Zo maakt u Zero Trust security operationeel

Zero Trust is een beveiligingsmodel gebaseerd op het principe “never trust, always verify”, waarbij ervan wordt uitgegaan dat inbreuken onvermijdelijk zijn. Elk toegangsverzoek moet daarom worden geverifieerd. Het is een krachtig beveiligingsmodel, maar een slechte uitvoering levert onnodige wrijving op voor gebruikers. Het doel is om voorwaardelijke, contextbewuste beveiliging op te zetten die stil op de achtergrond werkt en beheerders tegelijk volledige controle en inzicht geeft.

Deze gids beschrijft methoden om Zero Trust security operationeel te maken voor beter toezicht en meer controle. Wilt u een visuele uitleg van dit onderwerp? Bekijk dan Zo maakt u Zero Trust security operationeel.

Methoden om Zero Trust security operationeel te maken

Zorg dat het volgende geregeld is voordat u begint.

📌 Algemene vereisten:

• Microsoft Entra ID (voorheen Azure AD) Premium P1 of P2 (P1 is vereist voor Conditional Access, P2 voor Identity Protection)
• Microsoft Defender for Endpoint (voor risicobeoordeling van devices)
• PowerShell 5.1+ (7+ aanbevolen) met de module Microsoft.Graph
• GPO en lokale beheerderstoegang
• RMM-platform (bijvoorbeeld NinjaOne) voor beleidsuitrol op basis van tags en validatie van endpoints

Methode 1 (identiteitscontroles): stel contextgebaseerde Conditional Access-beleidsregels op

Conditional Access (CA) is de motor van Zero Trust. Het is een belangrijke functie in Microsoft Entra ID die regels toepast (toestaan, beperken, blokkeren) op basis van signalen zoals risiconiveau, compliance van het device, locatie en meer. Met deze methode bouwt u de eerste verdedigingslinie van uw Zero Trust-strategie.

📌 Use cases: het meest geschikt wanneer u toegang vanaf risicovolle of onbeheerde devices wilt blokkeren en naadloze toegang wilt toestaan vanaf vertrouwde, compliant endpoints.

📌 Vereisten:

• Microsoft Entra ID P1- of P2-licentie (voor Conditional Access en Identity Protection)
• Devices die zijn geregistreerd in of gesynchroniseerd met Entra ID
• Beheerderstoegang tot het Microsoft Entra-beheercentrum
• Optioneel: PowerShell 5.1+ (7+ aanbevolen) met de module Microsoft.Graph voor automatisering en rapportage

Stap voor stap:

1. Ga naar het Microsoft Entra-beheercentrum.
2. Meld u aan met een account dat beheerdersrechten voor Conditional Access heeft.
3. Selecteer in het menu links Entra ID > Conditional Access.
4. Klik op + Nieuw beleid maken.
5. Geef het beleid een duidelijke, beschrijvende naam.
6. Selecteer onder Toewijzingen de gebruikers of groepen die u wilt opnemen.
7. Klik op Doelresources (voorheen Cloud-apps) en selecteer de applicaties of resources waarvoor het beleid moet gelden.
8. Klik op Voorwaarden en stel de contextsignalen in.

💡 Tip: vermijd brede regels die iedereen blokkeren. Gebruik in plaats daarvan de beschikbare opties onder Voorwaarden (Apparaatplatforms, Locaties, Client-apps, Apparaatfilters of Verificatiestromen) zodat de controles alleen gelden wanneer specifieke risico’s worden gedetecteerd.

9. Verleen of blokkeer Toegangsbeheer.
10. Zet het beleid op Alleen rapport > Maken > valideer via Inzichten en rapportage > en zet het daarna op Aan. (Lees punt 1 in ⚠️ Waar u op moet letten.)

Optioneel: gebruik PowerShell om risicovolle gebruikers op te halen

Wilt u risicovolle gebruikers identificeren, gebruik dan PowerShell:

Connect-MgGraph -Scopes "IdentityRiskEvent.Read.All"

Get-MgRiskyUser | Where-Object { $_.RiskLevel -eq "high" } | Select-Object UserPrincipalName, RiskLevel

📌 Let op: deze opdracht haalt alleen gebruikers op die als hoog risico zijn gemarkeerd. U kunt het filter desgewenst aanpassen om ook gemiddelde of lage risiconiveaus op te nemen.

