Belangrijkste punten
- Open netwerken kunnen devices blootstellen aan datadiefstal, het onderscheppen van referenties en andere risico’s op het gebied van openbare wifi-beveiliging.
- Beperk endpoints tot goedgekeurde Service Set Identifiers (SSID’s) en blokkeer niet-goedgekeurde netwerken om onbedoelde verbindingen met ongeautoriseerde wifi-netwerken te voorkomen.
- Configureer firewall- en netwerkinstellingen om strengere beveiliging af te dwingen voor verbindingen via openbare wifi.
- Gebruik VPN’s en HTTPS-only browsen om gegevens tijdens het transport te beschermen en versleutelde DNS om DNS-query’s op openbare netwerken af te schermen.
- Leer gebruikers veilige verbindingsgewoonten aan en volg de compliance om de openbare wifi-beveiliging op alle beheerde endpoints sterk te houden.
Open wifi-netwerken zijn handig maar kunnen endpoints blootstellen aan beveiligingsrisico’s. Openbare wifi vergroot de kans op het onderscheppen van gegevens, diefstal van referenties en session hijacking. Devices die buiten gecontroleerde omgevingen worden gebruikt komen mogelijk in aanraking met onbetrouwbare netwerken, zeker wanneer medewerkers op afstand werken.
MSP’s en IT-beheerders moeten Windows-endpoints op openbare netwerken beveiligen. Deze gids beschrijft de benodigde stappen. Aan bod komen SSID-beheer, profielbeheer, firewallconfiguratie, transportbeveiliging, bewustwording bij gebruikers en continue monitoring.
Wilt u een snel visueel overzicht? Bekijk dan onze videogids Zo versterkt u de openbare wifi-beveiliging op beheerde endpoints
Stappen om de openbare wifi-beveiliging op beheerde devices te verbeteren
Openbare netwerken kunnen beheerde endpoints blootstellen aan beveiligingsrisico’s. In deze stappen vindt u praktische maatregelen om de blootstelling van endpoints aan de risico’s van openbare wifi te beperken.
Vereisten:
- De endpoints met Windows 10 en 11 moeten lid zijn van een Active Directory-domein of zijn ingeschreven in een oplossing voor Beheer van mobiele apparaten (MDM).
- U hebt beheerdersrechten nodig om WLAN-profielen, Group Policy-instellingen (GPO) en scripts uit te rollen.
- Hiervoor moet centrale logging beschikbaar zijn voor wijzigingen in de netwerkcategorie en firewallgebeurtenissen.
- U moet beschikken over een vastgelegde workflow in het ticketsysteem voor uitzonderingen en gebruikersmeldingen.
Stap 1: blokkeer of sta specifieke SSID’s toe om de openbare wifi-beveiliging te versterken
Het beperken van de netwerken waarmee endpoints verbinding mogen maken is een uitstekende manier om blootstelling aan wifi-beveiligingsrisico’s te verminderen. Begin met het instellen van allowlists en denylists voor SSID’s. Zo kunnen devices geen verbinding maken met niet-goedgekeurde wifi-netwerken op basis van hun SSID en maken ze alleen verbinding met goedgekeurde netwerknamen.
Toepassingen:
- Deze stap dwingt consistente verbindingsregels af en voorkomt onbedoelde blootstelling op openbare netwerken.
- Het verkleint het risico dat gebruikers verbinding maken met niet-goedgekeurde wifi-netwerken.
Vereisten:
- U hebt beheerdersrechten nodig om WLAN-filters of GPO-instellingen op beheerde endpoints uit te rollen.
- U hebt een bijgewerkte lijst met goedgekeurde SSID’s nodig om op te nemen in scripts of beleidsdefinities.
Denylist en allowlist met netsh
Gebruik de volgende commando’s in PowerShell of de opdrachtprompt om te bepalen met welke wifi-netwerken devices verbinding mogen maken:
netsh wlan add filter permission=block ssid="Free Public WiFi" networktype=infrastructure
Dit commando blokkeert verbindingen met een specifiek SSID. Vervang “Free Public WiFi” door het netwerk dat u wilt blokkeren.
netsh wlan add filter permission=allow ssid="CorpWiFi"networktype=infrastructure
Dit commando staat verbindingen met een specifiek goedgekeurd SSID toe. Vervang “CorpWiFi” door een SSID dat door uw organisatie is goedgekeurd.
netsh wlan show filters
Hiermee wordt de huidige lijst met toegestane en geblokkeerde netwerken getoond zodat u kunt controleren of de filters correct zijn toegepast.
Risicovolle opgeslagen netwerken verwijderen
netsh wlan delete profile name="Airport Free WiFi"
Dit commando verwijdert een bestaand opgeslagen netwerkprofiel. Vervang de voorbeeldnaam door de naam van het opgeslagen wifi-profiel dat u wilt verwijderen.
Deze beperkingen toepassen op domeincomputers via Group Policy
In plaats van deze commando’s handmatig uit te voeren kunt u Beleid voor draadloze netwerken (IEEE 802.11) in Group Policy gebruiken.
- Open de Group Policy Management Console (GPMC) op een domein controller.
- Maak een GPO aan of bewerk een GPO die is gekoppeld aan de OU (Organizational Unit) met uw beheerde devices.
- Ga naar:
Computerconfiguratie > Beleid > Windows-instellingen > Beveiligingsinstellingen > Beleid voor draadloze netwerken (IEEE 802.11) - Klik met de rechtermuisknop op Beleid voor draadloze netwerken (IEEE 802.11) en selecteer Een nieuw beleid voor draadloze netwerken maken voor Windows Vista en hoger.
- Configureer op het tabblad Netwerkmachtigingen een van de volgende opties:
- Alleen netwerken toestaan die u expliciet definieert (SSID-allowlist).
- Netwerken blokkeren op naam of type (SSID-denylist).
- Voeg de door uw organisatie goedgekeurde SSID’s toe onder Toegestane netwerken en voeg SSID’s of netwerktypen die uw organisatie wil beperken toe onder Geweigerde netwerken.
- Klik op OK en vervolgens op Toepassen om het beleid door te voeren.
- Voer gpupdate /force uit op de clientdevices of wacht tot de volgende Group Policy-vernieuwing om de instellingen af te dwingen.
Stap 2: laad vertrouwde profielen vooraf en geef ze prioriteit voor betere openbare wifi-beveiliging
U kunt bekende netwerkprofielen vooraf laden en prioriteit geven zodat endpoints niet automatisch verbinding maken met willekeurige of onveilige hotspots. Houd er rekening mee dat de beveiliging van openbare wifi vrijwel nihil is. Door vast te leggen welke netwerken devices mogen vertrouwen, verkleint u het risico op frauduleuze of vervalste accesspoints.
Toepassingen:
- Deze stap zorgt ervoor dat endpoints automatisch verbinding maken met vertrouwde netwerken vóór eventuele verbindingen met openbare wifi/
- Het verkleint het risico op onbedoelde verbindingen met onbeveiligde netwerken.
Vereisten:
- U hebt beheerdersrechten nodig om wifi-profielen op beheerde endpoints te configureren of uit te rollen.
- Hiervoor is een geëxporteerd of vooraf geconfigureerd XML-bestand voor uw goedgekeurde SSID’s nodig.
Een wifi-profiel vooraf laden
netsh wlan add profile filename="CorpWiFi.xml" interface="Wi-Fi" user=all
Hiermee voegt u een wifi-profiel toe voor alle gebruikers op het device. Vervang “CorpWiFi.xml” door het pad naar uw geëxporteerde XML-bestand met de goedgekeurde SSID-configuratie.
Verbindingsprioriteit instellen
netsh wlan set profileorder name="CorpWiFi" interface="Wi-Fi" priority=1
Hiermee stelt u de verbindingsprioriteit in zodat het endpoint automatisch eerst verbinding maakt met het vertrouwde SSID. Prioriteitswaarde “1” geeft het de hoogste voorkeur.
Verouderde profielen opschonen
U kunt verouderde of onveilige profielen verwijderen die verwijzen naar open SSID’s of netwerken. Gebruik het volgende commando om verouderde profielen te bekijken en te verwijderen:
netsh wlan show profiles
netsh wlan delete profile name="OldPublicWiFi"
Vervang “OldPublicWiFi” door de naam van het netwerk dat u wilt verwijderen.
Tips:
- Gebruik altijd authenticatie van enterpriseniveau, zoals WPA2-Enterprise of WPA-3 Enterprise. Deze dwingen sterkere versleuteling af waardoor de blootstelling op openbare netwerken afneemt.
- U kunt ook vooraf wifi-netwerkprofielen toevoegen zonder dat u verbinding hoeft te maken.
Stap 3: versterk de device-instellingen op onbetrouwbare wifi-netwerken
MSP’s moeten onbekende netwerken altijd als onbetrouwbaar beschouwen. Verharding van het Windows-netwerkprofiel Openbaar beperkt de blootstelling, blokkeert inkomend verkeer en schakelt onnodige detectiediensten uit.
Toepassingen:
- Deze stap vermindert de blootstelling wanneer devices verbinding maken met open of gedeelde netwerken buiten de bedrijfsperimeter.
- Het dwingt automatisch een restrictieve firewall- en netwerkhouding af zodra een nieuw of onbekend wifi-netwerk wordt gedetecteerd.
Vereisten:
- U hebt beheerdersrechten nodig op de beheerde endpoints.
- Devices moeten Windows 10 of 11 draaien met PowerShell 5.0 of hoger.
De netwerkcategorie Openbaar afdwingen bij onbekende netwerken
Dit PowerShell-commando forceert het netwerktype naar Openbaar en past automatisch strengere beveiligingsinstellingen toe.
Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public
De firewall aanscherpen voor het profiel Openbaar
Dit commando blokkeert standaard inkomende verbindingen en staat standaard uitgaande verbindingen toe voor het profiel Openbaar waardoor het risico op inbraak van buitenaf afneemt.
netsh advfirewall set publicprofile firewallpolicy blockinbound,allowoutbound
Hiermee schakelt u de pop-upmeldingen uit die vragen of nieuwe apps door de firewall mogen. Zo blijft de bescherming consistent, ook wanneer gebruikers lokale beheerdersrechten hebben.
netsh advfirewall set publicprofile settings inboundusernotification disable
Detectie- en deelfuncties uitschakelen
U kunt functies uitschakelen die de aanwezigheid van het device op openbare netwerken kenbaar maken, zoals Netwerkdetectie en Bestands- en printerdeling. Dat doet u via:
Configuratiescherm > Netwerkcentrum > Geavanceerde instellingen voor delen.
Daarnaast kunt u Group Policy gebruiken om de bijbehorende Windows Firewall-instellingen voor niet-domeinnetwerken te configureren onder Computerconfiguratie > Beheersjablonen > Netwerk > Netwerkverbindingen > Windows Firewall > Domeinprofiel.
Stap 4: dwing versleutelde verbindingen af om gegevens op openbare wifi te beschermen
Verkeer op open netwerken kan nog steeds worden onderschept, zelfs met netwerkbeperkingen en firewallverharding. Door veilig transport te vereisen, blijft alle data die het device verlaat versleuteld waardoor de bescherming op openbare wifi als geheel sterker wordt.
Toepassingen:
- Deze stap beschermt bedrijfsgegevens door verbindingen te versleutelen, ook wanneer gebruikers bronnen benaderen via openbare of onbetrouwbare netwerken.
- Het zorgt ervoor dat gebruikers VPN- of versleutelde kanalen niet kunnen omzeilen wanneer ze verbinding maken vanuit niet-zakelijke omgevingen.
Vereisten:
- U moet beheerdersrechten hebben om VPN- of netwerkbeleid op beheerde endpoints te configureren.
- U hebt een bestaande VPN-oplossing en de mogelijkheid tot browserbeleidsbeheer nodig.
VPN verplicht stellen op openbare netwerken
Configureer het VPN-beleid zo dat endpoints automatisch verbinding maken met een bedrijfs-VPN zodra de Windows-netwerkcategorie op Openbaar staat. Zo loopt al het verkeer van openbare wifi via versleutelde bedrijfstunnels.
Browserversleuteling afdwingen
Schakel de HTTPS-only-modus en HSTS-preloadlijsten (HTTP Strict Transport Security) in ondersteunde browsers in. Deze instellingen dwingen HTTPS-verbindingen af of geven ze prioriteit, afhankelijk van de browser en de site, en helpen downgrade-aanvallen te voorkomen.
Versleutelde DNS inschakelen
Als uw omgeving dit ondersteunt, configureert u DNS over HTTPS (DoH) via Group Policy of deviceconfiguratie. In Windows 11 stelt u dit in via:
Computerconfiguratie > Beheersjablonen > Netwerk > DNS-client > DNS over HTTPS inschakelen
Zo worden DNS-query’s versleuteld waardoor onderschepping en manipulatie op openbare wifi-netwerken worden voorkomen.
Stap 5: informeer gebruikers over veilig gebruik van openbare wifi
Technische maatregelen zijn al een uitstekende bescherming maar het gedrag van gebruikers is vaak doorslaggevend voor de openbare wifi-beveiliging. Het is belangrijk om gebruikers te leren onveilige netwerken te herkennen en basisvoorzorgsmaatregelen toe te passen zodat ze beschermd blijven wanneer ze verbinding maken buiten beheerde omgevingen.
Toepassingen:
- Deze stap helpt gebruikers risicovolle verbindingen te herkennen en te vermijden tijdens reizen of werken op afstand.
- Het versterkt technische maatregelen met duidelijke gewoonten die onbedoelde blootstelling van gegevens voorkomen.
Vereisten:
- Voor deze methode hebt u een manier nodig om gebruikersinstructies te verspreiden, zoals interne documentatie of een beknopte handleiding.
- U houdt het best een eenvoudige checklist of visuele geheugensteun bij met de belangrijkste wifi-veiligheidsregels.
De belangrijkste onderwerpen op een rijtje:
- Schakel de HTTPS-only-modus en HSTS-preloadlijsten (HTTP Strict Transport Security) in ondersteunde browsers in. Deze instellingen dwingen HTTPS-verbindingen af of geven ze prioriteit, afhankelijk van de browser en de site, en helpen downgrade-aanvallen te voorkomen.
- Gebruik waar mogelijk het bedrijfs-VPN. Benader zonder VPN nooit gevoelige gegevens of interne tools op open netwerken.
- Controleer of de verbinding via HTTPS versleuteld is voordat u verdergaat. Stop meteen als de browser waarschuwingen over het certificaat of de verbinding toont.
- Meld verdacht gedrag bij IT. Signaleer herhaalde verbroken verbindingen, meerdere aanmeldprompts of onverwachte doorverwijzingen.
Door gebruikers te trainen in veilig gedrag op openbare wifi, dicht u het laatste beveiligingsgat waartegen technisch beleid alleen geen bescherming biedt.
Stap 6: monitor en evalueer het beveiligingsbeleid voor openbare wifi
Zelfs gestructureerd beleid kan na verloop van tijd afdrijven doordat gebruikers reizen, netwerken veranderen en er nieuwe uitzonderingen bij komen. Consistente monitoring zorgt ervoor dat uw beveiligingsmaatregelen voor openbare wifi effectief en consistent blijven op alle beheerde endpoints.
Toepassingen:
- Deze stap helpt configuratiedrift, ongeautoriseerde netwerkverbindingen of devices die het vastgestelde wifi-beleid omzeilen op te sporen.
- Het geeft beter zicht op het daadwerkelijke gebruik waardoor beheerders filters, VPN-regels of firewallinstellingen kunnen bijstellen.
Vereisten:
- U hebt gecentraliseerde logging of een RMM-platform nodig dat wifi-profielen, firewallgebeurtenissen en VPN-status kan volgen.
- Hiervoor zijn rapportagesjablonen of dashboards nodig die veranderingen in netwerkgedrag in de tijd zichtbaar maken.
Belangrijke signalen om te monitoren:
- Nieuwe opgeslagen wifi-profielen op endpoints die niet op de lijst met goedgekeurde SSID’s staan.
- Frequente overgangen naar openbare netwerken of terugkerende firewallnotificaties die wijzen op risicovolle verbindingen.
- Applicaties die listeners of poorten openen wanneer het profiel op openbaar staat.
Aanbevolen evaluatieschema:
- Maandelijks: u kunt alle nieuwe SSID’s, verbindingsuitzonderingen en firewallactiviteit op de endpoints doornemen.
- Elk kwartaal: voer steekproeven uit om het VPN-gedrag, de firewall-compliance en de handhaving van de instellingen voor openbare netwerken te controleren.
Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Oplossingen |
| Ongecontroleerde beleidsdrift | Devices behouden mogelijk oude wifi-profielen of verliezen firewallbeperkingen waardoor de bescherming als geheel verzwakt. | Plan regelmatige beleidsaudits en dwing updates af via RMM of Group Policy. |
| Onvolledige VPN-handhaving | Gebruikers maken mogelijk verbinding met bedrijfsbronnen via verbindingen die niet veilig zijn. | Dwing VPN-beleid af op openbare netwerken en monitor de compliance. |
| Gebrek aan bewustzijn bij gebruikers | Gebruikers maken mogelijk alsnog verbinding met onveilige netwerken of negeren certificaatwaarschuwingen. | Geef korte, terugkerende beveiligingsherinneringen over veilig gebruik van openbare wifi. |
Zo handhaaft en monitort NinjaOne de openbare wifi-beveiliging op beheerde endpoints
Met de automatisering, scripting en rapportage van NinjaOne kunnen MSP’s eenvoudiger beleid voor openbare wifi-beveiliging afdwingen en monitoren op hun endpoints.
Beleid uitrollen
Met NinjaOne-scripts en -automatiseringen kunt u SSID-filters doorvoeren, goedgekeurde wifi-profielen vooraf laden en firewallinstellingen voor het profiel Openbaar toepassen. Zo blijven de configuraties op alle beheerde endpoints consistent.
Detectie en notificaties
NinjaOne kan met aangepaste scripts en monitoringvoorwaarden endpoints opsporen die nieuwe wifi-profielen opslaan of hun netwerkcategorie wijzigen. Deze notificaties helpen onverwachte netwerkactiviteit of tekenen van configuratiedrift te herkennen.
Uitzonderingen afhandelen
NinjaOne kan ticketautomatisering gebruiken om tijdelijke toegangsverzoeken te volgen en tijdgebonden acties te activeren voor de afhandeling van uitzonderingen.
Rapportage
NinjaOne kan met aangepaste scripts, velden en rapporten inzicht geven in de naleving van het SSID-beleid, de VPN-status en de firewallhouding op alle beheerde endpoints. Met deze rapporten beoordeelt u de dekking van endpoints en de algehele status van de wifi-beveiliging.
De openbare wifi-beveiliging op beheerde endpoints versterken
Gebruikers zullen openbare wifi blijven gebruiken tijdens het reizen of werken op afstand. U moet de risico’s begrijpen en maatregelen toepassen die de blootstelling beperken zonder de productiviteit te hinderen.
Hanteer een gelaagde beveiligingsaanpak. Dwing SSID-allowlists af en geef prioriteit aan vertrouwde netwerkprofielen. Verhard de netwerkinstellingen en vereis VPN- of HTTPS-verbindingen.
Combineer deze maatregelen met gebruikerstraining en regelmatige monitoring. Zo beschermt u endpoints op onbetrouwbare netwerken.
Gerelateerde onderwerpen:
