Fix: don't use Azure Active Directory.

he he he zo ken ik er nog wel eentje.....

Fix: gebruik Azure Active Directory juist

Want? Welke oplossing had je wel in gedachte?

Het zou wel handig zijn als Microsoft in het beheerpaneel van Office365 MFA de filter optie "disabled" ("uitgeschakeld")
zou toevoegen.
Nu kun je wel filteren op "enabled" of "enforced" (en zonder filter gewoon alles zien) maar wat je natuurlijk wilt is
een lijstje van gebruikers waarvoor MFA niet aanstaat ("disabled") zodat je dit kunt evalueren en MFA inschakelen.
Maar die optie is er dus niet.

Het is me totaal onduidelijk waarom Microsoft dit soort domme interfaces maakt en je dan dwingt om te werken met
lastige Excel exports, Powershell scripts, etc.
Waarom niet gewoon de benodigde opties aanbieden in de standaard webinterface???
En zeker als je het zo belangrijk vindt dat je klanten MFA gebruiken.

Dit is een atypisch korte reactie ;-) Wij kennen je van de uitvoerige en gedegen onderbouwde uitleg.
Welk alternatief heeft jouw voorkeur?

Ik begrijp zijn redenering, maar de softwareindustrie is een van de weinige industrieën waarbij je middelmatige producten kunt leveren, om vervolgens de consument er op aan te kijken dat bepaalde beveiligingsmaatregelen niet zijn geïmplementeerd. Alsof ik een auto koop, en de dealer na problemen aangeeft dat ik een beter slot had moeten kopen, mijn lak een speciale impregnering had moeten geven tegen Nederlandse weersinvloeden etc. Op deze manier zadel je een hoop consumenten op met werk dat ze niet begrijpen, vergeten, niet overzien etc.

Misschien moeten softwareleveranciers (niet alleen Microsoft trouwens) betere en veiligere producten maken, betere mensen inhuren etc.

Omdat hiervoor eigenlijk condition acces gebruikt wordt bij de meeste bedrijven?
Zo gebruiken de meeste bedrijven MFA.

Anti-virusssoftware… tja. Er zijn bedrijven die alles met het woord virus niet meer geloven sinds 2020.

Zet een nieuwe installatie van Windows op je pc.
En binnen 5 minuten slipt het al dicht aan troep en virussen.
Zonder virus scanner valt er niet eens mee te werken.
En dan te bedenken dat ik hier al jaren probleemloos Linux draai zonder virus scanner.
Alleen een firewall.

Je benoemt 2 uitersten die niet kloppen.
Windows 10/11 komt standaard met Windows Defender, waarmee je prima uit de voeten kunt.
Ook windows heeft gewoon een standaard firewall, dus zolang je niet op een besmette site komt gebeurd er weinig.

En ook in Linux kun je prima een virus oplopen. De kans is alleen kleiner, want er zijn minder gebruikers. Er zijn er zelfs die van Windows naar Linux overspringen en terug https://en.wikipedia.org/wiki/Badbunny. Mocht je jezelf willen overtuigen dan is https://github.com/rapid7/metasploit-framework/blob/master/documentation/modules/payload/linux/x86/meterpreter/reverse_tcp.md een goede start (we kunnen discussieren of we dat een virus/malware of handige remote control noemen)
Dito voor MacOS: er is wel wat, maar weinig. Maar dat is security door obscurity.

Doe een beetje normaal zeg....Bla bla bla 5 minuten (gniffel)
Als je op een IT forum dit soort praat vaker verkoopt, wordt je na korte tijd niet meer serieus genomen, zeker omdat nagenoeg alle post van iemand die een account heeft makkelijk is terug te vinden.
Terug naar het onderwerp:
Hier een nominale Windows 8.1 installatie uit 2015, geen pre-installed version welke vervuild is met Bloatware, maar een gewone aangekochte licentie die tot nu niks dicht slibt met troep en virussen. (pfff. wat een klets toch)
Ik zit dagelijks tussen de 6 à 8 uur probleemloos online in Windows 8.1 te werken, Ik krijg vaak koppijn van de werkdruk en kan er echt geen sores m.b.t. een OS bij hebben, maar alleen met HitmanPro als beveiliging werkt hier alles helemaal naar behoren.

