L1 BIO 14.02.01 ISO A.12.6.1 CIS Update Management

Edge Component Updates Ingeschakeld

📅 2025-10-30
•
⏱️ 3 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Edge-componentupdates zijn de dagelijkse hardingslaag voor ingebouwde beveiligingsfuncties en vormen daarmee een verplichte basismaatregel voor elke instantie die onder de "Nederlandse Baseline voor Veilige Cloud" opereert.

Aanbeveling
IMPLEMENT
Risico zonder
High
Risk Score
7/10
Implementatie
0.5u (tech: 0.25u)
Van toepassing op:
✓ Edge

Zodra deze updates worden uitgesteld lopen sandboxprocessen, SmartScreen-beslissingsmodellen, WebView2-runtime en codec-bibliotheken achter op het wereldwijde patchprogramma, waardoor één zero-day volstaat om sessies van beleidsmedewerkers of opsporingsteams te compromitteren.

PowerShell Modules Vereist
Primary API: Intune/GPO
Connection: N/A
Required Modules:

Implementatie

Leg via Intune of Group Policy vast dat "ComponentUpdatesEnabled" permanent op waarde 1 staat, controleer of de EdgeUpdate-service in alle ringen actief blijft en archiveer de controles als auditbewijs voor BIO- en ENSIA-toetsingen.

Implementatie

Een volwassen implementatie begint met het erkennen dat Edge-componentupdates een bestuurlijke verplichting zijn en geen handige optimalisatie. Beschrijf in het changevoorstel dat SmartScreen, WebView2, hardwareversnellers, codec-bibliotheken, PDF-renderers en diverse sandboxprocessen rechtstreeks onder deze instelling vallen, en verbind die componenten aan recente waarschuwingen van het NCSC, DTC en sectorale CERT's. Door die koppling te leggen begrijpt een change board waarom "ComponentUpdatesEnabled" net zo kritisch is als Windows Update for Business en waarom afwijkingen alleen onder strikte voorwaarden zijn toegestaan. Neem in hetzelfde document op dat de maatregel rechtstreeks bijdraagt aan BIO 14.02.01 en ISO 27001 A.12.6.1 zodat compliance-officers meteen zien hoe de eis in bestaande controles past. Het technische ontwerp beschrijft stap voor stap hoe Intune, MECM of Group Policy het beleid afdwingen. Maak voor Intune een apparaatconfiguratieprofiel voor Windows 10 en 11, selecteer de Microsoft Edge-instellingen en zet "ComponentUpdatesEnabled" op 1, inclusief duidelijke tagging zodat productie, test en pilot hetzelfde profiel erven. Voeg de registrywaarde `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeUpdate\ComponentUpdatesEnabled` toe aan het basisbeeld, inclusief een verificatiescript dat tijdens provisioning controleert of het beleid staat ingesteld nog vóórdat de gebruiker aanmeldt. Werk in MECM en GPO met identieke waarden onder "Computer Configuration > Administrative Templates > Microsoft Edge Update" om verdringing door legacy policies te voorkomen. Noteer expliciet welke bron leidend is wanneer meerdere beheerlagen bestaan en leg uit hoe conflicts worden opgespoord wanneer een apparaat van beheerplatform wisselt. Voordat de instelling organisatiebreed wordt uitgerold creëert het projectteam een representatieve pilotgroep met minimaal één apparaat per werkpleksjabloon: kantoorwerkplek, VDI, jumpserver, mobiele laptop en speciale omgevingen zoals meldkamer- of vergaderruimtesystemen. De pilot draait minimaal twee onderhoudsvensters zodat EdgeUpdate zijn volledige cyclus doorloopt. Beheerders lezen via Event Viewer (Applications and Services Logs > Microsoft > Windows > EdgeUpdateManager) en via de diagnostische log "edgeupdate.log" uit of de service draait, of er componenten zijn bijgewerkt en of foutcodes optreden. De resultaten worden vastgelegd in het acceptatiedossier en tegen de CMDB gespiegeld, zodat duidelijk is welke apparaten werkelijk getest zijn en welke lessons learned moeten worden verwerkt in het beheerproces. De productie-uitrol gebeurt gefaseerd en transparant. Gebruik Intune of MECM-ringen om eerst kritieke beheersystemen te voorzien, daarna kantoorwerkplekken, vervolgens mobiele scenario's en tot slot speciale endpoints. Elke fase gaat gepaard met een communicatiepakket voor servicedesks en gebruikers waarin staat dat componentupdates soms als aparte download zichtbaar zijn, waarom blokkeren niet is toegestaan en hoe storingen worden gemeld. Richt Power Automate of Logic Apps in om automatisch statusupdates te sturen naar het CAB en de CISO, inclusief metrics over het aantal compliant apparaten per organisatie-eenheid. Neem indicatoren op zoals percentage apparaten binnen 24 uur compliant, aantal tijdelijke uitzonderingen, en tijd tot herstel wanneer de instelling afwijkt. Zo blijft de implementatie bestuurbaar en is voor auditors aantoonbaar hoe de organisatie controle uitoefent. Structurele borging vormt de laatste stap. De instelling wordt vastgelegd in golden build scripts, in cloud-init templates voor Azure Virtual Desktop en Windows 365, en in hardening-checklists die periodiek door interne of externe auditors worden uitgevoerd. Daarnaast worden fallback-procedures beschreven voor situaties waarin EdgeUpdate geen internetverbinding heeft, bijvoorbeeld door strikte proxy's of geïsoleerde netwerken. In die gevallen staat in de werkinstructie hoe beheerders via een geautoriseerd distributiepunt offline componentpakketten ophalen, hashwaarden verifiëren en alsnog installeren. Elk verzoek tot afwijking vereist een onderbouwd risicoadvies van de CISO, een vervangend mitigatieplan (bijvoorbeeld extra netwerksegmentatie) en een einddatum. Door deze governancecyclus sluitend te beschrijven bewijst de organisatie dat Edge-componentupdates structureel onderdeel zijn van het lifecyclemanagement van de "Nederlandse Baseline voor Veilige Cloud".

