Je endpoints — laptops, desktops en servers — zijn de plek waar mensen klikken, bestanden openen en inloggen. Het is dan ook de plek waar bijna elke aanval begint. Eén verkeerde klik op één slecht beveiligde machine is vaak genoeg om een aanvaller een voet tussen de deur te geven. Daarom draait deze pagina om één vraag: hoe zorg je dat een endpoint, óók als er iets binnenkomt, geen springplank wordt naar de rest van je onderneming? Het antwoord zit in de juiste middelen én in één cruciaal principe: gewone gebruikers werken zonder adminrechten, en op de machine mag geen rechtenescalatie mogelijk zijn.
Waarom een goed beveiligde endpoint telt
Je netwerk bewaakt de grenzen, maar op de endpoint gebeurt het échte werk — en dus ook het échte risico. Hier landt de phishingmail, hier wordt de bijlage geopend, hier draaien de programma’s die met je gegevens werken. Een aanvaller die hier binnengeraakt, staat meteen middenin je onderneming. Daarom is een endpoint niet zomaar een toestel dat je beschermt; het is een schakel die, slecht beveiligd, je hele netwerk in gevaar brengt.
Het goede nieuws: een correct ingerichte endpoint keert die logica om. Ze vangt de meeste aanvallen zelf op, en zelfs áls er iets binnenkomt, blijft de schade beperkt tot dat ene toestel. De perimeter bewaken we op netwerkniveau — daarover lees je meer op onze pagina over netwerkbeveiliging. Hier gaat het over de machine zelf.
Een endpoint is ofwel je best bewaakte voordeur, ofwel de zwakke schakel waarlangs een aanval heel je netwerk binnenwandelt.
Met welke middelen we een endpoint beveiligen
Goede endpointbeveiliging is gelaagd: geen enkele maatregel vangt alles, maar samen sluiten ze de gaten. Dit zijn de belangrijkste middelen die we inzetten, en waarvoor ze dienen.
EDR: detectie én reactie op de machine
Waar een klassieke virusscanner enkel bekende dreigingen herkent, kijkt Endpoint Detection and Response (EDR) naar gedrag. Doet een programma plots iets verdachts — bestanden massaal versleutelen, zich verstoppen, andere processen manipuleren — dan slaat EDR alarm en kan het de dreiging meteen isoleren op die ene machine. Zo vang je ook nieuwe, nog onbekende aanvallen af. De uitrol en centrale opvolging hiervan verzorgen we via ons werkplekbeheer.
Applicatiecontrole: enkel wat mag, draait
In plaats van te proberen alle slechte software te blokkeren, draaien we de logica om: enkel goedgekeurde, vertrouwde programma’s mogen uitvoeren. Alles wat daarbuiten valt — inclusief onbekende malware die een gebruiker per ongeluk opent — krijgt simpelweg geen kans om te starten. Dit is een van de krachtigste, maar vaak vergeten maatregelen tegen infecties.
Aanvalsoppervlak verkleinen
Veel aanvallen misbruiken dezelfde handige functies die op een standaardmachine gewoon aanstaan — macro’s in documenten, scripts die vanuit een bijlage starten, enzovoort. Door die risicovolle gedragingen gericht uit te schakelen, sluiten we de deurtjes waar malware het liefst langs binnenkomt, zonder dat je er in je dagelijkse werk iets van merkt.
Updates, encryptie en de lokale firewall
Een endpoint blijft maar veilig als ze up-to-date is: tijdig patchen dicht de gaten waar aanvallers op mikken. Schijfversleuteling zorgt dat een gestolen of verloren toestel geen open boek is, en de firewall op de machine zelf beperkt welk verkeer ze mag maken. Het uitrollen en bewaken van patchbeheer en encryptie verloopt via ons werkplekbeheer; de netwerkkant van dat verkeer bewaken we op de firewall.
Endpoint én netwerk
De endpoint en het netwerk zijn twee muren die elkaar versterken. De machine houdt een infectie klein en onmachtig; het netwerk zorgt dat ze zich niet naar andere toestellen kan verspreiden. Pas samen vormen ze een sluitende verdediging.
Gebruikersrechten, niet adminrechten
Dit is de hoeksteen van elke goed beveiligde endpoint, en tegelijk de maatregel die het vaakst wordt overgeslagen. Onze regel is eenvoudig: voor het dagelijkse werk gebruikt iedereen een gewoon gebruikersaccount, zonder lokale adminrechten. Beheerstaken die wél verhoogde rechten vereisen, gebeuren gecontroleerd en apart — niet met het account waarmee je mailt en surft.
