Belangrijkste punten
- Conditional access dwingt contextbewuste controle af door bij het inloggen identiteit, compliance van het device, locatie en risico te beoordelen.
- Extended access bepaalt hoe lang en hoe breed de toegang na authenticatie doorloopt, inclusief VPN’s en externe sessies.
- Conditional access verkleint het risico bij binnenkomst, terwijl extended access de blootstelling kan vergroten als sessies blijven doorlopen zonder herbeoordeling.
- Effectieve risicomodellering vraagt om het beperken van de sessieduur, het afdwingen van minste voorrecht en het segmenteren van gevoelige resources.
- Monitoring van extended access-sessies is essentieel om laterale bewegingen, afwijkend gedrag en privilege-escalatie te detecteren.
- Een gelaagde strategie combineert conditional access met afgebakende extended access om Zero Trust te ondersteunen en efficiënt te blijven werken.
Veel organisaties gebruiken meerdere mechanismen voor toegangscontrole, maar in de praktijk zijn de rollen daarvan niet altijd duidelijk afgebakend. Recente bevindingen van Microsoft Security onderstrepen deze verschuiving: 96% van de organisaties vindt de invoering van Zero Trust cruciaal voor hun succes en 73% is van plan de komende jaren meer te investeren. Zonder duidelijk onderscheid tussen deze controles lopen organisaties het risico op overlappende beleidsregels, inconsistente handhaving en meer blootstelling aan risico’s.
Twee van de meestgebruikte benaderingen, conditional access en extended access, vervullen belangrijke en verschillende rollen binnen een strategie voor identiteit en remote access, maar worden vaak als uitwisselbaar behandeld. Inzicht in conditional access versus extended access is essentieel om toegangscontroles te ontwerpen die veilig zijn en tegelijk operationeel werkbaar blijven.
Wat een conditional access-architectuur afdwingt
Conditional access-beleid kijkt in realtime naar meerdere contextuele factoren om te bepalen of een gebruiker toegang krijgt en onder welke voorwaarden. Zo zijn toegangsbeslissingen adaptief en sluiten ze aan op het risicoprofiel van het toegangspunt.
Dit mechanisme beoordeelt verschillende signalen voor toegangsbeslissingen:
- Verificatie van de identiteit van de gebruiker en de sterkte van de authenticatie (bijvoorbeeld MFA (Multi-Factor Authentication) verplichten voor accounts met verhoogde rechten)
- Beoordeling of het device voldoet aan de naleving van beveiligingsvoorschriften (bijvoorbeeld alleen toegang toestaan vanaf devices met actuele patches en endpointbeveiliging)
- Afweging van de geografische locatie of netwerklocatie van de gebruiker (bijvoorbeeld aanmeldingen vanuit onbekende landen blokkeren of extra verifiëren)
- Evaluatie van berekende risiconiveaus op basis van gedrag of afwijkingen (bijvoorbeeld extra verificatie activeren na ongebruikelijke aanmeldactiviteit)
- Gevoeligheidsniveau van de applicatie of resource waartoe toegang wordt gevraagd (bijvoorbeeld strengere controles voor financiële systemen dan voor algemene tools)
Afhankelijk van de beoordeelde signalen zijn dit mogelijke uitkomsten:
- Aanvullende authenticatie vereisen voordat toegang wordt verleend
- Toegang beperken tot beperkte functionaliteit of alleen-lezenmodus
- Toegang volledig blokkeren wanneer het risico te hoog wordt geacht
Wat het extended access-beveiligingsmodel inhoudt
Het extended access-model geeft gebruikers na de eerste authenticatie juist bredere of langer durende connectiviteit. Daarbij wegen gemak en continuïteit vaak zwaarder dan fijnmazige controle.
Hieronder staan veelvoorkomende vormen van extended access in de praktijk:
- Doorlopende externe sessies die lange tijd actief blijven (bijvoorbeeld een IT-beheerder die een continue RDP-sessie aanhoudt om meerdere servers te beheren)
- Netwerkbrede machtigingen die toegang geven tot meerdere interne resources zonder herhaalde verificatie (bijvoorbeeld een gebruiker die verbonden is met een intern netwerksegment met toegang tot gedeelde systemen)
- Permanente VPN-verbindingen die gebruikers met het bedrijfsnetwerk verbonden houden, ook wanneer ze niet actief werken (bijvoorbeeld een always-on VPN op een bedrijfslaptop)
- Always-on toegang tot interne systemen (bijvoorbeeld permanente toegang tot fileshares of interne applicaties zonder herauthenticatie van de sessie)
Deze extended access-aanpak ondersteunt de productiviteit, maar kan de impact van een gecompromitteerd account of device flink vergroten doordat zowel de duur als de reikwijdte van de toegang toeneemt. Permanente sessies geven aanvallers meer tijd om te handelen en brede toegang stelt hen in staat zich zonder herhaalde controles tussen systemen te bewegen, waardoor de mogelijke schade vóór detectie groter wordt.
Opmerking over terminologie: in deze context verwijst “extended access” naar sessiepersistentie en de reikwijdte van de connectiviteit. Verwar dit niet met Extended Access Policies (XAP) of Extended Access Management (XAM), die zich richten op een diepere evaluatie van context en device.
Verschillen in risicomodellering
Conditional access verkleint de blootstelling door toegangsbeslissingen te baseren op realtime context. Extended access kan de blootstelling juist vergroten wanneer toegang doorloopt na het eerste verificatiemoment.
