Excel: Schakel Uit Netwerkpaden As Hyperlinks

💼 Management Samenvatting

Schakel uit Netwerkpaden as hyperlinks voorkomt dat Excel automatische UNC paths (\\server\share) converteert naar clickable links die SMB connections maken voor NTLM credential harvesting attacks.

Aanbeveling
IMPLEMENT
Risico zonder
Medium
Risk Score
6/10
Implementatie
1.5u (tech: 0.5u)
Van toepassing op:
Microsoft Excel

UNC path hyperlinks is Diefstal van inloggegevens: Excel auto-converts \\server\share to hyperlink, Click hyperlink → SMB connection to server, SMB authentication sends NTLM hash (credential exposure), Attacker-controlled SMB server is hash capture → crack offline. Attack: Phishing Excel → cell bevat \\attacker.com\share → gebruiker klikt → NTLM hash sent → credentials compromised. Zonder disable: UNC paths automatische clickable (no warning), Diefstal van inloggegevens via single click, Works zelfs Zonder macros (formula-free attack).

Implementatie

Schakel uit UNC hyperlinks: Netwerkpaden remain text (not clickable links), User moet handmatige copy/paste UNC path (deliberate action), Blokkeert accidental credential exposure.

Vereisten

  1. Office 2016+
  2. Intune of GPO

Implementatie

Intune Settings Catalog: Excel\Security → Replace Netwerkpaden met hyperlinks: Disabled (Voorkom automatische conversion).

monitoring

Gebruik PowerShell-script network-paths-as-hyperlinks-disabled.ps1 (functie Invoke-Monitoring) – Controleren.

monitor SMB connections van Excel processes (detecteer potential credential harvesting attempts).

Compliance en Auditing

credential bescherming: BIO 09.04 (Authentication security), ISO 27001 A.9.4.3 (wachtwoordbeheer).

Remediatie

Gebruik PowerShell-script network-paths-as-hyperlinks-disabled.ps1 (functie Invoke-Remediation) – Herstellen.