Na januari 2023 zie ik wel verder. Wie dan leeft wie dan zorgt.

Waar heb je het over? Ik heb het over het beheerscherm waar je MFA aanzet voor je gebruikers. Dat zul je toch
eerst moeten doen...

Dit is een van de nadelen van "de cloud": waar vroeger een aanvaller toegang nodig had tot het lokale netwerk, kan nu iedereen op internet in proberen te loggen als jou. Ook op RDP servers, door veel organisaties naar internet opengezet, "geholpen" door de Corona-crisis.

Daarbij centraliseren veel organisaties hun kroonjuwelen (waaronder authenticatiegegevens) met als gevolg dat aanvallers, die via 1 plek binnenkomen, wereldwijde bedrijven (zoals VDL) kunnen lamleggen.

Ik weet het niet.

"On prem" is uit. In India proberen ze de geest weer in de fles te duwen voor de energiesector, uit https://cea.nic.in/wp-content/uploads/notification/2021/10/Guidelines_on_Cyber_Security_in_Power_Sector_2021-2.pdf:
(Bron: https://www.theregister.com/2021/10/08/india_power_sector_infosec_policy/).

Maar dat je de problemen, die ontstaan als data schier oneindig groeit en alle systemen 24x7 met elkaar verbonden zijn, zou kunnen oplossen met updaten, MFA en een virusscanner, is marketingtaal - volstrekte onzin dus.

Mooie definitie van air gap geven ze (https://cea.nic.in/wp-content/uploads/notification/2021/10/Guidelines_on_Cyber_Security_in_Power_Sector_2021-2.pdf):


Dat is dus GEEN air gap, zelfs geen kunstmatige. Een firewall een kunstmatige air gap noemen verwacht ik van marketeers.
Het lijkt wel alsof air gaps ineens verschrikkelijk slecht zijn. Ja, als je de operator van Natanz bent misschien wel, maar een air gap weerstaat 99.9% van alle aanvallen, zelfs van de wat serieuzere tegenstanders. Als air gaps niet voldoende zijn, dan ben ik zeer benieuwd naar je threat model en je werkgever.

Quote: Microsoft: 99 procent aanvallen te voorkomen met updates, antivirus en MFA, einde citaat.

Het wordt nooit wat met Microsof / Macrosoft.
Het is een verdienmodel en verder nauwelijks de moeite waard vanwege 1000 en 1 dingen.
Net zoals Facebook en vergelijkbare shit.
Bagger software produceren zij en dat al vele tientallen jaren lang
Hun eigen helpdesk met een onnoembaar aantal oplossingen voor duizend en 1 problemen zijn het door hen zelf geleverde bewijs.

Het is zelfs zo erg dat zij hun betalende klanten uitnodigen om met tips en voorstellen te komen.
Daar scoor je punten mee.
En nu even kotsen.

Als u wist wat ik met Microsoft software niet kan maar wel mag verwachten is het niet zo dat ik mijn suggesties daar dump ter verrijking van ....................

Komt hij aanzetten met een macro uit 2007 van een een of andere staroffice pakket en we moeten overtuigd worden met een metasploit-framework. wat een droefenis.

Totale onzin.
99% van de malware komt binnen door het gedrag van de gebruiker. Maw je kan het vermijden door wat voorzichtig te zijn.

@ Gisteren, 20:48 door Anoniem,

Het laatste wat ik van Windows gebruikt heb was W7. Daarna vond ik het wel weer mooi geweest.
Ik was soms langer bezig met de updates en om alles weer te repareren.
Toen zaten er nog geen ingebouwde virus scanners in, alleen een firewall.
En dat had ik er even bij moeten vermelden. Dus het eerste wat je moest doen was zorgen dat er 1 opkwam.
En die Defender die er nu alweer een tijdje inzit is niet een vriendelijke dienst verlening van Microsoft.
Maar bittere noodzaak omdat het zonder nog geen uur blijft werken zonder vol te lopen met troep.
En het is mij een raadsel waarom juist Windows zo populair is geworden.