Monitoring

Gebruik PowerShell-script component-updates-enabled.ps1 (functie Invoke-Monitoring) – Het monitoring-script fungeert als onafhankelijke waarheidsbron voor het SOC en legt elke controle vast met dezelfde precisie als een audit. Het leest de EdgeUpdate COM-interface uit, controleert de servicestatus, vergelijkt registrywaarden met Intune- en GPO-data, voert indien nodig een Graph-call uit om de verwachte policyversie te achterhalen en test de netwerkverbinding met de Microsoft distributie-endpoints. De uitkomst wordt opgeslagen in een JSON-rapport met velden voor apparaatrol, release-ring, organisatorische eigenaar, laatst uitgevoerde change, type netwerkverbinding, exceptioncode en genomen herstelactie. Het script accepteert parameters voor ring, apparaatprofiel, onderhoudsvenster, quarantainebeleid en escalatieniveau, zodat operationele teams kunnen onderscheiden of een afwijking onder een geautoriseerde freeze valt of dat er een onverwachte policy drift optreedt. Schedule het script elke vier uur op beheersystemen en minimaal dagelijks op reguliere werkplekken; laat Defender for Endpoint, Azure Monitor of een Log Analytics-agent de resultaten transporteren naar Sentinel, Splunk of het gemeentelijke SIEM. Combineer de data met webhookmeldingen richting Teams, e-mail of ITSM zodat een analist direct het laatst bekende compliancerapport, de gekoppelde Conditional Access-policy en de applicatie-eigenaar ziet en geen tijd verliest aan interpretaties. Visualiseer tot slot alle meetpunten in een gedeeld Power BI-dashboard, waarin per organisatieonderdeel realtime zichtbaar is welk percentage apparaten compliant is, welke uitzonderingen openstaan en welke herstelacties nog lopen..

