Wat is een Domain Controller?
Een Domain Controller (DC) is een Windows Server met de rol Active Directory Domain Services (AD DS) die de directorydatabase van een domein bewaart, gebruikers en computers authenticeert en groepsbeleid uitrolt. Elke Active Directory-omgeving draait op minstens één domain controller, en hoort er voor beschikbaarheid minstens twee te hebben. Omdat HMI’s, SCADA-servers, historians en engineering stations meestal Windows draaien, staat de domain controller ook in veel OT-netwerken centraal. Wie een DC overneemt, beheerst daarmee het hele domein: daarom is het de meest kritieke server in een Windows-omgeving.
🧠 Wat doet een Domain Controller?
Een domain controller combineert een aantal taken die samen het fundament van identity- en toegangsbeheer vormen:
- Directory bewaren - de database NTDS.dit bevat alle gebruikers, groepen, computers en hun wachtwoord-hashes. De map SYSVOL bevat de Group Policy-bestanden en aanmeldscripts.
- Authenticatie - bij het aanmelden controleert de DC het wachtwoord, de smartcard of Windows Hello-sleutel en geeft een Kerberos-ticket uit. Met dat ticket meldt de gebruiker zich zonder nieuwe wachtwoordinvoer aan bij andere systemen in het domein (single sign-on). De oudere NTLM-methode blijft alleen als terugvaloptie bestaan.
- Groepslidmaatschap leveren - het Kerberos-ticket bevat de groepen van de gebruiker. De server of applicatie waar de gebruiker naartoe gaat, beslist op basis daarvan over de toegang. Dat is de basis voor RBAC.
- Beleid uitrollen - computers en gebruikers halen hun Group Policy Objects (GPO’s) bij de DC op.
- Naamresolutie - clients vinden een DC via SRV-records in DNS. De DNS-rol draait daarom vaak op de DC zelf.
- Replicatie - alle beschrijfbare DC’s accepteren wijzigingen en repliceren die onderling, zodat elke DC een gebruiker kan aanmelden.
Kerberos is gevoelig voor tijdsverschil: standaard mag een klok maximaal 5 minuten afwijken. De DC met de rol PDC emulator in het rootdomein is daarom de hoogste tijdbron van het forest, en hoort zelf een betrouwbare NTP-bron te hebben.
🔧 Welke soorten domain controllers en rollen zijn er?
| Type of rol | Wat het is | Wanneer gebruiken |
|---|---|---|
| Beschrijfbare DC | Volledige kopie van de domeindatabase, accepteert wijzigingen | Standaard in datacenter en centrale OT-zone |
| Read-Only Domain Controller (RODC) | Alleen-lezen kopie, sinds Windows Server 2008, slaat standaard geen wachtwoorden op | Locaties met zwakke fysieke beveiliging, zoals een buitenstation of een kleine vestiging |
| Global Catalog | DC met een volledige kopie van het eigen domein plus een gedeeltelijke, doorzoekbare kopie van alle objecten in de andere domeinen van het forest | Nodig voor aanmelden en zoeken over domeinen heen |
| FSMO-rolhouder | DC die een van de vijf unieke taken uitvoert (schema, domeinnamen, RID, PDC emulator, infrastructuur) | De eerste DC van het forest heeft ze alle vijf; verdeel ze bewust |
| Gevirtualiseerde DC | DC als virtuele machine, met VM-GenerationID-bescherming sinds Windows Server 2012, mits de hypervisor dit ondersteunt | Gangbaar, mits op aparte, goed beveiligde hosts |
Sinds Windows Server 2012 is het oude dcpromo vervangen door Server Manager en PowerShell
(Install-ADDSForest, Install-ADDSDomainController). Windows Server 2025 bracht
een nieuw functioneel niveau en een optionele databasepagina van 32k in plaats van 8k, maar die kan pas
aan als alle DC’s in het forest dat ondersteunen. De clouddienst Entra ID (tot 2023 Azure AD) is geen domain controller: die levert identiteit voor cloudapplicaties
en kan via Entra Connect met AD synchroniseren.
🏭 Hoe worden domain controllers in OT gebruikt?
In fabrieken, waterzuiveringen en energie-installaties zorgt een domain controller onder meer voor:
- Persoonlijke accounts op SCADA, HMI en engineering stations in plaats van een gedeeld operator-account, zodat logging laat zien wie een PLC-programma wijzigde.
