Een lokaal accountvergrendelingsbeleid voor uw beheerde devices vormt de basis van de beveiliging van uw organisatie. Het voorkomt brute-force-aanmeldpogingen, helpt te signaleren wanneer iemand uw drempelwaarden voor accountmisbruik overschrijdt en brengt uw devices in lijn met de basisbeveiligingsprotocollen.

In enterpriseomgevingen is automatisering van dit proces de beste aanpak. Zo weet u zeker dat uw vergrendelingsbeleid consistent wordt toegepast op al uw beheerde devices en dat beheerders direct een melding krijgen zodra een device niet compliant is.

Liever kijken dan lezen? Bekijk dan onze video Zo stelt u een lokaal accountvergrendelingsbeleid consistent in bij al uw klanten met PowerShell en lokaal beleid.

Zo automatiseert u het vergrendelingsbeleid voor lokale accounts

Voordat u lokaal accountvergrendelingsbeleid volledig kunt automatiseren, zijn er een aantal stappen nodig. U begint met het opstellen van het lokale accountvergrendelingsbeleid en het uploaden daarvan naar een toegankelijke oplossing voor cloudopslag.

Accountvergrendelingsbeleid kan worden afgedwongen via lokaal beleid of Windows PowerShell. U kunt de status van het beleid ook bijhouden en controleren met registersleutels en de opdrachtprompt.

📌 Vereisten:

• U hebt beheerdersrechten nodig op alle devices die u wilt aanpassen.
• U hebt PowerShell 5.1 of hoger nodig op al uw beheerde systemen.
• Een RMM oplossing zoals NinjaOne voor uitrol en het bijhouden van beleid.
• Optioneel: u kunt audittools gebruiken voor registervalidatie en het doornemen van het gebeurtenissenlogboek.

Stap 1: standaardwaarden voor het vergrendelingsbeleid bepalen

Beheerders moeten standaardwaarden voor het vergrendelingsbeleid bepalen, afhankelijk van de behoeften en eisen van uw organisatie. Hieronder staan de aanbevolen waarden op basis van de CIS-benchmarks en de richtlijnen van Microsoft.

• Gebruikers worden na 5 ongeldige aanmeldpogingen van hun account buitengesloten.
• Het account blijft 15 minuten vergrendeld.
• De teller van het aantal pogingen voordat gebruikers worden buitengesloten wordt na 15 minuten vergrendeling gereset.

Leg uw basislijn vast en pas het beleid consistent toe op al uw beheerde devices. Zorg er ook voor dat uw vergrendelingsbeleid voldoet aan contractuele en wettelijke eisen. U kunt dit document uploaden naar een platform voor bestandsdeling zoals SharePoint zodat het beschikbaar is voor iedereen die het nodig heeft.

Stap 2: vergrendelingsbeleid afdwingen met lokaal groepsbeleid op losstaande systemen

📌 Use case: gebruik deze stap op alle beheerde devices waarop groepsbeleid van toepassing is.

1. Open de Editor voor lokaal groepsbeleid op een van de volgende manieren:
   • Open het startmenu en zoek naar Groepsbeleid bewerken om het programma te openen.
   • Druk op Windows-toets + R om het venster Uitvoeren te openen. Typ gpedit.msc en druk op Enter.
2. Ga naar Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Accountvergrendelingsbeleid.
3. Configureer het volgende beleid:
   • Drempel voor accountvergrendeling – 5
   • Duur van accountvergrendeling – 15
   • Teller voor accountvergrendeling opnieuw instellen na – 15

De waarden verschillen per organisatie, afhankelijk van de eisen en het vergrendelingsbeleid voor devices. Pas deze wijziging toe op alle betrokken onderdelen van uw beheerde omgeving.

💡Let op: open de opdrachtprompt met verhoogde rechten en gebruik deze opdracht om te controleren of het beleid is toegepast: gpresult /h C:\GPO_Lockout_Report.html. In enterpriseomgevingen kunt u NinjaOne-scripts gebruiken om per endpoint te verzamelen en te bevestigen dat het beleid is toegepast.

Stap 3: vergrendelingsinstellingen afdwingen met PowerShell op losstaande systemen

1. Open het startmenu en zoek naar Windows PowerShell.
2. Klik met de rechtermuisknop op Windows PowerShell > Als administrator uitvoeren.
3. Voer deze opdracht in:

(Get-Content C:\secpol.cfg).replace("LockoutBadCount = 0", "LockoutBadCount = 5") |

Set-Content C:\secpol.cfg

(Get-Content C:\secpol.cfg).replace("ResetLockoutCount = 0", "ResetLockoutCount = 15") |

Set-Content C:\secpol.cfg

(Get-Content C:\secpol.cfg).replace("LockoutDuration = 0", "LockoutDuration = 15") |

Set-Content C:\secpol.cfg

secedit /configure /db C:\windows\security\local.sdb /cfg C:\secpol.cfg /areas SECURITYPOLICY

💡Let op: Secpol.cfg bevat de gegevens van uw vergrendelingsbeleid. Dit script past de systeeminstellingen aan op basis van de gegevens in dit bestand. Het script kan dus mislukken als het bestand al andere waarden bevat.