Voorbeeldlogica voor een Conditional Access-beleid

• Blokkeer toegang voor onbekende devices met risiconiveau = Hoog.
• Vereis MFA alleen bij toegang vanaf onbeheerde of niet-vertrouwde IP-adressen.
• Sta naadloze toegang toe vanaf compliant, hybrid-joined, bekende devices.

Methode 2 (identiteitscontroles): stroomlijn MFA, SSO en sessiebeheer

Deze methode versterkt de identiteitsbeveiliging door MFA, SSO en sessiebeheer te stroomlijnen, zodat er minder wrijving ontstaat zonder dat de bescherming afneemt. Zo brengt u de juiste balans in een Zero Trust-aanpak.

📌 Use cases: te gebruiken om MFA te vereisen voor gevoelige apps, SSO in te schakelen, sessieduur af te stemmen en de algehele ervaring op vertrouwde devices te verbeteren.

📌 Vereisten:

• Microsoft Entra ID P1- of P2-licentie (voor Conditional Access en adaptieve risicobepaling)
• Devices die zijn geregistreerd in of gesynchroniseerd met Entra ID
• Beheerderstoegang tot het Microsoft Entra-beheercentrum
• Optioneel: PowerShell 5.1+ (7+ aanbevolen) met de module Microsoft.Graph voor automatisering

Stap voor stap:

Voorkom wrijving door authenticatie af te stemmen op adaptieve toegang en device trust:

1. Maak een Conditional Access-beleid dat MFA vereist onder Toegangsbeheer

1. 1. Ga naar het Microsoft Entra-beheercentrum.
   2. Selecteer in het menu links Entra ID > Conditional Access.
   3. Maak een beleid of bewerk een bestaand beleid.
   4. Kies onder Toegangsbeheer de optie Toegang verlenen.
   5. Selecteer Meervoudige verificatie vereisen.

2. Schakel Single Sign-On (SSO) in

1. 1. Ga naar het Microsoft Entra-beheercentrum > Bedrijfstoepassingen.
   2. Selecteer de applicatie.
   3. Kies onder Eenmalige aanmelding de optie SAML of OIDC, afhankelijk van de app.
   4. Configureer de app-instellingen.
   5. Wijs gebruikers of groepen toe aan de app.
   6. Test de configuratie om te controleren of het aanmelden soepel verloopt.

📌 Let op: OIDC/OAuth2 wordt vaak geconfigureerd via App-registraties (of gallery-apps die OIDC ondersteunen) en niet alleen via Bedrijfstoepassingen.

3. Configureer het sessiebeheer

1. 1. Ga in hetzelfde Conditional Access-beleid naar Sessiebeheer.
   2. Configureer: (Lees punt 2 in ⚠️ Waar u op moet letten.)
      • Aanmeldingsfrequentie
      • Permanente browsersessie

Door de sessieduur te configureren, houdt u beveiliging en bruikbaarheid in balans.

Optioneel register: bevestiging van MFA per gebruiker of device opslaan

📌 Let op: voer PowerShell uit als administrator.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "MFAApproved" -Value "True"

📌 Bestaat het registerpad nog niet, gebruik dan de volgende opdracht om het aan te maken voordat u de eigenschap instelt:

New-Item -Path "HKLM:\SOFTWARE\Org" -Name "TrustFlags" -Force

Combineer dit met Conditional Access-filters om MFA-prompts te beperken tot devices zonder tag of onbeheerde devices.

Pro-tip: implementeer Just-In-Time (JIT) access Gebruikt u Entra ID P2, ga dan verder dan statische beheerderstoewijzingen. Gebruik Privileged Identity Management (PIM) zodat beheerders hun rollen moeten “activeren” met een motivatie en MFA. Zo geldt het vertrouwen slechts voor een beperkte periode (bijvoorbeeld 4 uur), zelfs als een beheerdersaccount gecompromitteerd raakt.