De volgende overwegingen helpen het risico van elke aanpak te beoordelen:
- Of het systeem de status van het device continu opnieuw beoordeelt
- Of de sessieduur wordt beheerst
- Of situaties met hoog risico automatisch beperkingen activeren
- Of gevoelige resources geïsoleerd zijn
Uiteindelijk bepaalt risicomodellering of extended access gerechtvaardigd is of onnodige blootstelling veroorzaakt. Dat betekent gemak afwegen tegen de mogelijke impact van een gecompromitteerde sessie of een gecompromitteerd device.
Aandachtspunten voor zichtbaarheid en monitoring
Conditional access biedt vooral zicht op het aanmeldmoment: wie probeert toegang te krijgen tot een systeem en onder welke voorwaarden. Zodra toegang is verleend, verschuift het risico echter naar wat de gebruiker tijdens de sessie doet, zeker bij extended access. Dat vraagt om doorlopende monitoring om de beveiliging te waarborgen.
IT-teams moeten onderstaande taken uitvoeren om controle over extended access te houden:
- Bijhouden hoelang sessies actief blijven.
- Bewegingen tussen systemen detecteren.
- Observeren hoe resources worden gebruikt.
- Pogingen om hogere rechten te verkrijgen signaleren.
Doorlopende zichtbaarheid zorgt ervoor dat verdacht gedrag na het inloggen alsnog wordt opgemerkt en aangepakt. Zonder die zichtbaarheid signaleren organisaties wel riskante aanmeldingen, maar missen ze schadelijke activiteit die plaatsvindt wanneer de toegang eenmaal verleend is.
Een gelaagde toegangsstrategie ontwerpen
Conditional access en extended access worden niet gezien als gescheiden of tegengestelde controles. Hoewel ze qua beveiliging met elkaar in tegenspraak lijken, kunnen ze samenwerken. Zo ontstaan meerdere controlepunten die bepalen hoe toegang wordt verleend en hoe die in de loop van de tijd wordt gebruikt.
Deze werkwijzen helpen bij het opzetten van een veerkrachtigere en evenwichtigere toegangsstrategie:
- Conditional access toepassen voordat een sessie begint (zoals het valideren van identiteit, devicestatus en risicosignalen bij het inloggen)
- De reikwijdte van extended access beperken (bijvoorbeeld gebruikers alleen toegang geven tot de systemen of resources die hun rol vereist)
- Gebruikers opnieuw hun identiteit laten verifiëren voor gevoelige acties (zoals het goedkeuren van ingrijpende wijzigingen of het benaderen van kritieke gegevens)
- Identiteitsinzichten koppelen aan monitoring op sessieniveau (bijvoorbeeld de aanmeldcontext afstemmen op de waargenomen gebruikersactiviteit tijdens de sessie)
Door deze controles te stapelen, verkleinen organisaties de kloof tussen authenticatie en activiteit. Zo zijn Zero Trust-principes eenvoudiger af te dwingen zonder de dagelijkse werkzaamheden te verstoren.
Gevolgen voor operationele governance
Om toegangscontroles consistent en beheersbaar te houden, hebben organisaties duidelijke documentatie en vastgelegd eigenaarschap nodig voor de manier waarop conditional en extended access worden toegepast. Die structuur voorkomt dat beleidsregels versnipperd of moeilijk handhaafbaar raken.
Leg deze elementen duidelijk vast als onderdeel van governance:
- Rollen die extended access mogen gebruiken
- Normen voor de sessieduur
- Voorwaarden die toegangsbeslissingen activeren
- Procedures voor het afhandelen van toegangsproblemen
Sterke governance voorkomt inconsistente configuraties. Daarnaast zorgt het ervoor dat access policies uniform worden toegepast, ook als omgevingen groeien en veranderen.
Wanneer gebruikt u welke aanpak?
De keuze tussen beide strategieën hangt af van uiteenlopende factoren, zoals het risiconiveau, operationele behoeften en de gevoeligheid van de betrokken resources. Elke aanpak past in andere scenario’s en correct gebruik voorkomt onnodige blootstelling.
Gebruik deze richtlijnen om de juiste strategie te bepalen:
- Conditional access volstaat wanneer toegang bij binnenkomst strak moet worden gecontroleerd.
- Extended access is passend wanneer gebruikers langdurige connectiviteit nodig hebben.
- Conditional access moet worden aangescherpt wanneer de risicosignalen hoog zijn.
- Extended access moet worden beperkt of vermeden bij zeer gevoelige systemen, waar permanente of brede toegang de mogelijke impact vergroot.
De meeste omgevingen zijn gebaat bij een combinatie van beide benaderingen. Gebruik conditional access om de toegang te bewaken en baken extended access zorgvuldig af tot waar dat operationeel nodig is.
Toegangsflexibiliteit en risicobeheer in balans
Een goed doordachte toegangsstrategie bepaalt wie binnen mag komen, hoe ver die toegang reikt en hoelang die actief blijft. Conditional access en extended access lossen verschillende problemen op. Door ze strategisch te combineren, kunnen organisaties praktische en goed onderbouwde toegangsbeslissingen nemen. Op termijn ontstaat zo een beter beheerste en transparantere omgeving waarin toegang altijd aansluit op het werkelijke risico.
Gerelateerde onderwerpen:
