HTTPS Waarschuwing Doorgaan Geblokkeerd

Deze instelling verhoogt de beveiliging van de browser aanzienlijk door gebruikers te voorkomen dat zij bewust of onbewust onveilige verbindingen accepteren. Door het blokkeren van de mogelijkheid om door te gaan na een HTTPS-waarschuwing, elimineert de organisatie een belangrijke aanvalsvector die door cybercriminelen wordt benut. Aanvallers maken regelmatig gebruik van vervalste certificaten of man-in-the-middle technieken om gebruikers te misleiden en toegang te krijgen tot vertrouwelijke informatie. Zonder deze beveiligingsmaatregel kunnen gebruikers onbedoeld verbindingen accepteren die hun organisatie blootstellen aan datalekken, identiteitsdiefstal en andere ernstige beveiligingsincidenten. Voor Nederlandse overheidsorganisaties is dit bijzonder relevant gezien de strikte eisen die worden gesteld aan gegevensbescherming en informatiebeveiliging volgens de AVG en BIO-normen.

Implementatie

Dit beveiligingsbeleid configureert Microsoft Edge zodanig dat gebruikers niet langer de mogelijkheid hebben om door te gaan naar een website wanneer de browser een HTTPS-waarschuwing weergeeft. Het beleid wordt geïmplementeerd via Microsoft Intune device configuratiebeleidsregels, wat betekent dat het centraal kan worden beheerd en automatisch kan worden toegepast op alle Edge-browsers binnen de organisatie. Wanneer een gebruiker een website probeert te bezoeken die een ongeldig certificaat heeft, een verlopen certificaat gebruikt, of andere beveiligingsproblemen vertoont, wordt de verbinding volledig geblokkeerd zonder de mogelijkheid om de waarschuwing te omzeilen. Dit zorgt ervoor dat alleen websites met geldige en vertrouwde certificaten kunnen worden bezocht, waardoor de organisatie beschermd wordt tegen een breed scala aan webgebaseerde bedreigingen.

Vereisten

Voor de succesvolle implementatie van dit beveiligingsbeleid zijn verschillende technische en organisatorische vereisten van essentieel belang. De implementatie van het HTTPS-waarschuwing blokkeringsbeleid vereist een grondige voorbereiding op zowel technisch als organisatorisch vlak. Technisch gezien vormt Microsoft Intune de kern van de implementatie, aangezien het beleid volledig wordt geconfigureerd via Intune device configuratiebeleidsregels. Deze aanpak heeft belangrijke gevolgen voor de organisatie: alle apparaten die onder dit beveiligingsbeleid moeten vallen, dienen te zijn ingeschreven in Microsoft Intune en moeten worden beheerd via het Microsoft Endpoint Manager platform. Dit vereist dat de organisatie over de juiste licenties beschikt, waarbij Microsoft Intune-licenties correct zijn geconfigureerd en alle benodigde rechten zijn toegewezen aan de