GPO: Windows Firewall Public Profile Ingeschakeld

Zonder een strikt openbaar profiel zijn mobiele apparaten afhankelijk van de betrouwbaarheid van willekeurige wifi aanbieders en worden zij blootgesteld aan scans, wormen en man-in-the-middle aanvallen door apparaten op hetzelfde subnet.

Implementatie

Het openbare profiel wordt automatisch gekozen wanneer Windows geen domeincontroller of vertrouwd netwerk herkent en blokkeert alle niet-aangevraagde inkomende verbindingen zodat uitzonderingen alleen na expliciete motivatie voor reizende medewerkers mogelijk blijven.

Vereisten

Een solide invoering van het openbare firewallprofiel begint met een volledig beeld van de huidige beheerinfrastructuur. Organisaties hebben een functionerende Active Directory hierarchie of een hybride Azure AD omgeving nodig waarin clients op consistente wijze beleidsobjecten ontvangen. Dat betekent dat domain controllers gezond moeten zijn, replicatie zonder fouten verloopt en dat de organisatie-eenheden waarin laptops zijn opgenomen logisch zijn ingericht zodat uitzonderingen traceerbaar blijven. Ook Intune of een vergelijkbare MDM oplossing moet beschikbaar zijn om apparaten buiten het domein dezelfde configuratie te geven, inclusief beheer van certificaten die de firewallregels tekenen en beschermen tegen ongeautoriseerde wijzigingen. Zonder deze fundamenten ontstaat er direct fragmentatie tussen kantoornetwerken, thuiswerkplekken en mobiele gebruikers. Naast infrastructuur zijn actuele inventarisgegevens vereist. Elk apparaat dient in een configuration management database geregistreerd te staan met hardwaretype, Windows versie, aanwezige netwerkadapters en gebruikte VPN clients. Deze informatie maakt duidelijk welke stuurprogramma's of derde partij agenten uitzonderingen afdwingen en waar aanvullende testcases nodig zijn. Beveiligingsafdelingen hebben bovendien inzicht nodig in welke legacy toepassingen afhankelijk zijn van inkomende poorten. Denk aan remote support tools of verouderde fileshare oplossingen die nog via SMB vanaf het internet bereikbaar moeten zijn. Door deze afhankelijkheden vooraf te documenteren kan tijdig een migratiepad worden opgesteld en worden noodprocedures gedefinieerd voor scenario's waarin het openbare profiel een kritieke dienst blokkeert. Governance is een derde pijler. Er moet een vast change management proces bestaan met goedgekeurde sjablonen voor GPO wijzigingen, logging van wie welke instelling wijzigt en automatische export naar een versiebeheersysteem. De security officer of CISO moet als eigenaar benoemd