Cyberpediadoor Brain
NLDEENESFRIT

Active Directory en Entra ID

De bedrijfsmap bepaalt wie wie is en wie waartoe toegang heeft. Wat de medewerker doet, wat de beheerder doet en waar de valkuilen zitten.

In 30 seconden

Waar het gebeurt
Bij elke aanmelding, ook bij Microsoft 365, want elke abonnee van Microsoft 365, Azure of Dynamics CRM Online gebruikt al Entra ID2.
Wat de aanvaller wil
Een geldig account. MITRE ATT&CK beschrijft accounts die worden aangevallen met brute force, phishing of andere middelen3.
De reflex
Keur een goedkeuringsverzoek alleen goed als u zelf net hebt ingelogd, en meld elk verzoek dat u niet zelf hebt veroorzaakt4.

Waar gaat het over

Een bedrijfsmap houdt de lijst met accounts bij en bepaalt wat elk account mag doen. On-premises is dat vaak Active Directory Domain Services (AD DS), dat informatie over gebruikersaccounts opslaat: namen, wachtwoorden, telefoonnummers1. In de cloud is dat Microsoft Entra ID, een dienst voor identiteits- en toegangsbeheer die zorgt voor authenticatie, handhaving van regels en bescherming van gebruikers, apparaten, applicaties en bronnen2.

Voor een medewerker blijft de map onzichtbaar. Ze komt in twee vormen naar voren: het inlogscherm en het verzoek om goedkeuring op de telefoon. Dit artikel legt uit wat de medewerker op die twee momenten doet, wat de beheerder van de map doet en waar de valkuilen zitten.

Directe vragen

Waar dient een map voor?

Een map is een hiërarchische structuur die informatie opslaat over de objecten in een netwerk. Een directoryservice zoals AD DS stelt deze gegevens beschikbaar aan gebruikers en beheerders1. Die objecten omvatten gedeelde bronnen (servers, volumes, printers) en gebruikers- en computeraccounts1. Beveiliging is erin ingebouwd via authenticatie bij het inloggen en toegangscontrole op de objecten van de map1.

Wat is het verschil tussen Active Directory en Entra ID?

AD DS is de directoryservice van Windows Server1. Entra ID is de online tegenhanger: elke Microsoft 365-tenant is automatisch een Entra-tenant2. Beide kunnen naast elkaar bestaan. Een cloudaccount kan hybride zijn, dat wil zeggen gesynchroniseerd of gefedereerd met een on-premises map zoals Active Directory3. Hetzelfde wachtwoord werkt dan in beide werelden, waardoor de schade van een diefstal groter wordt3.

Waarom is een wachtwoord alleen niet genoeg?

Volgens Microsoft laat een wachtwoord alleen een onbeveiligde aanvalsvector open: als het zwak is of elders is gelekt, kan een aanvaller het gebruiken5. Multifactorauthenticatie vraagt minstens twee van drie elementen: iets wat u weet (meestal een wachtwoord), iets wat u bezit (een telefoon, een hardwaresleutel), iets wat u bent (een vingerafdruk, een gezicht)5. De tweede factor is voor een aanvaller niet gemakkelijk te verkrijgen of te dupliceren5.

De organisatie kan ook contextregels instellen. Het beleid voor voorwaardelijke toegang van Microsoft Entra bestaat uit "als… dan"-instructies: als een gebruiker toegang wil tot een applicatie zoals Microsoft 365, moet hij multifactorauthenticatie doorlopen6. Het kan de gewone aanmelding laten op het bedrijfsnetwerk of op een geregistreerd apparaat, en een extra factor eisen op afstand of vanaf een persoonlijk apparaat5.

Wat moet ik doen met een goedkeuringsverzoek dat ik niet zelf heb gestart?

Weiger het en meld het. MITRE ATT&CK beschrijft de techniek van het genereren van MFA-verzoeken: een aanvaller die een wachtwoord heeft maar niet de tweede factor, activeert pushmeldingen (Duo Push, Microsoft Authenticator, Okta of gelijkwaardig) zodat het slachtoffer ze accepteert4. Hij kan de pogingen herhalen om de gebruiker te overspoelen met meldingen, sms'jes en telefoontjes, tot die accepteert, wat de bron "MFA fatigue" noemt4. Tot de maatregelen van MITRE behoren: gebruikers opleiden om alleen verzoeken te accepteren die voortkomen uit aanmeldingen die zij zelf hebben gestart, de locatie van de poging te controleren en verdachte of ongevraagde verzoeken te melden4.

