--- id: CP-199 slug: active-directory-entra-id-identiteiten lang: nl title: Active Directory en Entra ID description: De bedrijfsmap bepaalt wie wie is en wie waartoe toegang heeft. Wat de medewerker doet, wat de beheerder doet en waar de valkuilen zitten. canonical_url: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Active Directory en Entra ID”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ it: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory en Entra ID Een bedrijfsmap houdt de lijst met accounts bij en bepaalt wat elk account mag doen. On-premises is dat vaak Active Directory Domain Services (AD DS), dat informatie over gebruikersaccounts opslaat: namen, wachtwoorden, telefoonnummers [1]. In de cloud is dat Microsoft Entra ID, een dienst voor identiteits- en toegangsbeheer die zorgt voor authenticatie, handhaving van regels en bescherming van gebruikers, apparaten, applicaties en bronnen [2]. Voor een medewerker blijft de map onzichtbaar. Ze komt in twee vormen naar voren: het inlogscherm en het verzoek om goedkeuring op de telefoon. Dit artikel legt uit wat de medewerker op die twee momenten doet, wat de beheerder van de map doet en waar de valkuilen zitten. ## In 30 seconden - Waar het gebeurt: bij elke aanmelding, ook bij Microsoft 365, want elke abonnee van Microsoft 365, Azure of Dynamics CRM Online gebruikt al Entra ID [2]. - Wat de aanvaller wil: een geldig account. MITRE ATT&CK beschrijft accounts die worden aangevallen met brute force, phishing of andere middelen [3]. - De reflex: keur een goedkeuringsverzoek alleen goed als u zelf net hebt ingelogd, en meld elk verzoek dat u niet zelf hebt veroorzaakt [4]. ## Directe vragen ### Waar dient een map voor? Een map is een hiërarchische structuur die informatie opslaat over de objecten in een netwerk. Een directoryservice zoals AD DS stelt deze gegevens beschikbaar aan gebruikers en beheerders [1]. Die objecten omvatten gedeelde bronnen (servers, volumes, printers) en gebruikers- en computeraccounts [1]. Beveiliging is erin ingebouwd via authenticatie bij het inloggen en toegangscontrole op de objecten van de map [1]. ### Wat is het verschil tussen Active Directory en Entra ID? AD DS is de directoryservice van Windows Server [1]. Entra ID is de online tegenhanger: elke Microsoft 365-tenant is automatisch een Entra-tenant [2]. Beide kunnen naast elkaar bestaan. Een cloudaccount kan hybride zijn, dat wil zeggen gesynchroniseerd of gefedereerd met een on-premises map zoals Active Directory [3]. Hetzelfde wachtwoord werkt dan in beide werelden, waardoor de schade van een diefstal groter wordt [3]. ### Waarom is een wachtwoord alleen niet genoeg? Volgens Microsoft laat een wachtwoord alleen een onbeveiligde aanvalsvector open: als het zwak is of elders is gelekt, kan een aanvaller het gebruiken [5]. Multifactorauthenticatie vraagt minstens twee van drie elementen: iets wat u weet (meestal een wachtwoord), iets wat u bezit (een telefoon, een hardwaresleutel), iets wat u bent (een vingerafdruk, een gezicht) [5]. De tweede factor is voor een aanvaller niet gemakkelijk te verkrijgen of te dupliceren [5]. De organisatie kan ook contextregels instellen. Het beleid voor voorwaardelijke toegang van Microsoft Entra bestaat uit "als… dan"-instructies: als een gebruiker toegang wil tot een applicatie zoals Microsoft 365, moet hij multifactorauthenticatie doorlopen [6]. Het kan de gewone aanmelding laten op het bedrijfsnetwerk of op een geregistreerd apparaat, en een extra factor eisen op afstand of vanaf een persoonlijk apparaat [5]. ### Wat moet ik doen met een goedkeuringsverzoek dat ik niet zelf heb gestart? Weiger het en meld het. MITRE ATT&CK beschrijft de techniek van het genereren van MFA-verzoeken: een aanvaller die een wachtwoord heeft maar niet de tweede factor, activeert pushmeldingen (Duo Push, Microsoft Authenticator, Okta of gelijkwaardig) zodat het slachtoffer ze accepteert [4]. Hij kan de pogingen herhalen om de