Belangrijkste punten
- Gebruik WDAC, AppLocker of SRP om ongeautoriseerde apps op Windows 10- en 11-endpoints tegen te houden, zodat niet-goedgekeurde uitvoering wordt voorkomen en gevoelige gegevens beschermd blijven zonder vendor lock-in.
- Maak allow lists op basis van publishers, blokkeer paden waarin gebruikers kunnen schrijven en begin in auditmodus voordat u beleid afdwingt, voor zowel beveiliging als stabiliteit.
- Zet Windows Firewall en de automatisering van NinjaOne in om handhaving te monitoren, riskante apps te blokkeren en uitzonderingen te beheren voor doorlopende compliance.
Niet-goedgekeurde software die zonder toestemming op bedrijfsapparaten verschijnt is een serieus probleem. Het is een beangstigende gedachte, want de kans bestaat dat vertrouwelijke informatie uitlekt of dat gevoelige gegevens worden gestolen. In dit artikel leest u hoe u ongewenste apps blokkeert en uitvoerbare bestanden beheert met Windows-eigen opties.
Niet-goedgekeurde software blokkeren op Windows-endpoints
Om niet-goedgekeurde software op Windows-endpoints te blokkeren zonder vendor lock-in, kiest u een Windows-eigen control plane, ontwerpt u een set regels, voert u de uitrol gefaseerd uit, dwingt u het geheel af via GPO, voegt u een host-firewall toe, monitort u en voegt u daarna uitzonderingen toe.
📌 Vereisten:
- Windows-edities en licenties die het gekozen control plane ondersteunen.
- Beheerdersrechten en toegang tot Group Policy of een MDM om beleid uit te rollen.
- Centrale logverzameling vanaf endpoints voor handhaving en auditbewijs.
- Een korte lijst met bedrijfskritische apps als basis voor de eerste allow list.
Stap 1: kies een Windows-eigen control plane
De eerste stap is het juiste Windows-eigen hulpmiddel kiezen om uitvoerbare bestanden te beheren, met een goede balans tussen beveiligingskracht en compatibiliteit.
📌 Use case: een beheerder wil niet-goedgekeurde apps tegenhouden op Windows 10- en 11-apparaten met ingebouwde functies en met eenvoudige beleidsuitrol via Group Policy of MDM.
Windows Defender Application Control (WDAC)
WDAC dwingt af op kernelniveau en zorgt ervoor dat alleen vertrouwde, ondertekende code draait. Gebruik dit in omgevingen met hoge zekerheidseisen of in Enterprise-omgevingen die de sterkste integriteitsgaranties nodig hebben. Begin met het basisbeleid van Microsoft en voeg publisher-regels toe voor goedgekeurde software.
AppLocker
AppLocker biedt controles in user mode waarmee u uitvoerbare bestanden toestaat of weigert op basis van publisher, pad of hash. Dit is een betere keuze voor flexibele uitrol over Pro- en Enterprise-edities heen.
Software Restriction Policies (SRP)
Tot slot is SRP een verouderd kader voor het beperken van uitvoerbare bestanden. Het past het beste bij oudere of niet-enterpriseomgevingen zonder WDAC of AppLocker.
Stap 2: ontwerp een set regels met hoge signaalwaarde
Een gerichte set regels blokkeert eerst het gedrag met het hoogste risico en legt daarna een duidelijke basis voor het opschalen van de handhaving.
📌 Use case: een beheerder wil voorkomen dat riskante uitvoerbare bestanden draaien, terwijl updates en vertrouwde applicaties gewoon blijven werken.
Begin met allow lists op basis van publishers. Gebruik publishercertificaten van vertrouwde leveranciers zoals Microsoft en Adobe in plaats van losse bestandshashes om onderhoud te beperken. Blokkeer daarna paden waarin gebruikers kunnen schrijven door uitvoering te verhinderen vanuit mappen als Downloads, AppData of Temp, omdat dit veelvoorkomende startpunten zijn voor malware en ongeautoriseerde tools.
Zodra u klaar bent met de paden, voegt u gerichte hash-blokkades toe. Gebruik bestandshashes om bekende kwaadaardige binaries of tools in het grijze gebied te blokkeren, zoals ongeautoriseerde remote access-software. Dek tot slot meer af dan alleen .exe-bestanden door ook .msi, scripts en .dll-bestanden mee te nemen en zo veelgebruikte omwegen van aanvallers te sluiten.
