Guest Mode Uitgeschakeld

Guest mode heeft meerdere beveiligingsrisico's: er wordt geen browsegeschiedenis bijgehouden, geen audit logging uitgevoerd, en organisatiebeleid wordt niet afgedwongen. Gebruikers kunnen hiermee organisatorische beleidsregels omzeilen. Dit is problematisch voor organisaties die een audittrail moeten bijhouden voor compliance-doeleinden zoals BIO, ISO 27001, of NIS2.

Implementatie

Deze control configureert de Edge-beleidsregel BrowserGuestModeEnabled en zet deze op 0 (uitgeschakeld). Dit gebeurt via de registry-instelling HKLM:\SOFTWARE\Policies\Microsoft\Edge\BrowserGuestModeEnabled. Wanneer deze instelling actief is, kunnen gebruikers geen gebruik maken van de guest mode functionaliteit in Edge.

Vereisten

Voor het succesvol implementeren van deze beveiligingscontrol zijn verschillende technische en organisatorische vereisten van belang. Deze vereisten vormen de basis voor een effectieve uitrol en zorgen ervoor dat de implementatie naadloos aansluit bij de bestaande IT-infrastructuur en compliance-vereisten van de organisatie.

De primaire technische vereiste is de aanwezigheid van Microsoft Edge browser op alle werkstations binnen de organisatie. Microsoft Edge moet geïnstalleerd zijn in een versie die ondersteuning biedt voor enterprise-beleidsbeheer. Dit betekent dat de browser moet worden beheerd via Microsoft Intune of Group Policy, wat standaard beschikbaar is vanaf Windows 10 versie 1809 en hoger. Voor organisaties die nog werken met oudere versies van Windows of Edge Legacy, is een migratie naar de moderne Edge-browser noodzakelijk voordat deze control kan worden geïmplementeerd.

Administratorrechten zijn essentieel voor de initiële implementatie van deze control. De IT-beheerder of security officer die verantwoordelijk is voor de uitrol moet beschikken over voldoende rechten om beleidsregels te configureren via de gekozen beheermethode. Bij gebruik van Microsoft Intune vereist dit een rol met rechten voor het maken en toewijzen van configuratieprofielen, zoals de rol 'Intune Administrator' of 'Global Administrator'. Voor Group Policy implementaties zijn lokale administratorrechten of Domain Admin rechten vereist, afhankelijk van de scope van de implementatie.

Een centrale beheeroplossing is cruciaal voor consistente uitrol en handhaving van deze control. Microsoft Intune biedt de mogelijkheid om Edge-beleid centraal te beheren voor alle apparaten, ongeacht of deze zich binnen of buiten het bedrijfsnetwerk bevinden. Dit is met name waardevol voor organisaties met een hybride of volledig cloud-gebaseerde werkomgeving. Alternatief kan Group Policy worden gebruikt voor apparaten die permanent verbonden zijn met het Active Directory-domein. De keuze tussen Intune en Group Policy hangt af van de infrastructuur, de mobiliteit van gebruikers en de beheerstrategie van de organisatie.

Een belangrijke organisatorische overweging betreft de balans tussen gebruikersgemak en compliance-vereisten. Het uitschakelen van guest mode kan voor sommige gebruikers als beperkend worden ervaren, vooral in scenario's waar zij tijdelijk toegang nodig hebben tot een gedeelde computer zonder hun persoonlijke profiel te gebruiken. Organisaties moeten daarom vooraf communiceren over de redenen voor deze maatregel en eventuele alternatieven aanbieden, zoals het gebruik van InPrivate-browsing met ingeschakelde audit logging of het aanmaken van tijdelijke werkprofielen. Deze communicatie en eventuele gebruikersondersteuning moeten worden meegenomen in de implementatieplanning.

Daarnaast is het raadzaam om vooraf een impactanalyse uit te voeren om te bepalen welke gebruikersgroepen of afdelingen mogelijk worden beïnvloed door deze wijziging. Sommige organisaties kunnen specifieke use cases hebben waarbij guest mode legitiem wordt gebruikt, bijvoorbeeld voor demonstraties of trainingen. In dergelijke gevallen moet worden overwogen of uitzonderingen nodig zijn of dat alternatieve oplossingen kunnen worden geïmplementeerd die zowel de beveiligingsdoelstellingen als de functionele behoeften ondersteunen.

