XELMES 
MFA voor elk admin-account
Een gestolen of geraden wachtwoord mag nooit volstaan om uw omgeving over te nemen. Toch vindt u nog vaak admin-accounts zonder meervoudige authenticatie, vooral bij oude en gedeelde accounts.
Dwing MFA af met Conditional Access voor elk account met een beheerdersrol. De enige uitzondering zijn de noodtoegangsaccounts, die een eigen bescherming en nauw toezicht nodig hebben. Kies voor de gevoeligste rollen passkeys of FIDO2-sleutels, die bestand zijn tegen phishing.
Niet meer rechten dan nodig
Met de rol Owner op een subscription kan iemand alles, ook zichzelf nog meer rechten geven. Die rol wordt vaak gegeven om iemand snel verder te helpen, en daarna nooit meer ingetrokken.
Geef iedereen de rol die hij nodig heeft, waar hij die nodig heeft: op een resource group in plaats van de hele subscription, Contributor of een specifieke rol in plaats van Owner. Beheerrechten die maar af en toe nodig zijn, kent Privileged Identity Management op aanvraag en voor beperkte tijd toe.
Geen opslag open op internet
Standaard blijft een storage account of een database bereikbaar vanaf internet tot u de toegang beperkt. Komt daar een container met anonieme toegang of een gelekte sleutel bij, dan liggen de gegevens op straat.
Schakel anonieme toegang uit, beperk de netwerktoegang met firewallregels of private endpoints en kies voor authenticatie via Entra ID in plaats van gedeelde sleutels.
Wachtwoorden in Key Vault
Connection strings, API-sleutels, wachtwoorden: ze belanden in de code, in configuratiebestanden en in scripts, omdat dat de snelste manier is om iets werkend te krijgen. Eenmaal gecommit blijft een secret in de geschiedenis van de repository staan, ook als u de regel later verwijdert.
Bewaar secrets in Key Vault en laat applicaties ze lezen met een managed identity. Dan is er geen wachtwoord meer om te beheren. Is een secret al gecommit? Beschouw het dan als gelekt: vervang het, en verwijder niet alleen de regel.
RDP en SSH dicht
Een VM met poort 3389 of 22 open naar internet wordt snel gevonden door geautomatiseerde scans, en de inlogpogingen volgen meteen.
Sluit die poorten naar internet. Verbind via Azure Bastion vanuit de portal, of gebruik just-in-time access, dat een poort opent voor één IP-adres en voor beperkte tijd.
Waar begint u?
Voor geen van deze ingrepen hebt u een nieuwe tool nodig. Wel iemand die kijkt, beslist en opvolgt. Begin met MFA en de rollen met privileges: die beschermen al de rest.
Wilt u een blik van buitenaf op uw tenant, met duidelijke prioriteiten en een actieplan? Dat is precies waar onze beveiligingsexpertise over gaat.
Beveiliging & identiteitBeheerste toegang en beschermde secrets, met een zero trust- en least privilege-aanpak. 