Zo voert u compliance-audits met RMM uit op macOS, Linux en Windows

Deze gids legt uit hoe u compliance-audits met RMM uitvoert op Windows-, macOS- en Linux-endpoints met tools voor monitoring en beheer op afstand (RMM). Dat is een essentiële taak voor interne IT-teams en managed service providers (MSP’s) die moeten voldoen aan wettelijke verplichtingen zoals GDPR, HIPAA en SOC2, en daarnaast aan hun eigen interne eisen op het gebied van beveiliging en gegevensbescherming.

Wat is een IT-compliance-audit?

Een compliance-audit is de systematische documentatie en beoordeling van uw IT-infrastructuur en organisatieprocessen om te bevestigen dat deze voldoen aan wettelijke eisen of interne beveiligingsbeleidsregels. Daarbij kunt u denken aan het beoordelen van maatregelen voor gegevensverwerking en -bescherming, het gedrag van medewerkers, de cyberbeveiliging en de vraag of updates voor besturingssystemen en software correct worden toegepast.

Zo voert u een compliance-audit uit

Een compliance-audit hoort een terugkerend proces in meerdere fasen te zijn. Het moet zowel de configuratie van servers, netwerken en cloudinfrastructuur omvatten als de staat van de afzonderlijke endpoints, zoals workstations, laptops en mobiele apparaten die aan eindgebruikers zijn verstrekt.

Automatisering is cruciaal om dit proces zowel continu als efficiënt te maken: scripting en RMM-tools kunnen worden gecombineerd om de belangrijkste gegevens te verzamelen die u nodig hebt om compliance aan te tonen, zonder verstorend handmatig ingrijpen, zeker wanneer apparaten zich buiten kantoor bevinden.

De belangrijkste gebieden die u in uw gegevensverzameling voor audits moet opnemen:

• Patch compliance van OS en software
• Status van versleuteling en back-up
• Configuratie van firewall en antivirus
• Gebruikersaccounts en rechtenniveaus
• Lokale beleidshandhaving en maatregelen voor systeemverharding

Het is belangrijk om te beseffen dat het uw verantwoordelijkheid is om ervoor te zorgen dat uw mechanisme voor compliance-audits de wettelijk verplichte meetgegevens en rapportagevereisten dekt die gelden voor uw organisatie, uw gebruikers en uw klanten. Zelfs wanneer u kant-en-klare oplossingen voor compliancerapportage gebruikt, is het aan u om te bevestigen dat die passen bij de unieke juridische en operationele situatie van uw bedrijf.

Wat u nodig hebt voor compliance-audits op afstand voor meerdere apparaten

Windows, macOS en Linux beschikken over scriptingfunctionaliteit waarmee u informatie voor compliance-audits kunt verzamelen. Zodra deze informatie aan de clientzijde is gegenereerd met PowerShell- of Bash-scripts, kan ze centraal worden verzameld, gemonitord, beheerd en gerapporteerd via een RMM-platform.

Daarvoor hebt u het volgende nodig:

• Een RMM-platform dat agents voor Windows, macOS en Linux ondersteunt
• Beheerdersrechten op alle beheerde endpoints
• Scriptingmogelijkheden voor Bash op macOS en Linux of PowerShell voor Windows 11 (of eventueel de opdrachtprompt voor oudere systemen)
• Kennis van de geldende compliancekaders of interne benchmarks
• Toegang tot logbestanden, configuratiebestanden en het register op Windows-apparaten

De onderstaande voorbeeldscripts vormen een kader dat laat zien hoe u PowerShell- en Bash-scripting inzet om auditgegevens op meerdere platformen te genereren en beleid te handhaven, en hoe RMM-oplossingen kunnen worden geïntegreerd om gegevens centraal te verzamelen, op te slaan, te valideren en erover te rapporteren.

PowerShell gebruiken om compliance-instellingen in Windows te auditen

De PowerShell-fragmenten hieronder laten zien hoe u verschillende belangrijke compliancegegevens verzamelt.

