Malware detecteren en in quarantaine plaatsen via RMM-integraties

Het inzetten van malwaredetectie en -indamming is een van de beste manieren om endpoints te beschermen. Door deze strategieën bovendien te integreren in Monitoring en beheer op afstand (RMM)-platformen, kunnen managed service providers (MSP’s) taken optimaliseren door reacties te automatiseren en zo de reactietijd te verkorten. RMM-integraties vergroten ook het inzicht in alle endpoints van klanten waardoor het aanvalsoppervlak kleiner wordt.

Daarom is het essentieel om te weten hoe u RMM-integraties configureert om malware te detecteren en in quarantaine te plaatsen. Met de juiste integratie kunnen MSP’s dreigingen herkennen, geïnfecteerde machines automatisch isoleren, notificaties escaleren en compliance waarborgen via logging en rapportage. In deze gids nemen we de strategieën door om RMM in uw systeem te integreren via PowerShell, CMD, registermonitoring, Group Policy Objects (GPO) en gebeurtenissenlogboeken om malware-aanvallen te bestrijden. Dat helpt MSP’s om dreigingen te identificeren.

In één oogopslag

Taak	Doel	Rol van RMM
Taak 1: PowerShell gebruiken om malware te detecteren en in quarantaine te plaatsen	Detecteert malware via Defender-cmdlets en plaatst die in quarantaine	Scripts uitrollen, scans inplannen, quarantaineacties automatiseren
Taak 2: CMD gebruiken voor antivirusscans en quarantaine	Detecteert malware met MpCmdRun.exe en plaatst die in quarantaine	Batchscripts uitrollen over alle endpoints
Taak 3: Gebeurtenissenlogboeken controleren op malware-activiteit	Detecteert malware-activiteit door Defender-logboeken te monitoren	Event-ID’s monitoren, notificaties of scripts activeren
Taak 4: Registerindicatoren gebruiken voor isolatie en verharding	Detecteert manipulatie van de antivirus en past verhardingsinstellingen toe	Registersleutels bewaken, instellingen afdwingen of herstellen
Taak 5: Antivirusinstellingen afdwingen via Group Policy	Dwingt antivirusbeleid af, maar detecteert geen dreigingen	Beleidsbaseline handhaven, gedrag van RMM-scripts ondersteunen
Taak 6: Endpoints in quarantaine plaatsen via netwerk- en service-isolatie	Isoleert geïnfecteerde machines van het netwerk	Reactieve isolatiescripts uitvoeren op basis van dreigingstriggers

🎥 Deze gids is er ook als video: Malware detecteren en in quarantaine plaatsen via RMM-integraties.

Vereisten voor malwarerespons via RMM

Controleer voordat u de malwarerespons via RMM configureert of uw omgeving aan de volgende vereisten voldoet:

• Een RMM-platform met mogelijkheden voor scripting, notificaties en automatisering (bijvoorbeeld NinjaOne)
• Actieve antivirussoftware op de endpoints, zoals Microsoft Defender of tools van derden zoals SentinelOne of Bitdefender
• PowerShell 5.1+ of toegang tot CMD om antiviruscommando’s te scripten
• Toegang tot antivirusscanlogboeken of Windows-beveiligingslogboeken om dreigingen te monitoren
• Optionele GPO-configuraties om antivirusinstellingen af te dwingen en realtimebeveiliging in te schakelen

Taak 1: PowerShell gebruiken om malware te detecteren en in quarantaine te plaatsen

📌 Use case:

Met PowerShell kunnen IT-beheerders via RMM scripts uitvoeren om op dreigingen te scannen, detectiegebeurtenissen te loggen en actie te ondernemen. Het is functioneel geïntegreerd met Microsoft Defender, waardoor zowel handmatig als geautomatiseerd dreigingsbeheer mogelijk is.

Hieronder staan aanbevolen taken die u met PowerShell kunt uitvoeren om malwaredreigingen via RMM proactief te voorkomen of erop te reageren.

