Active Directory

Wat is Active Directory?

Active Directory (AD) is de directoryservice van Microsoft die binnen een Windows-domein centraal regelt wie zich mag aanmelden (authenticatie), wat die gebruiker of computer mag (autorisatie) en welke instellingen op apparaten gelden (beheer). AD verscheen in februari 2000 met Windows 2000 en is sindsdien de ruggengraat van identiteitsbeheer in vrijwel elke IT-omgeving die op Windows draait. Omdat HMI’s, SCADA-servers, historians en engineering stations meestal ook Windows gebruiken, staat AD steeds vaker midden in OT-netwerken. Dat maakt het een krachtig beheermiddel, maar ook een van de meest aantrekkelijke doelwitten voor aanvallers.

🧠 Hoe werkt Active Directory?

Een AD-omgeving draait op een of meer domeincontrollers: Windows-servers met de rol Active Directory Domain Services (AD DS). Zij bewaren de directorydatabase en repliceren wijzigingen onderling, zodat elke domeincontroller kan authenticeren. Het proces in vijf stappen:

1. Aanmelden - een gebruiker meldt zich aan met een domeinaccount. Een domeincontroller controleert het wachtwoord, de smartcard of Windows Hello for Business.
2. Kerberos-ticket - de domeincontroller geeft een Ticket Granting Ticket uit. Daarmee vraagt de computer later servicetickets aan voor bestandsshares, SQL-servers of SCADA-applicaties, zonder het wachtwoord opnieuw te versturen.
3. Autorisatie - groepslidmaatschappen in het ticket bepalen welke rechten de gebruiker krijgt. Dit is de basis voor RBAC.
4. Beleid - via Group Policy Objects (GPO’s) dwingt AD instellingen af, zoals wachtwoordbeleid, schermvergrendeling, firewallregels of het blokkeren van USB-opslag.
5. Opzoeken - applicaties bevragen de directory via LDAP, en clients vinden domeincontrollers via DNS-records. Daarom draait de DNS-rol vaak op de domeincontroller zelf.

Kerberos is gevoelig voor tijdsverschil: standaard mag de klok van een client hooguit 5 minuten afwijken van die van de domeincontroller. Een betrouwbare tijdbron via NTP is dus geen detail. Het oudere NTLM is alleen nog terugvalprotocol. Microsoft heeft NTLMv1 verwijderd uit Windows 11 24H2 en Windows Server 2025, en NTLMv2 geldt als verouderd.

🧱 Uit welke onderdelen bestaat Active Directory?

AD kent een logische en een fysieke structuur. De belangrijkste bouwstenen:

AD werkt grotendeels multi-master: elke domeincontroller accepteert wijzigingen. Vijf taken zijn echter aan één server toegewezen, de FSMO-rollen. Per forest zijn dat de schema master en domain naming master; per domein de RID master, PDC emulator en infrastructure master. De eerste domeincontroller krijgt standaard alle vijf. De PDC emulator van het rootdomein is bovendien de hoogste tijdbron van het hele forest.

Naast AD DS bestaan verwante rollen, zoals AD CS (certificaatdienst, zie Certificate Management), AD FS (federatie en single sign-on) en AD LDS (een lichte LDAP-directory zonder domein). De clouddienst Entra ID, voorheen Azure AD, is een ander product dat met AD kan synchroniseren.

🔍 Wat is het verschil tussen Active Directory en LDAP?

AD spreekt dus LDAP: een HMI-pakket, firewall of VPN-gateway die “LDAP-authenticatie” ondersteunt, kan rechtstreeks tegen AD aanmelden. Gebruik daarbij LDAPS (of StartTLS): bij een gewone LDAP-bind gaat het wachtwoord anders leesbaar over het netwerk. LDAP-signing en channel binding op de domeincontrollers beschermen daarnaast tegen relay-aanvallen.

🏭 Hoe wordt Active Directory in OT-netwerken gebruikt?