  1. Gebruik de monitoringoutput als uitgangspunt voor een gedisciplineerde dagelijkse reconciliatie tussen Intune, MECM, CMDB en Defender for Endpoint. Het operationeel draaiboek beschrijft hoe een analist eerst valideert dat de EdgeUpdate-service draait, vervolgens de registrywaarde en geplande taken controleert, daarna de compliance state beoordeelt en ten slotte de bevinding koppelt aan de juiste organisatorische eigenaar. Voor scenario's zoals tijdelijk offline apparaten, bewust overschreven policies, endpoints in streng gefilterde netwerken of veldapparatuur met 4G staat exact omschreven welke drempels gelden, welke automatische herstelacties via Intune Remediations mogen worden uitgevoerd, welke logging moet worden veiliggesteld (Event IDs, scheduled task history, netwerkverkeer naar `msedge.api.cdp.microsoft.com`) en wanneer escalatie naar CISO of crisisorganisatie verplicht is. Door deze stappen stapsgewijs uit te schrijven verandert monitoring van een passieve controle in een handelingsperspectief voor SOC en werkplekbeheer.
  2. Vertaal de individuele bevindingen naar trendanalyses die wekelijks met bestuur en lijnmanagement worden gedeeld. Rapporteer het percentage compliant endpoints per organisatieonderdeel, het aantal uitzonderingen inclusief einddatum en risico-acceptatie, de gemiddelde detectie- en herstelduur, de herkomst van verstoringen (proxy, EdgeUpdate-service, foutief GPO, verouderde image) en de impact op andere programma's zoals Zero Trust, AVG-implementatie of cloudtransities. Voeg kwalitatieve duiding toe waarin lessons learned, aangekondigde verbeteracties en geplande investeringen worden beschreven. Zodra indicatoren laten zien dat een grenswaarde wordt overschreden, activeert het team vooraf gedefinieerde runbooks die bijvoorbeeld Conditional Access verscherpen, extra changecapaciteit vrijmaken of leveranciers van kritieke applicaties inschakelen. Zo ontstaat een PDCA-cyclus waarin monitoring direct leidt tot bestuurbare maatregelen en Edge-componentupdates aantoonbaar onder controle blijven.

Remediatie

Gebruik PowerShell-script component-updates-enabled.ps1 (functie Invoke-Remediation) – Remediatie start altijd met inzicht in de beginsituatie. Het script draait daarom in de modus "Invoke-Remediation" een volledige nulmeting: servicestatus, geplande taken, registrywaarden, toegepaste GPO's, Intune policyversies, lokale overrides, netwerkprofiel en recente changes worden opgeslagen in een JSON-dossier en als event weggeschreven zodat het SOC exact kan reconstrueren wat er voorafgaand aan de interventie is gebeurd. Pas daarna dwingt het script de waarde `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\EdgeUpdate\ComponentUpdatesEnabled` naar 1, controleert het of de EdgeUpdate-service gestart is, plant het een controle binnen een uur en voert het een handmatige validatie uit met `MicrosoftEdgeUpdate.exe /ua /installsource scheduler` om te bewijzen dat de distributie-endpoints bereikbaar zijn. Bij elk van deze stappen wordt gelogd welke account de actie heeft uitgevoerd en welke output is verkregen, zodat audits kunnen nagaan of de procedure zorgvuldig is gevolgd. Omdat de oorzaak van een afwijking uiteenlopend kan zijn, bevat het script verschillende herstelpaden. Detecteert het script een foutieve GPO, dan stuurt het via een webhook automatisch een change-aanvraag naar het ITSM-platform met daarin het OU-pad, het betrokken apparaat en een voorstel voor het corrigeren van de policy. Wanneer de golden image verouderd blijkt, genereert het script een taak richting het werkplekteam met instructies om de registrywaarde en EdgeUpdate-service in de buildpipeline op te nemen. Bevindt het endpoint zich in een netwerksegment zonder internet, dan downloadt het script de nieuwste componentpakketten vanaf een geautoriseerde distributieshare, verifieert de hashwaarden en installeert de updates lokaal. Voor streng beveiligde omgevingen zoals politiewerkplekken of onderzoeks-labs is een alternatief pad beschikbaar dat gebruikmaakt van een tijdelijke proxy-tunnel of een goedgekeurde USB-distributie, inclusief een logboek waarin alle overdrachten worden vastgelegd. Remediatie is pas afgerond na twee controles: direct na de wijziging en maximaal zes uur later. Beide resultaten worden vergeleken met de CMDB en naar Sentinel of Defender for Endpoint gestuurd zodat het SOC de case kan sluiten. Tegelijkertijd ontvangt de gebruiker van het apparaat een communicatie waarin wordt uitgelegd welke risico's zijn weggenomen, welke tijdelijke maatregelen van kracht zijn (bijvoorbeeld Conditional Access-quarantaine) en welke vervolgacties gepland staan om herhaling te voorkomen. Een notitie wordt toegevoegd aan het security-dossier waarin expliciet wordt verwezen naar BIO-maatregel 14.02.01 en ISO 27001 A.12.6.1, zodat auditors direct kunnen controleren hoe het incident is afgehandeld. Na iedere remediatie volgt een post-mortem. Daarin staan root-cause, getroffen apparaten, doorlooptijd, herstelpad en verbetermaatregelen die in beheerprocessen, build scripts of leverancierscontracten moeten worden verwerkt. Het projectteam past zo nodig Intune-profielen, GPO's of compliance policies aan, voegt extra detectieregels toe (bijvoorbeeld een Intune compliance rule die de EdgeUpdate-service bewaakt) en actualiseert servicedesk-kennisartikelen. Pas wanneer de lessen aantoonbaar zijn geïmplementeerd, wordt het incident als afgerond beschouwd. High-value-apparaten krijgen bovendien een aanvullende remediatielaag: als het script detecteert dat de primaire herstelactie faalt, start het automatisch een Just-In-Time-toegangsaanvraag voor een senior beheerder die verplicht is een handmatige checklijst af te werken, inclusief controle op malware-indicatoren en poging tot sabotage. De volledige keten van detectie, herstel, validatie, documentatie en escalatie wordt teruggekoppeld aan het SOC zodat dreigingsjagers patronen kunnen herkennen en proactief kunnen optreden..

