Cyberpediadoor Brain
NLDEENESFRIT

Beheerdersaccounts beschermen (PAM)

Een beheerdersaccount opent alle deuren. Zo beschermt PAM zo'n account en dit doen medewerkers en hun leidinggevenden dagelijks.

In 30 seconden

Waar het gebeurt
Op elk systeem waar iemand beheerrechten heeft, in de bedrijfsdirectory, op een werkstation, een server of een onlinedienst.
Wat de aanvaller wil
De inloggegevens van een bestaand account bemachtigen, om te handelen zonder argwaan te wekken4.
De reflex
Gebruik een beheerdersaccount alleen om te beheren, nooit voor e-mail, internet of kantoorsoftware, en vraag de rechten aan op het moment dat u ze nodig hebt.
Als het al gebeurd is
Waarschuw het beveiligingsteam.

Waar gaat het over

Een bevoorrecht account is een systeemaccount dat de machtigingen van een bevoorrechte gebruiker bezit1. Een bevoorrechte gebruiker is een persoon die gemachtigd is, en dus vertrouwd wordt, om controle-, toezichts-, beheer- of beveiligingsfuncties uit te voeren die gewone gebruikers niet mogen uitvoeren2.

Dit account is niet per se van een IT-medewerker van het bedrijf. De Britse NCSC gebruikt het woord "beheerder" zowel voor een persoon, zoals een databasebeheerder, als voor een systeemaccount dat een geplande taak start, en wijst erop dat het beheer vaak aan een externe leverancier wordt toevertrouwd3. Allemaal hebben ze meer rechten dan een gewone gebruiker3. Privileged Access Management, kortweg PAM, omvat de regels en hulpmiddelen die deze accounts omkaderen.

Directe vragen

Wat is een bevoorrecht account?

Het is een account met meer rechten dan een gewone gebruiker: een gebruiker aanmaken in een domein, via SSH inloggen op een webserver om een bestand te wijzigen en een alarm instellen op een industriële klep zijn drie voorbeelden van de NCSC3. Al deze handelingen kunnen schade veroorzaken, en daarom moeten ze beschermd worden3.

Waarom richten aanvallers zich eerst op deze accounts?

Gestolen inloggegevens maken het mogelijk toegangscontroles te omzeilen. Ze dienen ook om langdurig toegang te houden tot blootgestelde diensten zoals VPN, webmail of extern bureaublad4. Een gecompromitteerd account kan bovendien een hoger bevoegdheidsniveau op bepaalde systemen geven of toegang tot afgeschermde delen van het netwerk4. Met legitieme inloggegevens kan de aanvaller buiten malware om, waardoor zijn aanwezigheid moeilijker op te merken is4.

Microsoft beschrijft hetzelfde mechanisme voor de Active Directory-directory: de aanvaller haalt inloggegevens uit geopende sessies en zoekt eerst naar accounts die al verhoogde rechten hebben, die hij vervolgens nabootst5. De gebruikelijke doelwitten zijn accounts met permanente bevoegdheden, accounts van leidinggevenden, directoryaccounts met bevoegdheden en domeincontrollers5.

Mag u uw e-mail lezen met een beheerdersaccount?

Nee. Microsoft noemt onder de gedragingen die het risico op diefstal van inloggegevens vergroten: surfen op internet terwijl u bent ingelogd op een bevoorrecht account, en inloggen vanaf een onbeveiligde computer5. De leverancier raadt aan sterk bevoorrechte accounts niet te gebruiken voor routinematige beheertaken wanneer dat te vermijden is5. Beveiligde beheerwerkstations draaien geen e-mailprogramma, geen browser en geen kantoorsoftware5.

Wat betekent PAM concreet?

De NCSC geeft de richtlijn: zorgvuldig controleren wie beheert, waar, wanneer, waarom en hoe, beheerders de minste bevoegdheden geven en de toegang intrekken wanneer die niet meer nodig is3. Bij Microsoft maakt de dienst Privileged Identity Management het mogelijk de toegang tot belangrijke bronnen van de organisatie te beheren, te controleren en te bewaken6. MITRE voegt daaraan toe: het toezicht op het gebruik van bevoorrechte accounts en de verantwoording die logging en audit waarborgen7.

1Hoe het werkt2 min

Een PAM bestaat uit meerdere onderdelen.

Ten eerste een wachtwoordkluis. MITRE beveelt kluistools aan voor het opslaan en roteren van inloggegevens en noemt CyberArk, HashiCorp Vault en KeePass als voorbeelden7. Voor wachtwoorden van lokale beheerders noemt dezelfde pagina Microsoft LAPS7.

Ten tweede de tijdelijke verhoging van rechten. In de dienst Privileged Identity Management van Microsoft Entra kan een medewerker "in aanmerking komen" voor een rol zonder die permanent te hebben. Wanneer hij de rol nodig heeft, activeert hij die voor beperkte tijd, binnen een door de beheerders vastgesteld maximum, onder vermelding van de reden van zijn verzoek6. Voor activering kan een controle met multifactorauthenticatie, een zakelijke motivering of de goedkeuring van een aangewezen goedkeurder vereist zijn6. Na afloop van de termijn dooft de rol: dat is het principe van "just in time"-toegang, waarbij tijdelijke machtigingen voorkomen dat een kwaadwillende of onbevoegde gebruiker er na het verlopen nog bij kan6. Dezelfde dienst stuurt een melding wanneer een bevoorrechte rol wordt geactiveerd en maakt toegangsbeoordelingen mogelijk om na te gaan of iedereen zijn rol nog nodig heeft6.