Methode 3 (device-baseline): gebruik GPO om een device-baseline af te dwingen zonder gebruikers te storen

Group Policy Objects (GPO’s) zijn een betrouwbare oplossing om deviceconfiguraties centraal te beheren. Met deze methode legt u met GPO’s een lokale Zero Trust-baseline vast op alle Windows-endpoints, waarmee u configuratiedrift voorkomt en beleidsgaten op deviceniveau dicht.

📌 Use cases: zorg dat alle domain-joined devices voldoen aan de minimale beveiligingsstandaarden van de baseline.

📌 Vereisten:

• Devices moeten domain-joined of hybrid-joined zijn
• Domeinbeheerdersrechten om GPO’s te maken of te bewerken

Stap voor stap:

1. Druk op Win + R, typ gpmc.msc en druk op Enter om de Groepsbeleidsbeheerconsole te openen.
2. Klik met de rechtermuisknop op uw domein of op een organisatie-eenheid (OU).
3. Selecteer Een GPO in dit domein maken en hier koppelen. (Lees punt 3 in ⚠️ Waar u op moet letten.)
4. Geef het een naam.
5. Klik met de rechtermuisknop op de nieuwe GPO en klik op Bewerken.
6. GPO-instellingen die u configureert:

• • Microsoft Defender Antivirus inschakelen

Computerconfiguratie > Beleidsregels > Beheersjablonen > Windows-onderdelen > Microsoft Defender Antivirus

📌 Zet Microsoft Defender Antivirus uitschakelen op Uitgeschakeld (zo blijft Defender ingeschakeld).

• • SmartScreen inschakelen

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Verkenner

📌 Zet Windows Defender SmartScreen configureren op Ingeschakeld en selecteer Waarschuwen en omzeilen voorkomen.

• • BitLocker-versleuteling vereisen

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-stationsversleuteling

• • Schakel de relevante beleidsregels in voor:
    • Vaste gegevensstations: BitLocker vereisen
    • Besturingssysteemstations: BitLocker vereisen
    • Verwisselbare gegevensstations: BitLocker vereisen

• • Anonieme shares uitschakelen

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Beveiligingsopties

📌 Niet van toepassing op moderne Windows Server-edities, waar strengere standaardinstellingen dit vervangen.

• • Beveiligd bureaublad afdwingen bij promptvensters voor verhoging van bevoegdheden

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Lokaal beleid > Beveiligingsopties

📌 Zoek Gebruikersaccountbeheer: Overschakelen naar het beveiligde bureaublad bij vragen om verhoging van bevoegdheden en zet dit op Ingeschakeld.

Optioneel: GPO-update afdwingen

Wilt u het beleid direct toepassen op een clientdevice, voer dan uit: gpupdate /force

Moderne route: overstappen op de Intune Settings Catalog Voor cloud-first organisaties kunt u uw GPO-baselines repliceren met Microsoft Intune-configuratieprofielen. Zo dwingt u de device-baseline af via het open internet zonder VPN-verbinding, een kernvereiste voor een Zero Trust-model zonder vaste perimeter.

Methode 4 (device trust en handhaving): markeer devices via het register voor het beheer van de trust state

In Zero Trust-omgevingen kunt u met tagging via het register de trust state van een device lokaal vastleggen en volgen. Deze methode gebruikt registervermeldingen als basis voor scriptlogica, audits en beleidstoewijzing.

📌 Use cases: het meest geschikt om devices als vertrouwd of beheerd te markeren voor Conditional Access-filtering, om uw RMM op basis van die vlaggen te laten scannen en beleid toe te wijzen en om automatisering via scripts mogelijk te maken.

📌 Vereisten:

• Beheerdersrechten om het register te wijzigen
• RMM of een tool voor endpoint management (optioneel, maar aanbevolen)
• Toegang tot PowerShell of CMD voor scripts en validatie

Stap voor stap:

1. Open PowerShell als administrator.
2. Maak het registerpad voor de trust-vlaggen aan: New-Item -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Force
3. Stel de trust-vlaggen in: (Lees punt 4 in ⚠️ Waar u op moet letten.)

