Windows Defender Exploit Guard Network Protection configureren in Windows

Tegenover phishingpogingen en andere kwaadaardige online content kan Windows Defender Exploit Guard Network Protection een extra beveiligingslaag over endpoints leggen. Deze gids laat u verschillende manieren zien om Windows Defender Network Protection te configureren en helpt uw IT-infrastructuur bestand te maken tegen cyberaanvallen.

Stappen om Windows Defender Network Protection te configureren

• Gebruik de Editor voor lokaal groepsbeleid:

  • Druk op de Windows-toets + R, typ gpedit.msc en druk op Enter.
  • Schakel in de map Network Protection het beleid “Voorkomen dat gebruikers en apps toegang krijgen tot gevaarlijke websites” in.

• Gebruik een PowerShell met verhoogde rechten:

  • Druk op de Windows-toets + S en typ powershell. Klik op Als administrator uitvoeren onder het pictogram van Windows PowerShell.
  • Voer de cmdlet Set-MpPreference -EnableNetworkProtection Enabled in en druk op Enter.

• Gebruik de app Windows-beveiliging:

  • Open Windows-beveiliging door het menu Start te openen, beveiliging te typen en op Enter te drukken.
  • Selecteer App- en browserbeheer, Instellingen voor Exploit Protection en Programma-instellingen. Kies de apps waarop u de beperkingen van Exploit Protection wilt toepassen.

• Controleer uw instellingen via de Register-editor:

  • Druk op de Windows-toets + R, typ regedit en druk op Enter. Navigeer via dit pad naar de registersleutel Network Protection: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\Network Protection\EnableNetworkProtection.
  • Nadat u het beleid EnableNetworkProtection in de map Network Protection hebt geselecteerd, controleert u de bijbehorende waarde om te zien of Network Protection is uitgeschakeld (0), ingeschakeld (1) of in de controlemodus staat (2).

• Webpagina’s handmatig controleren via Logboeken van Windows:

  • Open het menu Start, typ logboeken en klik op Logboeken.
  • Raadpleeg in de map Windows Defender (Operational) de gebeurtenis-ID 1125 om de logboeken te bekijken van webpagina’s die door Network Protection zijn gemarkeerd.

Deze korte video laat zien hoe u Windows Defender Exploit Guard Network Protection in Windows configureert.

Network Protection in Windows 10/11 begrijpen

Voordat we Network Protection instellen, bepalen we eerst wat Network Protection in Windows 10/11 precies is en hoe het uw devices beschermt tegen online bedreigingen.

Wat is Windows Defender Exploit Guard Network Protection?

Exploit Guard vormt al langer een wezenlijk onderdeel van de werking van Windows Defender. Het verscheen voor het eerst in Windows 10 versie 1709. Windows Defender Exploit Guard Network Protection gebruikt de Intelligent Security Graph (ISG), een omvangrijke database met security intelligence-inzichten over alle Microsoft-producten en -services heen, om veelvoorkomende patronen en werkwijzen bij wijdverspreide cyberaanvallen te bepalen en te analyseren.

Windows Defender Exploit Guard werkt met vier onderdelen:

• Attack surface reduction: dit richt zich op het blokkeren van bedreigingen die afkomstig zijn van Microsoft Office, scripts en e-mail.
• Controlled folder access: dit beperkt de toegang tot gevoelige gegevens in de bestanden en mappen op uw computer.
• Exploit protection: hiermee configureert u beperkende maatregelen tegen exploits voor uw systeem en applicaties.
• Network protection: dit richt zich op de bescherming van het device tegen webgebaseerde bedreigingen, meestal via misleidende domeinen en IP-adressen.

In deze gids richten we ons op het onderdeel network protection van Exploit Guard.

Zo voorkomt Windows Defender Network Protection toegang tot mogelijk gevaarlijke domeinen en phishingsites

Ondanks strengere cybersecuritymaatregelen hebben aanvallers op internet zich weten aan te passen door hun strategieën om informatie te stelen te verfijnen. Dat doen ze met methoden als phishing, oplichting, social engineering, onbevoegde toegang tot een command-and-control (C&C)-centrum en meer.

Network Protection in Windows 10/11 is bedoeld om uitgaande verbindingen naar mogelijk gevaarlijke domeinen te signaleren en te verbreken. Het maakt gebruik van de informatie die de ISG verzamelt en van reputatiecontroles op basis van de IP-adressen van domeinen. Deze filterfunctie blokkeert en onderbreekt de verbinding zodra een domein wordt herkend als mogelijke host van aanvallen.

