Group Policy

Wat is Group Policy?

Group Policy (groepsbeleid) is het mechanisme in Windows en Active Directory waarmee beheerders instellingen en beveiligingsregels centraal vastleggen in Group Policy Objects (GPO’s) en automatisch afdwingen op alle computers en gebruikers in een domein. Eén wijziging op een domain controller belandt zo binnen enkele uren op honderden werkstations en servers, zonder dat iemand elke machine hoeft aan te raken. In OT-omgevingen is Group Policy het belangrijkste middel om engineering stations, HMI-clients, historians en SCADA-servers uniform en gehard te houden.

🧠 Hoe werkt Group Policy?

Group Policy bestaat sinds Windows 2000 en draait op elke Windows-machine die lid is van een domein. Een GPO bestaat uit twee delen: een object in Active Directory (de Group Policy Container) met versie- en koppelgegevens, en een map in de gedeelde SYSVOL-map op de domain controllers (de Group Policy Template) met de eigenlijke instellingen, scripts en sjablonen.

Het proces verloopt in vier stappen:

1. Aanmaken - een beheerder maakt een GPO in de Group Policy Management Console (GPMC) en vult computer- en/of gebruikersinstellingen in.
2. Koppelen - de GPO wordt gelinkt aan een site, het domein of een OU (Organizational Unit). Alleen computers en gebruikers in die container (en de onderliggende OU’s) vallen eronder.
3. Ophalen - de Group Policy Client op de machine vraagt via LDAP welke GPO’s van toepassing zijn en haalt de bestanden via SMB op uit SYSVOL. Kerberos zorgt voor de authenticatie richting de domain controller.
4. Toepassen - client-side extensions (CSE’s) voeren elk hun deel uit: registerinstellingen, beveiligingsinstellingen, scripts, software-installatie, firewallregels en meer.

Computerbeleid wordt toegepast bij het opstarten, gebruikersbeleid bij het aanmelden. Daarna ververst Windows het beleid op de achtergrond, standaard elke 90 minuten plus een willekeurige vertraging van maximaal 30 minuten; domain controllers controleren elke 5 minuten. Met gpupdate /force dwingt u een directe verversing af.

🔄 In welke volgorde worden GPO’s toegepast?

Wanneer meerdere GPO’s dezelfde instelling raken, bepaalt de verwerkingsvolgorde wie wint. Die volgorde heet in de praktijk LSDOU:

Later toegepast beleid overschrijft eerder beleid, dus de OU die het dichtst bij het object ligt wint. Twee mechanismen doorbreken die regel:

• Enforced - een eigenschap van een GPO-koppeling: lagere niveaus kunnen deze instellingen niet overschrijven. Handig voor een verplichte beveiligingsbasislijn.
• Block Inheritance - een eigenschap van een OU: beleid van hogere niveaus wordt niet geërfd, behalve als dat beleid Enforced is.

Daarnaast verfijnt u het bereik met security filtering (alleen voor bepaalde groepen of computers) en WMI-filters (bijvoorbeeld alleen op Windows Server 2022). Voor kiosk- en operatorstations is loopback processing nuttig: dan geldt het gebruikersbeleid van de computer, ongeacht wie zich aanmeldt.

🔧 Welke instellingen beheert u met Group Policy?

Een actuele Windows-versie kent duizenden Group Policy-instellingen, vastgelegd in ADMX-sjablonen. De belangrijkste categorieën voor beveiliging:

• Account- en wachtwoordbeleid - lengte, complexiteit en vergrendeling. Voor domeinaccounts geldt alleen het wachtwoordbeleid uit een GPO op domeinniveau (afwijkingen per groep regelt u met fine-grained password policies).
• User Rights Assignment - wie mag lokaal of via RDP aanmelden, wie mag als dienst draaien; de basis van least privilege en RBAC.
• Audit policy - welke gebeurtenissen Windows logt, als input voor logging en SIEM.
• Windows Defender Firewall - inkomende en uitgaande regels per profiel.
• Apparaat- en applicatiebeheer - blokkeren van USB-opslag (USB Control) en application whitelisting met AppLocker of App Control for Business.
• Windows Update - updates laten lopen via een eigen WSUS-server en automatische herstarts voorkomen, zodat patchmanagement gecontroleerd verloopt.
• Group Policy Preferences - sinds Windows Server 2008: schijfkoppelingen, geplande taken, lokale groepen en registersleutels.
• Windows LAPS - sinds de update van 11 april 2023 ingebouwd in Windows: roteert per machine het lokale beheerderswachtwoord en slaat dat op in Active Directory.

🏭 Hoe zet u Group Policy in OT-netwerken in?

In industriële omgevingen draaien veel Windows-systemen op Purdue-niveau 2 en 3. Group Policy houdt die consistent:

• Engineering stations - vaste instellingen, versleuteling, geen lokale beheerrechten voor dagelijkse gebruikers.
• HMI’s en operatorstations - via loopback een vergrendelde desktop, automatisch aanmelden met een beperkt account, geen toegang tot instellingen, opdrachtprompt of PowerShell.
• Logging - doorsturen van Windows-events naar een centrale collector of Syslog-/SIEM-omgeving.
• Firewall-basis - lokale firewallregels die alleen de benodigde protocollen toestaan, als extra laag naast netwerksegmentatie.