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "DeviceTrusted" -Value "True"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TrustFlags" -Name "ManagedByRMM" -Value "NinjaOne"

4. Valideer de registersleutels:
   • Open de opdrachtprompt en voer uit: reg query HKLM\SOFTWARE\Org\TrustFlags

U ziet dan een uitvoer zoals:

HKEY_LOCAL_MACHINE\SOFTWARE\Org\TrustFlags
DeviceTrusted REG_SZ True
ManagedByRMM REG_SZ NinjaOne

Gebruik uw RMM om op deze tags te scannen en vervolgens scripts of beleidsregels toe te wijzen.

📌 Let op: Conditional Access kan registerwaarden niet rechtstreeks lezen. Gebruik aangepaste compliance in Intune om de koppeling register vlag > device compliance > Conditional Access te maken en zo met CA te integreren.

📌 Let op voor NinjaOne-gebruikers: in Windows-omgevingen zonder RMM kunt u tagging via het register gebruiken om vertrouwde devices te markeren. Gebruikt u NinjaOne, dan is deze stap niet nodig. NinjaOne biedt al device tagging, monitoring van het register en beleidstoewijzing, waardoor trust states automatisch worden toegepast zonder handmatige registeraanpassingen.

Methode 5 (device trust en handhaving): gebruik PowerShell om lokale beleidsregels in realtime af te dwingen

Met deze methode dwingt u via PowerShell direct beveiligingsbeleid af op Windows-devices, zonder de vertraging die bij GPO’s hoort. Het detecteert niet-conforme instellingen, herstelt ze in realtime en geeft de status door aan uw RMM of CI voor notificaties.

📌 Use cases: het meest geschikt om beveiligingsinstellingen toe te passen tijdens de onboarding en om compliancecontroles en herstelscripts op aanvraag uit te voeren.

📌 Vereisten:

• PowerShell 5.1 of nieuwer
• Beheerdersrechten om opdrachten op systeemniveau uit te voeren
• Optioneel: RMM of een tool voor endpoint management voor uitvoering op afstand

Stap voor stap:

1. Open PowerShell als administrator.
2. Schakel Windows Firewall in:

Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True

3. Schakel SMBv1 uit (verouderd protocol):

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

4. Controleer de laatste aanmelding per gebruiker:

Get-LocalUser | ForEach-Object {
[PSCustomObject]@{
 User = $_.Name
LastLogon = $_.LastLogon
}
}

5. Neem deze controles op in uw onboarding- of compliancescripts.

⚠️ Waar u op moet letten

Aanvullende overwegingen

Houd rekening met de volgende factoren wanneer u Zero Trust security operationeel maakt:

Blokkeer geen bekend, gewenst gedrag

Conditional Access-beleid (CA) geldt voor alle accounts, tenzij u uitzonderingen definieert. Zonder de juiste uitzonderingen kunnen essentiële workflows vastlopen. Serviceaccounts ondersteunen bijvoorbeeld vaak geen MFA en lopen vast als u ze meeneemt. Ook beveiligde IP-adressen hebben niet steeds opnieuw een authenticatiecontrole nodig.

Neem serviceaccounts, beveiligde IP-adressen en bedrijfskritische apps op in uw uitzonderingslogica om verstoringen te voorkomen. Zo behoudt u sterke Zero Trust-controles zonder de dagelijkse werkzaamheden te hinderen.

Houd mislukte aanmeldingen en geblokkeerd beleid in de gaten

Zero Trust vraagt om doorlopende monitoring. Gebruik aanmeldingslogboeken van Microsoft 365 en Graph API-query’s om authenticatietrends te bekijken, te volgen welk effect beleid op gebruikers heeft en te zien waar risico’s ontstaan. Dat levert de data op die u nodig hebt om toegangsregels te verfijnen en handhavingsniveaus bij te stellen.

Leer eindgebruikers hoe ze zelf veilig problemen oplossen

Medewerkers vormen de eerste linie van uw Zero Trust-strategie. Leer ze veelvoorkomende problemen zelfstandig af te handelen, zoals opnieuw registreren voor MFA of de procedure bij een verloren device. Dat vermindert het aantal helpdesktickets, beperkt uitvaltijd en stimuleert gebruikers om hun accounts en devices actief te beveiligen.