En Linux kan niets met een EXE bestand waarmee je Windows pc soms gesloopt mee kan worden.
Misschien als je Wine gebruikt dat er dan iets uitgepakt kan worden. Maar dat gebruik ik niet.

Is Windows 7 het laatste wat je gebruikte? Nou je hebt dan wel recente kennis van Windows....

Hoe kom je er dus bij dat alles vol loopt met troep als je al jaren geen Windows hebt gebruikt? Van horen zeggen zeker? Actuele en relevante eigen ervaring telt en geen praatjes van horen zeggen. (Hebt u 't al gehoord
Hendrik Haan uit Koog aan de Zaan etc. etc.)
http://www.thelyricarchive.com/song/2326478-386334/Hendrik-Haan

Ik heb jarenlang Linux gebruikt omdat me dat veiliger leek.
Omdat ik o.a de printer niet aan de praat kreeg en ik de administratie moest doen bij een vereniging ben ik windows gaan gebruiken.
Ik was verrast:
Het systeem startte snel op i..t..t tot linux waar ik ook mee bezig ben.

Microsoft heeft echter een behoorlijke inhaalslag gemaakt t.a.v. veiligheid.
O.a hun windows defender wordt al tijdenlang bij de top van virusscanners gezet door 2 bedrijven die ze testten.
https://www.av-comparatives.org/
https://www.av-test.org/en/
Zoals een van de vorige reageerders al zei:
De gbruiker bepaalt voor een deel de veiligheid.
Als ik zie hoe bekenden uit mijn omgeving hiermee omgaan......
En dat ik van de week weer lees dat een groot percentage van Nederlanders de noodzaak niet zien van unieke wachtwoorden voor elk account???

Genoeg zaken waarmee Linux volledig gesloopt kan worden. De Sql injections met lekke webformulieren vliegen je om de oren.Elk OS moet in staat zijn programma's te draaien anders heb je er weinig aan.

Waar ik het over heb?
Jij gaat voor de basisconfiguratie, die simpelweg alleen maar aan of uit te zetten is.

Bedrijven kijken alleen veel verder en regelen MFA icm Conditional Access in. Bijvoorbeeld dat bepaalde IP ranges geen MFA prompt hoeven te geven. Of dat indien je een trusted device hebt, MFA ook geen requirement is. Dit staat helemaal los van jouw scherm wat je dus helemaal niet eerst hoeft te doen. Conditional Access heeft met die setting helemaal niets te doen, het is veel slimmer en biedt veel meer mogelijkheden voor een goede en gebruikers vriendelijke MFA.

Ik snap best dat je een pro linux gebruiker bent,maar het is
een beetje overdreven beschreven,zelfs na een schone windows installatie,
is de kans minder groot dat het binnen minuten al met malware besmet raakt.

Browsers,antivirus/ingebouwde windowsdefender,en de nieuwste windows
zijn echt wel stukken veiliger dan jaren geleden.

Windows gebruikers genieten van hun windows als ze daar tevreden
over zijn en dit zelfde geldt natuurlijk ook voor linux gebruikers als zij graag linux gebruiken.

We hoeven elkaar niet te treffen of voortdurend onderscheidt
proberen te maken over wie de beste software of os gebruikt toch?

The Matrix

??? Ga maar eerst een iets van linux leren. Want je snapt er geen ruk van als je denkt, dat je linux via webformulieren kan slopen. Hooguit de applicatie sloop je maar echt niet linux. Praktisch alles draait onder een andere uid, en tegenwoordig steeds meer in containers.
Is er uberhaupt een cgroups oplossing in windows???

