Intrusive Ads Geblokkeerd

Opdringerige advertenties vormen een significant beveiligingsrisico voor organisaties omdat zij regelmatig worden gebruikt als vector voor malvertising, waarbij malware wordt verspreid via advertentienetwerken. Daarnaast maken aanvallers gebruik van scareware technieken waarbij valse viruswaarschuwingen worden getoond om gebruikers te misleiden en hen te dwingen tot ongewenste acties. Phishing aanvallen via misleidende advertenties vormen eveneens een reëel gevaar, waarbij gebruikers worden doorgestuurd naar frauduleuze websites die ontworpen zijn om inloggegevens of andere gevoelige informatie te verzamelen. De ingebouwde advertentieblokkering functionaliteit van Microsoft Edge voor opdringerige advertenties biedt een effectieve eerste verdedigingslinie tegen deze bedreigingen en voorkomt dat gebruikers blootgesteld worden aan deze risico's zonder dat zij daarvoor extra extensies of tools hoeven te installeren.

Implementatie

Configureer AdsSettingForIntrusiveAdsSites op waarde 2 (blokkeren) via HKLM:\SOFTWARE\Policies\Microsoft\Edge\AdsSettingForIntrusiveAdsSites.

Vereisten

Voor de implementatie van blokkering van opdringerige advertenties in Microsoft Edge is het essentieel om te beschikken over de juiste technische infrastructuur en beheerdersrechten. De primaire vereiste is de aanwezigheid van Microsoft Edge browser versie 88 of hoger op alle doelapparaten binnen de organisatie. Deze versie introduceerde de native ondersteuning voor advertentieblokkering die gebruik maakt van de AdsSettingForIntrusiveAdsSites policy instelling. Daarnaast moet de organisatie beschikken over een centrale beheeromgeving voor de configuratie van Microsoft Edge policies. Dit kan worden gerealiseerd via Microsoft Intune voor cloudgebaseerd beheer, of via Group Policy Objects (GPO) wanneer de organisatie gebruik maakt van een on-premises Active Directory omgeving. Voor Intune implementaties is een Azure AD Premium licentie vereist, terwijl GPO implementaties toegang vereisen tot een domain controller met Group Policy Management Console geïnstalleerd. Beheerders moeten beschikken over de juiste bevoegdheden om policies te configureren en te distribueren. In een Intune omgeving betekent dit dat de account moet zijn toegewezen aan de rol van Intune Service Administrator of een aangepaste rol met specifieke bevoegdheden voor endpoint security configuratie. Voor GPO implementaties is Domain Admin of Group Policy Creator Owner rechten nodig, afhankelijk van de organisatie structuur. Vanuit een technisch perspectief moet de organisatie kunnen beschikken over monitoring en logging capaciteiten om de effectiviteit van de implementatie te verifiëren. Dit omvat de mogelijkheid om registry instellingen te kunnen lezen op doelapparaten, hetzij via PowerShell remote management, hetzij via Intune Device Compliance rapportage. Voor grootschalige omgevingen is het aanbevolen om een geautomatiseerde monitoring oplossing te implementeren die regelmatig de policy compliance verifieert. Aanvullend is het belangrijk dat alle doelapparaten binnen de organisatie onder beheer staan en kunnen worden geconfigureerd via de gekozen beheeroplossing. Voor Windows devices betekent dit dat ze moeten zijn ingeschreven in Intune of deel uitmaken van het Active Directory domein. Bring-your-own-device (BYOD) scenario's vereisen aanvullende configuratie via Mobile Application Management (MAM) policies in Intune. Vanuit een compliance perspectief is het essentieel dat de organisatie beschikt over documentatie rondom de rationale voor deze implementatie, vooral gezien het feit dat advertentieblokkering in sommige gevallen kan interfereren met legitieme website functionaliteit. Dit vereist dat de IT-afdeling samenwerkt met de security afdeling en eventuele business stakeholders om te bepalen welke websites mogelijk uitzonderingen vereisen voor zakelijke doeleinden. Ten slotte moet de organisatie beschikken over een change management proces om deze configuratie veilig uit te rollen. Dit omvat het testen van de policy in een testomgeving alvorens deze toe te passen op productie systemen, het communiceren van de wijziging naar eindgebruikers, en het hebben van een rollback procedure indien onvoorziene problemen optreden. Dit laatste is vooral belangrijk gezien het feit dat sommige websites mogelijk afhankelijk zijn van bepaalde advertentienetwerken voor hun functionaliteit of inkomsten.