zijn zodat escalaties tijdens audits of incidenten snel verlopen. Verder moeten functioneel beheerders toegang hebben tot een geisoleerde testomgeving waar dezelfde groepsbeleidsinstellingen veilig uitgerold kunnen worden voordat productie geraakt wordt. Ook is een noodherstelprocedure vereist waarin beschreven staat hoe een foutief beleid binnen tien minuten kan worden teruggedraaid, inclusief offline back-ups van de SYSVOL en Intune configuration profiles. Tot slot zijn communicatie en opleiding randvoorwaardelijk. Servicedesks moeten instructies ontvangen over herkenbare symptomen, zoals gebruikers die in hotels geen verbinding meer krijgen met peer-to-peer applicaties. Eindgebruikersrichtlijnen moeten uitleggen waarom het openbare profiel strenger is en welke stappen ze moeten nemen wanneer ze tijdelijke toegang tot een specifieke poort nodig hebben, bijvoorbeeld via een goedgekeurd remote support kanaal. Daarnaast moeten leveranciers weten dat zij hun beheerhulpmiddelen via beheerportalen aanbieden en nooit via ad-hoc inbound sessies op open wifi vertrouwen. Zodra deze organisatorische en technische voorwaarden ingevuld zijn, ontstaat een stabiele basis waarop het openbare firewallprofiel consequent kan worden toegepast zonder de bedrijfsvoering te hinderen. Een degelijk opleidingsprogramma omvat scenario gebaseerde oefeningen waarin beheerders, servicedesks en security operations gezamenlijk testen hoe het openbare profiel reageert op captive portals, dubbele NAT omgevingen en mobiele hotspots. Tijdens deze oefeningen wordt vastgesteld welke logbestanden nodig zijn, welke foutcodes aan gebruikers worden getoond en hoe escalatie richting het SOC plaatsvindt wanneer een apparaat onverwacht naar het privenetwerkprofiel overschakelt. Door deze leerpunten te verwerken in runbooks en kennisartikelen wordt gewaarborgd dat de organisatie niet afhankelijk is van individuele experts maar dat kennis geborgd is. Verder dienen rapportageverplichtingen aan bestuurders vooraf te worden afgestemd. Het bestuur verwacht inzicht in de kosten, de impact op reizende medewerkers en de mate waarin de maatregel aansluit op strategische digitaliseringsprogramma's. Verzamel daarom statistieken over het aantal apparaten dat het openbare profiel activeert, het aantal geweigerde verbindingen en de relatie met incidentenmeldingen. Deze gegevens bewijzen dat de randvoorwaarden daadwerkelijk worden nageleefd en vormen de basis voor besluitvorming over aanvullende investeringen zoals Zero Trust netwerktoegang of geautomatiseerde compliance rapportages.