Volgens mij kun je via dat pad alleen aangeven waar je GEEN MFA wilt maar niet regelen welke gebruikers wel MFA moeten hebben. Anders wijs maar eens naar een plek waar dat beschreven staat. Want geen MFA vanaf bepaalde adressen dat hebben we wel gewoon ingeregeld, maar wie daar buiten valt (bijv laptops thuis of mobieltjes op 4G) die krijgen pas MFA als dat voor die gebruiker ook aan staat, anders niet.

Ik heb dat destijds zelf getest met een ongepatchte Windows XP doos achter een consumenten router. Op geen enkel moment werd deze overgenomen of geïnfecteerd zonder dat ik de doos gebruikte. Pas toen ik de doos rechtstreeks aan het internet hing was het redelijk snel gebeurd. Maar we hebben het dan over een volledig maagdelijke XP install zonder SP of firewall of whatever maatregelen dan ook, en ook nog eens direct aan het internet. Ik zou zeggen, doe de proef op de som en hang een Windows 10 bak, voorzien van de laatste updates en de firewall aan aan het internet en doe je best om deze gehackt te krijgen. Uiteindelijk gaat het zeker lukken maar het is zeker niet binnen 5 minuten maar eerder dagen, of in jouw geval denk ik nooit.
Sowieso hangt vrijwel niemand meer z'n pc direct aan het inet, of je moet een dom rund zijn, want vrijwel iedere consument zit tegenwoordig via het modem/router van de provider op het Inet.
Succes gewenst om dit zomaar over te nemen of te besmetten. Daar zul je eerder iets van malware via ads of phishing voor moeten gebruiken om deze te besmetten.
Ik ben zeker geen fan van MS, zeker niet van hun datagraai en betuttelende praktijken, mijn daily driver is al jaren Kubuntu en geen Windows, maar ik ben wel allergisch voor mensen die allerlei onzin aan het uitkramen zijn.
Ik gebruik Windows (10) voornamelijk off-line om te gamen en soms films en foto's te bewerken, want dat is voor mij nog de enige toegevoegde waarde van Windows t.o.v. Kubuntu. Mochten games als Cyberpunk, Hitman ed. net zo goed onder linux gaan werken dan zal ik waarschijnlijk dat deel volledig in Kubuntu gaan doen, maar helaas is dat nog niet zo ver.
Qua beveiliging ontlopen de platformen elkaar niet zo veel, ik ontvang voor Kubuntu ook vrijwel dagelijks security updates en ook regelmatig patches voor gevonden lekken, net als bij Windows.
Nadeel van Windows is dat je voor je privacy bescherming wel door de nodige hoepels moet springen en eigenlijk verplicht bent om een Pi-hole o.i.d. in je netwerk te hebben om jezelf en je gezin nog een beetje te beschermen tegen het graai gedrag van MS met hun afgedwongen telemetrie.Maar goed, velen zijn al gewend om geen privacy meer te hebben dus die zullen dat vast onzin vinden.

@ Vandaag, 16:53 door Anoniem,

Wist ik veel vroeger toen ik er net een beetje mee begon.
Mijn info haalde ik bij forums vandaan en veel lezen. Veel wisten minder in mijn omgeving.
Dus rechtstreeks aan het internet.
Maar dat schrijf je zelf dan ook al.
" Pas toen ik de doos rechtstreeks aan het internet hing was het redelijk snel gebeurd. "

Ik had wel eens een 486 pc bekeken met die grote floppy's (of was dat een 386 pc) maar niemand had toen internet.
Dus ik vond er ook eigenlijk weinig aan om je tijd in te stoppen.
Ik heb geen jarenlange opleidingen op dat gebied gehad of gevolgd.

En games is eigenlijk nog 1 van de dingetjes die nog niet lekker lopen in Linux.
Daar moet je nog steeds een windows PC voor hebben,
Maar ze worden steeds beter, dus dat komt ook nog wel een keer.