Windows Defender Network Protection vergeleken met andere beveiligingsfuncties in Microsoft Defender

Network Protection van Windows Defender vertoont veel overeenkomsten met Microsoft Defender SmartScreen, een antimalwaretool die is ingebouwd in Microsoft Edge. Beide tools helpen computers te beschermen tegen phishingaanvallen en verdachte kwaadaardige bestanden en programma’s. Daarnaast gebruiken beide tools de ISG om mogelijke cyberaanvallen te herkennen.

Hoewel ze allebei uw systeem willen beschermen, verschillen ze in werking. SmartScreen analyseert verdachte webpagina’s, controleert recente downloads en waarschuwt de gebruiker via een vroegtijdig waarschuwingssysteem voor een mogelijke online bedreiging. Network Protection daarentegen verbreekt de uitgaande verbinding direct bij het eerste teken van gevaar, waardoor aanvallers geen contact kunnen leggen met kwetsbare gebruikers.

Vereisten en systeemeisen voor Network Protection

Ondersteunde Windows-versies voor Exploit Guard Network Protection

Hieronder vindt u de Windows-versies die Windows Defender ondersteunen en daarmee ook Network Protection onder Exploit Guard:

Licentievereisten voor Windows Defender Network Protection

Als uw computer gebruikmaakt van Microsoft Defender for Endpoint, een beveiligingsplatform voor zakelijk gebruik, moet aan de volgende licentievereisten voor Windows Defender Network Protection worden voldaan:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender for Business

De eerste twee kunnen losse licenties zijn of onderdeel van andere Microsoft 365-abonnementen, terwijl de laatste meestal bedoeld is voor kleine en middelgrote bedrijven.

Benodigde rechten voor Windows Defender Network Protection

Om Network Protection op uw device in te schakelen, hebt u beheerdersrechten nodig om instellingen in Windows Defender te configureren. Als de computer uw privé-eigendom is, beschikt u standaard al over die rechten. Is het device eigendom van het bedrijf, dan moet u mogelijk beheerderstoegang aanvragen bij uw IT-team.

Via Microsoft Defender for Endpoint kan een beheerder role-based access control (RBAC) gebruiken om rechten te beheren en rollen toe te wijzen aan verschillende gebruikers of gebruikersgroepen. Met RBAC past u de toegang van andere gebruikers tot de Defender for Endpoint-portal aan. Die gebruikers kunnen Network Protection vervolgens op hun eigen devices inschakelen.

Manieren om Windows Defender Exploit Guard Network Protection in te schakelen

Nu we alles hebben besproken wat u over Network Protection moet weten, lopen we samen door het inschakelen van de functie.

Windows Defender Network Protection inschakelen met de Editor voor groepsbeleid

1. Open de Editor voor lokaal groepsbeleid door op de Windows-toets + R te drukken. Typ gpedit.msc en klik op OK.
2. Navigeer in het linkerdeel van het venster via onderstaande stappen naar de map Network Protection:

Computerconfiguratie → Beheersjablonen → Windows-onderdelen → Windows Defender Antivirus → Windows Defender Exploit Guard → Network Protection

3. Dubbelklik in het rechterdeel van het venster op Voorkomen dat gebruikers en apps toegang krijgen tot gevaarlijke websites. Zo kunt u het beleid bewerken.
4. Selecteer Ingeschakeld, kies Blokkeren onder Opties en klik op OK.

Beheert u meerdere endpoints in een zakelijke omgeving en wilt u Network Protection daarop uitrollen? Volg dan deze stappen:

1. Open de Groepsbeleidsbeheerconsole (GPMC) door op de Windows-toets + R te drukken. Typ gpmc.msc en klik op OK.
2. Dubbelklik op Groepsbeleidsobjecten en zoek het groepsbeleidsobject (GPO) dat u wilt bewerken. Klik met de rechtermuisknop op dit GPO en klik op Bewerken.
3. Herhaal de stappen 2–4 uit het vorige gedeelte.

Windows Defender Network Protection inschakelen via PowerShell

1. Open een PowerShell met verhoogde rechten door op de Windows-toets + S te drukken. Typ powershell en klik op Als administrator uitvoeren onder het pictogram van Windows PowerShell.
2. Typ Set-MpPreference -EnableNetworkProtection Enabled en druk op Enter.
3. Sluit de PowerShell met verhoogde rechten en start uw computer opnieuw op.

