Browser Netwerktijd (NTP) Ingeschakeld

<# .SYNOPSIS Edge Policy: Browser Network Time Queries Enabled - Zorgt voor accurate tijdsynchronisatie .DESCRIPTION CIS Microsoft Edge Benchmark - Control 1.40 (L1) Ensure 'Allow queries to a Browser Network Time service' is set to 'Enabled' (Automated) Deze control zorgt ervoor dat Microsoft Edge queries kan uitvoeren naar een Network Time service om de klok te synchroniseren. Accurate tijdsynchronisatie is cruciaal voor het correct valideren van SSL/TLS certificaten en het voorkomen van beveiligingsproblemen die voortkomen uit onjuiste systeemtijd. RATIONALE: SSL/TLS certificaten hebben een geldigheidstermijn. Als de systeemklok niet correct is, kunnen valide certificaten als verlopen worden gezien of verlopen certificaten als geldig. Dit kan leiden tot man-in-the-middle aanvallen. Network Time synchronisatie zorgt ervoor dat Edge een accurate tijdreferentie heeft voor certificaatvalidatie. IMPACT: Edge zal periodiek de tijd synchroniseren met een externe Network Time service. Dit zorgt voor accurate tijdsinstelling, zelfs als de systeemklok niet correct is geconfigureerd. .NOTES Filename: browser-network-time-enabled.ps1 Author: Nederlandse Baseline voor Veilige Cloud Version: 1.0 CIS Control: 1.40 (Level 1) Category: Network Related JSON: content/edge/network/browser-network-time-enabled.json Registry Path: HKLM:\SOFTWARE\Policies\Microsoft\Edge Registry Value: BrowserNetworkTimeQueriesEnabled (DWORD) Expected Value: 1 (Enabled) .PARAMETER WhatIf Toont wat het script zou doen zonder daadwerkelijk wijzigingen door te voeren .PARAMETER Monitoring Voert compliance check uit en toont gedetailleerd rapport .PARAMETER Remediation Voert automatische remediatie uit om non-compliance te corrigeren .PARAMETER Revert Draait wijzigingen terug (verwijdert registry waarde) .EXAMPLE .\browser-network-time-enabled.ps1 Voert basis compliance check uit .EXAMPLE .\browser-network-time-enabled.ps1 -Monitoring Toont gedetailleerd compliance rapport .EXAMPLE .\browser-network-time-enabled.ps1 -Remediation -WhatIf Toont preview van remediatie acties .EXAMPLE .\browser-network-time-enabled.ps1 -Remediation Configureert de policy door registry waarde in te stellen .EXAMPLE .\browser-network-time-enabled.ps1 -Revert Verwijdert de policy configuratie #> # ============================================================================ # REQUIREMENTS # ============================================================================ #Requires -Version 5.1 #Requires -RunAsAdministrator # ============================================================================ # PARAMETERS # ============================================================================ [CmdletBinding()] param( [Parameter()][switch]$WhatIf, # Preview mode - geen wijzigingen [Parameter()][switch]$Monitoring, # Uitgebreid monitoring rapport [Parameter()][switch]$Remediation, # Voer automatische fix uit [Parameter()][switch]$Revert # Maak wijzigingen ongedaan ) # ============================================================================ # GLOBAL VARIABLES # ============================================================================ $ErrorActionPreference = 'Stop' $VerbosePreference = 'Continue' # Registry configuratie $RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\Edge" $RegName = "BrowserNetworkTimeQueriesEnabled" $ExpectedValue = 1 # 1 = Enabled, 0 = Disabled $PolicyName = "Browser Network Time Queries Enabled" # ============================================================================ # FUNCTION: Connect-RequiredServices # ============================================================================ function Connect-RequiredServices { <# .SYNOPSIS Controleert of script met Administrator rechten wordt uitgevoerd .DESCRIPTION Voor registry wijzigingen zijn Administrator rechten vereist. Deze functie controleert de huidige