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Schakelt internet en netwerkpaden als hyperlinks uit in Excel .DESCRIPTION Dit script implementeert CIS control O365-EX-000018 voor het uitschakelen van automatische conversie van internet en netwerkpaden naar hyperlinks in Microsoft Excel. Dit voorkomt potentiële beveiligingsrisico's via automatische hyperlinks. .REQUIREMENTS - PowerShell 5.1 of hoger - Lokale administrator rechten voor registry wijzigingen - Microsoft Excel geïnstalleerd .PARAMETER Monitoring Controleert de huidige compliance status .PARAMETER Remediation Past de aanbevolen configuratie toe .PARAMETER Revert Herstelt de originele configuratie .PARAMETER WhatIf Toont wat er zou gebeuren zonder wijzigingen door te voeren .EXAMPLE .\network-paths-as-hyperlinks-disabled.ps1 -Monitoring Controleert of automatische hyperlinks zijn uitgeschakeld .EXAMPLE .\network-paths-as-hyperlinks-disabled.ps1 -Remediation Schakelt automatische hyperlinks uit .NOTES Registry pad: HKCU:\Software\Policies\Microsoft\Office\16.0\Excel\Options Waarde: DisableInternetURLs = 1 CIS Control: O365-EX-000018 DISA STIG: Microsoft Office 365 ProPlus v3r3 #> #Requires -Version 5.1 param( [switch]$Monitoring, [switch]$Remediation, [switch]$Revert, [switch]$WhatIf ) # Globale variabelen $RegistryPath = "HKCU:\Software\Policies\Microsoft\Office\16.0\Excel\Options" $ValueName = "DisableInternetURLs" $ExpectedValue = 1 $ControlID = "O365-EX-000018" function Test-Compliance { try { if (-not (Test-Path $RegistryPath)) { return $false } $currentValue = Get-ItemProperty -Path $RegistryPath -Name $ValueName -ErrorAction SilentlyContinue return ($currentValue -and $currentValue.$ValueName -eq $ExpectedValue) } catch { return $false } } function Invoke-Monitoring { Write-Host "Monitoring ${ControlID}: Internet en netwerkpaden als hyperlinks uitschakelen" -ForegroundColor Green try { if (-not (Test-Path $RegistryPath)) { Write-Host "✗ Registry pad bestaat niet: $RegistryPath" -ForegroundColor Red return $false } $currentValue = Get-ItemProperty -Path $RegistryPath -Name $ValueName -ErrorAction SilentlyContinue if ($currentValue -and $currentValue.$ValueName -eq $ExpectedValue) { Write-Host "✓ Control compliant: ${ValueName} = $ExpectedValue (Automatische hyperlinks uitgeschakeld)" -ForegroundColor Green return $true } else { $actualValue = if ($currentValue) { $currentValue.$ValueName } else { "Not Set" } Write-Host "✗ Control non-compliant: ${ValueName} = $actualValue (Expected: $ExpectedValue)" -ForegroundColor Red return $false } } catch { Write-Host "✗ Fout bij controleren registry instelling: $($_.Exception.Message)" -ForegroundColor Red return $false } } function Invoke-Remediation { Write-Host "Remediating ${ControlID}: Internet en netwerkpaden als hyperlinks uitschakelen" -ForegroundColor Yellow try { if ($WhatIf) { Write-Host "WhatIf: Zou registry waarde instellen: ${ValueName} = $ExpectedValue" -ForegroundColor Cyan return $true } if (-not (Test-Path $RegistryPath)) { Write-Host "Registry pad aanmaken: $RegistryPath" -ForegroundColor Yellow New-Item -Path $RegistryPath -Force | Out-Null } Set-ItemProperty -Path $RegistryPath -Name $ValueName -Value $ExpectedValue -Type DWord -Force Write-Host "✓ Registry waarde succesvol ingesteld: ${ValueName} = $ExpectedValue" -ForegroundColor Green Start-Sleep -Seconds 1 return Invoke-Monitoring } catch { Write-Host "✗ Fout bij configureren registry instelling: $($_.Exception.Message)" -ForegroundColor Red return $false } } function Invoke-Revert { Write-Host "Reverting ${ControlID}: Automatische hyperlinks instelling herstellen" -ForegroundColor Yellow try { if ($WhatIf) { Write-Host "WhatIf: Zou registry waarde verwijderen: ${ValueName}" -ForegroundColor Cyan return $true } if (Test-Path $RegistryPath) { Remove-ItemProperty -Path $RegistryPath -Name $ValueName -ErrorAction SilentlyContinue Write-Host "✓ Registry waarde verwijderd: ${ValueName}" -ForegroundColor Green } return $true } catch { Write-Host "✗ Fout bij herstellen registry instelling: $($_.Exception.Message)" -ForegroundColor Red return $false } } # Hoofd uitvoering try { if ($Monitoring) { $result = Invoke-Monitoring exit $(if ($result) { 0 } else { 1 }) } elseif ($Remediation) { $result = Invoke-Remediation exit $(if ($result) { 0 } else { 1 }) } elseif ($Revert) { $result = Invoke-Revert exit $(if ($result) { 0 } else { 1 }) } else { Write-Host "Gebruik: .\network-paths-as-hyperlinks-disabled.ps1 [-Monitoring] [-Remediation] [-Revert] [-WhatIf]" -ForegroundColor Yellow Write-Host " -Monitoring: Controleer huidige compliance status" -ForegroundColor White Write-Host " -Remediation: Pas aanbevolen configuratie toe" -ForegroundColor White Write-Host " -Revert: Herstel originele configuratie" -ForegroundColor White Write-Host " -WhatIf: Toon wat er zou gebeuren" -ForegroundColor White Write-Host "" Write-Host "Handmatige configuratie:" -ForegroundColor Cyan Write-Host "Group Policy: User Configuration > Administrative Templates > Microsoft Excel 2016" -ForegroundColor White Write-Host "> Excel Options > Advanced > General" -ForegroundColor White Write-Host "> Internet and network paths as hyperlinks: Disabled" -ForegroundColor White } } catch { Write-Host "✗ Onverwachte fout: $($_.Exception.Message)" -ForegroundColor Red exit 1 }

Risico zonder implementatie

Risico zonder implementatie
Medium: Medium: UNC path hyperlinks is NTLM credential harvesting via single click. No macros needed.

Management Samenvatting

Schakel uit Netwerkpaden as hyperlinks. voorkomt SMB Diefstal van inloggegevens. UNC paths stay text. Implementatie: 1 uur.