beheerders die verantwoordelijk zijn voor de implementatie en het dagelijks beheer. De beheerders moeten beschikken over voldoende rechten om device configuratiebeleidsregels te kunnen maken, wijzigen en toewijzen binnen de Intune-omgeving. Naast de licentievereisten speelt de Microsoft Graph API een cruciale rol in het implementatieproces. De Microsoft Graph API moet correct zijn geconfigureerd binnen de organisatie, en alle benodigde machtigingen moeten zijn verleend aan de service-principals of gebruikersaccounts die worden gebruikt voor de configuratie. De benodigde PowerShell-modules dienen te zijn geïnstalleerd op de systemen die worden gebruikt voor beleidsbeheer, waarbij specifiek de Microsoft.Graph.DeviceManagement module beschikbaar en up-to-date moet zijn om ervoor te zorgen dat alle functionaliteit correct werkt. Een verouderde module kan leiden tot compatibiliteitsproblemen of het ontbreken van nieuwe functionaliteit die essentieel is voor de configuratie. Organisatorisch gezien is communicatie en voorbereiding minstens zo belangrijk als de technische implementatie. Er moet een duidelijk beleid zijn vastgesteld dat uitlegt waarom gebruikers niet langer HTTPS-waarschuwingen kunnen omzeilen, en er moet uitgebreide communicatie plaatsvinden met eindgebruikers over de nieuwe beveiligingsmaatregelen. Gebruikers moeten begrijpen wat de impact is van deze wijziging en waarom dit belangrijk is voor de beveiliging van de organisatie. IT-beheerders moeten grondig getraind zijn in het beheren van Edge-beleid via Intune en moeten volledig begrijpen hoe zij kunnen reageren op vragen van gebruikers die legitieme websites proberen te bezoeken die mogelijk certificaatproblemen hebben. De helpdesk moet worden voorbereid op mogelijke vragen en moet duidelijke procedures hebben voor het omgaan met situaties waarin gebruikers problemen ondervinden met legitieme websites. Voor organisaties die gebruikmaken van interne certificaten of zelfondertekende certificaten voor interne websites, is extra voorbereiding essentieel. Deze certificaten moeten correct zijn geconfigureerd in het vertrouwde certificaatarchief van de organisatie voordat dit beleid wordt geactiveerd, om te voorkomen dat legitieme interne websites worden geblokkeerd. Dit vereist mogelijk een certificaatinventarisatie en een proces om interne certificaten centraal te distribueren naar alle apparaten via Intune of via groepsbeleid. Daarnaast moet er een uitzonderingsproces zijn vastgelegd voor situaties waarin specifieke interne applicaties of websites tijdelijk uitzonderingen nodig hebben, met duidelijke criteria voor wanneer een uitzondering gerechtvaardigd is en hoe deze wordt beheerd en gemonitord.