Bestaat het bestand nog niet op het systeem of weet u niet zeker welke waarden erin staan? Voer dan eerst deze opdracht uit om het te genereren voordat u het bestand leest of aanpast: secedit /export /cfg C:\secpol.cfg

4. Documenteer wat er gebeurt en houd een logboek bij van eventuele fouten. Dat is handig voor het opstellen van audittrails.

Stap 4: beleid bijhouden en bevestigen met registersleutels

Vergrendelingsbeleid is niet eenvoudig toegankelijk via het Windows-register. U kunt de status van het beleid en de handhaving ervan wel vastleggen met aangepaste sleutels.

1. Open de Register-editor op een van de volgende manieren:
   • Open het startmenu en zoek naar Register-editor om het programma te openen.
   • Druk op Windows-toets + R om het venster Uitvoeren te openen. Typ regedit en druk op Enter.
2. Navigeer naar dit adres: HKEY_LOCAL_MACHINE\SOFTWARE\Org\LockoutPolicy.
3. Met deze aangepaste sleutels legt u activiteit en handhavingsstatus vast:
   • LockoutThreshold (DWORD)
   • LockoutDuration (DWORD)
   • ResetCounterMinutes (DWORD)
   • LastPolicyUpdate (String)

💡Let op: er moet een geautomatiseerd script worden geschreven dat de vergrendelingsdrempel, de duur, het aantal minuten voor het resetten van de teller en het moment van de laatste beleidsupdate in deze registerwaarden vastlegt. Ze wijzigen het vergrendelingsbeleid niet uit zichzelf.

U kunt via uw RMM-tool wel een aangepast script gebruiken dat de informatie in deze sleutels regelmatig controleert, zodat u zeker weet dat het beleid van uw organisatie wordt bijgewerkt. Wijzigt u het vergrendelingsbeleid? Werk dan ook de registerwaarden bij.

Stap 5: vergrendelingsbeleid valideren met CMD en beveiligingslogboeken

Voor audits en compliancetests kunnen beheerders de opdrachtprompt gebruiken om het vergrendelingsbeleid van beheerde devices te valideren.

1. Open het startmenu en zoek naar Opdrachtprompt.
2. Klik met de rechtermuisknop op Opdrachtprompt en selecteer vervolgens > Als administrator uitvoeren.
3. Typ deze opdracht: net accounts
   
   De opdrachtprompt toont het huidige vergrendelingsbeleid van het systeem. Dit is een voorbeeld van wat u onder meer te zien krijgt:

Drempel voor vergrendeling: 5 ongeldige aanmeldpogingen

Duur van vergrendeling: 15 minuten

Observatievenster voor vergrendeling: 15 minuten

Nadat u het huidige vergrendelingsbeleid van het device hebt gecontroleerd, kunt u met deze opdracht ook de mislukte aanmeldpogingen bekijken: wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:5 /f:text

Zo ziet u de laatste mislukte aanmeldpogingen op het device (als die er zijn). Dat is nuttig tijdens audits en om de naleving van beveiligingsvoorschriften en de effectiviteit daarvan binnen uw organisatie aan te tonen.

⚠️ Waar u op moet letten

Aanvullende aandachtspunten bij het automatiseren van lokaal accountvergrendelingsbeleid

• Schakel auditlogboekregistratie voor accountvergrendelingen in.
• Vergeet niet lokale beheerdersaccounts uit te schakelen die u niet nodig hebt. U kunt ook hun wachtwoorden willekeurig maken om de beveiliging verder te versterken.
• Leg per endpoint vast wanneer het beleid is afgedwongen, inclusief tijdstempel, voor uw auditlogboeken.

NinjaOne-diensten voor het automatiseren van het vergrendelingsbeleid voor lokale accounts

De RMM-tools van NinjaOne versterken de handhaving van uw vergrendelingsbeleid. Daarmee kunt u:

• Op afstand handhavingsscripts op basis van PowerShell uitrollen naar alle endpoints die ze nodig hebben.
• Registersleutels en de status van geplande taken monitoren met automatiseringen en aangepaste velden.
• Beheerders waarschuwen wanneer het beleid niet wordt toegepast of wanneer verwachte registerwaarden ontbreken.
• Scriptuitvoer en compliancelogboeken controleren via het centrale dashboard van NinjaOne.
• Endpoints die niet compliant zijn markeren voor herstelworkflows en het aanmaken van tickets.

Versterk de beveiliging van uw organisatie door vergrendelingsbeleid voor uw endpoints te automatiseren

Het automatiseren van lokaal accountvergrendelingsbeleid bij al uw klanten verbetert het beveiligingsbeleid, zorgt voor consistentie en voldoet aan compliance-eisen. Dat kan met de editor voor lokaal beleid en Windows PowerShell en met registersleutels en de opdrachtprompt controleert u of het beleid consistent op alle devices wordt toegepast.=

Gerelateerde onderwerpen:

• PowerShell-scriptgids: vergrendelde accounts in Windows opsporen
• Zo wijzigt u de vergrendelingsdrempel voor lokale accounts in Windows
• Zo wijzigt u de vergrendelingsduur voor lokale accounts in Windows