Implementatie

De implementatie van deze beveiligingscontrol kan op verschillende manieren worden uitgevoerd, afhankelijk van de beschikbare beheerinfrastructuur en de voorkeuren van de organisatie. Elke methode heeft specifieke voor- en nadelen, en de keuze hangt af van factoren zoals de schaal van de implementatie, de mobiliteit van apparaten en de beschikbare technische expertise binnen het IT-team.

Gebruik PowerShell-script guest-mode-disabled.ps1 (functie Invoke-Remediation) – PowerShell script voor automatische implementatie en validatie van Guest Mode uitschakeling.

Voor organisaties die Microsoft Intune gebruiken als primaire beheeroplossing, biedt deze methode de meest flexibele en schaalbare aanpak. De implementatie begint met het aanmaken van een nieuw configuratieprofiel in de Microsoft Endpoint Manager admin center. Navigeer naar Devices, selecteer Configuration profiles en kies voor het maken van een nieuw profiel. Selecteer het platform Windows 10 en later, kies het profieltype Administrative Templates en geef het profiel een duidelijke naam zoals 'Edge Guest Mode Uitgeschakeld'. Binnen het configuratieprofiel zoek naar de Edge-beleidsregel BrowserGuestModeEnabled en stel deze in op de waarde 0, wat aangeeft dat de functie is uitgeschakeld. Wijs vervolgens het profiel toe aan de gewenste gebruikersgroepen of apparaten. Het voordeel van deze methode is dat wijzigingen centraal worden beheerd en automatisch worden gesynchroniseerd naar alle doelapparaten, ongeacht hun locatie.

Organisaties die werken met een traditionele Active Directory-omgeving kunnen Group Policy gebruiken voor de implementatie. Deze methode is bijzonder geschikt voor apparaten die permanent verbonden zijn met het bedrijfsnetwerk. Open de Group Policy Management Console en navigeer naar de gewenste organisatie-eenheid of het domein waarop het beleid moet worden toegepast. Maak een nieuwe Group Policy Object aan of bewerk een bestaand object. Ga naar Computer Configuration, vervolgens Administrative Templates, en selecteer Microsoft Edge. Zoek de beleidsinstelling BrowserGuestModeEnabled en configureer deze als Enabled met de waarde 0. Na het toepassen van het beleid wordt de wijziging automatisch doorgegeven aan alle computers binnen de scope van de Group Policy. Het is belangrijk om te weten dat Group Policy alleen werkt voor apparaten die verbonden zijn met het domein en regelmatig contact hebben met de domeincontroller voor policy-updates.

Voor kleinere omgevingen of specifieke testscenario's kan de implementatie ook direct via de Windows Registry worden uitgevoerd. Deze methode vereist lokale administratorrechten op elk apparaat en is daarom minder geschikt voor grootschalige implementaties. De registry-waarde moet worden aangemaakt of gewijzigd in het pad HKLM:\SOFTWARE\Policies\Microsoft\Edge met de naam BrowserGuestModeEnabled als een DWORD-waarde van 0. Hoewel deze methode direct werkt, ontbreekt het aan centrale beheermogelijkheden en moet de wijziging handmatig worden toegepast op elk apparaat. Bovendien kunnen gebruikers met lokale administratorrechten deze instelling theoretisch wijzigen, wat de effectiviteit van de control kan verminderen.

Ongeacht de gekozen implementatiemethode, is het essentieel om na de implementatie te verifiëren dat de instelling correct is toegepast. Dit kan worden gedaan door op een testapparaat te navigeren naar edge://policy in de Edge-browser, waar alle actieve beleidsregels zichtbaar zijn. De BrowserGuestModeEnabled policy moet zichtbaar zijn met de waarde 0. Daarnaast kan worden getest of de guest mode optie daadwerkelijk is verdwenen uit het Edge-menu. Het is aan te raden om na de implementatie een periode van monitoring in te stellen om te controleren of de instelling consistent blijft en niet wordt gewijzigd door updates of andere configuratiewijzigingen.