- Rolgebaseerde toegang - veel SCADA- en DCS-pakketten koppelen operator-, engineer- en beheerdersrollen aan AD-groepen.
- Uniforme hardening via GPO’s: USB-opslag blokkeren, schermvergrendeling, firewallregels en Windows LAPS voor unieke lokale beheerderswachtwoorden.
- Gecontroleerde leverancierstoegang - accounts van leveranciers alleen actief tijdens onderhoud, via een jump server.
- Aanmeldgebeurtenissen die naar een SIEM of OT SOC gaan voor audit en detectie.
De gangbare architectuur is een apart OT-domein met eigen DC’s op niveau 3 (site operations) van het Purdue Model, los van het IT-domein. Het IT-domein uitbreiden tot in het OT-netwerk, of een DC in de IDMZ, de industriële DMZ, plaatsen die beide werelden bedient, is een bekende fout: een aanvaller met beheerrechten in IT bereikt dan direct de fabrieksvloer. Beheer loopt via een jump server in de IDMZ, en er is bij voorkeur geen vertrouwensrelatie (trust) tussen het OT-domein en het IT-domein.
🔐 Waarom zijn domain controllers een topdoelwit?
Een DC kan alles in de directory lezen en schrijven. Microsoft stelt dat een forest na compromittering van een DC nooit meer te vertrouwen is, tenzij u herstelt vanaf een bekende goede back-up en het lek dicht. Bekende aanvalspatronen:
| Aanval | Wat er gebeurt | Maatregel |
|---|---|---|
| NTDS.dit stelen | Kopie van de database via Volume Shadow Copy; alle hashes buitgemaakt. Volt Typhoon deed dit bij kritieke infrastructuur |
Geen beheer vanaf gewone werkplekken, monitoring op vssadmin en ntdsutil
|
| DCSync | Aanvaller met replicatierechten vraagt hashes op alsof hij een DC is | Replicatierechten beperken, detectie op replicatieverzoeken van niet-DC’s |
| Golden Ticket | Met de hash van het account krbtgt maakt een aanvaller eigen Kerberos-tickets | krbtgt-wachtwoord twee keer resetten, minstens 10 uur ertussen |
| GPO-misbruik | Ransomware verspreidt zich via een GPO over alle machines | Bewerkrechten op GPO’s beperken, wijzigingen bewaken |
| Laterale beweging | Beheerdersaanmelding op een besmette werkplek laat inloggegevens achter | Tiermodel: domeinbeheerders melden zich alleen aan op Tier 0-systemen |
Bij NotPetya in 2017 werden bij Maersk alle online DC’s gewist. Het herstel lukte alleen dankzij één DC in Ghana die door een stroomstoring offline was. Dat illustreert waarom een offline of onveranderbare back-up van een DC onmisbaar is.
🛠️ Hoe beveiligt u een Domain Controller in de praktijk?
Een praktische aanpak, gebaseerd op de richtlijnen van Microsoft en IEC 62443:
- Behandel DC’s als Tier 0 - samen met PKI, AD FS en back-upsystemen. Alleen beheerders met een apart Tier 0-account, vanaf een beveiligd beheerstation, met MFA of smartcard, en via PAM waar mogelijk.
- Minimaliseer de server - Server Core, geen extra software, geen webbrowser en geen uitgaand internetverkeer. Zet geen andere rollen zoals een historian of fileserver op een DC, en pas de Microsoft Security Baselines toe.
- Patch apart en snel - DC’s los van het algemene patchmanagement beheren, zodat een gecompromitteerde beheertool niet ook de DC’s raakt. Kritieke kwetsbaarheden zoals Zerologon (CVE-2020-1472) moeten met voorrang dicht.
- Beperk het netwerk - DC’s in een eigen segment achter een firewall. Clients hebben vooral nodig: 53 (DNS), 88 (Kerberos), 135 en dynamische RPC, 389/636 (LDAP/LDAPS), 445 (SMB), 464 (wachtwoordwijziging) en 3268/3269 (Global Catalog).
- Versterk protocollen - LDAP signing en channel binding afdwingen, SMB signing aan, NTLM afbouwen en beheerders in de groep Protected Users plaatsen.
