebaseerde beveiliging inschakelen in
  • Configureer Credential Guard en Veilig opstarten

Als sommige clients aan het begin van een traject nog niet volledig vanuit de cloud worden beheerd, kan Groepsbeleid dienen als brug of terugvaloptie om CIS-conforme instellingen af te dwingen op hybride of on-premises devices. Tot slot kunt u GPO-instellingen exporteren als referentie wanneer u ze omzet naar Intune-equivalenten.

U kunt de opdracht gpupdate /force uitvoeren om de wijzigingen direct toe te passen. Anders worden de nieuwe instellingen bij het volgende update-interval toegepast.

👉 Bekijk deze videodemonstratie van GPUpdate als visuele referentie.

Toepassing van beleid valideren en handhaving bevestigen

Auditors en beveiligingsteams verwachten duidelijk bewijs van compliance. Om die verificatie eenvoudiger te maken is het belangrijk dat u vooraf zelf een audit uitvoert, telkens wanneer u nieuw beleid toevoegt of bestaande configuraties aanpast.

Toepassing van beleid valideren met de Register-editor

Veel Windows-beveiligingsinstellingen staan in het register. Door deze waarden te controleren, bevestigt u of beleid vanuit Intune of PowerShell daadwerkelijk naar het systeem is weggeschreven. Hieronder enkele voorbeelden:

SmartScreen-voorkeuren controleren:

1. Navigeer naar het volgende pad of kopieer en plak het in de adresbalk van het register.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System

2. De functie is ingeschakeld als de waarde van EnableSmartScreen (DWORD) is ingesteld op 1.

Controleren of Microsoft Defender Antivirus is in- of uitgeschakeld:

1. Navigeer naar het volgende pad of kopieer en plak het in de adresbalk van het register.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender

2. De functie is uitgeschakeld als de waarde van DisableAntiSpyware (DWORD) is ingesteld op 1.

Deze stappen kunt u opnemen in uw compliancevalidatie of in de evaluatie na de uitrol.

CMD gebruiken om handhaving te bevestigen of logging te ondersteunen

Met hulpprogramma’s op basis van CMD bevestigt u dat belangrijke beveiligingsfuncties actief zijn. Ze zijn tegelijk handig voor probleemoplossing op afstand of een snelle steekproef.

Enkele voorbeeldopdrachten:

• BitLocker-status controleren: manage-bde -status
• Firewallprofiel valideren: netsh advfirewall show allprofiles
• Bevestigen dat Defender actief is: sc query WinDefend

Deze uitvoer kunt u opnemen in onboardingscripts, opslaan in compliancelogboeken of toevoegen aan beveiligingsrapportages voor klanten.

⚠️ Waar u op moet letten bij het afstemmen van beleid

Deze tabel beschrijft veelvoorkomende problemen, de waarschijnlijke oorzaken en een paar snelle manieren om dergelijke conflicten te controleren en op te lossen.

Als u het oplossen van uitrolproblemen overslaat of uitstelt, loopt u het risico dat cruciale CIS Controls niet worden afgedwongen. Overweeg om audits en validatie te automatiseren zodat beleid consistent is en zoals bedoeld wordt toegepast in uw hele IT-omgeving.

Meer inzicht en controle over toepassing en validatie van beleid met NinjaOne

NinjaOne vult Intune aan met continue monitoring, rapportage over tenants heen en geautomatiseerd herstel. Hieronder enkele mogelijkheden en diensten waarmee u uw beleid kunt afstemmen op CIS Controls.

• Verificatiescripts uitvoeren voor controles van het register, CMD en services
• Dashboards voor beleidsaudits tonen
• Onboardingsjablonen voor Intune + PowerShell automatiseren
• Secure Score-vergelijkingen over tenants heen bieden
• Herstelnotificaties activeren wanneer controls afwijken van de compliance-eisen

De uitrol van beleid via Intune combineren met de realtime monitoring en automatisering van NinjaOne Endpoint Management® geeft MSP’s en IT-teams alle mogelijkheden om standaarden af te dwingen en IT-activiteiten te optimaliseren vanuit één dashboard.

Proactieve beleidsafstemming in beheerde omgevingen

Windows-endpoints via Intune afstemmen op CIS Controls levert een consistente en afdwingbare standaard op voor gecontroleerde IT-omgevingen. Door de uitrolmogelijkheden van Intune, de flexibiliteit van PowerShell en de continue audits en validatie van NinjaOne te combineren, kunnen MSP’s compliance op grote schaal zowel afdwingen als aantonen.

Een proactieve aanpak van IT-beveiliging en -beheer versterkt niet alleen de IT-verdediging tegen bedreigingen, maar ondersteunt ook de afstemming op regelgeving. En dat is uiteindelijk cruciaal om vertrouwen bij klanten en geloofwaardigheid in de branche op te bouwen.

Gerelateerde onderwerpen:

• Beheer van beveiligingsconfiguraties
• Complete gids voor systeemverharding [Checklist]
• IT-compliance: definitie, standaarden en risico’s