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer de volgende commando’s uit:

• • Een snelle scan starten:

Start-MpScan -ScanType QuickScan

• • Gedetecteerde dreigingen bekijken:

Get-MpThreatDetection | Format-List

• • Dreigingen in quarantaine plaatsen:

Remove-MpThreat -ThreatID <ID> -Quarantine

• • Controleren of realtimebeveiliging is ingeschakeld:

Set-MpPreference -DisableRealtimeMonitoring $false

💡Rol van RMM: RMM is een effectieve tool die systeembeheerders helpt om dagelijkse scans in te plannen, dreigingen te loggen en infecties op alle endpoints automatisch in quarantaine te plaatsen.

Taak 2: CMD gebruiken voor antivirusscans en quarantaine

📌 Use case:

Oudere devices hebben baat bij scannen via de opdrachtregel met MpCmdRun.exe. Deze taak is ook handig wanneer de toegang tot PowerShell beperkt is en het systeem eenvoudige scriptuitvoering via RMM-batchbestanden vereist.

Hieronder staan aanbevolen taken met de opdrachtregeltool van Microsoft Defender (MpCmdRun.exe) die u via de opdrachtprompt kunt uitvoeren om malwaredreigingen via RMM proactief te voorkomen of erop te reageren.

1. Druk op Windows-toets + X en selecteer vervolgens Opdrachtprompt (Administrator) of Windows Terminal (Administrator). Zorg er bij Windows Terminal voor dat u zich in een tabblad Opdrachtprompt bevindt en niet in PowerShell.
2. Voer de volgende commando’s uit:

• • Een snelle scan uitvoeren:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1

• • Een volledige scan uitvoeren:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2

• • De geschiedenis van dreigingen in quarantaine bekijken:

"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -GetFiles

💡 Rol van RMM: gebruik RMM-automatisering om CMD-scripts uit te rollen voor geplande of voorwaardelijke scans, vooral op devices met een beperkte scriptomgeving.

Taak 3: Gebeurtenissenlogboeken controleren op malware-activiteit

📌 Use case:

IT-beheerders kunnen gebruikmaken van het feit dat Microsoft Defender-logboeken alle belangrijke systeemacties vastleggen. Die kunnen ze inzetten als bron om dreigingsactiviteit te monitoren.

1. Open Logboeken door op de Windows-toets + R te drukken, eventvwr.msc te typen en op Enter te drukken.

2. Ga naar:
Logboeken voor toepassingen en services > Microsoft > Windows > Windows Defender > Operational

3. Zoek naar de relevante event-ID’s:

• • 1116: malware gedetecteerd
  • 1117: actie ondernomen
  • 2001: dreiging verwijderd
  • 5001: realtimebeveiliging uitgeschakeld
  • 5007: register gewijzigd (mogelijk door malware)
  • 5010: malwarescans uitgeschakeld
  • 5012: virusscans uitgeschakeld
  • 5013: manipulatiebeveiliging heeft een poging geblokkeerd om instellingen van Microsoft Defender Antivirus te wijzigen

4. Vervolgens kunt u PowerShell gebruiken om deze logboeken te monitoren met het volgende commando:

Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object {$_.Id -eq 1116}

💡 Rol van RMM: RMM-beleid kan zo worden geconfigureerd dat het op deze gebeurtenissen let en automatisch herstelacties activeert. Denk daarbij aan het in quarantaine plaatsen van het endpoint of het aanmaken van een supportticket.

Taak 4: Registerindicatoren DisableAntiSpyware en DisableAntiVirus gebruiken voor isolatie en verharding

📌 Use case:

IT-beheerders kunnen registerinstellingen gebruiken om een systeem snel te verharden. Registerindicatoren geven ook inzicht in de status van de antivirusbeveiliging en helpen endpoints te identificeren die geïsoleerd moeten worden.