Gegevens over Windows Update en patch compliance verzamelen met Get-HotFix:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

De BitLocker-versleutelingsstatus verzamelen met Get-BitLockerVolume:

Get-BitLockerVolume | Select-Object MountPoint, ProtectionStatus

Get-LocalGroupMember gebruiken om gebruikers en groepen op te sommen:

Get-LocalGroupMember -Group "Administrators"

De status van de firewall en Defender-antivirus verzamelen met Get-MpComputerStatus:

Get-MpComputerStatus | Select-Object AMServiceEnabled, AntispywareEnabled, RealTimeProtectionEnabled

De uitvoer van deze opdrachten kunt u vervolgens wegschrijven naar een gestandaardiseerd bestand of naar Logboeken in Windows, zodat uw RMM-software ze later kan ophalen.

CMD gebruiken voor lichte audits op oudere Windows-pc’s

PowerShell heeft de voorkeur als moderne oplossing voor scripting en automatisering in Windows 11, maar in sommige gevallen hebt u batchscripts en de opdrachtprompt nodig om oudere systemen op compliance te controleren.

Controleren of de C:-schijf met BitLocker is versleuteld:

manage-bde -status C:

De datum van de laatste patch opvragen:

systeminfo | findstr /C:"Hotfix(s)"

De firewallstatus weergeven:

netsh advfirewall show allprofiles

Dit levert slechts een lichte oplossing op, terwijl PowerShell de mogelijkheid biedt om een breder scala aan gedetailleerdere gegevens te verzamelen.

Het register gebruiken om compliance-instellingen in Windows te valideren

Sommige compliancegegevens staan in het Windows-register, bijvoorbeeld informatie waarmee u de status van antivirussoftware van derden bepaalt of systeemconfiguratiewaarden zoals of UAC is ingeschakeld of het juiste wachtwoordbeleid is ingesteld. Deze controles kunt u opnemen in andere PowerShell-scripts.

Bevestig de handhaving van UAC via het Windows-register door de registersleutel op deze locatie te controleren:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Die bevat de waarde:

"EnableLUA"=dword:00000001

Ook de systeemconfiguratie vindt u in het Windows-register. Wachtwoordvereisten staan bijvoorbeeld onder de sleutel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

U kunt de waarden daar controleren, zoals de maximale wachtwoordleeftijd:

"MaximumPasswordAge"=dword:0000001E

Groepsbeleid gebruiken om een basisniveau van compliance in Windows te borgen

Met Groepsbeleid kunt u instellingen afdwingen voor zowel compliance als auditing. Wachtwoordbeleid stelt u bijvoorbeeld in via de instellingen onder Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Wachtwoordbeleid.

BitLocker dwingt u af via de instellingen onder Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-stationsversleuteling, terwijl u auditlogboeken afdwingt door de instellingen onder Computerconfiguratie > Geavanceerde configuratie van controlebeleid te configureren.

Bash-scripts gebruiken om Linux- en macOS-systemen te auditen

Met Bash-scripts verzamelt u auditgegevens over compliance van Linux-systemen met gangbare systeemtools, zoals deze voorbeelden laten zien.

Controleren wanneer het systeem voor het laatst is bijgewerkt:

lastupdate=$(stat -c %y /var/lib/apt/periodic/update-success-stamp)
echo "Last APT update: $lastupdate"

Bevestigen dat de firewall (UFW) actief is:

ufw status | grep -i active

sudo-gebruikers auditen:

grep '^sudo' /etc/group

De versleutelingsstatus bevestigen (LUKS):

lsblk -o NAME,FSTYPE | grep luks

Auditgegevens over compliance verzamelen van macOS-apparaten

Bash-scripts kunt u ook gebruiken om het verzamelen van systeeminformatie van apparaten met macOS te automatiseren, zodat uw RMM-platform die later kan ophalen en verwerken.

Firewallstatus controleren:

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate

De status van FileVault (schijfversleuteling) controleren:

fdesetup status

Aangemelde gebruikers met beheerdersrechten weergeven:

dscl . -read /Groups/admin GroupMembership

Centrale logging en verzameling van uitvoer

Elk auditscript moet logbestanden opleveren die uw RMM-platform kan verwerken of die u kunt exporteren voor compliancerapportage.