Wat kan een aanvaller met een gestolen account?

Dat hangt van het account af. Domeinaccounts zijn de accounts die door AD DS worden beheerd en omvatten gebruikers, beheerders en services7. Als ze gecompromitteerd zijn, kunnen ze dienen voor eerste toegang, persistentie, escalatie van rechten of het ontwijken van verdediging7. Aan de cloudkant kan een account met zeer ruime rechten, gefedereerd, gesynchroniseerd of alleen in de cloud, een sprong naar de on-premises omgeving mogelijk maken3.

Wat is Kerberoasting?

Bij deze aanval vraagt een tegenstander die een geldig Kerberos-ticket heeft, bij een domeincontroller servicetickets op voor service principal names (SPN's)8. Een deel van die tickets kan met het RC4-algoritme zijn versleuteld. De hash van het serviceaccount dient dan als sleutel en wordt kwetsbaar voor een offline brute-forceaanval, die inloggegevens in leesbare vorm kan onthullen8. Gekraakte hashes kunnen toegang geven tot geldige accounts, met persistentie, escalatie van rechten en laterale verplaatsing8. De medewerker heeft hier niets mee te maken: de verdediging ligt bij wie de serviceaccounts beheert.

1Hoe het werkt1 min

De AD DS-map bevat een schema dat de objectklassen en hun attributen definieert, een globale catalogus, een querymechanisme en een replicatieservice1. Alle domeincontrollers van een domein nemen deel aan de replicatie en bevatten een volledige kopie van de gegevens van hun domein: een wijziging op de ene wordt naar alle andere gerepliceerd1.

Entra ID is het basisproduct van de Microsoft Entra-familie2. Die familie omvat ook Entra ID Governance, dat toegangsaanvragen, toewijzingen en beoordelingen automatiseert en de rechten kan intrekken van een medewerker die het bedrijf verlaat2. Entra ID Protection detecteert en signaleert risico's rond identiteiten2. Voor oudere applicaties die geen moderne authenticatie kunnen gebruiken, biedt Entra Domain Services beheerde diensten zoals groepsbeleid, LDAP en Kerberos/NTLM-authenticatie2.

Voorwaardelijke toegang beslist op basis van signalen: gebruiker of groep, IP-locatie, apparaat, applicatie, gedetecteerd risico6. De beslissingen lopen van blokkeren tot toegang onder voorwaarden: multifactorauthenticatie, een conform apparaat, een wachtwoordwijziging6. Dit beleid geldt nadat de eerste factor is geauthenticeerd6. De standaardbeveiligingsinstellingen (security defaults) activeren snel Microsoft Authenticator voor alle gebruikers van een tenant5.

2Wat u doet1 min
  • Activeer multifactorauthenticatie wanneer die u wordt aangeboden. Tot de beschikbare methoden behoren Microsoft Authenticator, Windows Hello for Business, passkeys (FIDO2), een hardwaretoken, sms en een spraakoproep5. De methoden beheert u in My Profile5.
  • Keur alleen verzoeken goed die u zelf hebt veroorzaakt. Komt er een verzoek binnen terwijl u niets hebt geprobeerd, weiger het dan en meld het aan het IT-team4.
  • Kies voor elke dienst een uniek en complex wachtwoord: MITRE raadt complexe en unieke wachtwoorden aan voor cloudaccounts3.
  • Gebruik uw zakelijke wachtwoord nergens anders. De bron van MITRE over domeinaccounts noemt hergebruik van wachtwoorden als een van de manieren om accounts te compromitteren7.

