Niet-beheerders verbieden om het portaal te gebruiken is een efficiënte manier om een gecontroleerde omgeving op te zetten of te versterken. Hebt u beheerdersrechten en wilt u de opdrachtprompt uitschakelen? Dan leidt deze handleiding u door het proces en krijgt u extra inzicht in het afdwingen van beveiligingsbeleid.
De opdrachtprompt is een krachtige tool waarmee u via tekstcommando’s allerlei beheer- en probleemoplossingstaken uitvoert.
Methoden om de opdrachtprompt uit te schakelen
Er zijn twee manieren om eindgebruikers te beletten de opdrachtprompt te openen:
✔️ Via de Editor voor lokaal groepsbeleid
✔️ Via de Register-editor
Het Windows-register is op elk Windows-device beschikbaar, maar een onzorgvuldige bewerking van de waarden kan het systeem beschadigen. Wij raden aan om eerst een back-up en een herstelpunt van het Windows-register te maken voordat u verdergaat.
Lokaal groepsbeleid (GPO) is daarentegen minder risicovol, maar alleen beschikbaar in de edities Windows Pro, Enterprise en Education. Bekijk met dat in het achterhoofd de onderstaande stappen om aan de slag te gaan.
Optie 1: via de Editor voor lokaal groepsbeleid (aanbevolen)
- Druk op Win + R, typ “gpedit.msc” in het dialoogvenster en klik op OK.
- Ga in de Editor voor lokaal groepsbeleid naar Gebruikersconfiguratie → Beheersjablonen → Systeem.
- Zoek het beleid Toegang tot de opdrachtprompt verhinderen, dubbelklik erop en zet het op Ingeschakeld.
🥷 Tip: (optioneel) na het inschakelen van dit beleid vindt u ook het beleid Scriptverwerking van de opdrachtprompt uitschakelen. Door dit beleid af te dwingen, voorkomt u dat gebruikers batchbestanden uitvoeren om de beperking op de opdrachtprompt te omzeilen.
Optie 2: via de Register-editor (voor gevorderde gebruikers)
- Druk op Win + R, typ “regedit” in het dialoogvenster en klik op OK om de Register-editor te openen.
- Navigeer naar deze map of plak het pad in de adresbalk van het register:
- HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows
- Staat de sleutel System niet onder Windows? Klik dan met de rechtermuisknop op Windows, selecteer Nieuw → Sleutel en noem deze System. Staat de sleutel er wel, klik dan op System om verder te gaan.
- Selecteer in System Nieuw → DWORD (32-bits) waarde en noem deze DisableCMD.
- Dubbelklik op DisableCMD en stel de waarde in op:
- 1 → schakelt de opdrachtprompt en .bat- en .cmd-scripts uit
- 2 → schakelt de opdrachtprompt uit
Alternatieve of aanvullende beveiligingsmaatregelen
Het uitschakelen van de opdrachtprompt is een goede basis om de toegangscontrole voor niet-beheerders aan te scherpen, maar op zichzelf is dat misschien niet genoeg om te voorkomen dat er ongeautoriseerde scripts in andere portalen draaien (zoals PowerShell).
Hieronder staan enkele extra beveiligingslagen die het overwegen waard zijn.
Toegang tot PowerShell beperken via lokaal groepsbeleid
Overweeg ook om ongeautoriseerde toegang tot PowerShell te blokkeren, want in dit portaal draaien veel opdrachtregelprogramma’s en nog krachtigere hulpprogramma’s die vergelijkbaar zijn met die in de opdrachtprompt. Bovendien gebruiken sommige gebruikers PowerShell om de beperkingen op de opdrachtprompt te omzeilen.
Zo schakelt u PowerShell uit via lokaal groepsbeleid:
- Druk op Win + R, typ “gpedit.msc” in het dialoogvenster en klik op OK.
- Ga naar Gebruikersconfiguratie → Beheersjablonen → Systeem.
- Zoek het beleid Opgegeven Windows-toepassingen niet uitvoeren en dubbelklik erop.
- Ga vervolgens naar Opties, klik op Weergeven en typ powershell.exe onder de kolom Waarde.
- Klik op OK en daarna op Toepassen om de wijzigingen te bevestigen.
U kunt ook powershell_ise.exe (de PowerShell ISE-interface) en pwsh.exe (PowerShell 7) aan de kolom Waarde toevoegen om te voorkomen dat gebruikers de beperkingen omzeilen.
AppLocker gebruiken om ongeautoriseerde scripts te blokkeren
Ook AppLocker, dat standaard in Windows zit, heeft eigen effectieve parameters om ongeautoriseerde scripts en batchbestanden tegen te houden. Houd er wel rekening mee dat AppLocker op zichzelf niet voorkomt dat bepaalde scripts draaien in de Constrained Language-modus van PowerShell.