Voor organisaties die gebruik maken van het bijgeleverde PowerShell-script, wordt het implementatieproces verder geautomatiseerd. Het script voert niet alleen de configuratie uit, maar valideert ook of de instelling correct is toegepast en genereert rapportage over de compliance-status. Dit script kan worden uitgevoerd als onderdeel van een grotere deployment-pipeline of handmatig worden aangeroepen voor specifieke apparaten. Het script ondersteunt zowel lokale uitvoering als remote deployment via PowerShell Remoting, wat het geschikt maakt voor verschillende implementatiescenario's.

Monitoring

Gebruik PowerShell-script guest-mode-disabled.ps1 (functie Invoke-Monitoring) – PowerShell script voor continue monitoring en compliance-rapportage.

Effectieve monitoring van deze beveiligingscontrol is essentieel om te waarborgen dat de guest mode functionaliteit daadwerkelijk uitgeschakeld blijft en niet onbedoeld wordt heringeschakeld door gebruikers, software-updates of andere configuratiewijzigingen. Monitoring moet worden gezien als een continu proces dat regelmatig wordt uitgevoerd, niet als een eenmalige controle na implementatie. Dit proces helpt organisaties om compliance te handhaven en tijdig te reageren op eventuele afwijkingen van het gewenste beveiligingsniveau.

Het primaire doel van monitoring is het verifiëren dat de BrowserGuestModeEnabled registry-waarde consistent is ingesteld op 0 op alle beheerde apparaten. Dit kan worden gerealiseerd door regelmatig de registry-waarde te controleren via geautomatiseerde scripts of door gebruik te maken van centrale beheeroplossingen die compliance-rapportage bieden. Voor organisaties die Microsoft Intune gebruiken, biedt de Endpoint Manager admin center ingebouwde rapportagefunctionaliteit die automatisch de compliance-status van configuratieprofielen weergeeft. Deze rapporten tonen per apparaat of het beleid correct is toegepast en of er afwijkingen zijn gedetecteerd.

Het bijgeleverde PowerShell-script voor monitoring kan worden geïntegreerd in bestaande monitoring- en rapportageprocessen. Het script controleert de registry-waarde op lokale of remote apparaten en genereert gedetailleerde rapporten over de compliance-status. Deze rapporten kunnen worden geëxporteerd naar verschillende formaten zoals CSV of JSON, wat integratie mogelijk maakt met Security Information and Event Management (SIEM) systemen of andere security monitoring tools. Door deze geautomatiseerde monitoring regelmatig uit te voeren, bijvoorbeeld wekelijks of maandelijks, kunnen organisaties proactief afwijkingen detecteren en corrigeren voordat deze tot beveiligingsincidenten leiden.

Naast technische monitoring is het ook belangrijk om gebruikersgedrag te monitoren en te analyseren of er pogingen worden gedaan om de guest mode functionaliteit te gebruiken of te omzeilen. Hoewel de functionaliteit technisch is uitgeschakeld, kunnen gebruikers mogelijk alternatieve methoden proberen te vinden om anoniem te browsen. Monitoring van browseractiviteiten via audit logging en eventuele security alerts kan helpen om dergelijke pogingen te detecteren. Daarnaast kunnen periodieke gebruikersenquêtes of feedbacksessies inzicht geven in of gebruikers behoefte hebben aan functionaliteiten die vergelijkbaar zijn met guest mode, wat kan leiden tot het ontwikkelen van alternatieve oplossingen die zowel gebruikersgemak als beveiligingsdoelstellingen ondersteunen.