gebruikersrechten. #> $currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent()) $isAdmin = $currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator) if (-not $isAdmin) { Write-Warning "Dit script vereist Administrator rechten voor registry wijzigingen" Write-Warning "Start PowerShell als Administrator en probeer opnieuw" return $false } Write-Verbose "Script wordt uitgevoerd met Administrator rechten" return $true } # ============================================================================ # FUNCTION: Test-Compliance # ============================================================================ function Test-Compliance { <# .SYNOPSIS Test of de Edge policy correct is geconfigureerd .DESCRIPTION Controleert of de registry waarde bestaat en correct is ingesteld. Retourneert gestructureerd object met compliance status. .OUTPUTS PSCustomObject met properties: - ScriptName: Naam van het script - PolicyName: Naam van de policy - IsCompliant: Boolean - true als compliant - RegistryPath: Het gecontroleerde registry pad - CurrentValue: Huidige waarde in registry - ExpectedValue: Verwachte waarde - Details: Array met details over bevindingen - Recommendations: Array met aanbevelingen #> Write-Verbose "Testing compliance voor: $PolicyName..." # Maak resultaat object $result = [PSCustomObject]@{ ScriptName = "browser-network-time-enabled.ps1" PolicyName = $PolicyName CISControl = "1.40" Level = "L1" Category = "Network" IsCompliant = $false RegistryPath = "$RegPath\$RegName" CurrentValue = $null ExpectedValue = $ExpectedValue Details = @() Recommendations = @() } # Check of registry path bestaat if (-not (Test-Path $RegPath)) { $result.Details += "Registry pad bestaat niet: $RegPath" $result.Recommendations += "Voer remediatie uit met -Remediation parameter" $result.Recommendations += "Dit zal de Edge policy registry structuur aanmaken" return $result } # Probeer registry waarde te lezen try { $regValue = Get-ItemProperty -Path $RegPath -Name $RegName -ErrorAction Stop $result.CurrentValue = $regValue.$RegName # Vergelijk met verwachte waarde if ($result.CurrentValue -eq $ExpectedValue) { $result.IsCompliant = $true $result.Details += "Policy is correct geconfigureerd" $result.Details += "Browser Network Time queries zijn ingeschakeld" $result.Details += "Edge kan tijd synchroniseren voor accurate certificaatvalidatie" } else { $result.Details += "Policy bestaat maar heeft incorrecte waarde" $result.Details += "Huidige waarde: $($result.CurrentValue) (verwacht: $ExpectedValue)" $result.Recommendations += "Voer remediatie uit met -Remediation parameter" $result.Recommendations += "Dit zal de waarde corrigeren naar $ExpectedValue (Enabled)" } } catch { $result.Details += "Registry waarde bestaat niet: $RegName" $result.Details += "Policy is niet geconfigureerd" $result.Recommendations += "Voer remediatie uit met -Remediation parameter" $result.Recommendations += "Dit zal Network Time queries activeren voor accurate tijdsynchronisatie" } return $result } # ============================================================================ # FUNCTION: Invoke-Remediation # ============================================================================ function Invoke-Remediation { <# .SYNOPSIS Configureert de Edge Browser Network Time Queries policy .DESCRIPTION Maakt de benodigde registry structuur aan en stelt de policy in. Dit zorgt ervoor dat Edge tijd kan synchroniseren voor certificaatvalidatie. #> Write-Host "`nStarting remediation voor: $PolicyName..." -ForegroundColor Cyan try { # STAP 1: Controleer en maak registry pad aan indien nodig Write-Verbose "Controleren of registry pad bestaat..." if (-not (Test-Path $RegPath)) { Write-Host " Creating registry path: $RegPath" -ForegroundColor Yellow New-Item -Path $RegPath -Force | Out-Null Write-Host " Registry pad aangemaakt" -ForegroundColor Green } else { Write-Verbose "Registry pad bestaat al" } # STAP 2: Controleer huidige waarde $currentValue = $null try { $regValue = Get-ItemProperty -Path $RegPath -Name $RegName -ErrorAction Stop $currentValue = $regValue.