Implementatie

Gebruik PowerShell-script https-warning-proceed-blocked.ps1 (functie Invoke-Monitoring) – De implementatie van het HTTPS-waarschuwing blokkeringsbeleid begint met een grondige voorbereiding en planning die essentieel is voor een succesvolle uitrol. Het implementatieproces is zorgvuldig gestructureerd om risico's te minimaliseren en de impact op gebruikers te beperken. In de eerste fase van de implementatie is het essentieel om een complete inventarisatie te maken van alle apparaten die onder het beleid zullen vallen. Deze inventarisatie moet niet alleen de apparaten zelf omvatten, maar ook informatie bevatten over de versies van Microsoft Edge die worden gebruikt, de configuratiestatus van de apparaten binnen Intune, en eventuele bestaande Edge-beleidsregels die mogelijk conflicteren met de nieuwe configuratie. Vervolgens moet er systematisch worden gecontroleerd of alle apparaten correct zijn ingeschreven in Microsoft Intune en of zij voldoen aan de minimale vereisten voor het ontvangen van device configuratiebeleidsregels. Apparaten die niet correct zijn ingeschreven of die niet voldoen aan de vereisten moeten worden geïdentificeerd en bijgewerkt voordat de implementatie kan beginnen. De volgende stap in het implementatieproces is het opzetten van een uitgebreide testomgeving waar het beleid grondig kan worden getest voordat het wordt uitgerold naar de volledige organisatie. Deze testomgeving moet representatief zijn voor de productieomgeving en moet verschillende scenario's omvatten, zoals het bezoeken van websites met ongeldige certificaten, verlopen certificaten, en zelfondertekende certificaten. De testresultaten moeten worden gedocumenteerd en geanalyseerd om te identificeren of er aanpassingen nodig zijn voordat het beleid wordt uitgerold. Tijdens de daadwerkelijke implementatiefase wordt gebruikgemaakt van het PowerShell-script https-warning-proceed-blocked.ps1, dat specifiek is ontwikkeld voor het configureren van dit beveiligingsbeleid. Dit script automatiseert het configuratieproces en reduceert de kans op menselijke fouten. Het script maakt gebruik van de Microsoft Graph API om het Edge-beleid te configureren via Intune, wat betekent dat de uitvoerende beheerder moet beschikken over de juiste Graph API-machtigingen, waaronder DeviceManagementConfiguration.ReadWrite.All. Voordat het script wordt uitgevoerd, moet er een verbinding worden gemaakt met Microsoft Graph via de Connect-MgGraph cmdlet, en de beheerder moet zich authenticeren met de benodigde rechten. Het script voert vervolgens de configuratie uit waarbij het Edge-beleid zodanig wordt ingesteld dat de optie om door te gaan na een HTTPS-waarschuwing volledig wordt uitgeschakeld. Na de configuratie van het beleid zelf, moet het beleid worden toegewezen aan de juiste groepen apparaten of gebruikers binnen de organisatie. Deze toewijzing is cruciaal omdat een beleid dat niet is toegewezen geen effect heeft op apparaten. Het is aan te raden om te beginnen met een pilotgroep van gebruikers die technisch onderlegd zijn en die kunnen helpen bij het identificeren van eventuele problemen voordat het beleid wordt uitgerold naar de volledige organisatie. Deze gefaseerde aanpak maakt het mogelijk om problemen vroegtijdig te identificeren en op te lossen voordat alle gebruikers worden beïnvloed. Tijdens de implementatie moet er continue monitoring plaatsvinden om te controleren of het beleid correct wordt toegepast op alle beoogde apparaten en of er geen onverwachte problemen optreden met legitieme websites. Deze monitoring moet zowel technisch als vanuit gebruikersperspectief plaatsvinden, waarbij feedback van gebruikers wordt verzameld en geanalyseerd..