Let op: Microsoft heeft de registerinstellingen DisableAntiSpyware en DisableAntiVirus afgeschaft in nieuwere versies van Windows 10 (vanaf versie 1903) en in Microsoft Defender-platformversie 4.18.2108.4 en later. Omdat Microsoft Defender zichzelf nu automatisch uitschakelt zodra er een correct geïnstalleerd antivirusproduct van derden wordt gedetecteerd, zijn deze registersleutels niet langer nodig. Deze wijziging heeft geen invloed op RMM-integraties of op niet-Microsoft antivirusverbindingen binnen de app Windows-beveiliging

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer de volgende commando’s uit:

• • Controleren of Defender is uitgeschakeld:

Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware","DisableAntiVirus"

• • Defender weer inschakelen:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware" -Value 0

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiVirus" -Value 0

• • Netwerkbeveiliging inschakelen:

Set-MpPreference -EnableNetworkProtection Enabled

💡 Rol van RMM: door registersleutels via RMM te monitoren detecteert u kwaadaardige wijzigingen en kunt u snel herstel- of rollbackacties uitvoeren.

Taak 5: Antivirusinstellingen afdwingen via Group Policy

📌 Use case:

Group Policy Objects (GPO) kunnen een stabiele baseline afdwingen op alle devices, zodat realtimebeveiliging en scaninstellingen actief blijven.

1. Open Group Policy als administrator. Druk op de Windows-toets, typ gpedit.msc en druk op Ctrl + Shift + Enter om het als administrator uit te voeren.
2. Ga naar: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Microsoft Defender Antivirus
3. Controleer elk van de volgende instellingen en kijk of ze correct zijn geconfigureerd:

Instelling	Aanbevolen status
“Microsoft Defender Antivirus uitschakelen”	Uitgeschakeld
“Antimalwareservice altijd actief laten blijven”	Ingeschakeld
“Realtimebeveiliging uitschakelen”	Uitgeschakeld
“Gedragsmonitoring inschakelen”	Ingeschakeld

💡 Rol van RMM: door GPO te combineren met RMM blijven endpoints voldoen aan het beveiligingsbeleid en zijn ze steeds voorbereid om op malware te reageren.

Taak 6: Endpoints in quarantaine plaatsen via netwerk- en service-isolatie

📌 Use case:

Deze taak is cruciaal wanneer u devices wilt beschermen tegen malware die als hoog risico is geclassificeerd. IT-beheerders kunnen PowerShell gebruiken om connectiviteit en riskante services uit te schakelen.

1. Open PowerShell als administrator. Druk op de Windows-toets, typ PowerShell, klik met de rechtermuisknop op Windows PowerShell en selecteer Als administrator uitvoeren.
2. Voer de volgende commando’s uit:

• • De netwerkadapter uitschakelen:

Disable-NetAdapter -Name "Ethernet" -Confirm:$false

• • Belangrijke services stoppen:

Stop-Service -Name "RemoteRegistry" -Force

Stop-Service -Name "WinRM" -Force

• • Uitgaand verkeer blokkeren:

New-NetFirewallRule -DisplayName "BlockOutbound" -Direction Outbound -Action Block -Enabled True

💡 Rol van RMM: systeembeheerders kunnen deze scripts voorwaardelijk activeren via een RMM tool zodra er malware wordt gedetecteerd. Dat beperkt laterale verplaatsing en data-exfiltratie.

⚠️ Waar u op moet letten

Risico’s	Mogelijke gevolgen	Oplossingen
Scan wordt niet uitgevoerd	Malware blijft mogelijk onopgemerkt waardoor endpoints kwetsbaar blijven	Controleer of Microsoft Defender is ingeschakeld en of PowerShell over de juiste rechten beschikt. Voer scripts uit als administrator of voeg logging toe om de uitvoering te verifiëren.
Geen dreigingen gelogd	Gemiste detecties kunnen notificaties en rapportage verhinderen waardoor het zicht afneemt	Zorg dat telemetrie en logging van Defender zijn ingeschakeld. Gebruik Get-MpComputerStatus om de logging- en beveiligingsstatus te verifiëren.
Quarantaine mislukt	Dreigingen kunnen op het device blijven bestaan en zich lateraal door het netwerk verspreiden	Start opnieuw op in de veilige modus om de verwijdering uit te voeren of isoleer het device op afstand met RMM-scripts.
Scripts om de NIC uit te schakelen mislukken geruisloos	Geïnfecteerde devices blijven online waardoor de indamming tekortschiet	Voeg -Verbose en transcriptlogging toe aan het script. Test in een gecontroleerde omgeving voordat u het uitrolt.