- Bewaak - stuur beveiligingslogs zoals 4624, 4672, 4728 en 4769 naar de SIEM en alarmeer op wijzigingen in beheergroepen. Controleer daarnaast periodiek het lidmaatschap van bevoorrechte groepen (access review).
- Back-up en herstel testen - system-state-back-up van minstens twee DC’s per domein, offline bewaard. Een back-up ouder dan de tombstone lifetime (standaard 180 dagen) is onbruikbaar. Oefen het herstel in het kader van disaster recovery.
| Instelling | Typische waarde |
|---|---|
| Aantal DC’s per domein | Minimaal 2, ook in een klein OT-domein |
| Max. kloktijdverschil Kerberos | 5 minuten |
| Levensduur Kerberos-ticket | 10 uur |
| Tombstone lifetime | 180 dagen (forests vanaf Windows Server 2003 SP1) |
| Replicatie tussen sites | Standaard elke 180 minuten |
🇳🇱 Waarom is dit relevant voor NIS2 en de Cyberbeveiligingswet?
Voor organisaties onder NIS2 en de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is, vallen toegangsbeheer, MFA en back-up onder de verplichte zorgplicht. In de praktijk vragen auditors naar het beheer van bevoorrechte accounts, gescheiden OT-identiteiten en een getest herstelplan voor Active Directory. In IEC 62443-3-3 sluiten de eisen voor identificatie en authenticatie (FR 1) en gebruikscontrole (FR 2) direct aan op een goed ingerichte domain controller. Ook voor Compliance en toegangsbeheer is de DC dus het bewijsstuk: wie mocht wanneer waar inloggen?
❓ Veelgestelde vragen
Wat is het verschil tussen een Domain Controller en Active Directory?
Active Directory is de directorydienst van Microsoft; een domain controller is de server waarop die dienst draait. Een Active Directory-domein bestaat dus uit een of meer domain controllers die dezelfde database onderling repliceren.
Hoeveel domain controllers heeft een domein nodig?
Een domein heeft minimaal twee domain controllers nodig, zodat aanmelden blijft werken bij onderhoud of storing. Ook een klein OT-domein krijgt daarom twee DC’s, bij voorkeur op verschillende hosts of locaties.
Mag een Domain Controller virtueel draaien?
Een domain controller mag virtueel draaien; sinds Windows Server 2012 beschermt VM-GenerationID tegen problemen bij het terugzetten van snapshots. Microsoft adviseert virtuele DC’s wel op hosts te zetten die gescheiden zijn van minder kritieke virtuele machines.
Wat is een Read-Only Domain Controller (RODC)?
Een RODC is een domain controller met een alleen-lezen kopie van de database die standaard geen wachtwoorden opslaat. Een RODC is geschikt voor locaties met zwakke fysieke beveiliging, omdat diefstal van de server niet alle wachtwoord-hashes van het domein prijsgeeft.
Hoort een Domain Controller van het IT-domein in het OT-netwerk?
Een domain controller van het IT-domein hoort niet in het OT-netwerk. De gangbare aanpak is een apart OT-domein met eigen domain controllers in de OT-zone, beheerd via een jump server in de IDMZ.
Wat moet u doen na een compromittering van een Domain Controller?
Na compromittering van een domain controller is het hele forest onbetrouwbaar. Herstel vanaf een bekende goede back-up, reset het krbtgt-wachtwoord twee keer met minstens 10 uur ertussen en reset alle bevoorrechte accounts, zoals beschreven in het incidentresponsplan.
📌 Samengevat
- Een domain controller bewaart de Active Directory-database, authenticeert gebruikers met Kerberos en rolt groepsbeleid uit.
- Er zijn beschrijfbare DC’s, RODC’s, Global Catalogs en FSMO-rolhouders; elk domein heeft er minimaal twee nodig.
- In OT hoort een apart OT-domein met eigen DC’s, beheerd via de IDMZ, zonder uitbreiding van het IT-domein.
- Bescherm DC’s als Tier 0: minimale installatie, aparte beheeraccounts, snelle patches, monitoring en geteste offline back-ups.
Een Domain Controller is de spil van toegangsbeheer in een Windows-netwerk: wie de DC beheerst, beheerst het domein, en daarom verdient hij in IT- en OT-security de zwaarste bescherming.