Implementatie

Gebruik PowerShell-script firewall-public-profile-enabled.ps1 (functie Invoke-Implementation) – Implementeren.

De implementatie van het openbare firewallprofiel begint met een grondige analyse van alle netwerkprofielen die Windows automatisch selecteert wanneer een apparaat een onbekend subnet detecteert. Start in de labomgeving met het aanmaken van een nieuw groepsbeleid of Intune security baseline waarin uitsluitend het openbare profiel wordt geconfigureerd zodat regressies eenvoudig herleidbaar zijn. Documenteer elke wijziging in het GPO door de instelling Windows Defender Firewall with Advanced Security -> Windows Firewall Properties -> Public Profile -> Firewall state op Ingeschakeld te zetten en inbound connections op Block te houden. Voeg vervolgens een beschrijving toe waarin het doel, de scope en de verwachte gedragsverandering voor mobiele gebruikers wordt uitgelegd. Leg tijdens dit stap voor stap proces vast welke aanvullende instellingen, zoals logginglocaties, gedetailleerde foutcodes of notificaties naar de gebruiker, worden geactiveerd zodat het supportteam weet welke events te verwachten zijn. Na de basisconfiguratie is het van belang om de regelset te verfijnen. Beschrijf in de beleidsinstelling dat alleen uitzonderingen worden toegestaan die aantoonbaar noodzakelijk zijn en dat deze uitzonderingen altijd gekoppeld zijn aan gecodeerde IP ranges of specifieke uitvoerbare bestanden. Werk nauw samen met applicatie-eigenaren om per toepassing te bepalen of deze daadwerkelijk inkomende verbindingen nodig heeft wanneer een medewerker zich op een openbaar netwerk bevindt. In de meeste gevallen volstaat een omleiding naar bestaande VPN tunnels of een moderne webgebaseerde beheerinterface waardoor legacy poorten kunnen worden afgesloten. Leg elk besluit vast in een vrijgaveformulier, inclusief de datum waarop een uitzondering opnieuw beoordeeld moet worden, zodat tijdelijke uitzonderingen automatisch aflopen. Gebruik daarnaast het Group Policy Results Report of Intune Device Configuration Report om te controleren dat de instelling de juiste doelgroepen bereikt, inclusief apparaten die slechts sporadisch online zijn. Tijdens de uitrolfase worden pilotgroepen samengesteld met vertegenwoordigers uit de werkvloer, consultants en beheerafdelingen. Deze groepen testen het beleid op verschillende locaties, waaronder luchthavens, treinen en buitenlandse co working ruimtes, zodat de connectiviteitsscenario's werkelijk de risico's van openbaar wifi afdekken. Verzamel meetgegevens over verbindingssnelheid, gebruik van bedrijfskritische toepassingen en invloed op batterijduur. Synchroniseer de bevindingen met het SOC zodat zij hun detectieregels kunnen voorbereiden op de toename van geblokkeerde poorten en op de events die voortkomen uit het openbare profiel. Zodra de resultaten positief zijn, wordt het beleid gefaseerd opgeschaald door de scope van de GPO of Intune assignment wekelijks te verdubbelen tot alle mobiele endpoints zijn opgenomen. Een succesvolle implementatie eindigt met het formaliseren van beheerafspraken. Werk het technische ontwerpdocument bij, update het configuration management database record en leg een terugvalprocedure vast waarmee een beheerder binnen tien minuten een specifiek apparaat terug kan zetten naar het priveprofiel wanneer zwaarwegende bedrijfscontinuiteit dat vereist. Plan tevens een jaarlijkse review waarin gecontroleerd wordt of nieuwe Windows versies aanvullende firewallopties introduceren, zoals geavanceerde logging voor QUIC of automatische notificaties naar Microsoft Defender XDR. Door dit gestructureerde traject te volgen blijft het openbare profiel uniform actief en kunnen auditors aantonen dat het beleid doelgericht, gecontroleerd en reproduceerbaar is ingevoerd. Parallel aan de technische stappen moeten communicatie en adoptie beheerd worden. Plan informatiesessies voor mobiele medewerkers waarin wordt uitgelegd hoe Windows het openbare profiel selecteert, waarom sommige peer-to-peer functies geblokkeerd worden en welke alternatieve werkmethoden beschikbaar zijn. Lever korte handleidingen voor consultants, toezichthouders of inspecteurs die vaak buiten kantoortijd verbinding maken met systemen van ketenpartners. Combineer deze voorlichting met een servicedesk draaiboek waarin vaste vragen worden gesteld over locatie, gebruikte hotspot, VPN status en eventuele foutmeldingen. Heldere communicatie voorkomt dat gebruikers eigen oplossingen zoeken, bijvoorbeeld het uitschakelen van de firewall of het aansluiten van ongeautoriseerde routers.