gebruiker te overspoelen met meldingen, sms'jes en telefoontjes, tot die accepteert, wat de bron "MFA fatigue" noemt [4]. Tot de maatregelen van MITRE behoren: gebruikers opleiden om alleen verzoeken te accepteren die voortkomen uit aanmeldingen die zij zelf hebben gestart, de locatie van de poging te controleren en verdachte of ongevraagde verzoeken te melden [4]. ### Wat kan een aanvaller met een gestolen account? Dat hangt van het account af. Domeinaccounts zijn de accounts die door AD DS worden beheerd en omvatten gebruikers, beheerders en services [7]. Als ze gecompromitteerd zijn, kunnen ze dienen voor eerste toegang, persistentie, escalatie van rechten of het ontwijken van verdediging [7]. Aan de cloudkant kan een account met zeer ruime rechten, gefedereerd, gesynchroniseerd of alleen in de cloud, een sprong naar de on-premises omgeving mogelijk maken [3]. ### Wat is Kerberoasting? Bij deze aanval vraagt een tegenstander die een geldig Kerberos-ticket heeft, bij een domeincontroller servicetickets op voor service principal names (SPN's) [8]. Een deel van die tickets kan met het RC4-algoritme zijn versleuteld. De hash van het serviceaccount dient dan als sleutel en wordt kwetsbaar voor een offline brute-forceaanval, die inloggegevens in leesbare vorm kan onthullen [8]. Gekraakte hashes kunnen toegang geven tot geldige accounts, met persistentie, escalatie van rechten en laterale verplaatsing [8]. De medewerker heeft hier niets mee te maken: de verdediging ligt bij wie de serviceaccounts beheert. ## Hoe het werkt De AD DS-map bevat een schema dat de objectklassen en hun attributen definieert, een globale catalogus, een querymechanisme en een replicatieservice [1]. Alle domeincontrollers van een domein nemen deel aan de replicatie en bevatten een volledige kopie van de gegevens van hun domein: een wijziging op de ene wordt naar alle andere gerepliceerd [1]. Entra ID is het basisproduct van de Microsoft Entra-familie [2]. Die familie omvat ook Entra ID Governance, dat toegangsaanvragen, toewijzingen en beoordelingen automatiseert en de rechten kan intrekken van een medewerker die het bedrijf verlaat [2]. Entra ID Protection detecteert en signaleert risico's rond identiteiten [2]. Voor oudere applicaties die geen moderne authenticatie kunnen gebruiken, biedt Entra Domain Services beheerde diensten zoals groepsbeleid, LDAP en Kerberos/NTLM-authenticatie [2]. Voorwaardelijke toegang beslist op basis van signalen: gebruiker of groep, IP-locatie, apparaat, applicatie, gedetecteerd risico [6]. De beslissingen lopen van blokkeren tot toegang onder voorwaarden: multifactorauthenticatie, een conform apparaat, een wachtwoordwijziging [6]. Dit beleid geldt nadat de eerste factor is geauthenticeerd [6]. De standaardbeveiligingsinstellingen (security defaults) activeren snel Microsoft Authenticator voor alle gebruikers van een tenant [5]. ## Wat u doet - Activeer multifactorauthenticatie wanneer die u wordt aangeboden. Tot de beschikbare methoden behoren Microsoft Authenticator, Windows Hello for Business, passkeys (FIDO2), een hardwaretoken, sms en een spraakoproep [5]. De methoden beheert u in My Profile [5]. - Keur alleen verzoeken goed die u zelf hebt veroorzaakt. Komt er een verzoek binnen terwijl u niets hebt geprobeerd, weiger het dan en meld het aan het IT-team [4]. - Kies voor elke dienst een uniek en complex wachtwoord: MITRE raadt complexe en unieke wachtwoorden aan voor cloudaccounts [3]. - Gebruik uw zakelijke wachtwoord nergens anders. De bron van MITRE over domeinaccounts noemt hergebruik van wachtwoorden als een van de manieren om accounts te compromitteren [7]. Wat de beheerder van de map doet: - Serviceaccounts beperken tot de minimaal nodige rechten, ook wat lidmaatschap van bevoorrechte groepen zoals Domain Administrators betreft [8]. - Lange wachtwoorden eisen voor serviceaccounts (bij voorkeur 25 tekens of meer), ze vernieuwen en groepsgebonden beheerde serviceaccounts of een