Voor organisaties met strenge compliance-vereisten, zoals die voortvloeien uit de BIO, ISO 27001 of NIS2, is het belangrijk om monitoringactiviteiten te documenteren en te bewaren als auditbewijs. Dit betekent dat monitoringrapporten moeten worden opgeslagen met een duidelijke timestamp en informatie over welke apparaten zijn gecontroleerd en wat de resultaten waren. Deze documentatie kan worden gebruikt tijdens externe audits om aan te tonen dat de organisatie proactief controleert op compliance met beveiligingsbeleid. Het is raadzaam om een bewaartermijn vast te stellen voor deze monitoringrapporten, die overeenkomt met de compliance-vereisten van de organisatie, meestal tussen de drie en zeven jaar.

Wanneer monitoring afwijkingen detecteert, moet een duidelijk proces worden gevolgd voor remediatie. Dit proces moet bepalen wie verantwoordelijk is voor het corrigeren van afwijkingen, binnen welke tijdsperiode dit moet gebeuren, en hoe de remediatie wordt geverifieerd. Voor kritieke afwijkingen, zoals wanneer guest mode onbedoeld is ingeschakeld op een groot aantal apparaten, moet een escalatieproces worden gevolgd om ervoor te zorgen dat het probleem snel wordt opgelost. Het bijhouden van een logboek van gedetecteerde afwijkingen en uitgevoerde remediaties helpt organisaties om trends te identificeren en het monitoringproces continu te verbeteren.

Compliance en Auditing

Deze beveiligingscontrol draagt significant bij aan de naleving van verschillende compliance frameworks die relevant zijn voor Nederlandse overheidsorganisaties en andere organisaties die werken met gevoelige informatie. Het uitschakelen van guest mode is niet alleen een technische beveiligingsmaatregel, maar ook een essentiële component van een robuust audit- en complianceprogramma dat voldoet aan nationale en internationale standaarden.

Binnen het BIO (Baseline Informatiebeveiliging Overheid) framework is deze control direct gerelateerd aan thema 12.04, dat betrekking heeft op audit logging. Dit thema vereist dat organisaties logging van gebeurtenissen implementeren die traceerbaar zijn naar individuele gebruikers. Guest mode maakt anoniem browsen mogelijk zonder dat activiteiten kunnen worden gekoppeld aan specifieke gebruikers, wat direct in strijd is met deze vereiste. Door guest mode uit te schakelen, zorgt de organisatie ervoor dat alle browseractiviteiten worden gelogd in de context van een gebruikersprofiel, waardoor volledige traceerbaarheid wordt gewaarborgd. Dit is met name belangrijk voor overheidsorganisaties die verplicht zijn om te voldoen aan BIO-normen en die moeten kunnen aantonen dat zij adequate logging en monitoring hebben geïmplementeerd.

Voor organisaties die certificering nastreven of behouden volgens ISO 27001:2022, is deze control relevant voor controle A.8.15, dat betrekking heeft op logging. Deze controle vereist dat organisaties gebeurtenislogboeken implementeren die gebruikersactiviteiten vastleggen en die kunnen worden gebruikt voor detectie, analyse en onderzoek van beveiligingsincidenten. Het uitschakelen van guest mode draagt bij aan deze vereiste door ervoor te zorgen dat alle browseractiviteiten kunnen worden gekoppeld aan specifieke gebruikersaccounts, wat essentieel is voor effectieve logging en monitoring. Tijdens ISO 27001 audits kunnen auditors vragen naar de maatregelen die zijn genomen om anoniem browsen te voorkomen, en deze control vormt een belangrijk onderdeel van het antwoord hierop.

Met de implementatie van de NIS2-richtlijn in Nederlandse wetgeving, worden organisaties die worden aangemerkt als essentiële of belangrijke entiteiten verplicht om adequate logging en monitoring te implementeren voor de detectie van beveiligingsincidenten, zoals beschreven in Artikel 21. Deze richtlijn benadrukt het belang van traceerbaarheid en accountability in cybersecurity, wat betekent dat organisaties moeten kunnen aantonen wie welke acties heeft uitgevoerd en wanneer. Het uitschakelen van guest mode draagt direct bij aan deze vereiste door anoniem browsen te voorkomen en ervoor te zorgen dat alle activiteiten kunnen worden gekoppeld aan specifieke gebruikers. Dit is met name relevant voor organisaties in sectoren zoals energie, transport, gezondheidszorg en digitale infrastructuur, die onder de scope van NIS2 vallen.

Naast deze specifieke compliance-frameworks, draagt deze control ook bij aan algemene principes van informatiebeveiliging die worden beschreven in de AVG (Algemene Verordening Gegevensbescherming). Hoewel de AVG primair gericht is op privacybescherming, vereist deze ook dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Het uitschakelen van guest mode helpt organisaties om controle te behouden over hoe persoonsgegevens worden verwerkt via webbrowsers, wat kan bijdragen aan compliance met AVG-vereisten rondom accountability en beveiliging van gegevensverwerking.

Voor forensisch onderzoek na beveiligingsincidenten is het uitschakelen van guest mode van cruciaal belang. Wanneer een beveiligingsincident plaatsvindt, moeten security teams en forensische onderzoekers kunnen reconstrueren welke activiteiten hebben plaatsgevonden en door wie deze zijn uitgevoerd. Als guest mode is ingeschakeld, kunnen activiteiten die in deze modus zijn uitgevoerd niet worden gekoppeld aan specifieke gebruikers, wat het forensisch onderzoek aanzienlijk bemoeilijkt. Door guest mode uit te schakelen, zorgt de organisatie ervoor dat alle browseractiviteiten traceerbaar zijn, wat de effectiviteit van incident response en forensisch onderzoek aanzienlijk verbetert.

Tijdens externe audits en compliance-controles kunnen auditors vragen naar de maatregelen die zijn genomen om anoniem browsen te voorkomen en om te waarborgen dat alle activiteiten traceerbaar zijn. Deze control vormt een belangrijk onderdeel van het auditbewijs dat organisaties kunnen presenteren om aan te tonen dat zij adequate maatregelen hebben geïmplementeerd. Het is daarom belangrijk om deze control te documenteren, inclusief de implementatiemethode, de scope van de implementatie, en de monitoringprocessen die zijn ingesteld om compliance te handhaven. Deze documentatie kan worden gebruikt tijdens audits om aan te tonen dat de organisatie proactief werkt aan het waarborgen van traceerbaarheid en accountability in browseractiviteiten.

Remediatie

Gebruik PowerShell-script guest-mode-disabled.ps1 (functie Invoke-Remediation) – PowerShell script voor automatische remediatie wanneer guest mode onbedoeld is ingeschakeld.

Remediatie is het proces van het herstellen van de gewenste beveiligingsconfiguratie wanneer monitoring of andere controles afwijkingen detecteren. In de context van deze control betekent remediatie dat wanneer guest mode onbedoeld is ingeschakeld of wanneer de BrowserGuestModeEnabled registry-waarde niet correct is geconfigureerd, deze situatie wordt gecorrigeerd om de beveiligingspostuur van de organisatie te herstellen. Effectieve remediatie vereist een gestructureerde aanpak die snel kan worden uitgevoerd, die kan worden geverifieerd, en die kan worden gedocumenteerd voor auditdoeleinden.

Het primaire doel van remediatie is het herstellen van de BrowserGuestModeEnabled registry-waarde naar 0 op alle apparaten waar deze afwijking is gedetecteerd. De remediatiemethode die wordt gebruikt, moet overeenkomen met de oorspronkelijke implementatiemethode om consistentie te waarborgen. Voor apparaten die worden beheerd via Microsoft Intune, kan remediatie worden uitgevoerd door het configuratieprofiel opnieuw toe te wijzen of door te verifiëren dat het profiel correct is geconfigureerd en actief is. In sommige gevallen kan het nodig zijn om het apparaat opnieuw te synchroniseren met Intune of om de gebruiker te vragen om de browser opnieuw te starten zodat de beleidsregels opnieuw worden toegepast.

Voor apparaten die worden beheerd via Group Policy, kan remediatie worden uitgevoerd door een geforceerde Group Policy update uit te voeren op het betreffende apparaat. Dit kan worden gedaan via de opdrachtprompt met de opdracht 'gpupdate /force', wat ervoor zorgt dat alle Group Policy-instellingen onmiddellijk worden vernieuwd. Als de afwijking op meerdere apparaten is gedetecteerd, kan dit proces worden geautomatiseerd via PowerShell Remoting of andere remote management tools. Het is belangrijk om na de remediatie te verifiëren dat de instelling correct is hersteld door de registry-waarde opnieuw te controleren of door gebruik te maken van het edge://policy overzicht in de browser.

Het bijgeleverde PowerShell-script voor remediatie biedt een geautomatiseerde oplossing voor het herstellen van de gewenste configuratie. Het script kan worden uitgevoerd op lokale apparaten of remote via PowerShell Remoting, wat het geschikt maakt voor verschillende remediatiescenario's. Het script controleert eerst de huidige status van de registry-waarde, past deze aan indien nodig, en verifieert vervolgens dat de wijziging correct is toegepast. Daarnaast genereert het script een rapport over de uitgevoerde remediatie-acties, wat belangrijk is voor documentatie en auditdoeleinden. Dit geautomatiseerde proces vermindert de kans op menselijke fouten en zorgt voor consistente remediatie over alle apparaten heen.

Wanneer remediatie wordt uitgevoerd, is het belangrijk om te onderzoeken wat de oorzaak was van de afwijking. Dit helpt organisaties om te begrijpen of er systematische problemen zijn die moeten worden aangepakt, zoals onjuiste configuratie van Group Policy of Intune-profielen, software-updates die instellingen hebben gewijzigd, of gebruikers die proberen de instellingen te wijzigen. Door de root cause te identificeren, kunnen organisaties preventieve maatregelen nemen om toekomstige afwijkingen te voorkomen. Dit kan bijvoorbeeld betekenen dat aanvullende monitoring wordt geïmplementeerd, dat gebruikers worden geïnformeerd over het belang van de beveiligingsinstellingen, of dat technische maatregelen worden genomen om te voorkomen dat gebruikers instellingen kunnen wijzigen.

Voor kritieke afwijkingen, zoals wanneer guest mode is ingeschakeld op een groot aantal apparaten of op apparaten die toegang hebben tot gevoelige systemen, moet een escalatieproces worden gevolgd. Dit proces moet bepalen wie moet worden geïnformeerd over de afwijking, binnen welke tijdsperiode remediatie moet worden voltooid, en welke aanvullende maatregelen nodig zijn, zoals het tijdelijk blokkeren van toegang tot gevoelige systemen totdat de remediatie is voltooid. Het is belangrijk dat dit escalatieproces vooraf is gedefinieerd en dat alle betrokken partijen weten wat hun rol en verantwoordelijkheden zijn in het geval van een kritieke afwijking.

Na voltooiing van de remediatie moet de effectiviteit worden geverifieerd door de configuratie opnieuw te controleren. Dit verificatieproces moet worden gedocumenteerd, inclusief informatie over wanneer de remediatie is uitgevoerd, door wie, welke methode is gebruikt, en wat het resultaat was. Deze documentatie is belangrijk voor auditdoeleinden en helpt organisaties om te bewijzen dat zij proactief werken aan het handhaven van beveiligingsconfiguraties. Daarnaast kan deze documentatie worden gebruikt om trends te analyseren en het remediatieproces continu te verbeteren door te leren van eerdere incidenten.

Compliance & Frameworks

• CIS M365: Control Edge-Security (L1) - Guest mode moet zijn uitgeschakeld om enterprise beheer af te dwingen
• BIO: 12.04 - audit logging - Logging van gebeurtenissen moet traceerbaar zijn naar gebruikers
• ISO 27001:2022: A.8.15 - Logging - Gebeurtenislogboeken die gebruikersactiviteiten vastleggen
• NIS2: Artikel - Logging en monitoring voor detectie van beveiligingsincidenten

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Schakel guest mode uit in Microsoft Edge om audittrails te waarborgen en beleidsomzeiling te voorkomen. Vooral relevant voor organisaties met strenge compliance-vereisten. Implementatietijd: 1-2 uur inclusief communicatie naar gebruikers.

• Implementatietijd: 1.5 uur
• FTE required: 0.02 FTE