Zo maakt u aangepaste RMM-remediation scripts om DNS-, patching- en BitLocker-problemen automatisch te verhelpen

DNS-storingen, mislukte Windows-patches en verkeerd geconfigureerde BitLocker kunnen het beveiligingsbeleid van een omgeving verzwakken. Door het oplossen van deze problemen met scripts te automatiseren, verbetert u de gemiddelde reparatietijd (MTTR) en vermindert u zowel het aantal supporttickets als de duur van de uitvaltijd. Deze gids beschrijft remediation scripts die beheerders via remote management- en monitoringsoftware (RMM) kunnen inzetten om problemen op te lossen.

Kijkt u liever dan dat u leest? Bekijk dan onze video Zo maakt u aangepaste RMM-remediation scripts om DNS-, patching- en BitLocker-problemen automatisch te verhelpen.

Remediation scripts voor DNS-, patching- en BitLocker-problemen

Als u scripts via een RMM-platform uitrolt, beperkt u handmatige, repetitieve reparaties en beheren beheerders endpoints centraal en automatisch. Zo leveren ze sneller service en lossen ze problemen direct op terwijl endpoints blijven voldoen aan de eisen van de organisatie of de branche.

📌 Vereisten:

• Toegang tot een RMM-platform.
• PowerShell 5.1 of hoger op de doel-endpoints.
• Toegang tot een beheerdersaccount.
• Geïnstalleerde BitLocker- en Windows Update-functies.
• Groepsbeleidstoegang voor centrale uitrol.

📌 Aanbevolen uitrolstrategieën:

💡 Let op: de scripts in deze gids werken voor RMM-platforms die remote PowerShell- en batch-scriptuitrol bieden. Voor de eenvoud gebruiken we NinjeOne RMM als uitroltool voor onze remediation scripts.

⚠️ Belangrijk: voer de volgende stappen uit voor methode 1 tot en met 6 voordat u verdergaat:

Het RMM-platform van NinjaOne ondersteunt JavaScript, PowerShell, Batch, ShellScript en VBS Script. Zo uploadt u aangepaste scripts in de scriptbibliotheek van NinjaOne:

1. Open NinjaOne RMM en ga naar:

Administration > Library > Automation.

2. Druk binnen Automation op Add en selecteer New Script.
3. Vul de nodige velden en parameters voor uw aangepaste script in.
4. Voer de scripts uit deze gids in om ze als automatiseringsscript op te slaan.
   • Zorg ervoor dat de geselecteerde taal overeenkomt met de taal van het script.
5. Na het opslaan kunt u met de ingebouwde tools van NinjaOne de doeldevices voor automatisering selecteren door het selectievakje ernaast aan te vinken.

Methode 1: PowerShell-scripts gebruiken om DNS-problemen automatisch te verhelpen

📌 Use cases: gebruik PowerShell-scripts om de DNS te flushen en records van domeinnamen en IP-adressen door nieuwe te vervangen. Beheerders kunnen PowerShell ook gebruiken om de DNS-clientservice opnieuw te starten en zo de verbinding met DNS-servers te herstellen.

⚠️ Belangrijk: DNS-herstarts werken slechts tijdelijk in een domeinomgeving waarin DNS via GPO is geconfigureerd. (Zie ⚠️ Waar u op moet letten.)

Remediation script om de DNS-cache te flushen:

Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("8.8.8.8","8.8.4.4")
Clear-DnsClientCache

💡 Let op: niet alle devices gebruiken “Ethernet” als standaardnaam voor de netwerkadapter, wat fouten kan veroorzaken bij een uitrol in bulk. U kunt wildcard matching gebruiken bij scriptuitrol op doeldevices met uiteenlopende namen voor de netwerkadapter.

Get-NetAdapter | Where-Object { $_.Status -eq "Up" } | ForEach-Object {
Set-DnsClientServerAddress -InterfaceAlias $_.Name -ServerAddresses ("8.8.8.8", "8.8.4.4")
}
Clear-DnsClientCache

PowerShell-script om de DNS-clientservice opnieuw te starten:

Beheerders kunnen de DNS Client resetten in Services.msc, waarmee de DNS-cache in het geheugen wordt gewist en de DNS-resolver opnieuw wordt ingesteld.

Restart-Service -Name dnscache

Script om testresultaten van de DNS-resolutie te loggen

Het volgende script test of de DNS-resolutie werkt en logt fouten in het Windows-gebeurtenissenlogboek als dat niet zo is.

$test = Test-Connection google.com -Count 2 -Quiet
if (-not $test) {
Write-EventLog -LogName Application -Source "DNSFix" -EventID 3001 -EntryType Warning -Message "DNS resolution failed after fix."
}

💡 Tip: beheerders kunnen deze scripts in RMM-platforms inplannen voor regulier DNS-onderhoud. Biedt uw RMM realtime notificaties? Dan kunt u deze DNS-remediation scripts automatisch laten starten op basis van notificaties en logs.

Methode 2: batch-opdrachten inzetten om DNS te corrigeren via CMD

📌 Use case: gebruik het volgende batch-script om in één keer de DNS-cache te flushen, de client opnieuw te starten, een server in te stellen en de oplossing te testen.

Basisoplossing voor DNS-problemen met een batch-script:

@echo off
ipconfig /flushdns
net stop dnscache
net start dnscache
netsh interface ip set dns "Ethernet" static 8.8.8.8
if not exist C:\Logs mkdir C:\Logs
echo [%DATE% %TIME%] DNS test >> C:\Logs\dns_fix_result.txt
nslookup google.com >> C:\Logs\dns_fix_result.txt

⚠️ Belangrijk: een hardgecodeerde naam als “Ethernet” kan het script laten mislukken als er geen overeenkomende adapter bestaat, omdat netsh exacte namen vereist. (Zie ⚠️ Waar u op moet letten.)

Methode 3: PowerShell-scripts om mislukte patching op te lossen

📌 Use cases: gebruik de PowerShell-scripts om gemiste updates af te dwingen, updatecomponenten te resetten en updateresultaten te loggen voor foutdiagnose.

Opnieuw controleren en ontbrekende updates installeren:

Dit script installeert en importeert eerst de vereiste module PSWindowsUpdate, waarmee beheerders meer grip krijgen op updatebeheer. Daarna scant en installeert het alle openstaande updates zodat de doelmachines up-to-date zijn.

Install-Module PSWindowsUpdate -Force -AllowClobber
Import-Module PSWindowsUpdate
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

PowerShell-script om Windows Update-componenten te resetten:

Het volgende script stopt de Windows Update Service (wuauserv). Vervolgens verwijdert het script de map SoftwareDistribution, die gecachte updates en tijdelijke bestanden bevat die corruptie of vastgelopen updates kunnen veroorzaken. Gebruik dit script om mislukte updates na een beschadigde download op te lossen of om vastgelopen of trage updatescans te verhelpen.

Stop-Service wuauserv
Remove-Item -Path "C:\Windows\SoftwareDistribution" -Recurse -Force
Start-Service wuauserv

Een samenvatting van updatelogs genereren met scripts:

Gebruik onderstaand script om na de update diagnostische gegevens te verzamelen en logging te centraliseren voor eenvoudigere foutmonitoring.

Get-WindowsUpdateLog -LogPath "C:\Logs\WindowsUpdateSummary.txt"

⚠️ Belangrijk: zorg ervoor dat C:\Logs bestaat voordat u het als logpad aanwijst. (Zie ⚠️ Waar u op moet letten.)

Methode 4: batch-opdrachten uitvoeren in CMD om updates te troubleshooten

📌 Use case: via CMD kunt u batch-opdrachten uitrollen die updatecomponenten resetten en een scan starten.

Basis batch-script om updates te repareren:

Met de volgende batch-opdracht reset u snel de updatecomponenten en scant u op openstaande of gemiste updates. Anders dan bij methode 3 kan CMD updates echter niet automatisch installeren. Gebruikers moeten hun Windows-systemen dan handmatig bijwerken.

@echo off
net stop wuauserv
rd /s /q C:\Windows\SoftwareDistribution
net start wuauserv
wuauclt /detectnow

💡 Tip: stel een beleidsvoorwaarde in uw RMM in om dit script te starten wanneer Last Installed Update een ingesteld aantal dagen overschrijdt. Zo scannen uw beheerde endpoints automatisch, regelmatig en consistent op updates.

Methode 5: BitLocker-herstel via PowerShell-remediation scripts

Als BitLocker op endpoints is uitgeschakeld, voldoet een device niet aan de eisen en zijn de gegevens kwetsbaar voor dreigingen. Door BitLocker-bescherming consequent ingeschakeld te houden op alle beheerde endpoints, versterkt u dus het beveiligingsbeleid van een organisatie.

📌 Use cases: beheerders kunnen scripts in hun RMM gebruiken om de BitLocker-status te verifiëren, herstelsleutels te back-uppen, de versleutelingsstatus te controleren en die te loggen.

📌 Vereiste: devices met Trusted Platform Module (TPM)

Scripts om te controleren of BitLocker ontbreekt en het in te schakelen:

Met dit PowerShell-script kunnen beheerders het BitLocker-volumeobject van een specifiek station ophalen, bijvoorbeeld C:. Daarnaast schakelt het script BitLocker automatisch in als het uitstaat, zonder tussenkomst van de eindgebruiker.

$bitlocker = Get-BitLockerVolume -MountPoint "C:"
if ($bitlocker.ProtectionStatus -eq "Off") {
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector
}

💡 LET OP: -TpmProtector vereist een beschikbare en gereed zijnde TPM op het doeldevice. Toepassing op devices zonder TPM veroorzaakt een fout.

Herstelsleutel exporteren naar de domein controller of lokaal:

Onderstaand script zoekt naar de Recovery Password protector op een opgegeven BitLocker-volume. Daarna maakt het script een back-up van de herstelsleutel naar de domein controller of de standaardopslag. Zo blijft BitLocker-herstel mogelijk bij een TPM-reset of OS-corruptie.

Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId (
$bitlocker.KeyProtector | Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' }
).KeyProtectorId

De BitLocker-versleutelingsstatus controleren en loggen:

Beheerders kunnen onderstaand script gebruiken om een eenvoudig logbestand aan te maken als lokaal bewijs van de versleutelingsstatus van een device.

$bitlocker | Select-Object MountPoint, VolumeType, ProtectionStatus, EncryptionPercentage | Out-File "C:\Logs\bitlocker_status.txt"

💡 Tip: beheerders kunnen dit script automatisch volgens schema laten draaien of wanneer de BitLocker-beschermingsstatus als Uit wordt gedetecteerd.

Methode 6: registermethode voor beleid rond DNS, patches of BitLocker

Het register bevat waarden die beheerders kunnen configureren om onjuiste DNS-servers te vervangen, uitgestelde Windows-updates uit te schakelen en BitLocker geforceerd in te schakelen op devices zonder TPM.

⚠️ Waarschuwing: verkeerde configuraties in het register kunnen de stabiliteit van het systeem aantasten en problemen veroorzaken zoals opstartfouten en een flinke terugval in prestaties. (Zie ⚠️ Waar u op moet letten.)

📌 Use cases: gebruik PowerShell-scripts om registerconfiguraties te automatiseren en ze consistent op alle endpoints uit te rollen via een RMM-platform.

Een nieuwe DNS-server toewijzen met PowerShell-scripts:

Dit script wijst systeembreed een statische DNS-server toe en overschrijft daarmee alle automatische DNS-configuraties. Het systeem gebruikt daardoor de DNS die in het register is opgegeven; DNS-instellingen die via GPO worden afgedwongen overschrijven deze wijziging echter.

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name "NameServer" -Value "8.8.8.8"

Uitgestelde Windows-updates uitschakelen (als patching wordt geblokkeerd):

U kunt automatische updates in het register inschakelen door de DWORD-waarde NoAutoUpdate op 0 te zetten. Gebruik dit script in omgevingen waarin patching wordt geblokkeerd door een verkeerde configuratie of standaard is uitgeschakeld.

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" -Name "NoAutoUpdate" -Value 0 -Type DWord

BitLocker inschakelen met registerscripts:

Dit script schakelt BitLocker in op devices, ook op oudere machines zonder TPM, voor consistente versleuteling in de hele omgeving.

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EnableBDEWithNoTPM" -Value 1 -Type DWord

💡 Let op: u kunt BitLocker weliswaar inschakelen op devices zonder TPM, maar dan hebt u alternatieve protectors nodig zoals opstartwachtwoorden en USB-sleutels.

Methode 7: GPO gebruiken voor centrale uitrol van remediation scripts

📌 Use cases: beheerders kunnen een GPO inzetten om met scripts centraal DNS-servertoewijzingen, de installatie van Windows-updates en BitLocker-configuraties te regelen.

📌 Vereisten:

• Toegang tot de Groepsbeleidsbeheerconsole (gpmc.msc)
• Domeinbeheerdersrechten

⚠️ Belangrijk: test configuraties lokaal voordat u ze in de hele omgeving uitrolt. (Zie ⚠️ Waar u op moet letten.)

1. Druk op Win + R, typ Notepad en druk op Enter.
2. Kies het juiste script uit deze gids om uw DNS-, patching- of BitLocker-problemen op te lossen.
3. Plak het script in Kladblok, druk op Ctrl + Shift + S, geef het een naam en voeg een extensie toe.
   • Voeg .ps1 toe als het een PowerShell-script is (bijv. DNS-powershell.ps1).
   • Voeg .bat toe als het een batch-script is (bijv. patching-batch.BAT).
4. Klik op het vervolgkeuzemenu naast Opslaan als type en selecteer Alle bestanden.
5. Open de Groepsbeleidsbeheerconsole.
6. Zoek uw doel-OU, klik er met de rechtermuisknop op en kies Een GPO in dit domein maken en hier koppelen….
7. Klik met de rechtermuisknop op de nieuwe GPO en kies Bewerken.
8. Ga naar:

Computerconfiguratie > Beleidsregels > Windows-instellingen > Scripts (Opstarten/Afsluiten)