U kunt ook controleren of Network Protection is ingeschakeld met de cmdlet “Get-MpPreference”. Het getal naast de eigenschap “EnableNetworkProtection” staat voor een van de volgende statussen:

• 0 – uitgeschakeld
• 1 – ingeschakeld
• 2 – controlemodus

Beperkende maatregelen van Exploit Protection inschakelen via de app Windows-beveiliging

1. Open de app Windows-beveiliging door het menu Start te openen, beveiliging in de zoekbalk te typen en op Enter te drukken.
2. Klik op de tegel App- en browserbeheer en selecteer vervolgens Instellingen voor Exploit Protection.
3. Ga naar Programma-instellingen en kies de app(s) waarop u de beperkende maatregelen van Exploit Protection wilt toepassen.

• • Selecteer de app en vervolgens Bewerken als de app al in de lijst staat.
  • Selecteer anders Programma toevoegen om aan te passen om de app toe te voegen.

4. Kies welke beperkende maatregelen u voor de geselecteerde app wilt inschakelen. Herhaal dit proces tot u alle gewenste configuraties hebt toegepast. Houd er rekening mee dat u mogelijk wordt gevraagd het proces, de app of zelfs Windows opnieuw te starten.
5. Wilt u een specifieke beperkende maatregel van Exploit Protection configureren? Ga dan naar Systeeminstellingen en geef een van de volgende instellingen op:

• • Standaard aan
  • Standaard uit
  • Standaard gebruiken (dit hangt af van de standaardconfiguratie tijdens de installatie van Windows 10/11)

6. Klik tot slot op Toepassen zodra u alle gewenste wijzigingen hebt aangebracht.

Network Protection in Windows 10/11 controleren en testen

Zo controleert u of Windows Defender Network Protection actief is

In het gedeelte over PowerShell legden we kort uit hoe u controleert of Network Protection op het device is ingeschakeld. Dat kan ook via de Register-editor. Zo doet u dat:

1. Open de Register-editor door op de knop Start te klikken. Typ regedit en druk op Enter. Selecteer in het linkerdeelvenster HKEY_LOCAL_MACHINE.
2. Navigeer naar Network Protection. U kunt een van deze paden volgen:
   1. SOFTWARE → Policies → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
   2. SOFTWARE → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
3. Klik op EnableNetworkProtection en controleer aan de hand van de volgende waarden of Network Protection is ingeschakeld, uitgeschakeld of in de controlemodus staat:
   • 0 – uitgeschakeld
   • 1 – ingeschakeld
   • 2 – controlemodus

Geblokkeerde URL’s en logboeken testen in het Microsoft Defender Security Center

Wilt u specifieke URL’s en logboeken bekijken waarvoor u de toegang voor meerdere endpoints onder Network Protection hebt geblokkeerd? Volg dan onderstaande stappen:

1. Meld u aan bij de Microsoft Defender-portal.
2. Klik op Instellingen in het linkerdeelvenster en klik vervolgens op Endpoints.
3. Selecteer onder Regels de optie Indicatoren.
4. De geblokkeerde URL’s staan vermeld onder URL’s/domeinen.

Problemen oplossen bij het configureren van Network Protection

Veelvoorkomende problemen bij het inschakelen van Windows Defender Network Protection

Omdat uw device Network Protection gebruikt om de webpagina’s die u bezoekt in realtime te registreren, bestaat de kans dat een veilige website als bedreiging wordt aangemerkt (vals positief) of een kwaadaardige website als veilig (vals negatief).

Gebeurt dat? Dan kunt u de gemarkeerde website als vals positief of vals negatief melden via dit formulier van Windows Defender Security Intelligence.

Daarnaast kan Network Protection de prestaties van uw computer of uw internetverbinding vertragen, omdat het actief mogelijke online bedreigingen monitort en blokkeert. Blijft dit probleem bestaan ondanks een bijgewerkte Windows Defender? Probeer dan over te stappen op de controlemodus van Network Protection:

1. Open een PowerShell met verhoogde rechten.
2. Typ Set-MpPreference -EnableNetworkProtection AuditMode en druk op Enter.