Waarom dat zo’n verschil maakt? Heel veel schadelijke software heeft adminrechten nodig om echt toe te slaan: om zich diep te nestelen, beveiliging uit te schakelen of zich blijvend te verankeren. Draait een gebruiker als gewone gebruiker, dan erft ook de malware die beperkte rechten — en valt een groot deel van wat ze wil doen, gewoon in duigen. Dat is geen theorie: uit de jaarlijkse analyse van Microsoft-kwetsbaarheden blijkt dat het weghalen van lokale adminrechten historisch ongeveer driekwart van alle kritieke kwetsbaarheden onschadelijk maakt — en dat nog vóór er ook maar één patch is geïnstalleerd.
Cijfer om te onthouden
Rechtenescalatie (“Elevation of Privilege”) is al jaren de grootste categorie Microsoft-kwetsbaarheden. Net daarom is werken zonder adminrechten geen detail, maar een van je sterkste beschermingslagen — een die niets kost en meteen effect heeft.
Geen rechtenescalatie, geen springplank
Een geslaagde inbraak begint zelden met volledige controle. Meestal komt malware binnen met de beperkte rechten van de gebruiker die erop klikte. Voor een aanvaller is dat te weinig, en dus is de eerste zet bij een gesofisticeerde infectie bijna altijd dezelfde: proberen méér rechten te krijgen op de machine — de sprong van gewone gebruiker naar beheerder. Lukt dat, dan kan de aanvaller de beveiliging uitschakelen, zich permanent verankeren, wachtwoorden buitmaken en de machine vervolgens gebruiken als uitvalsbasis om de rest van het netwerk en de andere toestellen te infecteren.
Precies daar zetten we een muur. We configureren de machine zó dat die rechtenescalatie niet kan slagen. Hoe de policy ook wordt uitgerold — via Group Policy, via Intune of lokaal, dat maakt voor het resultaat niet uit — het doel is telkens hetzelfde: op de machine zelf is er geen pad omhoog. Blijft de aanvaller vastzitten in de beperkte rechten van een gewone gebruiker, dan blijft de infectie klein en onmachtig. Ze kan de machine niet overnemen en ze kan ze dus ook niet misbruiken als springplank.
Dit werkt hand in hand met je netwerk. Op de endpoint verhinderen we dat een infectie sterker wordt; op het netwerk verhinderen we dat ze zich verplaatst. Dat laatste — het tegenhouden van die zijwaartse verspreiding, of lateral movement — werken we in detail uit op onze pagina over netwerkbeveiliging en netwerksegmentatie. Twee muren, elk op hun eigen niveau, die samen voorkomen dat één besmet toestel een bedrijfsbrede ramp wordt.
Hoe wij het configureren
- We richten voor elke medewerker een gewoon gebruikersaccount in, gescheiden van de beheeraccounts.
- We sluiten de paden naar rechtenescalatie af, zodat een infectie niet van gebruiker naar beheerder kan springen.
- We zetten EDR en applicatiecontrole op, zodat enkel vertrouwde software draait en verdacht gedrag meteen wordt opgemerkt.
- We verkleinen het aanvalsoppervlak door risicovolle functies gericht uit te schakelen.
- We zorgen voor tijdige updates, schijfversleuteling en een correct ingestelde lokale firewall.
- We testen, documenteren en volgen alles centraal op, zodat afwijkingen snel opvallen.
De uitrol en het beheer op schaal — het installeren, inrichten en up-to-date houden van je toestellen — verzorgen we via ons werkplekbeheer. Endpointbeveiliging is één laag in onze bredere cybersecurity-aanpak.
Je toestellen echt weerbaar maken?
We bekijken samen hoe je endpoints ingericht zijn en waar de winst zit — te beginnen bij adminrechten en rechtenescalatie. Vertel ons over je omgeving, dan stellen we een plan op maat voor.
Veelgestelde vragen
Kunnen medewerkers nog werken zonder adminrechten?
Ja. Het overgrote deel van het dagelijkse werk vereist geen adminrechten. Voor de uitzonderingen voorzien we een gecontroleerde manier, zodat veiligheid en productiviteit hand in hand gaan.
Is een virusscanner dan niet genoeg?
Een scanner herkent vooral wat al bekend is. EDR, applicatiecontrole en het wegnemen van adminrechten vangen net dat op wat een klassieke scanner mist — zeker bij nieuwe of doelgerichte aanvallen.
Wat is het verschil met werkplekbeheer?
Werkplekbeheer gaat over het installeren, inrichten en beheren van je toestellen op schaal. Deze pagina gaat over de beveiligingslagen die je op elk van die toestellen wil hebben, met de nadruk op rechten en het voorkomen van escalatie.
Waarom escaleert malware zo vaak zijn rechten?
Met de beperkte rechten van een gewone gebruiker kan een aanvaller weinig uitrichten. Meer rechten betekent de beveiliging kunnen uitschakelen, zich verankeren en de machine gebruiken om verder te gaan. Verhinder je die stap, dan valt de aanval grotendeels stil.
Houd een infectie klein en onmachtig
Neem vrijblijvend contact op en ontdek hoe we je endpoints zó inrichten dat één klik nooit je hele netwerk meesleurt.