Een veelgebruikte architectuur is een apart OT-domein met eigen domain controllers binnen de OT-zone, los van het kantoor-AD. Een gecompromitteerd IT-domein kan dan geen beleid naar de fabrieksvloer pushen. Toegang van beheerders loopt via een jump server in de IDMZ.

Let op leveranciersafhankelijkheden: niet elke instelling uit een standaard basislijn is goedgekeurd voor een DCS- of SCADA-pakket. Een bekend voorbeeld is de DCOM-hardening van Microsoft (CVE-2021-26414), die op 14 maart 2023 definitief werd afgedwongen en bij slecht voorbereide installaties OPC Classic-verbindingen verbrak.

🧭 Hoe richt u Group Policy stap voor stap in voor OT?

1. Inventariseer alle Windows-systemen, hun rol en de door de leverancier goedgekeurde configuratie.
2. Ontwerp een OU-structuur per rol (engineering, HMI, servers) en eventueel per productielijn, zodat u gericht kunt koppelen.
3. Start met een basislijn zoals de Microsoft security baselines of de CIS Benchmarks, en markeer afwijkingen die de leverancier vereist.
4. Test elke nieuwe GPO eerst op een representatief testsysteem of een test-OU; vergelijk sets met Policy Analyzer uit de Microsoft Security Compliance Toolkit.
5. Voer gecontroleerd door via change management, bij voorkeur in een onderhoudsvenster, en verifieer met gpresult /h rapport.html.
6. Bewaak wijzigingen door audit-events op GPO-wijzigingen naar de SIEM te sturen en GPO-back-ups te bewaren.

Losse machines zonder domein, zoals een geïsoleerde HMI, krijgen dezelfde basislijn met het hulpmiddel LGPO.exe, dat lokaal beleid importeert en exporteert.

🔐 Welke beveiligingsrisico’s kent Group Policy?

Wie Group Policy beheert, beheert elke machine in het domein. Dat maakt het mechanisme ook aantrekkelijk voor aanvallers:

Aanvallers die living off the land werken, gebruiken juist legitieme beheertools zoals Group Policy, omdat die minder opvallen dan malware.

🔍 Wat is het verschil tussen Group Policy en MDM?

Voor OT blijft Group Policy daardoor voorlopig de norm, terwijl kantoorwerkplekken steeds vaker naar MDM verhuizen.

📜 Hoe helpt Group Policy bij compliance?

Goed beheerde GPO’s leveren aantoonbaar bewijs voor compliance. In IEC 62443 sluiten ze aan op eisen voor identificatie en authenticatie, gebruiksbeheer en auditlogging; in ISO 27001 op beheersmaatregelen voor configuratiebeheer en toegangsbeveiliging. Onder NIS2 en de Nederlandse Cyberbeveiligingswet moeten essentiële en belangrijke entiteiten passende maatregelen nemen voor onder meer toegangsbeheer en basale cyberhygiëne; een gedocumenteerde GPO-basislijn met gpresult-rapporten en een audittrail is daarvoor een concreet bewijsstuk.

❓ Veelgestelde vragen

Wat is een GPO?

Een GPO (Group Policy Object) is een verzameling Windows-instellingen die als één object in Active Directory wordt opgeslagen en aan een site, domein of OU wordt gekoppeld. Elke computer of gebruiker binnen die container past de instellingen uit de GPO automatisch toe.

Hoe vaak wordt Group Policy ververst?

Group Policy wordt toegepast bij opstarten en aanmelden en daarna standaard elke 90 minuten ververst, met een willekeurige vertraging van maximaal 30 minuten. Domain controllers verversen hun computerbeleid elke 5 minuten; met gpupdate /force past u alles direct opnieuw toe.

Werkt Group Policy zonder Active Directory?

Zonder Active Directory heeft elke Windows-machine alleen haar eigen lokale groepsbeleid, te bewerken met gpedit.msc. Met het Microsoft-hulpmiddel LGPO.exe kunt u een basislijn ook op losse OT-systemen zonder domein consistent toepassen.

Hoe controleert u welke GPO’s op een machine actief zijn?

Met gpresult /r ziet u welke GPO’s op een machine zijn toegepast of gefilterd, en gpresult /h rapport.html maakt een volledig HTML-rapport. In de Group Policy Management Console toont Group Policy Results hetzelfde op afstand.

Moet een OT-netwerk een eigen Active Directory-domein hebben?

Een apart OT-domein met eigen domain controllers is een veelgebruikte aanbeveling, omdat een aanvaller met beheerrechten in het IT-domein dan geen Group Policy naar OT-systemen kan pushen. Het vergt wel eigen beheer, patching en back-ups van die domain controllers.

Vervangt Intune Group Policy?

Intune vervangt Group Policy voor cloudbeheerde werkplekken, maar niet voor OT-systemen zonder internetverbinding. In industriële netwerken blijft on-premises Group Policy daarom het standaardmiddel voor Windows-hardening.

📌 Samengevat

Group Policy is het centrale mechanisme om Windows-instellingen via GPO’s domeinbreed af te dwingen, en daarmee de ruggengraat van Windows-hardening in zowel IT als OT. Met een doordachte OU-structuur, een geteste basislijn, een apart OT-domein en strikte controle op wie GPO’s mag wijzigen, verhoogt u de weerbaarheid van OT-systemen tegen fouten en aanvallen.