Zo haalt u ActiveSync-devicegegevens op met PowerShell op grote schaal

Microsoft ActiveSync is een onmisbaar hulpmiddel om de kloof tussen Microsoft Exchange en mobiele devices te overbruggen. Maar omdat geavanceerde dreigingen altijd op de achtergrond meespelen is een veilige verbinding tussen Microsoft Exchange en mobiele devices cruciaal. Eén manier om die bescherming op te bouwen is ervoor te zorgen dat alle clients betrouwbaar zijn door een kader op te zetten dat ActiveSync-partnerschappen continu controleert.

In deze gids laten we u zien hoe u Get-ActiveSyncDevice van Microsoft en verwante cmdlets inzet voor regelmatige audits. Ze leveren nauwkeurige, gedetailleerde devicegegevens die u combineert met moderne rapportagepraktijken. Deze workflow ondersteunt toegangshygiëne, beleidshandhaving en het uitfaseren van clients.

In één oogopslag

Taak	Doel en waarde
Taak 1: alle ActiveSync-devices in kaart brengen	Deze taak levert een dataset op die de basis vormt voor handhavingsacties, controles op verouderde devices en beoordelingen voor het uitfaseren van clients.
Taak 2: verrijken met gebruiks- en synchronisatiegegevens	Deze taak zet ruwe device-items om in concrete actiepunten voor lifecycle- en compliancebeslissingen.
Taak 3: verouderde of niet-compliant devices opsporen	Dit geeft prioriteit aan herstelacties zoals het opnieuw inschrijven van gebruikers, het verwijderen van devices of upgrades van clients.
Taak 4: normaliseren, loggen en exporteren	Hierdoor kunnen auditors, securityteams en MSP-klanten verschillende runs in de tijd vergelijken en vaststellen dat het aantal risicovolle devices daalt.
Taak 5: veilig automatiseren en uitvoeren	Deze taak zorgt ervoor dat u altijd over actuele devicegegevens beschikt zonder extra operationele last.
Taak 6: vervolgacties in gang zetten	Dit sluit de cirkel tussen rapportage, compliance en risicovermindering.

Vereisten:

voordat u met de taken begint moet u eerst rekening houden met de volgende punten:

• De Exchange Online PowerShell-module en de rollen om mobiele devices op te vragen
• Veilige referenties of app-only-authenticatie voor onbeheerde runs
• Een centraal pad voor CSV, JSON en runlogs
• Een vastgelegde beleidsmatrix voor toegestane, in quarantaine geplaatste en geblokkeerde devicestatussen

Taak 1: alle ActiveSync-devices in kaart brengen

Om te beginnen, inventariseert u alle devices die ActiveSync gebruiken door de cmdlet Get-ActiveSyncDevice uit te voeren. Get-ActiveSyncDevice laat de directe relaties tussen devices en mailboxen zien. Zo komt u aan een gezaghebbende dataset voor alle vervolganalyses:

1. Maak met PowerShell verbinding met Exchange Online.
2. Haal de volledige devicelijst op met het inventarisatiecommando:

Get-ActiveSyncDevice -ResultSize Unlimited |

Select-Object Identity, UserDisplayName, DeviceType, DeviceModel, DeviceOS, DeviceAccessState, DeviceAccessStateReason, ClientVersion, WhenChanged

3. Noteer de totalen en voeg TenantId, een AsOf-tijdstempel en de scriptversie toe aan alle records.
4. Deze cmdlet legt een direct verband tussen devices en mailboxen en vormt daarmee de basislijn voor de vervolganalyse.

Taak 2: verrijken met gebruiks- en synchronisatiegegevens

Voor deze taak gebruikt u de cmdlet Get-MobileDeviceStatistics om details over synchronisatie en beleidsstatus op te halen voor mobiele devices die bij een specifieke mailbox horen. Zo verrijkt u elk record met meer context en legt u gedetailleerdere gegevens vast over activiteit, veroudering of de actualiteit van het beleid.

Dit zijn de stappen:

1. Maak verbinding met Exchange Online PowerShell.
2. Loop met dit commando door elke mailbox of elk device:

Get-MobileDeviceStatistics -Mailbox <user> |

Select-Object DeviceFriendlyName, LastSuccessSync, LastPolicyUpdateTime, ClientInformation

3. Koppel de resultaten aan uw basisinventaris (taak 1) via DeviceId en UserPrincipalName.
4. Bereken de volgende gegevenspunten:
   • Leeftijd van het device
   • Laatste synchronisatievenster
   • Verouderingscategorie (30/60/90+ dagen)

Taak 3: verouderde of niet-compliant devices opsporen

In deze stap beoordeelt u elk device om te bepalen of het nog aan de compliance-eisen voldoet. Dit zijn de acties die u onderneemt:

• Markeer devices als:
  • Ze verouderde OS-versies gebruiken
  • Ze oude ClientVersion-strings gebruiken
• Markeer devices die nog Basic- of legacy-authenticatie gebruiken (leg een kruisverband met uw basislijn voor “legacy-authenticatie uitschakelen”).
• Spoor inactieve devices op of devices die permanent in quarantaine of geblokkeerd zijn.
• Geef op basis van uw beleid prioriteit aan opschoning of het opnieuw inschrijven van gebruikers.

Taak 4: normaliseren, loggen en exporteren

De volgende acties richten zich op een consistente audit: u normaliseert elk uitvoerveld, past uniforme naamgevingsconventies toe en exporteert in meerdere formaten.