Aanvullende overwegingen bij malwarerespons via RMM

• Integratie van antivirus van derden: sommige antivirusproducten bieden CLI- of API-opties voor scannen en isolatie.
• Vals-positieven: houd altijd logboeken bij van alle gebeurtenissen en ondersteun handmatige rollback om verstoring te voorkomen.
• Escalatie-workflows: IT-beheerders kunnen kiezen uit allerlei RMM-oplossingen die ook geïntegreerde PSA-tools bieden. Dat stroomlijnt rapportage en het ticketsysteem.
• Licenties: controleer of Defender- of antivirusfuncties volledig gelicentieerd zijn en niet zijn uitgeschakeld door OEM-beperkingen.

NinjaOne-diensten om malware te detecteren en in quarantaine te plaatsen via RMM

NinjaOne en de bijbehorende tools helpen u om malwaredreigingen proactief te detecteren en erop te reageren.

NinjaOne-dienst	Wat het is	Hoe het helpt bij malwaredetectie en -respons
Scriptuitrol	Verspreidt malwarescan- en herstelscripts op basis van PowerShell of CMD	Automatiseert reguliere scans en maakt snel herstel van dreigingen op meerdere devices mogelijk
Monitoring van gebeurtenissenlogboeken	Monitort de gebeurtenissenlogboeken van Windows Defender (bijvoorbeeld event-ID 1116 voor malwaredetectie)	Detecteert dreigingen in realtime en activeert geautomatiseerde responsworkflows
Automatische quarantaine	Voert vooraf geconfigureerde scripts uit om geïnfecteerde devices van het netwerk te isoleren	Beperkt de verspreiding van malware door gecompromitteerde endpoints snel af te sluiten
Beleidsbeheer	Past antivirusconfiguraties toe en dwingt ze af, zoals realtimebeveiliging en scaninstellingen van Defender	Handhaaft een consistente beveiligingsbaseline op alle endpoints
Integratie met het ticketsysteem	Maakt PSA-tickets aan wanneer er malwaregebeurtenissen worden gedetecteerd	Zorgt dat incidenten worden gedocumenteerd, toegewezen en binnen de SLA-termijn afgehandeld
Audit en rapportage	Legt alle malwaregerelateerde activiteit vast, inclusief detectie, quarantaine en herstelacties	Ondersteunt compliance, incidentevaluatie en operationele transparantie

RMM inzetten om op malwaredreigingen te reageren

Door workflows voor malwaredetectie en quarantaine te integreren in RMM-platformen, veranderen reactieve antivirustools in proactieve cybersecurityoplossingen. Met behulp van PowerShell, de opdrachtprompt en gebeurtenissenlogboeken kunnen managed service providers en systeembeheerders malwaredetectie en -respons automatiseren. Het register en GPO-handhaving helpen intussen om strategieën af te dwingen die het beveiligingsbeleid stabiliseren.

RMM-tools zoals NinjaOne vullen alle beschreven stappen aan en maken ze schaalbaar. Verkort de responstijd drastisch en versterk uw totale eindpuntbeveiliging door te investeren in RMM-integraties die malware afweren.

Gerelateerde onderwerpen:

• Wat is malware? Soorten, detectie en preventie
• Wat is quarantaine in cybersecurity?
• Windows Defender gebruiken om op malware te scannen
• Windows-gebeurtenissenlogboeken lezen: afsluiten en opnieuw opstarten
• Bestanden, mappen en schijven handmatig op malware scannen in Windows 10
• Beste oplossingen voor malwarebescherming: top 10 in 2026 (video)