Implementatie

De implementatie van blokkering van opdringerige advertenties in Microsoft Edge kan worden uitgevoerd via verschillende methoden, afhankelijk van de beschikbare beheerinfrastructuur binnen de organisatie. De meest effectieve aanpak voor Nederlandse overheidsorganisaties is het gebruik van Microsoft Intune voor cloudgebaseerde device management, waarbij de policy centraal wordt geconfigureerd en automatisch wordt gedistribueerd naar alle beheerde apparaten. Voor Intune implementaties dient de beheerder toegang te krijgen tot de Microsoft Endpoint Manager admin center via https://endpoint.microsoft.com. Navigeer naar Devices > Configuration profiles en selecteer Create profile. Kies als platform Windows 10 and later en als profile type Templates. Selecteer vervolgens de template Administrative Templates om toegang te krijgen tot de Edge-specifieke policy instellingen. Binnen de Administrative Templates template, zoek naar Microsoft Edge policies en selecteer de categorie Advertising settings. Zoek naar de policy genaamd Configure ads setting for intrusive ads sites en configureer deze policy als Enabled. Stel vervolgens de waarde in op Block ads on sites that show intrusive or misleading ads (waarde 2). Deze waarde activeert de ingebouwde advertentieblokkering functionaliteit van Edge die automatisch opdringerige advertenties detecteert en blokkeert op basis van Microsoft's eigen lijst van bekende malvertising en intrusive advertising bronnen. Voor organisaties die gebruik maken van Group Policy Objects in een on-premises Active Directory omgeving, kan dezelfde configuratie worden toegepast via de Group Policy Management Console. Navigeer naar Computer Configuration > Policies > Administrative Templates > Microsoft Edge > Advertising settings en configureer de policy Configure ads setting for intrusive ads sites met de waarde 2. De policy wordt automatisch gerepliceerd naar alle domain controllers en toegepast op apparaten binnen de organisatie-eenheid waar de GPO is gekoppeld. Voor geautomatiseerde implementatie en bulk configuratie biedt het PowerShell script intrusive-ads-blocked.ps1 met de functie Invoke-Remediation een gestandaardiseerde methode om de configuratie programmatisch toe te passen. Dit script configureert de registry waarde HKLM:\SOFTWARE\Policies\Microsoft\Edge\AdsSettingForIntrusiveAdsSites op waarde 2, wat overeenkomt met de blokkerende instelling. Het script valideert tevens of de configuratie succesvol is toegepast en rapporteert de status voor compliance doeleinden. De implementatie moet worden getest in een testomgeving alvorens deze wordt uitgerold naar productie systemen. Het is aanbevolen om een representatieve set van test apparaten te gebruiken waarop verschillende websites worden bezocht om te verifiëren dat de advertentieblokkering correct functioneert zonder legitieme website functionaliteit te verstoren. Testen moeten vooral focussen op zakelijke applicaties en websites die regelmatig worden gebruikt door medewerkers om te garanderen dat de blokkering geen negatieve impact heeft op productiviteit. Na succesvolle testen kan de implementatie gefaseerd worden uitgerold, waarbij eerst een pilot groep wordt geconfigureerd om eventuele onvoorziene problemen te identificeren voordat de volledige organisatie wordt geconfigureerd. Deze gefaseerde aanpak minimaliseert risico's en zorgt ervoor dat eventuele aanpassingen kunnen worden doorgevoerd voordat de volledige implementatie plaatsvindt. Tijdens de implementatie is het essentieel om communicatie naar eindgebruikers te verzorgen over de wijziging en de rationale daarachter. Gebruikers moeten begrijpen dat de blokkering van opdringerige advertenties bijdraagt aan hun beveiliging en dat eventuele wijzigingen in website gedrag het gevolg zijn van beveiligingsmaatregelen. Tevens moeten gebruikers worden geïnformeerd over hoe ze kunnen rapporteren indien legitieme websites niet meer correct functioneren als gevolg van de advertentieblokkering, zodat de IT-afdeling eventuele uitzonderingen kan configureren waar nodig. Na voltooiing van de implementatie dient een verificatie proces te worden uitgevoerd om te bevestigen dat de policy correct is toegepast op alle doelapparaten. Dit kan worden gerealiseerd via Intune Device Compliance rapportage of via het uitvoeren van het monitoring script dat de registry waarde verifieert op een steekproef van apparaten binnen de organisatie.