In de controlemodus staat Network Protection alle verbindingen toe, maar waarschuwt het u nog steeds voor mogelijke risico’s, zodat u die risico’s zelf beheert. Alle logboeken zijn te bekijken in Logboeken van Windows, dat we in het volgende gedeelte bespreken.

Logboeken en inzichten uit Logboeken van Windows voor foutopsporing in Network Protection

Voer deze stappen uit om de gebeurtenissen van Network Protection te bekijken die in de controlemodus zijn geregistreerd:

1. Open Logboeken van Windows door op de knop Start te klikken, logboeken te typen en Logboeken te selecteren.
2. Navigeer via dit pad naar de map Windows Defender (Operational):

Logboeken van toepassingen en services → Microsoft → Windows → Windows Defender (Operational)

3. Gebruik gebeurtenis-ID 1125 om gebeurtenissen te filteren die door Network Protection in de controlemodus zijn veroorzaakt. Vanaf hier kunt u de door Network Protection gemarkeerde webpagina’s behandelen en ze als bedreiging aanmerken.

Windows Defender Network Protection uitschakelen als dat nodig is

We raden het uitschakelen van Windows Defender doorgaans af, maar houd er rekening mee dat Windows Defender automatisch wordt uitgeschakeld zodra u een antivirusprogramma van derden gebruikt. Beide beveiligingstools tegelijk gebruiken kan tot compatibiliteitsproblemen leiden en de prestaties van uw endpoint vertragen.

Gebruikt u liever een antivirustool van een andere leverancier en wilt u Windows Defender uitschakelen?

1. Open een PowerShell met verhoogde rechten.
2. Typ Set-MpPreference -EnableNetworkProtection Disabled en druk op Enter.

Beste praktijken voor IT-beheerders bij het inschakelen van Network Protection in Windows

Network Protection combineren met andere beveiligingsfuncties van Windows

Wilt u uw device nog beter beschermen tegen cyberaanvallen? Dan raden we aan Network Protection in te schakelen naast deze beveiligingsfuncties van Windows:

• Web Protection: als onderdeel van Microsoft Defender for Endpoint biedt Web Protection contentfiltering ter ondersteuning van aangepaste compromisindicatoren.
• Exploit Protection: Exploit Protection is als onderdeel van Windows Defender Exploit Guard in het besturingssysteem ingebouwd en bestrijdt malware (in de vorm van programma’s en applicaties).
• Windows Firewall: deze functie staat standaard aan op elk Windows-device en beperkt het verkeer tussen uw device en online domeinen die het onbetrouwbaar acht (meestal op basis van uw geïnstalleerde software en vooraf goedgekeurde rechten).

Uitzonderingen instellen voor vertrouwde domeinen in Network Protection

Een lijst met vertrouwde domeinen en IP-adressen in Network Protection vermindert het aantal valse positieven en beperkt onnodige verstoringen voor eindgebruikers. U geeft als volgt toegang tot een specifiek domein:

1. Meld u aan bij de Microsoft Defender-portal.
2. Klik op Instellingen en vervolgens op Endpoints.
3. Selecteer onder Regels de optie Indicatoren.
4. Klik op URL/domein en daarna op Item toevoegen.
5. Typ het domein van de site en stel de beleidsactie in op Toestaan.

Beveiligingslogboeken monitoren voor inzicht in bedreigingen in Network Protection

Wilt u beveiligingslogboeken directer bekijken en erop handelen? Gebruik dan de controlemodus van Network Protection of Logboeken van Windows of allebei. Door uw lijst met toegestane en geblokkeerde domeinen regelmatig bij te werken, beperkt u bovendien het aantal stappen om toegang tot mogelijk gevaarlijke domeinen te blokkeren.

Het belang van Windows Defender Network Protection in het algemeen

Network Protection van Windows Defender inschakelen biedt verschillende voordelen voor de bescherming van persoonlijke of zakelijke devices en gegevens. Het versterkt gerichte online beveiligingsmaatregelen voor privécomputers. Daarnaast helpt het de toegang tussen een onveilig domein en zakelijk beheerde endpoints te blokkeren.

Gebruikers kunnen Windows Defender Network Protection op verschillende manieren inschakelen. De functie vormt een aanvulling op andere antimalwaretools van Windows en versterkt zo de verdediging tegen de nieuwste cyberaanvallen en virussen. Werk Windows Defender Exploit Guard wel regelmatig bij voor een robuustere en actuelere bescherming tegen nieuwe bedreigingen.