Compliance

Het nalevingsperspectief rondom het openbare firewallprofiel vereist meer dan een verwijzing naar tabellen uit internationale standaarden; het draait om aantoonbaar beleid dat aansluit bij Nederlandse normen. De Baseline Informatiebeveiliging Overheid beschouwt netwerkbeveiliging als randvoorwaarde voor continuiteit van publieke diensten en verwacht dat endpoints automatisch overschakelen naar het strengste profiel zodra er geen vertrouwd domein wordt herkend. Door het openbare profiel actief te houden voldoen organisaties direct aan maatregelen uit BIO 13.01 en 12.04 waarin netwerktoegang, segmentatie en logging centraal staan. Bovendien sluit deze configuratie aan op ISO 27001 controle A.13.1.1 die eist dat communicatiebeveiliging onafhankelijk van het onderliggende netwerk gewaarborgd wordt. Door dit verband expliciet te maken in beleidsdocumenten kunnen auditors de herleidbaarheid tussen technische instellingen en de normenkaders eenvoudig volgen. NIS2 artikel 21 benoemt dat essentiele en belangrijke entiteiten aantoonbaar passende technische en organisatorische maatregelen nemen tegen cyberdreigingen. Het openbare firewallprofiel is een tastbaar bewijs dat mobiele werkplekken niet afhankelijk zijn van de goede trouw van externe wifi aanbieders. Documenteer in het risicoregister hoe de instelling de kans op laterale beweging op gastnetwerken verlaagt en koppel dit aan impactscenario's zoals verlies van vertrouwelijke dossiers of verstoring van gemeentelijke loketten. Neem eveneens op dat de maatregel bijdraagt aan de verplichting uit artikel 32 van de AVG die spreekt over passende beveiliging van persoonsgegevens, omdat ongeautoriseerde netwerktoegang direct kan leiden tot datalekken. Door deze verwijzingen samen te brengen ontstaat een matrix waarin voor elke wet- en regelgeving de corresponderende firewallconfiguratie zichtbaar is. Auditors verwachten concreet bewijs. Verzamel daarom exportbestanden van de GPO of Intune profielen, screenshots van de firewallinstellingen en rapportages uit beheerplatformen die aantonen dat het beleid periodiek gecontroleerd wordt. Leg vast welke meetpunten een afwijking signaleren, bijvoorbeeld een Microsoft Defender XDR alert dat doorgeeft dat het openbare profiel is uitgeschakeld. Combineer die signalen met procedures waarin staat wie binnen vier uur een correctieve actie start en hoe de melding wordt opgeslagen in het ticketingsysteem. Dit toont aan dat de organisatie niet alleen beleid definieert maar ook operationeel toezicht houdt, wat door de Algemene Rekenkamer en gemeentelijke toezichthouders steeds vaker wordt geeist. Tot slot moeten leveranciersafspraken worden bijgewerkt. Managed service providers dienen contractueel te bevestigen dat zij geen instellingen leveren die het openbare profiel neutraliseren en dat zij afwijkingen onmiddellijk melden aan de opdrachtgever. Voeg bepalingen toe aan verwerkersovereenkomsten waarin staat dat externe supportmedewerkers uitsluitend via goedgekeurde beheerkanalen verbinding maken zodat zij geen druk uitoefenen om de firewall tijdelijk uit te schakelen. Door dit te verbinden aan de Rijksbrede Inkoopvoorwaarden ontstaat een juridisch kader waarin naleving afdwingbaar wordt. Met deze combinatie van normatieve verwijzingen, operationele bewijzen en contractuele afspraken voldoet de organisatie aantoonbaar aan de eisen van CIS, BIO, ISO 27001, NIS2 en de AVG, terwijl de bestuurlijke verantwoordelijkheid helder belegd blijft. Plan daarnaast een halfjaarlijkse compliance review waarbij juridische adviseurs, privacy officers en technisch beheerders gezamenlijk toetsen of wijzigingen in wetgeving of Rijksbrede richtlijnen aanvullende documentatie vereisen. Tijdens deze sessies worden alle uitzonderingen op het openbare profiel opnieuw beoordeeld, worden verwijzingen naar actuele BIO versies gecontroleerd en wordt vastgesteld of het register van verwerkingsactiviteiten moet worden bijgewerkt. Door deze cyclus te formaliseren staat zwart op wit dat de organisatie continu bewijst hoe het openbare profiel bijdraagt aan de bescherming van persoonsgegevens en vitale processen.

Monitoring

Gebruik PowerShell-script firewall-public-profile-enabled.ps1 (functie Invoke-Monitoring) – Controleren.