Wat de beheerder van de map doet:

  • Serviceaccounts beperken tot de minimaal nodige rechten, ook wat lidmaatschap van bevoorrechte groepen zoals Domain Administrators betreft8.
  • Lange wachtwoorden eisen voor serviceaccounts (bij voorkeur 25 tekens of meer), ze vernieuwen en groepsgebonden beheerde serviceaccounts of een wachtwoordkluis overwegen8.
  • Het gebruik van bevoorrechte accounts beperken volgens beheerlagen, en geen gebruikers- of domeinbeheerdersaccounts zonder strikte controle in lokale beheerdersgroepen plaatsen9.
  • Regelmatig de rechten van bevoorrechte cloudaccounts nalopen, zoals Global Administrator en Privileged Role Administrator, controleren dat er geen ongeautoriseerd bevoorrecht account is aangemaakt, en tijdelijke (just-in-time) bevoorrechte toegang overwegen in plaats van een permanente toewijzing3.
  • Inactieve of overbodige accounts nalopen en verwijderen3.
  • Verouderde authenticatie uitschakelen, die geen multifactorauthenticatie ondersteunt3.
3De valkuilen2 min

Te veel beheerdersaccounts. Elk bevoorrecht account is een doelwit: DCSync maakt het bijvoorbeeld mogelijk wachtwoordgegevens uit Active Directory te halen door de replicatie van een domeincontroller na te bootsen9. Leden van de groepen Administrators, Domain Admins en Enterprise Admins, of de machineaccounts van de controller, kunnen dit uitvoeren9. De verkregen hashes, waaronder die van het KRBTGT-account, dienen daarna om een Golden Ticket te maken of een wachtwoord te wijzigen9.

De ontbrekende tweede factor. MITRE meldt dat Storm-0501 een Global Administrator-account van het slachtoffer zonder enige geregistreerde MFA-methode gebruikte om toegang te krijgen tot de cloudomgevingen3. Dezelfde groep buitte gecompromitteerde accounts uit om Microsoft Entra Connect te bereiken, dat on-premises identiteiten en Entra synchroniseert, zodat gebruikers met hetzelfde wachtwoord op beide inloggen3.

De melding die u uiteindelijk accepteert. Vermoeidheid door pushmeldingen is een gedocumenteerde manier om multifactorauthenticatie te omzeilen4. MITRE adviseert de gewone push te vervangen door het invoeren van een eenmalige code die op het inlogscherm staat, en het aantal verzonden verzoeken per periode te beperken4.

Vergeten serviceaccounts. Die zijn het doelwit van Kerberoasting, ook met hulpmiddelen als Rubeus of de opdracht Invoke-Kerberoast van PowerSploit8. MITRE beveelt aan waar mogelijk AES-versleuteling boven RC4 te verkiezen8.

Het referentiekader. NIST publiceerde op 31 juli 2025 de definitieve versie van SP 800-63B-4, over authenticatie en het beheer van authenticators10. De tekst gaat over de authenticatie van personen die met de informatiesystemen van de Amerikaanse overheid werken en definieert technische eisen voor elk van de drie zekerheidsniveaus10. Hij vervangt de versie SP 800-63B van maart 202010.

4Cases uit de praktijk1 min

2025: wisseraanvallen in Polen

MITRE ATT&CK noemt bij de aanvallen "2025 Poland Wiper Attacks" twee vormen van gebruik van inloggegevens in dezelfde episode. De aanvallers gebruikten bevoorrechte accounts om toegang te krijgen tot de VPN-oplossing FortiGate en de daaropvolgende subnetten7. Ze buitten ook inloggegevens uit die uit on-premises omgevingen waren gestolen om toegang te krijgen tot clouddiensten3.

Fiche

Identificatie
CP-199
Vleugel
3. Protocollen en verdediging
Brain-competentie
Toegang beheersen (control_access)
Brain-reflex
cr-062
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
10 bronnen gecontroleerd op 3 november 2026
Bronnen10 bronnen
  1. Microsoft, “Active Directory Domain Services overview”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (geraadpleegd op 3 november 2026)
  2. Microsoft, “What is Microsoft Entra?”. https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (geraadpleegd op 3 november 2026)
  3. MITRE ATT&CK, “Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/004/ (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1621/ (geraadpleegd op 3 november 2026)
  5. Microsoft, “How it works: Microsoft Entra multifactor authentication”. https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (geraadpleegd op 3 november 2026)
  6. Microsoft, “What is Conditional Access?”. https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/002/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1558/003/ (geraadpleegd op 3 november 2026)
  9. MITRE ATT&CK, “OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1003/006/ (geraadpleegd op 3 november 2026)
  10. NIST, “SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management”, 31 juli 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Active Directory en Entra ID”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/

BibTeX 
@misc{brain_cp199_nl_2026,
  author = {Brain},
  title = {Active Directory en Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/active-directory-entra-id-identiteiten/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0