wachtwoordkluis overwegen [8]. - Het gebruik van bevoorrechte accounts beperken volgens beheerlagen, en geen gebruikers- of domeinbeheerdersaccounts zonder strikte controle in lokale beheerdersgroepen plaatsen [9]. - Regelmatig de rechten van bevoorrechte cloudaccounts nalopen, zoals Global Administrator en Privileged Role Administrator, controleren dat er geen ongeautoriseerd bevoorrecht account is aangemaakt, en tijdelijke (just-in-time) bevoorrechte toegang overwegen in plaats van een permanente toewijzing [3]. - Inactieve of overbodige accounts nalopen en verwijderen [3]. - Verouderde authenticatie uitschakelen, die geen multifactorauthenticatie ondersteunt [3]. ## De valkuilen Te veel beheerdersaccounts. Elk bevoorrecht account is een doelwit: DCSync maakt het bijvoorbeeld mogelijk wachtwoordgegevens uit Active Directory te halen door de replicatie van een domeincontroller na te bootsen [9]. Leden van de groepen Administrators, Domain Admins en Enterprise Admins, of de machineaccounts van de controller, kunnen dit uitvoeren [9]. De verkregen hashes, waaronder die van het KRBTGT-account, dienen daarna om een Golden Ticket te maken of een wachtwoord te wijzigen [9]. De ontbrekende tweede factor. MITRE meldt dat Storm-0501 een Global Administrator-account van het slachtoffer zonder enige geregistreerde MFA-methode gebruikte om toegang te krijgen tot de cloudomgevingen [3]. Dezelfde groep buitte gecompromitteerde accounts uit om Microsoft Entra Connect te bereiken, dat on-premises identiteiten en Entra synchroniseert, zodat gebruikers met hetzelfde wachtwoord op beide inloggen [3]. De melding die u uiteindelijk accepteert. Vermoeidheid door pushmeldingen is een gedocumenteerde manier om multifactorauthenticatie te omzeilen [4]. MITRE adviseert de gewone push te vervangen door het invoeren van een eenmalige code die op het inlogscherm staat, en het aantal verzonden verzoeken per periode te beperken [4]. Vergeten serviceaccounts. Die zijn het doelwit van Kerberoasting, ook met hulpmiddelen als Rubeus of de opdracht Invoke-Kerberoast van PowerSploit [8]. MITRE beveelt aan waar mogelijk AES-versleuteling boven RC4 te verkiezen [8]. Het referentiekader. NIST publiceerde op 31 juli 2025 de definitieve versie van SP 800-63B-4, over authenticatie en het beheer van authenticators [10]. De tekst gaat over de authenticatie van personen die met de informatiesystemen van de Amerikaanse overheid werken en definieert technische eisen voor elk van de drie zekerheidsniveaus [10]. Hij vervangt de versie SP 800-63B van maart 2020 [10]. ## Cases uit de praktijk ### 2025: wisseraanvallen in Polen MITRE ATT&CK noemt bij de aanvallen "2025 Poland Wiper Attacks" twee vormen van gebruik van inloggegevens in dezelfde episode. De aanvallers gebruikten bevoorrechte accounts om toegang te krijgen tot de VPN-oplossing FortiGate en de daaropvolgende subnetten [7]. Ze buitten ook inloggegevens uit die uit on-premises omgevingen waren gestolen om toegang te krijgen tot clouddiensten [3]. ## Bronnen 1. Microsoft, “Active Directory Domain Services overview”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (geraadpleegd op 3 november 2026) 2. Microsoft, “What is Microsoft Entra?”. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (geraadpleegd op 3 november 2026) 5. Microsoft, “How it works: Microsoft Entra multifactor authentication”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (geraadpleegd op 3 november 2026) 6. Microsoft, “What is Conditional Access?”. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/002/ (geraadpleegd op 3 november 2026) 8. MITRE ATT&CK, “Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1558/003/ (geraadpleegd op 3 november 2026) 9. MITRE ATT&CK, “OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1003/006/ (geraadpleegd op 3 november 2026) 10. NIST, “SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management”, 31 juli 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.