Monitoring

Gebruik PowerShell-script https-warning-proceed-blocked.ps1 (functie Invoke-Monitoring) – Continue monitoring van het HTTPS-waarschuwing blokkeringsbeleid is cruciaal om ervoor te zorgen dat het beleid effectief blijft functioneren en om eventuele problemen tijdig te identificeren voordat zij escaleren tot beveiligingsincidenten. Het monitoringproces vormt een essentiële component van het beveiligingsbeheer en omvat verschillende aspecten die regelmatig en systematisch moeten worden gecontroleerd. Een effectief monitoringprogramma moet zowel technische aspecten als gebruikerservaring omvatten, waarbij beide dimensies even belangrijk zijn voor het succes van het beveiligingsbeleid. Het technische monitoringproces begint met het controleren of het beleid daadwerkelijk actief is op alle beoogde apparaten en of er geen apparaten zijn waar het beleid niet correct is toegepast. Deze controle moet regelmatig plaatsvinden, idealiter wekelijks of maandelijks afhankelijk van de omvang van de organisatie en de dynamiek van het apparaatlandschap. Het monitoringproces kan worden geautomatiseerd door gebruik te maken van het PowerShell-script https-warning-proceed-blocked.ps1 met de Invoke-Monitoring functie, dat automatisch controleert of het beleid correct is geconfigureerd op alle apparaten binnen de organisatie. Dit script genereert uitgebreide rapporten die aangeven welke apparaten het beleid correct hebben toegepast, welke apparaten mogelijk aandacht vereisen, en welke apparaten volledig buiten het bereik van het beleid vallen. De rapporten moeten worden geanalyseerd om trends te identificeren, zoals een toename van apparaten waar het beleid niet correct wordt toegepast, wat kan wijzen op problemen met de Intune-configuratie of met de apparaten zelf. Naast technische monitoring is gebruikerservaring monitoring minstens zo belangrijk. Het is cruciaal om te monitoren of gebruikers problemen ondervinden bij het bezoeken van legitieme websites, aangezien dit kan wijzen op problemen met certificaatconfiguraties of andere technische problemen die de productiviteit beïnvloeden. IT-helpdesk tickets en gebruikersfeedback moeten systematisch worden verzameld en geanalyseerd om patronen te identificeren die kunnen wijzen op problemen met het beleid. Deze analyse moet niet alleen kijken naar het aantal tickets, maar ook naar de aard van de problemen en naar de websites of applicaties die worden genoemd. Patronen kunnen wijzen op problemen met specifieke interne certificaten, op configuratieproblemen met bepaalde apparaten, of op behoefte aan aanvullende uitzonderingen. Threat intelligence monitoring vormt een derde belangrijke pijler van het monitoringproces. Er moet regelmatig worden gecontroleerd of er nieuwe beveiligingsbedreigingen zijn die gerelateerd zijn aan HTTPS-waarschuwingen en of het beleid nog steeds effectief is tegen deze bedreigingen. Dit omvat het monitoren van security advisories van Microsoft, van bedreigingsrapporten van cybersecurity-organisaties, en van incidenten binnen de eigen organisatie of binnen vergelijkbare organisaties. Als nieuwe bedreigingen worden geïdentificeerd die het beleid mogelijk niet volledig afdekt, moeten aanvullende maatregelen worden overwogen. Compliance-rapportage is een vierde essentieel onderdeel van de monitoring, aangezien organisaties moeten kunnen aantonen dat zij de juiste beveiligingsmaatregelen hebben geïmplementeerd voor auditdoeleinden. Deze rapportage moet regelmatig worden gegenereerd en moet duidelijk aantonen dat het beleid actief is, dat het correct wordt toegepast op alle beoogde apparaten, en dat er procedures zijn voor het monitoren en beheren van het beleid. Regelmatige audits moeten worden uitgevoerd, idealiter minimaal kwartaalijks, om te verifiëren dat het beleid nog steeds actief is en dat er geen wijzigingen zijn aangebracht die de beveiliging kunnen compromitteren. Deze audits moeten worden gedocumenteerd en de resultaten moeten worden besproken met relevante stakeholders binnen de organisatie..

Remediatie

Gebruik PowerShell-script https-warning-proceed-blocked.ps1 (functie Invoke-Remediation) – Wanneer monitoring aangeeft dat het HTTPS-waarschuwing blokkeringsbeleid niet correct is geconfigureerd of niet actief is op bepaalde apparaten, moet er direct en systematisch actie worden ondernomen om dit te herstellen. Het remediatieproces vormt een kritieke component van het beveiligingsbeheer en moet worden uitgevoerd volgens een gestructureerde aanpak die ervoor zorgt dat problemen snel en effectief worden opgelost zonder de beveiliging van de organisatie in gevaar te brengen. Het remediatieproces begint altijd met het grondig identificeren van de oorzaak van het probleem, waarbij verschillende mogelijke oorzaken moeten worden overwogen. Problemen kunnen variëren van apparaten die niet correct zijn ingeschreven in Intune, waardoor zij het beleid niet kunnen ontvangen, tot problemen met de beleidstoewijzing waarbij het beleid wel is geconfigureerd maar niet is toegewezen aan de juiste groepen. Andere mogelijke oorzaken omvatten technische problemen met de Edge-browserconfiguratie, conflicterende beleidsregels die het HTTPS-waarschuwing blokkeringsbeleid overschrijven, of problemen met de synchronisatie tussen Intune en de apparaten. Het identificeren van de exacte oorzaak is essentieel omdat dit bepaalt welke remediatiestappen moeten worden ondernomen. Voor veel voorkomende problemen biedt het PowerShell-script https-warning-proceed-blocked.ps1 de Invoke-Remediation functie die automatisch kan worden gebruikt om het beleid opnieuw toe te passen op apparaten waar het niet correct is geconfigureerd. Deze geautomatiseerde remediatie is efficiënt en reduceert de kans op menselijke fouten. Het script voert een systematische controle uit: eerst wordt de huidige status van het beleid op het apparaat gecontroleerd en vergeleken met de gewenste configuratie zoals gedefinieerd in Intune. Als er afwijkingen worden gevonden tussen de huidige en de gewenste configuratie, wordt het beleid automatisch opnieuw toegepast via de Microsoft Graph API. Het apparaat wordt indien nodig opnieuw gesynchroniseerd met Intune om ervoor te zorgen dat de configuratie correct wordt ontvangen. Deze geautomatiseerde aanpak werkt goed voor de meeste standaardproblemen, maar er zijn situaties waarin handmatige interventie vereist is. In gevallen waar het probleem complexer is, zoals problemen met certificaatconfiguraties of conflicterende beleidsregels, moet er handmatige interventie plaatsvinden door ervaren IT-beheerders. Deze beheerders moeten de specifieke configuratie van het probleemapparaat grondig onderzoeken, waarbij zij moeten kijken naar alle Edge-beleidsregels die van invloed kunnen zijn, naar de certificaatconfiguratie op het apparaat, en naar eventuele groepsbeleid-instellingen die mogelijk conflicteren met de Intune-configuratie. De nodige correcties moeten vervolgens zorgvuldig worden aangebracht, waarbij wordt gecontroleerd dat de wijzigingen het probleem oplossen zonder andere beveiligingsconfiguraties te beïnvloeden. Een bijzondere categorie van problemen betreft situaties waarin gebruikers problemen ondervinden bij het bezoeken van legitieme websites. In deze gevallen moet er zorgvuldig worden onderzocht of deze websites correcte certificaten gebruiken en of deze certificaten moeten worden toegevoegd aan het vertrouwde certificaatarchief van de organisatie. Dit vereist vaak coördinatie met de eigenaren van de websites of applicaties om te verifiëren dat de certificaten geldig zijn en correct zijn geconfigureerd. Als blijkt dat een certificaat legitiem is maar niet wordt vertrouwd, moet het certificaat centraal worden toegevoegd aan het vertrouwde certificaatarchief via Intune, zodat alle apparaten automatisch het certificaat vertrouwen. In extreme gevallen waar het beleid niet kan worden hersteld via automatische remediatie of via standaard handmatige interventie, kan het nodig zijn om meer ingrijpende maatregelen te nemen. Dit kan omvatten het opnieuw inschrijven van het apparaat in Intune, waarbij alle configuraties opnieuw worden toegepast vanaf het begin, of het volledig opnieuw configureren van de Edge-browser waarbij alle beleidsregels worden verwijderd en opnieuw worden toegepast. Deze maatregelen moeten worden overwogen als laatste redmiddel omdat zij tijdrovend zijn en mogelijk impact hebben op de gebruiker. Alle remediatie-acties, ongeacht of zij automatisch of handmatig zijn uitgevoerd, moeten volledig worden gedocumenteerd voor auditdoeleinden en om te leren van eventuele problemen die zich voordoen. Deze documentatie moet de oorspronkelijke probleem beschrijving omvatten, de geïdentificeerde oorzaak, de uitgevoerde remediatiestappen, en het resultaat van de remediatie. Deze informatie kan worden gebruikt om het remediatieproces te verbeteren en om soortgelijke problemen in de toekomst sneller op te lossen..

Compliance en Auditing

Het HTTPS-waarschuwing blokkeringsbeleid speelt een cruciale rol in de compliance en auditing van beveiligingsmaatregelen binnen Nederlandse overheidsorganisaties. Dit beleid vormt een fundament onder de informatiebeveiliging en draagt direct bij aan de naleving van verschillende belangrijke normen en regelgevingen die van toepassing zijn op de publieke sector. Specifiek moet worden genoemd de BIO-normen, die de basisnormen voor informatiebeveiliging binnen de Nederlandse overheid vastleggen, ISO 27001 die internationale best practices voor informatiebeveiligingsmanagement vastlegt, en CIS Controls die praktische beveiligingsmaatregelen definiëren die organisaties kunnen implementeren. Het beveiligingsbeleid valt specifiek onder BIO-controle 13.01.01, die betrekking heeft op technische beveiligingsmaatregelen en die vereist dat organisaties passende technische maatregelen nemen om informatiebeveiliging te waarborgen. Daarnaast sluit het aan bij ISO 27001-controle A.12.6.1, die zich richt op technisch kwetsbaarheidsbeheer en die vereist dat organisaties kwetsbaarheden in technische systemen identificeren en beheren. Deze compliance-vereisten maken het essentieel dat organisaties kunnen aantonen dat zij effectieve maatregelen hebben geïmplementeerd om gebruikers te beschermen tegen onveilige verbindingen. Voor auditdoeleinden is het van cruciaal belang dat alle configuraties en beleidsinstellingen volledig en accuraat worden gedocumenteerd, en dat er regelmatig wordt gecontroleerd of het beleid nog steeds actief is en correct functioneert. Deze documentatie moet niet alleen technische details bevatten, maar ook de bedrijfsrechtvaardiging en de risico-afweging die hebben geleid tot de implementatie van het beleid. Auditors moeten kunnen verifiëren dat de organisatie daadwerkelijk maatregelen heeft genomen om gebruikers te voorkomen dat zij onveilige verbindingen accepteren, dat deze maatregelen effectief zijn geïmplementeerd, en dat er processen zijn om de effectiviteit van de maatregelen te monitoren en te handhaven. De documentatie moet daarom duidelijk maken waarom dit beleid is geïmplementeerd, wat de bedreigingen zijn die worden tegengegaan, hoe het beleid is geconfigureerd en geïmplementeerd, welke apparaten en gebruikers onder het beleid vallen, en hoe de organisatie monitort of het beleid correct functioneert. Daarnaast moeten er duidelijke procedures zijn vastgelegd voor het omgaan met uitzonderingen, zoals interne websites met zelfondertekende certificaten of specifieke applicaties die tijdelijk uitzonderingen nodig hebben. Deze procedures moeten duidelijk maken onder welke omstandigheden een uitzondering gerechtvaardigd is, wie bevoegd is om een uitzondering toe te kennen, hoe uitzonderingen worden gedocumenteerd en gemonitord, en hoe regelmatig wordt gecontroleerd of uitzonderingen nog steeds nodig zijn. Compliance-rapportage moet regelmatig worden gegenereerd, idealiter minimaal kwartaalijks, om aan te tonen dat het beleid actief is op alle beoogde apparaten en dat er geen afwijkingen zijn die de beveiliging kunnen compromitteren. Deze rapporten moeten worden gedeeld met relevante stakeholders binnen de organisatie, waaronder het management, de informatiebeveiligingsfunctionaris, en de compliance-afdeling. Voor Nederlandse overheidsorganisaties is het ook bijzonder belangrijk om te kunnen aantonen dat het beleid bijdraagt aan de bescherming van persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). Onveilige verbindingen kunnen namelijk leiden tot datalekken waarbij persoonsgegevens worden blootgesteld aan onbevoegde partijen, wat niet alleen een schending vormt van de AVG maar ook kan leiden tot hoge boetes en reputatieschade. Het HTTPS-waarschuwing blokkeringsbeleid draagt direct bij aan artikel 32 van de AVG, dat vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen tegen ongeautoriseerde verwerking, verlies of vernietiging. Door gebruikers te voorkomen dat zij onveilige verbindingen accepteren, reduceert het beleid het risico op ongeautoriseerde toegang tot persoonsgegevens en helpt het organisaties te voldoen aan hun verplichtingen onder de AVG.

Compliance & Frameworks

• CIS M365: Control Security Controls (L1) - Beveiligingsverharding
• BIO: 13.01.01 - Technische beveiligingsmaatregelen
• ISO 27001:2022: A.12.6.1 - Technisch kwetsbaarheidsbeheer

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Blokkeer HTTPS omzeiling.

• Implementatietijd: 2 uur
• FTE required: 0.01 FTE