Stap 3: voer de uitrol gefaseerd uit met vangrails
Een gefaseerde uitrol voorkomt verstoring van de bedrijfsvoering en zorgt voor een soepele overgang van testen naar volledige bescherming.
📌 Use case: een beheerder wil AppLocker uitrollen over meerdere afdelingen zonder de bedrijfsvoering te onderbreken. Hij heeft een methode met weinig risico nodig om te testen, bij te stellen en stabiliteit aan te tonen vóór de volledige implementatie.
Volg onderstaande stappen om de uitrol gefaseerd en met vangrails uit te voeren:
- Begin in audit-only modus: Leg vast wat geblokkeerd zou worden zonder het daadwerkelijk af te dwingen. Bekijk de AppLocker-logs om te zien welke apps zouden falen onder handhaving.
- Start een pilot met een kleine testgroep: Zorg dat de groep uit power users en typische endpoints bestaat, verzamel daarna feedback, verfijn de toegangsregels en documenteer uitzonderingen.
- Stel een terugdraai- en ondersteuningsplan op: Documenteer hoe u beleid terugdraait en train de helpdeskteams in het herkennen en oplossen van problemen.
- Ga over naar de afdwingende modus: Zodra uitzonderingen zijn goedgekeurd en gevalideerd, schakelt u handhaving in gecontroleerde fases in. Houd de eerste dagen alles scherp in de gaten om eventuele hiaten te ontdekken.
Stap 4: dwing af via Group Policy
Centrale uitrol zorgt voor consistente bescherming, eenvoudige audits en sneller herstel wanneer beleid moet worden teruggedraaid of bijgewerkt.
📌 Use case: een IT-team wil consistente controle over uitvoerbare bestanden op zowel on-premises als externe Windows-apparaten en gebruikt daarvoor de bestaande Group Policy voor interne systemen en MDM voor mobiele of hybride gebruikers.
Modelleer het beleid eerst in een labomgeving. Test handhaving, logging en terugdraaigedrag vóór de uitrol om zeker te weten dat updates, installers en kritieke workflows werken zoals verwacht. Daarna kunt u het beleid uitrollen via GPO. Koppel het aan de gewenste organisatie-eenheden of beveiligingsgroepen. Houd regelbestanden voorzien van versies en documentatie en gebruik de afdwingende modus pas nadat de pilottests zijn afgerond.
Voor verspreide apparaatparken pusht u het beleid met Microsoft Intune. Automatiseer het vernieuwen van beleid en het bijhouden van versies voor consistentie en betrouwbaarheid. Zorg tot slot voor versiebeheer en traceerbaarheid door XML- of CI-bestanden in versiebeheer op te slaan, zodat u wijzigingen volgt en een terugdraaihistorie behoudt. Vermeld bij elke revisie de auteur, datum en het doel.
Stap 5: voeg containment met de host-firewall toe
Firewall-containment voegt een extra verdedigingslaag toe door de schade te beperken van apps die de controle op uitvoerbare bestanden omzeilen.
📌 Use case: een beheerder wil mogelijk riskante apps of apps in het grijze gebied inperken zonder ze meteen van de endpoints te verwijderen.
Let voor containment met de host-firewall op het volgende:
Maak programmaspecifieke firewallregels
Gebruik Windows Defender Firewall met geavanceerde beveiliging om inkomende en uitgaande regels te koppelen aan specifieke uitvoerbare bestanden. Richt u op apps met een hoog risico die geen externe toegang nodig hebben, zoals clients voor bestandsdeling of verouderde hulpprogramma’s.
Beperk uitgaande verbindingen
Beperk of blokkeer uitgaand verkeer van verdachte applicaties. Gebruik beperkingen op basis van domein of IP-adres om command-and-control of pogingen tot data-exfiltratie te voorkomen.
Perk in tijdens onderzoek
Pas tijdelijke firewallblokkades toe om een systeem of een verdachte app te isoleren terwijl u de impact beoordeelt.
Integreer met centraal beheer
Distribueer tot slot firewallbeleid via GPO voor betere handhaving. Verzamel firewalllogs centraal om herhaalde verbindingspogingen van geblokkeerde programma’s te detecteren.
Stap 6: monitor, waarschuw en toon handhaving aan
Actieve monitoring en bewijsrapportage maken van handhavingsbeleid meetbare controles.