Monitoring

Effectieve monitoring van de blokkering van opdringerige advertenties is essentieel om te verifiëren dat de configuratie correct is toegepast op alle apparaten binnen de organisatie en om compliance te waarborgen met de ingestelde beveiligingsmaatregelen. Monitoring moet worden beschouwd als een continu proces dat regelmatig wordt uitgevoerd om te garanderen dat de policy niet onbedoeld is gewijzigd of genegeerd door gebruikers of andere systemen. Het PowerShell script intrusive-ads-blocked.ps1 bevat de functie Invoke-Monitoring die specifiek is ontworpen om de configuratie status te verifiëren op doelapparaten. Deze functie controleert de registry waarde HKLM:\SOFTWARE\Policies\Microsoft\Edge\AdsSettingForIntrusiveAdsSites en verifieert of deze is ingesteld op waarde 2, wat overeenkomt met de blokkerende instelling. Het script rapporteert de status van elke gecontroleerde machine en identificeert apparaten waarop de configuratie ontbreekt of incorrect is geconfigureerd. Voor organisaties die gebruik maken van Microsoft Intune kunnen de Device Configuration profiles worden gemonitord via de Microsoft Endpoint Manager admin center. De Compliance status van elk apparaat wordt automatisch gerapporteerd, waarbij apparaten worden geïdentificeerd die niet voldoen aan de geconfigureerde policy. Deze rapportage vindt plaats in real-time wanneer apparaten synchroniseren met de Intune service, wat typisch elke acht uur gebeurt, maar kan ook handmatig worden geactiveerd via een device sync actie. Voor omgevingen die gebruik maken van Group Policy Objects kan monitoring worden uitgevoerd via Group Policy Results rapportage in de Group Policy Management Console. Deze rapportage toont welke policies daadwerkelijk zijn toegepast op specifieke apparaten en identificeert eventuele conflicterende policies of filterings regels die voorkomen dat de policy wordt toegepast. Daarnaast kan de Resultant Set of Policy (RSoP) tool worden gebruikt om te analyseren welke policies van toepassing zijn op een specifiek apparaat binnen de organisatie. Het is aanbevolen om monitoring uit te voeren op een regelmatige basis, waarbij een wekelijkse verificatie voldoende is voor de meeste organisaties. Voor kritieke omgevingen of organisaties met hoge security requirements kan een dagelijkse verificatie worden overwogen om sneller te reageren op eventuele wijzigingen in de configuratie status. De monitoring moet ook worden uitgevoerd na elke wijziging in de organisatie infrastructuur, zoals het toevoegen van nieuwe apparaten, het wijzigen van organisatie-eenheden, of het implementeren van nieuwe beheeroplossingen. Naast het verifiëren van de technische configuratie is het belangrijk om ook de effectiviteit van de advertentieblokkering te monitoren vanuit een gebruikersperspectief. Dit kan worden gerealiseerd via gebruikersfeedback mechanismen waarbij eindgebruikers kunnen rapporteren over websites die niet meer correct functioneren of waarbij onverwachte advertenties nog steeds worden getoond ondanks de blokkering. Deze feedback helpt bij het identificeren van edge cases of situaties waarin uitzonderingen nodig zijn voor specifieke zakelijke websites. Monitoring resultaten moeten worden gedocumenteerd en opgeslagen voor audit doeleinden. Dit is vooral belangrijk voor Nederlandse overheidsorganisaties die moeten voldoen aan compliance requirements zoals de BIO normen of AVG verplichtingen. De documentatie moet informatie bevatten over wanneer de monitoring is uitgevoerd, welke apparaten zijn gecontroleerd, de resultaten van elke verificatie, en eventuele acties die zijn ondernomen naar aanleiding van afwijkingen. Deze documentatie moet worden bewaard voor de opgegeven retentieperiode zoals beschreven in het audit evidence gedeelte van deze configuratie. In geval van niet-compliant apparaten moet een geautomatiseerd remediatie proces worden geactiveerd om de configuratie automatisch te herstellen. Voor Intune omgevingen kan dit worden gerealiseerd via compliance policies die automatisch remediatie scripts uitvoeren wanneer een apparaat niet voldoet aan de configuratie vereisten. Voor GPO omgevingen kan de policy opnieuw worden toegepast via Group Policy update commando's of via de automatische policy refresh die plaatsvindt wanneer apparaten opnieuw opstarten of wanneer de Group Policy update interval verstrijkt. Ten slotte moet monitoring ook aandacht besteden aan de algemene trend van advertentieblokkering binnen de organisatie, waarbij wordt gekeken naar het aantal geblokkeerde advertenties, het type websites waar advertenties worden geblokkeerd, en eventuele patronen die wijzen op nieuwe bedreigingen of aanvalsmethoden. Deze informatie kan worden gebruikt om de beveiligingsstrategie van de organisatie verder te verbeteren en om proactief te reageren op opkomende bedreigingen in het malvertising landschap.