Zo gaat u te werk:

1. Standaardiseer alle velden:

• • DeviceOSVersion
  • LastSuccessSync
  • State
  • ActionRequired

2. Exporteer de resultaten:

• • CSV voor operationele beoordelingen
  • JSON voor dashboards of tools die logs inlezen

3. Schrijf een runlog met een samenvatting van het volgende:

• • Parameters
  • Aantallen records
  • Duur

4. Bewaar de resultaten minstens 12 maanden voor patroonanalyse.

Taak 5: veilig automatiseren en uitvoeren

Deze taak is bedoeld voor multi-tenant MSP-operaties op enterpriseniveau, omdat handmatige audits in grootschalige omgevingen niet aan te raden zijn. Zo bouwt u een automatiseringskader voor het beheer van ActiveSync-devices:

1. Authenticeer app-only en paginéér grote resultaatsets om throttling te voorkomen.
2. Voeg retry-logica toe voor tijdelijke fouten en houd de uitvoer idempotent.
3. Plan wekelijkse inventarisatieruns en maandelijkse delta’s om groei te volgen.
4. Integreer met compliance- of waarschuwingsworkflows voor verouderde en inactieve devices.

Taak 6: vervolgacties in gang zetten

Om het kader compleet te maken, moet u governance afdwingen door zowel de beveiliging als de operationele workflows te versterken. Dit zijn de acties die u onderneemt:

• Communicatie met gebruikers: stuur een bericht met installatie-informatie naar gebruikers van wie het device een upgrade of nieuwe inschrijving nodig heeft.
• Herstel: verwijder verouderde partnerschappen of pas een geautomatiseerd quarantainebeleid met goedkeuringen toe.
• Beveiligingsvalidatie: stem de bevindingen af op Conditional Access en de verificaties van uw Exchange Online-back-ups.
• Governance: koppel de metrics aan het voorkomen van password spraying en aan beperkingen op gedeelde mailboxen.

Overzicht van beste praktijken

Praktijk	Doel	Opgeleverde waarde
Get-ActiveSyncDevice en Get-MobileDeviceStatistics combineren	Volledige context	Dekking van device, OS en activiteit
Inactieve en verouderde clients markeren	Risicovermindering	Minder aanvalspaden en synchronisatieproblemen
Normaliseren en exporteren	Controleerbaarheid	Eenvoudige vergelijkingen en compliancerapportage
App-gebaseerde authenticatie	Beveiliging	Veilige automatisering op schaal
Trendanalyse	Continue verbetering	Aantoonbare daling van het aantal risicovolle devices

Voorbeeld van een automatiseringsscenario

Met automatisering stroomlijnt u het aanmaken, beheren en onderhouden van ActiveSync-devicegegevens. Een paar voorbeelden:

• Een geplande taak loopt door de mailboxen
• Het verzamelen van devicegegevens via Get-ActiveSyncDevice en Get-MobileDeviceStatistics
• Het consolideren en normaliseren van de resultaten
• Het berekenen van risicocategorieën en het wegschrijven van CSV, JSON en een logbestand
• Het mailen van een samenvatting met verouderde clients, inactieve devices en kandidaten voor quarantaine

Integratie met NinjaOne

NinjaOne biedt tools en functionaliteiten die het voorkomen van gegevensdiefstal door medewerkers vereenvoudigen.

NinjaOne-service	Wat het is	Hoe het helpt bij het voorkomen van gegevensdiefstal door medewerkers
Taken uitrollen en plannen	PowerShell-taken plannen en uitvoeren	Automatiseert het verzamelen van devicegegevens uit alle mailboxen
Beheer van referenties	Referenties veilig opslaan	Zorgt voor veilige toegang tot mailboxen om devicegegevens op te halen
Tickets aanmaken	Workflows voor het aanmaken van tickets voor gemarkeerde devices	Ondersteunt het aanmaken van tickets op basis van scripts of rapportages voor inactieve, verouderde of in quarantaine geplaatste devices
Dashboardkaarten	Visuele kaarten in het NinjaOne-dashboard	Toont aantallen devices, de actualiteit van synchronisaties uit geautomatiseerde ActiveSync-audits en de daling van het aantal risicovolle endpoints per tenant

ActiveSync-devicegegevens beheren en onderhouden

Goed bijgehouden documentatie van ActiveSync-devicegegevens helpt MSP’s en IT-teams te bepalen welke devices uit roulatie moeten voor een accurate device-inventaris. Daarnaast houdt u Exchange Online schoon, wat zorgt voor een veiliger en betrouwbaarder beveiligingsbeleid.

Belangrijkste conclusies

• Gebruik Get-ActiveSyncDevice en Get-MobileDeviceStatistics voor een compleet beeld van uw devices.
• Spoor verouderde clients, oude OS-builds en inactieve partnerschappen op om ze te herstellen.
• Normaliseer en exporteer met tijdstempels en tenant-ID’s voor herhaalbare audits.
• Automatiseer met app-gebaseerde authenticatie en foutafhandeling.
• Koppel de resultaten aan verbeteringen van uw beveiligingsbeleid en aan compliancedashboards.

Gebruik de cmdlet Get-ActiveSyncDevice van Microsoft en volg de andere beste praktijken voor een compliant ActiveSync-device-inventaris.

Gerelateerde onderwerpen:

• Repetitieve taken automatiseren met PowerShell
• Gids voor MDM-strategie 2026: zo beveiligt u BYOD- & bedrijfsdevices
• Zo maakt u een back-up van Microsoft 365 Exchange Online
• Legacy-authenticatie uitschakelen in Microsoft 365