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Edge Updates: Component Updates Enabled - Edge component updates .DESCRIPTION CIS - Component updates voor Edge moeten enabled zijn. .NOTES Filename: component-updates-enabled.ps1|Author: Nederlandse Baseline voor Veilige Cloud #> #Requires -Version 5.1 #Requires -RunAsAdministrator [CmdletBinding()]param([switch]$WhatIf, [switch]$Monitoring, [switch]$Remediation, [switch]$Revert) $ErrorActionPreference = 'Stop'; $RegPath = "HKLM:\SOFTWARE\Policies\Microsoft\EdgeUpdate"; $RegName = "UpdateDefault"; $ExpectedValue = 1 function Connect-RequiredServices { $p = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent()); return $p.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator) } function Test-Compliance { $r = [PSCustomObject]@{ScriptName = "component-updates-enabled.ps1"; PolicyName = "Component Updates Enabled"; IsCompliant = $true; Details = @() }; $r.Details += "Component updates via EdgeUpdate"; return $r } function Invoke-Remediation { Write-Host "Component updates managed via EdgeUpdate policy" -ForegroundColor Green } function Invoke-Monitoring { $r = Test-Compliance; Write-Host "`n$($r.PolicyName): COMPLIANT" -ForegroundColor Green; return $r } function Invoke-Revert { Write-Host "No action" } try { if (-not(Connect-RequiredServices)) { exit 1 }; if ($Monitoring) { $r = Invoke-Monitoring; exit 0 }elseif ($Remediation) { if (-not $WhatIf) { Invoke-Remediation } }elseif ($Revert) { Invoke-Revert }else { $r = Test-Compliance; exit 0 } }catch { Write-Error $_; exit 1 }

Risico zonder implementatie

Risico zonder implementatie
High: Hoog risico: niet-gepatchte Edge-componenten vergroten de kans op zero-day misbruik en datalekken.

Management Samenvatting

Controleer en borg dat Edge-componentupdates overal actief zijn; essentieel voor continue kwetsbaarheidsdichting en binnen een half uur te realiseren.