In fabrieken, waterzuiveringen en energie-installaties zie je AD vooral voor:

• Persoonlijke accounts op engineeringstations - in plaats van een gedeeld operator- of admin-account, zodat logging laat zien wie een PLC-programma wijzigde.
• Toegangsbeheer voor SCADA en HMI - veel SCADA-pakketten koppelen gebruikersrollen aan AD-groepen, zodat een operator alleen kan bedienen en een engineer ook kan configureren.
• Netwerktoegang - met 802.1X controleert een RADIUS-server (bijvoorbeeld Microsoft NPS) de AD-account of het computercertificaat voordat een poort open gaat.
• Groepsbeleid - centraal afdwingen van hardening-instellingen op tientallen Windows-stations, conform hardening-baselines.
• Toegang op afstand - Remote Access van leveranciers via een jump server met AD-accounts en tijdelijke groepslidmaatschappen.

De gangbare ontwerpkeuze is een apart OT-domein in een eigen forest op niveau 3 van het Purdue Model, zonder vertrouwensrelatie (trust) met het kantoordomein. Gebruikers hebben dan twee accounts, maar een gecompromitteerd IT-domein geeft geen directe weg naar de besturing. Systemen die toch met IT moeten praten, staan in de IDMZ.

⚠️ Waarom is Active Directory een geliefd doelwit?

Wie domeinbeheerder wordt, beheert elke computer in het domein. Aanvallers gebruiken AD daarom voor laterale beweging en voor het uitrollen van ransomware in één keer. In september 2024 publiceerden ASD’s ACSC, CISA, NSA en de Canadese, Britse en Nieuw-Zeelandse cybersecuritycentra samen de leidraad Detecting and Mitigating Active Directory Compromises, met 17 veelgebruikte technieken. Enkele daarvan:

Twee voorbeelden laten de gevolgen zien. Bij NotPetya in 2017 haalde de malware met een aangepaste versie van Mimikatz wachtwoorden uit het geheugen en verspreidde zich via PsExec en WMI tot op domeincontrollers; ook volledig gepatchte systemen vielen om. In december 2019 versleutelde ransomware bij de Universiteit Maastricht 267 servers in het Windows-domein, nadat aanvallers via phishing binnenkwamen en via een server zonder recente beveiligingsupdate volledige beheerrechten kregen. De universiteit betaalde uiteindelijk 30 bitcoin losgeld.

🔐 Hoe beveiligt u Active Directory in een OT-omgeving?

Een praktische aanpak in zeven stappen:

1. Scheid IT en OT - een eigen OT-forest zonder trust, achter een firewall, aparte VLAN’s en netwerksegmentatie, volgens het zones-en-conduits-model.
2. Beperk beheerrechten - pas least privilege toe, houd de groep Domain Admins vrijwel leeg en gebruik aparte beheeraccounts. Microsoft noemt domeincontrollers en hun beheerders het control plane (vroeger Tier 0) in het Enterprise Access Model.
3. Beheer privileges - gebruik PAM en beheerwerkstations die alleen voor beheer dienen; leg leveranciers vast in tijdgebonden groepen.
4. Sterke authenticatie - smartcards, Windows Hello for Business of MFA op de jump server; plaats beheerders in de groep Protected Users.
5. Lokale wachtwoorden - rol Windows LAPS uit, sinds de updates van 11 april 2023 ingebouwd in Windows, zodat elk station een uniek lokaal beheerwachtwoord heeft.
6. Monitor - stuur domeincontroller-events naar een SIEM, bijvoorbeeld 4771 (mislukte Kerberos-voorauthenticatie), 4776 (NTLM-aanmeldcontrole), 4769 (aanvraag van een Kerberos-serviceticket) en 4728 (lid toegevoegd aan een beveiligde groep).
7. Herstel oefenen - maak offline of onveranderbare back-ups van de systeemstatus van minstens twee domeincontrollers en test herstel als onderdeel van disaster recovery.

Let op de levenscyclus. Windows Server 2012 en 2012 R2 kregen na 10 oktober 2023 geen reguliere updates meer, en voor Windows Server 2016 eindigt de verlengde ondersteuning op 12 januari 2027. Domeincontrollers horen in het reguliere patchmanagement, ook als de HMI’s eromheen dat nog niet zijn.

🧭 Welke eisen stellen IEC 62443 en de Cyberbeveiligingswet?