9. Dubbelklik op Opstarten, klik op Toevoegen en blader naar uw script op de netwerkshare om het te selecteren.
10. Gebruikt u .ps1-scripts? Ga dan ook naar het volgende pad:

Computerconfiguratie > Beleidsregels > Beheersjablonen > Systeem > Scripts

11. Stel het beleid Uitvoering van opstartscripts opgeven in op Alle scripts toestaan.

💡 Tip: u kunt het volgende PowerShell-script naar uw doel-endpoints uitrollen om configuraties direct toe te passen:

gpupdate /force

⚠️ Waar u op moet letten

Belangrijke aandachtspunten bij remediation scripts via RMM

In dit gedeelte bespreken we de belangrijkste aandachtspunten als u scripts inzet om DNS-, patching- en BitLocker-problemen op te lossen.

Beveiligingsoverwegingen

Sla bij gebruik van BitLocker de herstelsleutels op in een Active Directory en houd minimaal de richtlijnen voor lokale opslag aan. Daarnaast is het afdwingen van publieke DNS-servers zoals 8.8.8.8 alleen geschikt voor algemeen gebruik en niet voor omgevingen met strenge compliance-eisen.

Loggen voor audits en eenvoudig terugdraaien

Logs registreren de configuraties die scripts doorvoeren en leggen wijzigingen vast in een logbestand voor eenvoudige documentatie en validatie. Door wijzigingen regelmatig te loggen, lost u foutieve configuraties sneller op en hebt u een overzichtelijke referentie voor rollback-strategieën.

Doorlopende scripts opsplitsen in korte, modulaire scripts

Het is weliswaar eenvoudig om scripts die meerdere problemen oplossen te combineren, maar het is verstandig om ze op te splitsen in kleinere scripts. Zo kunt u gericht herstellen en beperkt u het risico dat werkende systeemfuncties per ongeluk verkeerd worden geconfigureerd.

Veelvoorkomende problemen bij scriptuitrol oplossen

Probleem 1: scripts worden niet goed uitgevoerd bij uitrol via RMM

Een veelvoorkomende reden dat scripts niet goed draaien zijn onvoldoende rechten van de RMM-agent. Zorg ervoor dat u beheerdersrechten hebt voordat u scripts uitvoert, zeker bij het wijzigen van registersleutels en -waarden.

Daarnaast blokkeren sommige systemen niet-ondertekende scripts, zoals scripts die van onbetrouwbare bronnen zijn gedownload. U kunt scripts tijdelijk toestaan in de huidige sessie door de volgende opdracht aan uw PowerShell-scripts toe te voegen:

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

Probleem 2: BitLocker is niet ingeschakeld na het uitvoeren van het script

Controleer voordat u een script uitvoert de TPM-status van uw doeldevice door een PowerShell-prompt met verhoogde rechten te openen en Get-Tpm in te voeren. Is TPM aanwezig? Controleer dan op afgedwongen BitLocker-GPO’s die met de configuratie kunnen conflicteren. Voor devices zonder TPM kunt u bovendien scripts gebruiken om BitLocker via het register in te schakelen.

Probleem 3: patch-remediation scripts mislukken stilzwijgend na uitvoering

Controleer om dit op te lossen of het device internettoegang heeft en de WSUS-server kan bereiken. Kijk daarnaast of er GPO’s zijn die Windows Update blokkeren, start vervolgens de Windows Update Agent opnieuw en start een updatescan.

NinjaOne-diensten om remediation scripts op endpoints uit te rollen

Met NinjaOne kunnen MSP’s automatisch herstel operationeel maken en opschalen met volledige transparantie en controle. Hieronder vindt u de diensten waarmee u de uitrol van remediation scripts voor DNS-, patching- en BitLocker-problemen stroomlijnt.

Problemen op schaal oplossen door scripts via een RMM uit te rollen

Door aangepaste scripts met een RMM-platform te automatiseren, lost u DNS-storingen, patchingproblemen en verkeerd geconfigureerde BitLocker consistent en op schaal op. U kunt de aangeboden modulaire scripts gebruiken om specifieke problemen gericht te verhelpen of ze combineren voor een brede implementatie. Rol scripts uit via RMM’s zoals NinjaOne voor triggers op basis van notificaties en scriptplanning, waarmee u probleemoplossing, scriptuitrol en audits automatiseert.

Gerelateerde onderwerpen:

• Zo beheert u BitLocker-schijfversleuteling op afstand met PowerShell
• Gids voor MSP’s: zo gebruikt u een RMM-platform
• DNS-cachebeheer onder de knie: DNS flushen met PowerShell
• Zo automatiseert u vulnerability management
• NinjaOne Automated Script Mastery for Streamlined IT Operations