Effectieve monitoring van het openbare firewallprofiel begint bij het verzamelen van telemetrie direct vanaf het endpoint. Activeer in dezelfde beleidsinstelling het loggen van gedropte pakketten en succesvolle verbindingen en stuur deze via Windows Event Forwarding of Microsoft Defender for Endpoint naar een centrale SIEM zoals Microsoft Sentinel. Koppel de events aan een assettag waarin het actuele netwerkprofiel wordt opgeslagen zodat analisten onmiddellijk zien of een apparaat zich op een openbaar netwerk bevindt. Verrijk de logs met gegevens uit Entra ID sign-ins, Conditional Access evaluaties en VPN sessies om vast te stellen of een gebruiker parallelle kanalen opbouwt die het firewallbeleid proberen te omzeilen. Vervolgens is een set van detectieregels nodig die specifiek kijkt naar wijzigingen aan de firewallservice. Maak Sentinel analytics rules die een alert genereren wanneer de registry sleutel voor het openbare profiel wordt aangepast, wanneer een lokale beheerder de dienst Windows Defender Firewall stopt of wanneer een apparaat gedurende langer dan vijf minuten geen telemetrie verstuurt terwijl het volgens Intune wel online is. Deze regels moeten prioriteiten meekrijgen die aansluiten op het risico: uitgeschakelde firewallinstellingen op een openbaar netwerk gelden als hoogste prioriteit en vereisen directe escalatie naar het SOC. Voeg daarnaast behavior analytics toe die controleren of uitzonderingen voor bepaalde executables ineens vaker voorkomen, wat kan wijzen op een poging om kwaadaardige tools toe te voegen aan de lijst met toegestane programma's. Rapportages vormen de derde pijler van monitoring. Bouw dashboards waarin het percentage apparaten met een actief openbaar profiel per organisatieonderdeel zichtbaar is, inclusief trendlijnen over meerdere maanden. Koppel die gegevens aan incidenttickets en change requests zodat bestuurders zien welke afdelingen structureel om uitzonderingen vragen. Voeg ook een kaart toe waarop publieke locaties met veel blokkades worden weergegeven zodat facilitaire teams beter communiceren over betrouwbare wifi aanbieders. Deze combinatie van operationele en tactische rapportages geeft niet alleen inzicht in naleving, maar ondersteunt ook planning van adoptietrajecten en gebruikersvoorlichting. Tot slot moet monitoring een gesloten feedbacklus bevatten. Elk alert uit het SOC moet leiden tot een kort nacontroledocument waarin staat of de detectieregel correct functioneerde, welke herstelactie is uitgevoerd en of aanvullende hardening nodig is. Wanneer bijvoorbeeld blijkt dat een reistijd update agent regelmatig moeite heeft met het openbare profiel, wordt dit verslag gedeeld met het change board zodat zij kunnen bepalen of een structurele aanpassing noodzakelijk is. Door deze werkwijze ontstaat een cultuur van continue verbetering waarin het openbare firewallprofiel niet wordt gezien als eenmalige configuratie maar als een levend onderdeel van het beveiligingsprogramma. Monitoring strekt zich eveneens uit tot leveranciers en ketenpartners. Vraag managed service providers maandelijks om een conformiteitsrapport waarin zij aantonen dat hun beheerde endpoints het openbare profiel respecteren en dat remote management tooling uitsluitend via goedgekeurde tunneldiensten verloopt. Integreer deze rapportages met de eigen SIEM zodat afwijkingen automatisch correleren met interne metrics. Hiermee wordt voorkomen dat externe partijen het risico opnieuw introduceren en blijft de organisatie aantoonbaar in controle over het gehele ecosysteem. Automatisering versterkt dit geheel: configureer Logic Apps of Power Automate flows die bij elk hoogrisico alert automatisch een ticket aanmaken, een beheerder toewijzen en een follow-up reminder sturen totdat het incident is afgesloten. Laat dezelfde workflow de relevante logquery's en playbooks meesturen zodat analisten niet hoeven te zoeken naar context. Door deze automatisering worden afwijkingen sneller opgevolgd en is aantoonbaar dat monitoringresultaten direct leiden tot actie.

Remediatie

Gebruik PowerShell-script firewall-public-profile-enabled.ps1 (functie Invoke-Remediation) – Herstellen.