Compliance en Auditing

De blokkering van opdringerige advertenties in Microsoft Edge draagt bij aan de compliance met verschillende beveiligingsstandaarden en frameworks die relevant zijn voor Nederlandse overheidsorganisaties. De implementatie van deze maatregel voldoet aan specifieke vereisten binnen zowel de CIS Benchmarks als de Baseline Informatiebeveiliging Overheid (BIO) normen, waardoor organisaties kunnen aantonen dat zij passende technische maatregelen hebben geïmplementeerd om te beschermen tegen malvertising en gerelateerde bedreigingen. Binnen de CIS Microsoft Edge Benchmark wordt de blokkering van opdringerige advertenties expliciet genoemd als een aanbevolen maatregel om gebruikers te beschermen tegen malvertising en om de algemene beveiligingspostuur van de browser omgeving te verbeteren. De CIS Benchmarks zijn wereldwijd erkende best practices voor het beveiligen van IT-systemen en worden regelmatig gebruikt als basis voor security audits en assessments. Door deze maatregel te implementeren kunnen organisaties aantonen dat zij voldoen aan geaccepteerde industriestandaarden voor browser beveiliging. Voor Nederlandse overheidsorganisaties is de Baseline Informatiebeveiliging Overheid (BIO) van bijzonder belang, waarbij specifieke aandacht wordt besteed aan de bescherming tegen malware en gerelateerde bedreigingen. De BIO norm 12.02 richt zich op malvertising bescherming en vereist dat organisaties passende maatregelen implementeren om gebruikers te beschermen tegen malware die wordt verspreid via advertenties. De blokkering van opdringerige advertenties is een directe implementatie van deze vereiste en helpt organisaties om te voldoen aan hun compliance verplichtingen onder de BIO normen. Vanuit een audit perspectief is het essentieel dat organisaties kunnen aantonen dat de configuratie daadwerkelijk is geïmplementeerd en actief wordt beheerd. Dit vereist documentatie van de policy configuratie, monitoring resultaten die aantonen dat de policy correct is toegepast op alle doelapparaten, en een duidelijk proces voor het identificeren en remediëren van non-compliant apparaten. Auditors zullen typisch vragen om bewijs van de registry configuratie op een steekproef van apparaten, monitoring rapportages die aantonen dat regelmatige verificaties zijn uitgevoerd, en documentatie van eventuele wijzigingen of uitzonderingen die zijn geconfigureerd. Voor AVG compliance is de blokkering van opdringerige advertenties relevant omdat malvertising vaak wordt gebruikt om persoonsgegevens te verzamelen zonder toestemming van gebruikers. Door deze bedreigingen te blokkeren helpen organisaties om te voldoen aan hun verplichtingen om persoonsgegevens te beschermen onder artikel 32 van de Algemene Verordening Gegevensbescherming (AVG). Tevens draagt de maatregel bij aan de algemene security posture van de organisatie, wat relevant is voor de implementatie van passende technische en organisatorische maatregelen zoals vereist door de AVG. Compliance monitoring moet worden uitgevoerd op een regelmatige basis om te verifiëren dat de configuratie blijft voldoen aan de relevante standaarden en vereisten. Dit omvat het uitvoeren van periodieke audits die aantonen dat de policy correct is geconfigureerd op alle doelapparaten, het documenteren van eventuele wijzigingen in de configuratie, en het bijhouden van monitoring resultaten die kunnen worden gebruikt als bewijs tijdens externe audits of assessments. De resultaten van deze verificaties moeten worden opgeslagen voor de opgegeven retentieperiode zoals beschreven in het audit evidence gedeelte van deze configuratie. Voor organisaties die deel uitmaken van de Nederlandse overheid is het van bijzonder belang om compliance te kunnen aantonen tijdens audits door de Auditdienst Rijk of andere audit instanties. De documentatie moet daarom volledig en actueel zijn, waarbij alle relevante informatie over de configuratie, monitoring, en eventuele incidenten of wijzigingen worden vastgelegd. Deze documentatie vormt de basis voor het aantonen van compliance tijdens audits en assessments. Ten slotte is het belangrijk om te erkennen dat compliance niet alleen gaat over het implementeren van technische maatregelen, maar ook over het waarborgen dat deze maatregelen effectief zijn en actief worden beheerd. Dit vereist dat organisaties een duidelijk proces hebben voor het monitoren van de configuratie status, het identificeren van non-compliant apparaten, en het snel remediëren van eventuele afwijkingen. Door deze processen te documenteren en regelmatig te verifiëren kunnen organisaties aantonen dat zij proactief werken aan het waarborgen van compliance met relevante beveiligingsstandaarden en frameworks.

Remediatie

Remediatie van non-compliant apparaten is essentieel om te garanderen dat alle apparaten binnen de organisatie de blokkering van opdringerige advertenties correct geconfigureerd hebben. Non-compliant apparaten vormen een beveiligingsrisico omdat gebruikers op deze apparaten nog steeds kunnen worden blootgesteld aan malvertising en gerelateerde bedreigingen, ondanks de intentie van de organisatie om deze risico's te mitigeren. Het PowerShell script intrusive-ads-blocked.ps1 bevat de functie Invoke-Remediation die specifiek is ontworpen om de configuratie automatisch te herstellen op apparaten waarop de policy ontbreekt of incorrect is geconfigureerd. Deze functie controleert eerst de huidige configuratie status en identificeert apparaten waarop de registry waarde HKLM:\SOFTWARE\Policies\Microsoft\Edge\AdsSettingForIntrusiveAdsSites ontbreekt of niet is ingesteld op waarde 2. Vervolgens wordt de configuratie automatisch gecorrigeerd door de registry waarde in te stellen op waarde 2, wat overeenkomt met de blokkerende instelling. Voor organisaties die gebruik maken van Microsoft Intune kan remediatie worden geautomatiseerd via compliance policies die automatisch remediatie scripts uitvoeren wanneer een apparaat niet voldoet aan de geconfigureerde policy vereisten. Deze compliance policies kunnen worden geconfigureerd om periodiek te controleren of apparaten voldoen aan de policy vereisten, en automatisch de remediatie functie uit te voeren wanneer een non-compliant status wordt gedetecteerd. Deze geautomatiseerde aanpak minimaliseert de benodigde handmatige interventie en zorgt ervoor dat non-compliant apparaten snel worden gecorrigeerd. Voor omgevingen die gebruik maken van Group Policy Objects kan remediatie worden uitgevoerd door de policy opnieuw toe te passen op non-compliant apparaten. Dit kan worden gerealiseerd via Group Policy update commando's die de Group Policy client op het apparaat dwingen om opnieuw te synchroniseren met de domain controller en de policies opnieuw toe te passen. Voor Windows apparaten kan dit worden uitgevoerd via de gpupdate /force opdracht, hetzij lokaal op het apparaat, hetzij via PowerShell remote management voor bulk remediatie. Remediatie moet worden uitgevoerd zodra non-compliant apparaten worden gedetecteerd, waarbij een tijdsbestek van 24 tot 48 uur wordt aanbevolen voor de meeste organisaties. Voor kritieke omgevingen of organisaties met hoge security requirements kan een korter tijdsbestek worden