$RegName Write-Verbose "Huidige waarde: $currentValue" } catch { Write-Verbose "Registry waarde bestaat nog niet" } # STAP 3: Set registry waarde if ($currentValue -eq $ExpectedValue) { Write-Host " Policy is al correct geconfigureerd (waarde = $ExpectedValue)" -ForegroundColor Green } else { Write-Host " Setting registry value: $RegName = $ExpectedValue" -ForegroundColor Yellow Set-ItemProperty -Path $RegPath -Name $RegName -Value $ExpectedValue -Type DWord -Force Write-Host " Registry waarde ingesteld" -ForegroundColor Green } # STAP 4: Verificatie $verifyValue = Get-ItemProperty -Path $RegPath -Name $RegName if ($verifyValue.$RegName -eq $ExpectedValue) { Write-Host "`n Browser Network Time Queries policy is succesvol geconfigureerd" -ForegroundColor Green Write-Host " Edge kan nu tijd synchroniseren voor certificaatvalidatie" -ForegroundColor Green } else { throw "Verificatie gefaald: waarde is $($verifyValue.$RegName), verwacht $ExpectedValue" } # STAP 5: Informatie over toepassing en impact Write-Host "`n BELANGRIJK:" -ForegroundColor Yellow Write-Host " - Deze policy wordt toegepast bij de volgende start van Edge" -ForegroundColor Gray Write-Host " - Edge zal periodiek tijd synchroniseren met network time service" -ForegroundColor Gray Write-Host " - Dit verbetert de betrouwbaarheid van SSL/TLS certificaatvalidatie" -ForegroundColor Gray Write-Host " - Controleer in Edge met edge://policy of de policy is geladen" -ForegroundColor Gray Write-Host "`nRemediatie succesvol afgerond" -ForegroundColor Green } catch { Write-Error "Fout tijdens remediatie: $_" Write-Error $_.ScriptStackTrace throw } } # ============================================================================ # FUNCTION: Invoke-Monitoring # ============================================================================ function Invoke-Monitoring { <# .SYNOPSIS Voert compliance check uit en toont gedetailleerd rapport .DESCRIPTION Roept Test-Compliance aan en formatteert de output voor duidelijke monitoring rapportage. #> $result = Test-Compliance # Formatted output Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "EDGE POLICY COMPLIANCE CHECK" -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan Write-Host "Policy: $($result.PolicyName)" -ForegroundColor White Write-Host "CIS Control: $($result.CISControl) (Level $($result.Level))" -ForegroundColor White Write-Host "Category: $($result.Category)" -ForegroundColor White Write-Host "Registry: $($result.RegistryPath)" -ForegroundColor White Write-Host "`nCompliance Status:" -ForegroundColor Yellow if ($result.IsCompliant) { Write-Host " STATUS: COMPLIANT" -ForegroundColor Green } else { Write-Host " STATUS: NON-COMPLIANT" -ForegroundColor Red } Write-Host "`nConfiguration:" -ForegroundColor Yellow Write-Host " Expected Value: $($result.ExpectedValue) (Enabled)" -ForegroundColor White if ($null -ne $result.CurrentValue) { $valueColor = if ($result.CurrentValue -eq $result.ExpectedValue) { "Green" } else { "Red" } Write-Host " Current Value: $($result.CurrentValue)" -ForegroundColor $valueColor } else { Write-Host " Current Value: Not Set" -ForegroundColor Red } if ($result.Details) { Write-Host "`nDetails:" -ForegroundColor Yellow foreach ($detail in $result.Details) { Write-Host " $detail" -ForegroundColor Gray } } if ($result.Recommendations) { Write-Host "`nAanbevelingen:" -ForegroundColor Yellow foreach ($recommendation in $result.Recommendations) { Write-Host " $recommendation" -ForegroundColor Cyan } } Write-Host "`n========================================`n" -ForegroundColor Cyan return $result } # ============================================================================ function Invoke-Revert { Write-Host "`nReverting configuration for: $PolicyName..." -ForegroundColor Cyan # Revert implementation Write-Host " Configuration reverted" -ForegroundColor Green Write-Host "`n[OK] Revert completed" -ForegroundColor Green }# MAIN EXECUTION BLOCK # ============================================================================ try { # Banner Write-Host "`n==================================================" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "Edge Policy: Browser Network Time Queries" -ForegroundColor Cyan Write-Host "==================================================" -ForegroundColor Cyan # Stap 1: Controleer Administrator rechten if (-not (Connect-RequiredServices)) { exit 1 } # Stap 2: Bepaal actie op basis van parameters if ($Monitoring) { # Uitgebreid monitoring rapport $result = Invoke-Monitoring exit $(if ($result.IsCompliant) { 0 } else { 1 }) } elseif ($Remediation) { # Remediatie met optionele WhatIf if ($WhatIf) { Write-Host "`n=== WHATIF MODE ===" -ForegroundColor Yellow Write-Host "Zou de volgende acties uitvoeren:" -ForegroundColor Yellow Write-Host " 1. Registry pad aanmaken (indien nodig): $RegPath" -ForegroundColor Gray Write-Host " 2. Registry waarde instellen: $RegName = $ExpectedValue" -ForegroundColor Gray Write-Host " 3. Browser Network Time queries activeren" -ForegroundColor Gray Write-Host "`nGeen daadwerkelijke wijzigingen uitgevoerd" -ForegroundColor Yellow Write-Host "===================`n" -ForegroundColor Yellow } else { Invoke-Remediation } } elseif ($Revert) { # Maak wijzigingen ongedaan Write-Host "`nReverting changes voor: $PolicyName..." -ForegroundColor Yellow if (Test-Path $RegPath) { try { Remove-ItemProperty -Path $RegPath -Name $RegName -ErrorAction Stop Write-Host "Registry waarde verwijderd: $RegName" -ForegroundColor Green Write-Host "Browser Network Time queries policy is uitgeschakeld" -ForegroundColor Yellow Write-Host "Edge zal standaard gedrag gebruiken voor tijdsynchronisatie" -ForegroundColor Gray Write-Host "`nHerstart Edge om de wijziging toe te passen" -ForegroundColor Gray } catch { Write-Host "Registry waarde bestaat niet of kon niet verwijderd worden" -ForegroundColor Yellow } } else { Write-Host "Registry pad bestaat niet" -ForegroundColor Yellow } } else { # Standaard: simpele compliance check $result = Test-Compliance Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Compliance Check: $PolicyName" -ForegroundColor Cyan Write-Host "========================================" -ForegroundColor Cyan if ($result.IsCompliant) { Write-Host "Status: COMPLIANT" -ForegroundColor Green Write-Host "Registry waarde: $($result.CurrentValue) (verwacht: $ExpectedValue)" -ForegroundColor Green } else { Write-Host "Status: NON-COMPLIANT" -ForegroundColor Red if ($null -ne $result.CurrentValue) { Write-Host "Registry waarde: $($result.CurrentValue) (verwacht: $ExpectedValue)" -ForegroundColor Red } else { Write-Host "Registry waarde: Niet ingesteld (verwacht: $ExpectedValue)" -ForegroundColor Red } Write-Host "`nVoer uit met -Monitoring voor gedetailleerd rapport" -ForegroundColor Yellow Write-Host "Voer uit met -Remediation om te corrigeren" -ForegroundColor Yellow } Write-Host "========================================`n" -ForegroundColor Cyan exit $(if ($result.IsCompliant) { 0 } else { 1 }) } } catch { # Error handling Write-Host "`nERROR: Er is een fout opgetreden" -ForegroundColor Red Write-Error "Foutmelding: $_" Write-Error $_.ScriptStackTrace exit 1 } <# ================================================================================ AANVULLENDE DOCUMENTATIE ================================================================================ CIS BENCHMARK INFORMATIE: ------------------------- Control: 1.40 (Level 1) Title: Ensure 'Allow queries to a Browser Network Time service' is set to 'Enabled' Category: Network Security Automated: Yes TECHNISCHE DETAILS: ------------------- Registry Location: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge Value Name: BrowserNetworkTimeQueriesEnabled Value Type: REG_DWORD Expected Value: 1 (Enabled) Waarde opties: - 0 = Disabled (Network Time queries uitgeschakeld) - 1 = Enabled (Network Time queries ingeschakeld) - Niet ingesteld = Default Edge gedrag (meestal enabled) FUNCTIONALITEIT: ---------------- Wanneer ingeschakeld, kan Microsoft Edge queries uitvoeren naar een Network Time service om een accurate tijdreferentie te verkrijgen. Deze tijd wordt gebruikt voor: 1. SSL/TLS Certificaat validatie - Controleert of certificaten binnen geldigheidstermijn zijn - Voorkomt acceptatie van verlopen certificaten - Voorkomt afwijzing van valide certificaten door onjuiste systeemtijd 2. Security Features - HSTS (HTTP Strict Transport Security) policy validatie - Certificate Transparency log validatie - Revocation checking met OCSP timestamps 3. Browser Functionaliteit - Cookie expiration handling - Cache validation - Session management WAAROM DIT BELANGRIJK IS: -------------------------- SSL/TLS certificaten hebben een geldigheidstermijn gedefinieerd door: - NotBefore: Datum vanaf wanneer certificaat geldig is - NotAfter: Datum tot wanneer certificaat geldig is Als de systeemklok significant afwijkt: - Valide certificaten kunnen als verlopen worden gezien (false positive) - Verlopen certificaten kunnen als geldig worden gezien (security risk!) - Man-in-the-middle aanvallen met oude certificaten worden mogelijk Network Time synchronisatie zorgt ervoor dat Edge altijd een accurate tijdreferentie heeft, onafhankelijk van de systeemklok. SECURITY IMPACT: ---------------- + Accurate certificaat validatie, ook bij onjuiste systeemtijd + Bescherming tegen time-based security bypasses + Betere detectie van verlopen certificaten + Verbeterde HSTS policy enforcement - Minimale network overhead voor time queries - Privacy: time queries onthullen dat browser actief is DEPLOYMENT OVERWEGINGEN: ------------------------ 1. Netwerk connectiviteit vereist - Edge moet kunnen verbinden met time.windows.com of vergelijkbare services - Firewall regels moeten time queries toestaan 2. Privacy overwegingen - Time queries kunnen metadata lekken (timing van browser gebruik) - Overweeg gebruik van lokale time server in beveiligde omgevingen 3. Enterprise configuratie - Combineer met NTP (Network Time Protocol) op OS niveau - Overweeg centrale time server voor enterprise omgevingen - Test in pilot groep voordat breed uitgerold 4. Alternatieve time sources - Windows Time Service (w32time) - Domain Controller time synchronization - GPS-based time servers voor high-security omgevingen VERIFICATIE: ------------ Na implementatie kun je de policy verifiëren via: 1. edge://policy in Microsoft Edge browser 2. Zoek naar "BrowserNetworkTimeQueriesEnabled" 3. Status moet "enabled" zijn Of via PowerShell: Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" -Name "BrowserNetworkTimeQueriesEnabled" TROUBLESHOOTING: ---------------- Als de policy niet wordt toegepast: 1. Controleer of Edge volledig is afgesloten 2. Herstart Edge en controleer edge://policy 3. Controleer firewall regels voor time service connectiviteit 4. Verifieer Administrator rechten bij handmatige configuratie Als certificaat validatie problemen optreden: 1. Controleer systeemklok: Get-Date 2. Controleer Windows Time Service: w32tm /query /status 3. Force time sync: w32tm /resync /force 4. Check Edge time sync: edge://net-internals/#time GERELATEERDE POLICIES: ---------------------- - BrowserNetworkTimeQueriesEnabled (deze policy) - BuiltInDnsClientEnabled (DNS-over-HTTPS) - SSLVersionMin (Minimum SSL/TLS version) REFERENTIES: ------------ - CIS Microsoft Edge Benchmark v1.0.0 - Microsoft Edge Enterprise Documentation - RFC 5905: Network Time Protocol Version 4 - RFC 5280: X.509 Certificate Validation COMPLIANCE FRAMEWORKS: ---------------------- - CIS Controls - NIST Cybersecurity Framework - ISO 27001 ================================================================================ #>