Wanneer monitoring een afwijking signaleert, moet een helder remediatiepad beschikbaar zijn dat prioriteit geeft aan mobiele werkplekken. De eerstelijns servicedesk valideert of de gebruiker daadwerkelijk op een openbaar netwerk zit door middel van een gestandaardiseerd script dat de netwerkcategorie, actieve firewallprofielen en eventuele uitzonderingen uitleest. Deze gegevens worden automatisch aan het incidentticket toegevoegd zodat vervolgteams geen tijd verliezen aan basisdiagnostiek. Indien blijkt dat een beleidsupdate niet is toegepast, kan het apparaat onmiddellijk opnieuw worden ingedeeld in de juiste Intune of GPO scope en wordt een geforceerde synchronisatie gestart. Voor incidenten waarbij de firewall bewust is uitgeschakeld activeert het SOC een containmentactie. Via Microsoft Defender for Endpoint kan het apparaat in isolatiemodus worden geplaatst zodat alleen beheerverbindingen zijn toegestaan. Tegelijkertijd wordt een rootcause analyse gestart waarin wordt onderzocht of de wijziging voortkomt uit malafide software, onbedoelde gebruikersacties of een geautomatiseerd script. De bevindingen worden verzameld in een forensisch sjabloon dat later als auditbewijs dient. Wanneer de oorzaak ligt bij verouderde software die inkomende poorten vereist, wordt samen met de applicatie-eigenaar een versnelde migratie naar een modern alternatief gepland. Na de technische fix volgt een organisatorische correctie. Het change board beoordeelt of aanvullende beleidsregels nodig zijn, bijvoorbeeld om lokale administratieve rechten verder te beperken of om een nieuwe compliance policy in Intune te publiceren. Trainingsteams werken kennisartikelen bij zodat eindgebruikers begrijpen welke stappen zij moeten nemen wanneer zij tijdelijk toegang tot een dienst nodig hebben. Als onderdeel van de remediatie wordt elke afwijking toegevoegd aan een trendanalyse waarin wordt gekeken naar herhaling, betrokken leveranciers en doorlooptijden. Deze analyse bepaalt welke verbetermaatregelen in de volgende kwartaalplanning worden opgenomen. Wanneer meerdere apparaten tegelijk worden geraakt, wordt een gecoordineerde respons geactiveerd waarin Intune of Configuration Manager een noodbeleid pusht dat het openbare profiel forceert en alle recente uitzonderingen verwijdert. Deze bulkactie gaat gepaard met een communicatiepakket voor gebruikers zodat zij begrijpen waarom hun verbinding kortstondig wordt onderbroken. Het SOC valideert na afloop of alle apparaten opnieuw compliant zijn en legt de resultaten vast in een herstelrapport. Tot slot hoort bij remediatie ook het documenteren van lessons learned richting het bestuur. Binnen vijf werkdagen ontvangt de CISO een rapport met daarin de oorzaak, de herstelactie, de resterende risico's en voorstellen voor preventieve maatregelen. Dit rapport verwijst naar de relevante beleidsdocumenten en laat zien hoe de genomen stappen bijdragen aan de naleving van BIO, ISO 27001 en NIS2. Door deze transparante terugkoppeling blijft het vertrouwen in het openbare firewallprofiel hoog en begrijpt het bestuur dat tijdelijke overlast onlosmakelijk verbonden is met het beschermen van hoogwaardige overheidsinformatie tijdens reizen en externe afspraken. Een effectieve remediatiecyclus eindigt met het bijwerken van het configuration management record van elk betrokken apparaat. Beheerders registreren welke policy versie is toegepast, welke uitzonderingen zijn verwijderd en op welk moment de gebruiker bevestigde dat alle primaire applicaties opnieuw functioneren. Deze registratie voedt toekomstige impactanalyses en voorkomt dat dezelfde uitzonderingen onbeperkt actief blijven. Door technische correcties, organisatorische opvolging en bestuurlijke rapportage te combineren vormt remediatie een integraal onderdeel van het firewallprogramma in plaats van een ad-hoc reactie.

Compliance & Frameworks

• CIS M365: Control Windows - firewall public (L1) -
• BIO: 13.01.01 -
• ISO 27001:2022: A.13.1.1 -
• NIS2: Artikel -

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Windows Firewall Public Profile Enabled: ALWAYS enable firewall on public networks (hotel, airport, coffee shop WiFi). Blocks ALL inbound connections by default (most restrictive profile). CRITICAL mobile worker protection. Activatie: GPO → Windows Firewall → Public Profile: On + Inbound connections: Block ALL. Gratis. Verplicht CIS L1, BIO 13.01. Implementatie: 1-2 uur. ZERO business impact. CRITICAL public WiFi defense - mandatory all mobile workers.

• Implementatietijd: 2 uur
• FTE required: 0.01 FTE