📌 Use case: een beheerder wil controleren of AppLocker- en firewallregels op alle endpoints werken en wil compliance kunnen aantonen tijdens audits of kwartaalreviews.
Let bij monitoren, waarschuwen en aantonen van handhaving op het volgende:
- Verzamel handhavingslogs: Haal AppLocker-events en WDAC Code Integrity-logs op van endpoints. Neem ook Windows Firewall-logs mee voor ongebruikelijk verkeer en centraliseer de logs daarna in uw Windows Event Forwarding voor analyse.
- Stel notificaties in voor belangrijke signalen: Markeer herhaalde uitvoeringspogingen vanuit paden waarin gebruikers kunnen schrijven of vanuit niet-goedgekeurde tools. Waarschuw bij geknoei met beleid of pogingen om services uit te schakelen en geef prioriteit aan terugkerende weigeringen vanaf hetzelfde pad, dezelfde gebruiker of dezelfde publisher.
- Genereer periodieke bewijsrapportages: Vat geweigerde events, actieve uitzonderingen en wijzigingen in allow lists samen. Correleer logs om handhaving aan te tonen en trends te herkennen.
- Gebruik inzichten om beleid bij te stellen: Gebruik de verzamelde gegevens om allow lists te verfijnen en onnodige uitzonderingen te verwijderen. Documenteer de effectiviteit van het beleid en voeg rapportages toe aan Quarterly Business Reviews (QBR’s) of compliancepakketten.
Stap 7: voeg uitzonderingen toe
📌 Use case: een beheerder moet specifieke tools goedkeuren voor ontwikkelaars en externe leveranciers en wil tegelijk voorkomen dat die uitzonderingen permanente blinde vlekken worden.
Goede governance van uitzonderingen begint met eigenaarschap en onderbouwing. Elke uitzondering hoort een eigenaar, een duidelijke reden en een bijbehorend goedkeuringsbewijs te hebben.
Daarnaast slaat u de details op in een centrale log of een ticketsysteem voor auditinzicht. Stel ook vervaldatums en reviewcycli vast. Laat alle uitzonderingen standaard automatisch verlopen tenzij ze worden verlengd en plan vervolgens reviews om te bevestigen dat ze nog nodig zijn.
Automatiseer het bijhouden en de meldingen met scripts of beheertools die naderende vervaldatums signaleren. Laat eigenaren weten dat ze hun verwachtingen moeten verlengen, onderbouwen of verwijderen. Zo behoudt u de integriteit van de controles, beperkt u sluipende risico’s en houdt u een verdedigbaar auditspoor.
Beste praktijken bij het blokkeren van niet-goedgekeurde software op endpoints
De volgende tabel vat de beste praktijken samen bij het blokkeren van niet-goedgekeurde software op Windows-endpoints:
Praktijk | Doel | Opgeleverde waarde |
| Allow lists met publisher voorop | Minder regelwijzigingen | Minder storingen en updates |
| Paden blokkeren waarin gebruikers kunnen schrijven | Veelvoorkomend misbruik stoppen | Minder uitvoering van malware en droppers |
| Eerst auditmodus bij de uitrol | Veilige uitrol | Vindt hiaten vóór handhaving |
| Firewall-containment | Impact beperken | Snijdt C2- en data-exfiltratiepaden af |
| Bewijs en reviews | Verantwoording | Helder auditspoor en QBR-klare rapportages |
NinjaOne-diensten die helpen niet-goedgekeurde software te blokkeren
Met NinjaOne kunt u GPO-ondersteunde scripts uitrollen of payloads configureren, handhavingslogs verzamelen en notificaties activeren bij geweigerde uitvoeringen. U kunt ook het genereren van bewijspakketten automatiseren en de rapportages toevoegen aan maandelijkse reviews of QBR voor gestroomlijnde compliancebewaking.
Bescherm gevoelige gegevens door niet-goedgekeurde software te blokkeren
Het blokkeren van ongewenste apps of software werkt het beste met een Windows-eigen control plane, een veilige gefaseerde uitrol en een strakke omgang met uitzonderingen. Containment met de host-firewall voor extra diepgang plus het bijhouden van logs en rapportages zorgt ervoor dat handhaving zichtbaar, controleerbaar en verdedigbaar is.
Gerelateerde onderwerpen:
