Zo implementeert u Privileged Access Workstations (PAW’s) voor technici

Privileged Access Workstations (PAW’s) zijn speciale computeropstellingen voor gevoelige beheertaken. Ze bieden een veilige, geïsoleerde omgeving voor gebruikers met verhoogde rechten en beschermen hen tegen dreigingen en aanvalsvectoren.

Door apparaten voor dagelijks gebruik te scheiden van PAW’s, verkleint u het aanvalsoppervlak en beperkt u het risico op laterale bewegingen door phishing, malware of dreigingen via de browser.

Wilt u dit onderwerp liever visueel uitgelegd krijgen? Bekijk dan Zo implementeert u Privileged Access Workstations (PAW’s) voor technici.

PAW’s implementeren: een stapsgewijze handleiding

Het uitrollen van PAW’s vraagt om meerdere stappen, waarvan de meeste gebruikmaken van ingebouwde Windows-beveiligingsfuncties, Groepsbeleid en PowerShell. Met de onderstaande stappen bouwt u geharde, beleidsgestuurde beheer-endpoints.

Vereisten:

• Een ondersteunde versie van Windows 11 Enterprise of Pro
• Toegang tot de Console voor groepsbeleidsbeheer en PowerShell
• Optioneel: toegang tot NinjaOne voor monitoring na de uitrol

Stap 1: bepaal de use cases en segmentatie van PAW’s

Het vastleggen van PAW-use cases helpt bij het opbouwen van een zero-trustmodel voor beheertoegang. Deze stap trekt een grens tussen apparaten voor dagelijks gebruik en werkplekken voor geprivilegieerde handelingen.

Use case: scheidt apparaten voor dagelijks gebruik van werkplekken voor geprivilegieerde handelingen

(A) Breng geprivilegieerde rollen in kaart

Bepaal welke gebruikers geprivilegieerde toegang nodig hebben en deel hun beheerverantwoordelijkheden in op basis van het beveiligingsniveau van de resources die zij beheren:

• Niveau 0
  • Hieronder vallen Active Directory, domeincontrollers en kritieke identiteitsinfrastructuur. Dit is het hoogste niveau van beheerrechten en vraagt om de strengste beveiligingsmaatregelen
• Niveau 1
  • Dit betreft servers en applicaties.
• Niveau 2
  • Dit betreft gebruikerswerkplekken en endpoints.

(B) Leg het doel van elke PAW vast

Wijs PAW’s toe per niveau om geprivilegieerde handelingen te isoleren en te beschermen.

• Niveau 0: identiteitsbeheer
  • Beheerders op niveau 0 zijn verantwoordelijk voor het beheer van Active Directory (AD), domeincontrollers (DC) en andere systeemonderdelen. Gebruikers op niveau 0 hebben de hoogste toegangsrechten en kunnen gebruikersaccounts aanmaken of wijzigen, beveiligingsbeleid beheren en netwerkinstellingen bepalen.

• Niveau 1: serverbeheer

• • Beheerders op niveau 1 zijn verantwoordelijk voor het beheer van servers en applicaties, waaronder de uitrol van software, updates en onderhoud. Zij kunnen deze systemen beheren maar mogen geen beheertoegang hebben tot resources op niveau 0, zoals domeincontrollers van Active Directory.

• Niveau 2: ondersteuning van eindgebruikers
  • Beheerders op niveau 2 bieden ondersteuning aan eindgebruikers en voeren routineonderhoud uit, zoals software-installaties en probleemoplossing. Deze rechten zijn beperkt om te voorkomen dat servers of het hele netwerk worden beïnvloed.

Tip: er mag geen laterale beweging tussen niveaus mogelijk zijn. Beheerders van resources op niveau 0 mogen dus nooit vanaf dezelfde PAW inloggen op systemen van niveau 1 of 2.

(C) Beperk het gebruik om de beveiliging af te dwingen

U moet PAW’s verharden om compromittering te voorkomen door softwarebeperkingen en gebruiksregels toe te voegen:

• Geen internetgebruik
  • Blokkeer HTTP- en HTTPS-verkeer of beperk dit tot goedgekeurde interne updateservices, want internettoegang is een belangrijke aanvalsvector.

• Geen e-mailclients
  • E-mail is een risicovolle vector voor phishing en malware. Gebruik in plaats daarvan een aparte werkplek of een VDI-sessie (Virtual Desktop Infrastructure) voor e-mailtoegang.

• Geen persoonlijke applicaties
  • Verbied niet-goedgekeurde apps, zoals chatapplicaties, productiviteitssoftware, mediaspelers, browsers enzovoort.

Stap 2: pas Groepsbeleid toe voor verharding en app-restricties

Groepsbeleidsobjecten (GPO’s) zijn een schaalbare en afdwingbare manier om consistente beveiligingsinstellingen op alle PAW’s toe te passen. Met deze stap zorgt u dat systeemgedrag wordt vastgezet, risicovolle functies worden uitgeschakeld en toegangscontrolemechanismen overal gelijk worden toegepast.

Use case: standaardiseert de verharding van werkplekken via afdwingbare GPO-instellingen

Vereiste: beheerdersrechten

1. Druk op Win + R, typ gpedit.msc en druk op Enter.
2. Ga naar de volgende paden en configureer de instellingen zoals aangegeven
   • Toegang tot verwisselbare opslag blokkeren:
     • Ga naar Computerconfiguratie > Beheersjablonen > Systeem > Toegang tot verwisselbare opslag
     • Open Alle klassen voor verwisselbare opslag: alle toegang weigeren,
     • Selecteer Ingeschakeld
       • klik op “Toepassen”
   • Het lokale beheerdersaccount uitschakelen:
     • Ga naar Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Beveiligingsopties
     • Open Accounts: status van beheerdersaccount
     • Selecteer Uitgeschakeld
       • klik op “Toepassen”
   • Credential Guard en Device Guard inschakelen:
     • Ga naar Computerconfiguratie > Beheersjablonen > Systeem > Device Guard
     • Open Virtualisatiegebaseerde beveiliging inschakelen en selecteer
     • Selecteer onder Configuratie van Credential Guard de optie Ingeschakeld zonder vergrendeling of Ingeschakeld met UEFI-vergrendeling, afhankelijk van de eisen van uw organisatie.
     • Klik op “Toepassen” en start het device opnieuw op nadat het beleid is toegepast.

Stap 3: schakel BitLocker en apparaatversleuteling in

Deze stap schakelt BitLocker met sterke versleuteling in en dwingt standaarden af die aansluiten op het beveiligingsbeleid van uw organisatie.

Use case: versleutelt de systeemschijven van PAW’s met sterke versleuteling om ongeautoriseerde toegang tot schijfgegevens en referenties te voorkomen

Vereiste: beheerdersrechten

Volg de onderstaande stappen om BitLocker via PowerShell in te schakelen:

1. Druk op Win, typ PowerShell en klik op Als administrator uitvoeren.
2. Controleer de huidige BitLocker-status met de volgende opdracht:

Get-BitLockerVolume -MountPoint "C:"

Let op: als BitLocker al is ingeschakeld en de beveiliging actief is, slaat u de resterende activeringsstappen over en controleert u of er een veilige back-up van de herstelsleutel bestaat.

Als BitLocker niet is ingeschakeld, controleer dan of het device aan de vereisten voldoet, waaronder de beschikbaarheid van TPM, en voer de volgende opdracht uit:

Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

3. Als er nog geen beveiliging met herstelwachtwoord is geconfigureerd, voegt u deze toe met de volgende opdracht:

Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector

4. Maak een back-up van de BitLocker-herstelsleutel op een goedgekeurde, veilige locatie en controleer of deze kan worden opgehaald.
5. Controleer of BitLocker-versleuteling en -beveiliging zijn ingeschakeld met:

Get-BitLockerVolume -MountPoint "C:"

Let op: maak een back-up van de herstelsleutel voor het geval u deze later nodig hebt. Volg daarvoor de onderstaande stappen:

1. Druk op Start, typ BitLocker en selecteer BitLocker beheren in de lijst met resultaten.
2. Selecteer Een back-up van uw herstelsleutel maken naast de schijf waarvan u een back-up wilt maken.
3. Selecteer waar u de sleutel wilt opslaan.
4. Druk op Voltooien.

Waarschuwing: een verkeerd geconfigureerde TPM kan leiden tot opstartproblemen of onherstelbare versleuteling (meer informatie vindt u bij: Waar u op moet letten.)

Stap 4: configureer netwerk- en firewallisolatie

Beheer het netwerkverkeer van een PAW streng om het aanvalsoppervlak zo klein mogelijk te houden.

Use case: voorkomt dat PAW’s het publieke internet bereiken en staat tegelijk verbindingen toe met interne beheerservers en update-infrastructuur

Vereiste: beheerdersrechten

1. Druk op Win, typ PowerShell en klik op Als administrator uitvoeren.
2. Kopieer en plak het volgende script in de prompt en druk daarna op Enter:

Set-NetFirewallProfile -Profile Domain -DefaultOutboundAction Block

Let op: zorg dat de benodigde uitgaande toestaanregels zijn geconfigureerd en gecontroleerd voordat u deze opdracht uitvoert, zodat essentiële verbindingen niet wegvallen. Controleer of het firewallprofiel Domein van toepassing is op de PAW.

Maak en controleer specifieke toestaanregels voor kritieke infrastructuur voordat u uitgaand verkeer blokkeert.

• Update-endpoints
• RMM- of beheerservers
• Logging- of monitoringsystemen
• DNS-servers en interne naamresolutie

Overweeg daarnaast om PAW’s in een eigen VLAN (Virtual Local Area Network) te plaatsen. Sta verkeer uitsluitend toe naar:

• Interne beheerdiensten
• Gecontroleerde update-infrastructuur

VLAN’s bieden afdwingbare grenzen op netwerkniveau.

Stap 5: beperk de toegang tot applicaties

Deze stap zorgt dat alleen vertrouwde beheertools kunnen draaien en blokkeert potentieel gevaarlijke en overbodige apps die als aanvalsvector kunnen dienen.

Use case: voorkomt dat niet-essentiële of risicovolle software op PAW’s wordt uitgevoerd

Vereiste: beheerdersrechten

Pro-tip: sluit uzelf niet buiten

Zet AppLocker eerst 3 tot 5 dagen op “Alleen controleren” voordat u overschakelt naar “Regels afdwingen”.

• Raadpleeg Logboeken: ga naar Logboeken voor toepassingen en services > Microsoft > Windows > AppLocker.
• Identificeer blokkades: let op vermeldingen die cruciale beheertools markeren (zoals specifieke RMM-plugins, NinjaOne-agents of gespecialiseerde diagnostiek) die geblokkeerd zouden zijn.
• Pas regels aan: voeg uitzonderingen toe voor deze tools voordat u de harde restrictie inschakelt, zodat u uw eigen workflow niet onbruikbaar maakt.

AppLocker configureren:

1. Druk op Win + R, typ gpmc.msc en druk op Enter.
2. Ga naar het volgende pad:

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Beleid voor toepassingsbeheer > AppLocker

• • Toestaan:
    • MMC
    • PowerShell
    • Beheerportalen
  • Weigeren:
    • Browsers, e-mailclients, sociale media en berichtenapps

Stap 6: configureer remote access en MFA-handhaving

Door MFA (Multi-Factor Authentication), VPN-toegang en gecontroleerd sessiebeheer af te dwingen, zorgt u dat beheerverbindingen op afstand veilig zijn en beperkt blijven tot geautoriseerde gebruikers.

Use case: maakt veilige, beleidsgestuurde RDP-toegang tot geprivilegieerde hosts mogelijk en dwingt VPN, MFA, sessielimieten en op endpoints gebaseerde toegangscontrole af

Vereiste: beheerdersrechten

(A) VPN verplichten voor RDP-toegang op afstand (Remote Desktop Protocol)

• Verplicht dat alle beheertoegang op afstand via een beveiligde VPN-tunnel loopt.
• Beperk RDP aan de rand van het netwerk met firewalls.

Dit voegt een beveiligingslaag toe en zorgt dat de client zich in een vertrouwd netwerksegment bevindt. Zo worden RDP-poorten niet rechtstreeks blootgesteld aan het internet.

Let op: gebruik voor PAW’s op niveau 0 certificaatgebaseerde authenticatie via uw VPN. Zo kan alleen het specifieke, fysieke PAW-device een verbinding met het beheernetwerk proberen op te zetten, waardoor ongeautoriseerde devices het inlogscherm niet eens te zien krijgen.

(B) Een inkomende firewallregel voor RDP maken

1. Druk op Win, typ cmd en klik op Als administrator uitvoeren.
2. Kopieer en plak het volgende script in de prompt en druk daarna op Enter:
   • netsh advfirewall firewall add rule name="Allow Admin RDP" dir=in action=allow protocol=TCP localport=3389

Probleemoplossing/waar u op moet letten

NinjaOne-diensten om de uitrol van PAW’s op te schalen

Met NinjaOne kunnen MSP’s de uitrol van PAW’s opschalen, standaardisatie behouden en risico’s verlagen zonder in te leveren op productiviteit. NinjaOne versterkt de PAW-strategie concreet door:

• Geharde baselines uit te rollen met PowerShell-scripts
• PowerShell-scripts op afstand uit te voeren om firewall, BitLocker of app-restricties te valideren
• De staat en patchstatus van beheerwerkplekken te monitoren
• PAW’s apart te taggen in de inventaris voor rapportage, audits en compliance
• Te waarschuwen bij ongeautoriseerde software-installaties en met aangepaste scripts wijzigingen in de beveiligingsconfiguratie op PAW-endpoints te monitoren

Veilig beheer op afstand met PAW’s

Privileged Access Workstations scheiden gevoelige beheeractiviteiten van algemeen computergebruik. Door referenties te isoleren en de endpoints voor domein- of systeembeheer te beveiligen, verkleinen MSP’s en IT-teams het risico op escalatie van een inbreuk en herkennen ze compromittering sneller.

Gerelateerde onderwerpen:

• Wat is Privileged Access Management (PAM)?
• Wat is Identity & Access Management (IAM)?
• Wat is een werkplek?
• Netwerken in- of uitschakelen in Windows Sandbox
• Beveiliging en machtigingen stroomlijnen met Role Based Access Control