overwogen om sneller te reageren op beveiligingsrisico's. De remediatie moet worden gedocumenteerd, waarbij wordt vastgelegd wanneer het non-compliant apparaat is gedetecteerd, welke remediatie actie is uitgevoerd, en of de remediatie succesvol was. Na het uitvoeren van remediatie moet verificatie worden uitgevoerd om te bevestigen dat de configuratie correct is hersteld. Dit kan worden gerealiseerd via het monitoring script dat opnieuw wordt uitgevoerd op het gerepareerde apparaat, of via Intune Device Compliance rapportage die de compliance status verifieert na een sync actie. Verificatie moet worden uitgevoerd binnen 24 uur na remediatie om te garanderen dat de configuratie succesvol is hersteld en het apparaat nu compliant is. Voor persistente non-compliant apparaten die herhaaldelijk falen na remediatie moet aanvullende troubleshooting worden uitgevoerd om de onderliggende oorzaak te identificeren. Dit kan wijzen op conflicterende policies, malware of andere security software die de configuratie wijzigt, of technische problemen met de device management infrastructuur. In dergelijke gevallen moet de IT-afdeling het apparaat handmatig onderzoeken en eventuele onderliggende problemen oplossen voordat de remediatie opnieuw wordt uitgevoerd. Ten slotte moet remediatie worden beschouwd als onderdeel van een breder security incident response proces, waarbij non-compliant apparaten worden behandeld als potentiële beveiligingsincidenten die onmiddellijke aandacht vereisen. Dit vereist dat organisaties een duidelijk proces hebben voor het identificeren, remediëren, en verifiëren van non-compliant apparaten, waarbij alle acties worden gedocumenteerd voor audit doeleinden en compliance verificatie. Door een effectief remediatie proces te implementeren kunnen organisaties garanderen dat alle apparaten binnen de organisatie correct zijn geconfigureerd en voldoen aan de beveiligingsvereisten voor de blokkering van opdringerige advertenties. Dit draagt bij aan de algemene beveiligingspostuur van de organisatie en helpt bij het mitigeren van risico's gerelateerd aan malvertising en gerelateerde bedreigingen.

Compliance & Frameworks

• CIS M365: Control Edge Security (L1) - Intrusive ads blokkeren
• BIO: 12.02.01 - Bescherming tegen malware

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Blokkeer intrusive ads om malvertising te voorkomen. Standaard ingeschakeld in Edge - verifieer. Implementatie: 30 minuten.

• Implementatietijd: 0.75 uur
• FTE required: 0.01 FTE