Het is daarom verstandig om PowerShell en de opdrachtprompt allebei te blokkeren als de machine van de gebruiker die functionaliteit niet nodig heeft.
Gebruikersaccountbeheer (UAC) inschakelen om uitvoerrechten te beperken
UAC zo instellen dat een standaardgebruikersaccount wordt beperkt is nog een uitstekende manier om een veilige omgeving te waarborgen.
Gebruikers zonder verhoogde rechten krijgen namelijk een melding zodra ze een beperkt programma proberen te openen. De beheerders worden op de hoogte gebracht of de gebruiker moet eerst toestemming vragen voordat hij verder kan.
Veelvoorkomende problemen bij het in- of uitschakelen van de opdrachtprompt oplossen
Het uitschakelen van het portaal is op zich geen ingewikkeld proces, maar een paar kleine uitdagingen en aandachtspunten worden snel over het hoofd gezien. Hieronder staan enkele basisstappen om op terug te vallen als u een foutmelding tegenkomt.
Fout: Editor voor groepsbeleid kan niet worden geopend (gpedit.msc niet gevonden)
De Editor voor lokaal groepsbeleid is alleen beschikbaar in de volgende Windows-edities:
- Pro
- Education
- Enterprise
Draait uw device op Windows Home, gebruik dan de Register-editor.
Fout: de opdrachtprompt is nog steeds bereikbaar via PowerShell
Sommige gebruikers omzeilen de beperking op de opdrachtprompt door opdrachten in PowerShell vooraf te laten gaan door een prefix. Daarnaast zijn veel opdrachten en hulpprogramma’s uit de opdrachtprompt ook in PowerShell uit te voeren of hebben ze daar een equivalent. Daarom beperken IT-beheerders doorgaans zowel PowerShell als de opdrachtprompt wanneer ze de gebruikerstoegang inperken.
Fout: de opdrachtprompt moet weer worden ingeschakeld
U schakelt de opdrachtprompt weer in door het beleid Toegang tot de opdrachtprompt verhinderen op Niet geconfigureerd of Uitgeschakeld te zetten. Hebt u de beperkingen eerder via het Windows-register ingesteld, dan kunt u de sleutel System verwijderen als deze geen andere waarden bevat.
U kunt de DWORD-waarde DisableCMD ook terugzetten op 0 om de opdrachtprompt volledig weer in te schakelen.
Veelgestelde vragen over het in- of uitschakelen van de opdrachtprompt
Heeft het uitschakelen van cmd.exe invloed op de systeemprestaties?
Het uitschakelen van de opdrachtprompt heeft geen invloed op de systeemprestaties. Het beperkt alleen de mogelijkheid van niet-beheerders om opdrachten in het portaal uit te voeren.
Hebben beheerders nog toegang tot de opdrachtprompt?
Nee. Ook beheerders kunnen de opdrachtprompt op dit device niet meer openen. Alleen het systeem kan via dit portaal nog de benodigde scripts uitvoeren.
Heeft het uitschakelen van cmd.exe gevolgen voor batchbestanden en scripts?
Er zijn veel nauw verwante vragen over dit onderwerp, zoals “Hoe schakel ik CMD .bat uit?” of “Hoe schakel ik de scriptverwerking van de opdrachtprompt uit?”. Voor de duidelijkheid: het uitschakelen van de opdrachtprompt blokkeert geen batchbestanden, tenzij u dat beleid tegelijkertijd afdwingt.
Zoek het beleid Scriptverwerking van de opdrachtprompt uitschakelen om deze optie te beheren.
Blokkeert het uitschakelen van de opdrachtprompt ook PowerShell?
Nee, PowerShell moet apart worden uitgeschakeld. Bekijk de extra tips onder Aanvullende beveiligingsmaatregelen om te zien hoe u gebruikers de toegang tot PowerShell ontzegt.
Tot slot: de opdrachtprompt uitschakelen in Windows 10
De scriptverwerking van de opdrachtprompt uitschakelen is een goede basis voor een veilige IT-omgeving. Toch is dit beleid op zichzelf misschien niet genoeg om kwaadwillende gebruikers ervan te weerhouden de beperkingen te omzeilen. Overweeg daarom ook PowerShell uit te schakelen om de gaten te dichten.
Hebt u eenmaal besloten de opdrachtprompt uit te schakelen, dan kunt u het nieuwe beleid afdwingen via de Register-editor of via GPO. In de meeste gevallen raden we dat laatste aan als uw device draait op de edities Windows Pro, Enterprise of Education. Home-gebruikers kunnen anders het Windows-register bewerken, mits ze de nodige voorzorgsmaatregelen nemen.
💡 Liever een visuele uitleg? Bekijk dan Zo schakelt u de opdrachtprompt uit.