Test voorwaardelijk beleid en draai wijzigingen terug met RMM

Voordat u Conditional Access-beleid in de hele organisatie uitrolt, test u het met uw tool voor Monitoring en beheer op afstand (RMM) op een kleine pilotgroep. Zo signaleert u wrijving vroeg, houdt u de UX in de gaten en draait u wijzigingen zo nodig snel terug.

Problemen oplossen

Dit zijn veelvoorkomende problemen die u kunt tegenkomen bij het operationeel maken van Zero Trust security, met de bijbehorende oplossing:

Gebruikers worden geblokkeerd bij apps

Conditional Access-filters (CA) kunnen legitieme gebruikers blokkeren als zij niet aan de gedefinieerde voorwaarden voldoen. Controleer zowel de beleidstoewijzingen als de filters (bijvoorbeeld compliance van het device, locatie, gebruikersrisico) om te achterhalen waarom toegang is geweigerd.

Device gemarkeerd als niet-compliant

Devices kunnen als niet-compliant worden weergegeven wanneer beveiligingsfuncties ontbreken of verkeerd zijn geconfigureerd. Veelvoorkomende oorzaken zijn Microsoft Defender Antivirus, TPM, BitLocker of drift in het baselinebeleid. Controleer of Defender Antivirus actief is, TPM beschikbaar is, BitLocker is ingeschakeld en het baselinebeleid correct is toegepast.

GPO wordt niet toegepast

Een GPO wordt mogelijk niet toegepast als deze niet goed gekoppeld is of als de scope-instellingen niet kloppen. Voer uit: gpresult /h report.html om een rapport te genereren van toegepaste en geweigerde beleidsregels.

📌 Let op:

Start-Process .\report.html

Hiermee opent u het bestand report.html in de standaardbrowser, zodat u toegepaste en geweigerde GPO’s overzichtelijk kunt bekijken.

Controleer vervolgens of de GPO aan de juiste OU is gekoppeld, de scope klopt en de instellingen voor loopback-verwerking correct zijn.

MFA-promptloop

MFA-loops ontstaan vaak door verkeerde sessie-instellingen of problemen met het vernieuwen van tokens. Controleer de Conditional Access-sessie-instellingen (bijvoorbeeld aanmeldingsfrequentie en permanente browsersessie) en het vernieuwingsgedrag van tokens voor de betrokken apps. Zorg dat apps moderne authenticatie ondersteunen om herhaalde MFA-verzoeken te voorkomen.

NinjaOne-diensten

NinjaOne helpt Zero Trust operationeel te maken door:

Met NinjaOne kunnen MSP’s de validatie van device trust centraliseren en Zero Trust-handhaving over tenants heen automatiseren zonder extra wrijving voor beheerders of gebruikers.

Maak Zero Trust security operationeel en versterk identiteits- en eindpuntbeveiliging

U kunt een Zero Trust-omgeving opbouwen zonder gebruikers te frustreren of technici te overbelasten. Conditional Access, PowerShell, GPO en tagging in het register in combinatie met slimme automatisering stellen MSP’s in staat sterke beveiligingscontroles af te dwingen met minimale verstoring voor gebruikers.

Deze gids behandelde de belangrijkste methoden om Zero Trust security operationeel te maken: adaptief Conditional Access-beleid opstellen, GPO’s en registerinstellingen toepassen voor vertrouwde endpoints en PowerShell gebruiken om Zero Trust-maatregelen af te dwingen en te controleren. Ook kwam aan bod hoe NinjaOne trust-tagging, beleidshandhaving en automatisering over tenants heen vereenvoudigt en zo de Zero Trust-aanpak versterkt.

Gerelateerde onderwerpen:

• Zo implementeert u Zero Trust voor betere cyberbeveiliging: een praktische gids
• Zo configureert u Conditional Access-beleid in Azure AD
• Wat is Zero Trust-architectuur: het belangrijkste IT-beveiligingsmodel uitgelegd