IEC 62443-3-3 vraagt in Foundational Requirement 1 om identificatie en authenticatie van gebruikers (SR 1.1) en om accountbeheer (SR 1.3); FR 2 vraagt om afdwinging van autorisatie (SR 2.1). Een goed ingericht OT-domein is vaak de eenvoudigste manier om daaraan te voldoen voor Windows-systemen. Voor PLC’s en netwerkapparatuur die geen AD kennen, blijft lokaal of RADIUS-gebaseerd accountbeheer nodig.

In Nederland is de Cyberbeveiligingswet sinds 15 augustus 2026 van kracht. Deze wet zet NIS2 om en verplicht essentiële en belangrijke entiteiten tot passende maatregelen voor onder meer toegangsbeheer, MFA en back-ups. Een gecompromitteerd domein raakt bijna altijd de continuïteit en kan dus onder de meldplicht vallen.

❓ Veelgestelde vragen

Wat is het verschil tussen Active Directory en Entra ID?

Active Directory is de on-premises directoryservice die domeincontrollers, Kerberos, LDAP en Group Policy gebruikt. Entra ID, voorheen Azure AD, is de clouddienst van Microsoft die met moderne protocollen zoals OAuth 2.0, OpenID Connect en SAML werkt. Veel organisaties synchroniseren hun Active Directory naar Entra ID, maar voor geïsoleerde OT-netwerken blijft een lokale Active Directory gebruikelijk.

Heeft een OT-netwerk een eigen Active Directory nodig?

Een eigen Active Directory voor OT, in een apart forest zonder trust met het kantoordomein, is de aanbevolen opzet in de meeste OT-securityrichtlijnen. Zo leidt een inbraak in het IT-domein niet automatisch tot beheerrechten op HMI’s en engineeringstations. Kleine installaties met enkele stations kunnen soms met goed beheerde lokale accounts volstaan.

Welke poorten gebruikt Active Directory?

Active Directory gebruikt onder meer poort 88 (Kerberos), 389 (LDAP), 636 (LDAPS), 3268 en 3269 (Global Catalog), 53 (DNS), 445 (SMB) en 135 plus het dynamische RPC-bereik 49152–65535. Tussen OT-zones en de domeincontrollers staan daarom vaak meer poorten open dan bij andere diensten. Beperk die regels tot de domeincontrollers en de systemen die ze echt nodig hebben.

Wat zijn FSMO-rollen in Active Directory?

FSMO-rollen zijn vijf taken in Active Directory die steeds door één domeincontroller worden uitgevoerd: schema master, domain naming master, RID master, PDC emulator en infrastructure master. De eerste twee bestaan één keer per forest, de andere drie één keer per domein. Bij uitval van die domeincontroller kunt u de rollen overdragen of overnemen op een andere domeincontroller.

Waarom moet het krbtgt-wachtwoord twee keer worden gereset?

Active Directory bewaart van het krbtgt-account zowel het huidige als het vorige wachtwoord, zodat lopende Kerberos-tickets geldig blijven. Na één reset werkt een vervalst Golden Ticket daardoor nog steeds. Pas na een tweede reset, met ten minste de maximale ticketlevensduur van standaard 10 uur ertussen, zijn oude tickets ongeldig.

Is NTLM nog veilig in Active Directory?

NTLM is in Active Directory alleen nog een terugvaloptie voor oude systemen en kwetsbaar voor onder meer pass-the-hash en relay-aanvallen. Microsoft heeft NTLMv1 verwijderd uit Windows 11 24H2 en Windows Server 2025 en NTLMv2 als verouderd aangemerkt. Inventariseer in OT welke oude HMI’s of applicaties nog NTLM gebruiken voordat u het blokkeert.

📌 Samengevat

Active Directory regelt centraal wie zich in een Windows-omgeving mag aanmelden, wat die persoon mag en welke instellingen gelden, en is daarmee zowel de sleutel tot beheer als het belangrijkste doelwit van aanvallers. In OT werkt AD het best als apart forest zonder trust met IT, met strikte segmentatie, met minimale beheerrechten, Windows LAPS, monitoring via een SIEM en geteste back-ups van de domeincontrollers. Zo ondersteunt AD de eisen uit IEC 62443 en de Cyberbeveiligingswet in plaats van een snelweg voor ransomware te worden.