In Windows doet u dat met de opdracht Start-Transcript:

Start-Transcript -Path "C:\Audit\audit_log.txt" -Append

Of op Linux/macOS:

exec > /var/log/rmm_compliance_audit.log 2>&1

Deze voorbeelden schrijven uitvoer weg naar een bestand met de naam audit_log.txt. Zet uw auditgegevens vóór het wegschrijven om naar een consistent formaat dat uw RMM-platform ondersteunt.

Problemen oplossen met auditscripts en rapportage voor compliance

Veelvoorkomende problemen bij geautomatiseerde compliance-audits op afstand zijn ontbrekende uitvoer, waarbij scripts mislukken door onvoldoende rechten om gegevens te lezen of weg te schrijven, en valse negatieven door verouderde of ongeldige scriptvoorwaarden. U beperkt die risico’s door uw scripts regelmatig te controleren en ervoor te zorgen dat fouten bij een mislukking worden gemeld.

Gebruikt u oudere systemen, zorg dan dat er fallback-opdrachten of aparte scripts zijn voor uitzonderingen. Sommige machinebesturingssystemen draaien bijvoorbeeld op verouderde besturingssystemen die u beter kunt uitsluiten van het bredere handhavingsbeleid voor scripts en in plaats daarvan een eigen script geeft.

Inconsistente formaten lost u op door alle scripts te laten exporteren in een gestandaardiseerd formaat en een vaste structuur, bepaald door uw scripts en niet door de tools die ze aanroepen om gegevens te verzamelen. Bijvoorbeeld door de uitvoer van PowerShell- of Bash-opdrachten om te zetten naar een intern consistent formaat dat uw RMM kan lezen.

Aanvullende overwegingen bij het ontwerpen en uitvoeren van uw compliance-audits met RMM

Bij het ontwerpen van uw auditsysteem voor compliance en het bepalen welke gegevens u verzamelt moet u ervoor zorgen dat die alle eisen dekken uit de wettelijke kaders die voor uw bedrijf en uw gebruikers gelden. Denk aan zaken als het versleutelen van persoonsgegevens en het invoeren van rolgebaseerde toegang.

Scripts horen beste praktijken te volgen, met exitcodes en logging om te bevestigen dat ze volledig zijn uitgevoerd en met notificaties als dat niet het geval is, zodat alle gegevens bevestigd zijn. Normaliseer de scriptuitvoer op alle platformen, zodat er geen gaten ontstaan en gebundelde rapportage soepeler verloopt.

Het is cruciaal dat alle rapportagemechanismen en gegevens beveiligd zijn: scripts hebben tijdens het auditproces mogelijk toegang tot gevoelige informatie en ook logbestanden kunnen die gegevens bevatten. Onderdeel van auditing is het auditen van deze monitoringsystemen zelf, om te bevestigen dat ook die compliant zijn en voldoen aan de eisen voor gegevensbescherming.

Zo blijft u met NinjaOne compliant zonder dat de werkdruk van uw IT-team stijgt

Door de functies voor rapportage en notificaties van uw RMM te benutten, houdt u uw organisatie compliant, in een tijd waarin bedrijven een steeds groter risico lopen wanneer ze niet voldoen aan wetgeving rond gegevensbescherming en privacy.

NinjaOne biedt platformonafhankelijke RMM en beheer van mobiele apparaten (MDM) als onderdeel van zijn platform voor IT-beheer en MSP’s, inclusief krachtige auditmogelijkheden. Met NinjaOne slaat u PowerShell-, opdrachtprompt- en Bash-scripts op, voert u ze uit en richt u ze nauwkeurig op Windows-, Linux- en macOS-endpoints.

Het verzamelen van compliancegegevens kan worden afgedwongen en geautomatiseerd en vervolgens worden gebruikt in uniforme dashboards en geplande rapporten. U kunt automatisch herstel inrichten en problemen die niet kunnen worden opgelost escaleren met aangepaste notificaties, zodat beheerders direct kunnen reageren op compliance-inbreuken.