Ten derde de traceerbaarheid. De NCSC vraagt alle beheeractiviteiten te loggen en te auditen, om na te gaan of beheerders alleen legitieme en goedgekeurde handelingen verrichten3. Met de dienst van Microsoft kunt u de auditgeschiedenis downloaden6. Microsoft raadt ook aan de directory te bewaken om tekenen van een aanval op te sporen5.

Ten vierde sterke authenticatie. Die vraagt minstens twee bewijzen van identiteit: iets wat u weet, iets wat u hebt, iets wat u bent8. MITRE adviseert haar op te leggen aan alle bevoorrechte accounts7 en in het bijzonder aan bevoorrechte rollen8. Microsoft eist haar bij het gebruik van bevoorrechte accounts of voor beheertaken5.

Ten slotte de scheiding van accounts. In zijn model maakt Microsoft een gebruikersaccount voor een beveiligd werkstation en een apart account voor apparaatbeheerders9. De NCSC beveelt beheer in niveaus aan, omdat niet al het beheer hetzelfde risico met zich meebrengt3.

2Wat u doet1 min

Wat de medewerker doet, komt neer op vier punten.

  • Twee gebruiksvormen gescheiden houden. Het dagelijkse account dient voor e-mail, internet en kantoorsoftware. Het beheeraccount dient alleen om te beheren, op een werkstation dat daarvoor bedoeld is5.
  • De rechten aanvragen wanneer nodig. Als uw rol af en toe verhoogde toegang vereist, volg dan de activerings- of goedkeuringsprocedure van uw bedrijf in plaats van permanente rechten te houden6. Microsoft gaat in dezelfde richting: het permanente lidmaatschap van sterk bevoorrechte groepen afschaffen en een tijdelijk lidmaatschap verlenen wanneer dat nodig is5.
  • Sterke authenticatie accepteren. Microsoft vraagt haar minstens aan beheerders op te leggen9.
  • Geen lokale beheerrechten op uw werkstation houden zonder noodzaak. Microsoft voorziet in het intrekken van deze rechten voor de gebruikers van zijn bevoorrechte werkstations9, en MITRE raadt aan gebruikers uit de groep van lokale beheerders te halen7.

Voor een leidinggevende bestaat de taak erin het aantal personen met toegang tot gevoelige informatie te beperken. Dat verkleint het risico dat een kwaadwillende erbij komt en dat een bevoegde gebruiker per ongeluk een gevoelige bron raakt6. Een aangewezen goedkeurder ontvangt een e-mailmelding wanneer een rolaanvraag op goedkeuring wacht6.

3De valkuilen1 min
  • Het hergebruikte beheerderswachtwoord. MITRE legt uit dat hergebruik van wachtwoorden misbruik van lokale accounts op een reeks machines mogelijk kan maken, om bevoegdheden te verhogen en van het ene werkstation naar het andere te gaan10. Microsoft rekent lokale bevoorrechte accounts met dezelfde inloggegevens op alle systemen tot de risicovolle configuraties5.
  • Het slapende account. De aanvaller kan inactieve accounts misbruiken, bijvoorbeeld die van mensen die de organisatie hebben verlaten, omdat de oorspronkelijke gebruiker er niet meer is om abnormale activiteit op te merken4. Toegangsbeoordelingen maken het mogelijk na te gaan of gebruikers hun rol nog nodig hebben6.
  • Te veel krachtige accounts. Te veel gebruikers toewijzen aan bevoorrechte domeingroepen moedigt overmatig gebruik ervan aan5.
  • Diefstal van inloggegevens. Inloggen met een bevoorrecht account op een onbeveiligde computer stelt deze inloggegevens bloot5.
  • Overlappende rechten tussen lokale, domein- en onlineaccounts. MITRE maakt zich hier zorgen over, want de aanvaller kan van het ene account en systeem naar het andere gaan, tot op het niveau van domein- of ondernemingsbeheerder4.
4Praktijkgevallen1 min

Aanval op het Oekraïense elektriciteitsnet, 2015

Bij deze aanval gebruikte de groep Sandworm Team geldige accounts op het bedrijfsnetwerk om haar bevoegdheden te verhogen, zich lateraal te verplaatsen en zich duurzaam in dat netwerk te nestelen4.

Fiche

Identificatie
CP-198
Vleugel
3. Protocollen en verdediging
Brain-competentie
Toegang beheersen (control_access)
Brain-reflex
cr-030
Schema
G3 · Anatomische doorsnede
Talen
de, en, es, fr, it, nl
Bronnen
10 bronnen gecontroleerd op 3 november 2026
Bronnen10 bronnen
  1. NIST, “privileged account - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_account (geraadpleegd op 3 november 2026)
  2. NIST, “privileged user - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_user (geraadpleegd op 3 november 2026)
  3. NCSC (Royaume-Uni), “Secure system administration”, 15 september 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (geraadpleegd op 3 november 2026)
  4. MITRE ATT&CK, “Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (geraadpleegd op 3 november 2026)
  5. Microsoft, “Best practices for securing Active Directory”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (geraadpleegd op 3 november 2026)
  6. Microsoft, “What is Privileged Identity Management? - Microsoft Entra ID Governance”. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (geraadpleegd op 3 november 2026)
  7. MITRE ATT&CK, “Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1026/ (geraadpleegd op 3 november 2026)
  8. MITRE ATT&CK, “Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1032/ (geraadpleegd op 3 november 2026)
  9. Microsoft, “Deploying a privileged access solution - Privileged access”. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (geraadpleegd op 3 november 2026)
  10. MITRE ATT&CK, “Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/003/ (geraadpleegd op 3 november 2026)

Dit artikel citeren

Brain, “Beheerdersaccounts beschermen (PAM)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/

BibTeX 
@misc{brain_cp198_nl_2026,
  author = {Brain},
  title = {Beheerdersaccounts beschermen (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/},
  note = {CC BY 4.0}
}
Licentie CC BY 4.0