En iedereen hier kan dan wel door zeuren en vragen over mijn eerste reactie, maar de aanvulling daarop wordt dan maar even over geslagen.
Want daar kan je alweer wat minder mee.
De eerste reactie ben ik hier nou al zeker 5x tegen gekomen met de nodige opmerkingen.
Ja, dat begrijp ik. Die was een beetje kort door de bocht.
Maar daarom wel heel makkelijk om de nodige opmerkingen over te maken.
Of gaat het daarom op deze site. Waar kunnen we je mee pakken.

Ja, ik heb ooit, heel lang geleden geprobeerd een soort van programmeren cursus gevolgd op school in je vrije tijd.
Iets van Basics of zo denk ik.
Dat bestond uit een boek hoe je blok diagrammen moest maken om iets te laten kloppen.
Zonder dat er een pc aanwezig was.
Er was trouwens helemaal geen pc aanwezig op die school. Niemand gebruikten toen ergens een pc voor.
Dus je moest het maar aannemen.
En zo oud ben ik nou ook weer niet,. vind ik zelf, bijna 59.

Ik zou graag MFA krijgen op bestaande zaken zoals SMTPS en IMAPS.

https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/overview

Haha, wat een securitykiddie ben je toch. Je beseft serieus niet de scheiding tussen een (PHP?) webformulier en het besturingssysteem? Nou ja, als je Windows gebruikt dan snap ik wel dat je een beetje in de war raakt van al die kwetsbaarheden...

Als een aanvaller toegang krijgt tot een systeem of het interne netwerk dan ben je goed het slachtoffer.

Dus die 99% vind ik een tikje overdreven.

Volgens mij klopt de hele claim in de titel niet. MFA voorkomt geen aanvallen op een account. Het maakt de kans wel een heel stuk kleiner dat de aanval slaagt. Dat zijn echt twee verschillende dingen.

Als ik bij het programmeren zo slordig zou zijn met de code en aanneem dat de compiler wel begrijpt wat ik bedoel, dan wordt het ook buggy software.

Het enige dat zal helpen is het opsporen en berechten van de daders/opdrachtgevers.
De ransomware plegers zijn ook slachtoffer van de criminele developers. Oppakken.

Onzinverhaal.
Als jij die ervaring hebt, dan is het of lang geleden of de dingen die je onder Windows
uithaalt zijn op zijn minst gedurfd te noemen.

RECTIFICATIE
(Het securitykiddie en de rest sloeg natuurlijk op de reactie van karma4; sorry voor de verwarring.)

Sterker nog, wanneer je conditional access gebruikt dan blijven deze mensen op disabled staan (as designed) maar begin je je wel af te vragen of het geheel wel werkt. Inderdaad heel onhandig

Daar zal wel wat tijd in gezeten hebben voordat je deze gevonden had.
Of hebben ze 'm naar je opgestuurd er eens even naar te kijken.
Lees jij eigenlijk wel eens een reactie hier.
Of is het, ik zie wat staan, meteen reageren. Misschien ben ik dan wel de eerste.

Volgens Microsoft en volgelingen ligt het dus altijd aan de gebruiker/beheerder. Zo wordt het nooit wat.

Nou... Daar hebben ze misschien wel een punt. Denk er maar over na: als je (nog steeds) Microsoft software gebruikt dan is er toch duidelijk iets mis met je oordeelsvermogen en gezond verstand (en dat sijpelt natuurlijk ook door in je gebruik/beheer).

ik moest eigenlijk nog zout halen, maar besef me nu dat het niet meer nodig is

Als de beheerders niet de best practices implementeren, als je niet kunt upgraden ivm legacy applicaties die de business niet wilt aanpakken.
Als de business bepaalde security features niet wilt hebben.

Is dit dan een Microsoft probleem?

Gebruikelijke onzin.... Whats new....

Nog betere fix: probeer niet zelf beveiliging te regelen. Laat dat aan deskundigen over. En het zou me niet verbazen als die een migratie van AD naar Azure AD voorstellen...

Ha, ha, je komt niet vaak op deze site? Erik is een van de weinige échte security deskundigen hier.

Wat een onzin zeg..