Onze website bevat functionele en analytische cookies die nodig zijn om de website goed te laten functioneren
en jou als bezoeker een goede webervaring te geven. Deze statistieken worden volledig anoniem verwerkt. Meer
informatie is beschikbaar in onze privacyverklaring.
Laten we beginnen met een korte uitleg van het concept Infrastructure-as-Code (IaC). Zoals de naam al doet vermoeden, is IaC een proces van het beheren van infrastructuur door het in de code te beschrijven. Dit betekent dat je bijvoorbeeld in plaats van de Azure website te gebruiken en op knoppen te klikken om een virtuele machine uit te rollen, de eigenschappen van de virtuele machine in code beschrijft en deze uitvoert met een IaC-tool. Klinkt als meer werk dan het gebruik van een simpele knop? Nou ja, in eerste instantie wel. Het levert in het begin wat meer werk op, maar de voordelen op de lange termijn zijn zeker zichtbaar met meerdere omgevingen.
De voordelen van Infrastructure-as-Code
Stel je voor dat je meerdere virtuele machines, drie opslagaccounts en een virtueel netwerk moet implementeren. Vervolgens moet je de netwerkkoppelingen op dat netwerk configureren en schijven formatteren. "Slechts één klik" in de gebruikersinterface wordt urenlang klikken en het invullen van alle formulieren en eigenschappen.
Stel je nu voor dat er tegen het einde iets mis is gegaan en dat je helemaal opnieuw moet beginnen. Met het IaC-model kun je code schrijven om alle infrastructuurcomponenten te beschrijven en vervolgens de implementatie overlaten aan Terraform, Bicep of ARM. Mocht er in dit geval aan het einde iets misgaan, kun je een paar regels code wijzigen om het probleem op te lossen en de code opnieuw uit te voeren.
Een ander voordeel is de mogelijkheid om een broncodeversiesysteem zoals Azure DevOps of Github te gebruiken om je code op te slaan. Hierdoor heb je gelijk versiebeheer en dat maakt het mogelijk om eenvoudig alle wijzigingen in de infrastructuur te zien en beschikbaar te maken voor alle teamleden.
Welke taal gebruik je?
Wanneer je gebruik gaat maken van IaC, moet je nog een aantal keuzes maken. Hierbij is de belangrijkste keuze: welke taal ga je gebruiken? In principe heb je hierbij keuze uit drie talen.
ARM template (Json)
Bicep
Terraform
De drie talen maken allemaal gebruik van de Azure Resource Manager. Deze zorgt ervoor dat de code omgezet wordt naar resource die moet worden aangemaakt. Voor elke taal heb ik een voorbeeld gemaakt voor het aanmaken van een resource group binnen Azure, zodat er een goed verschil is te zien tussen de verschillende talen.
ARM Template
ARM templates was de enige manier om op basis van IaC resources in Azure aan te maken. Dit is ook de standaard ‘taal’ die de Azure Resource Manager gebruikt.
Voor het aanmaken van een resource group is de volgende code nodig:
Bicep is een taal die door Microsoft is ontwikkeld als vervanger van de ARM templates. Het voordeel van deze taal is dat het beter leesbaar is en dat je minder regels nodig hebt om hetzelfde te bereiken. Het nadeel van Bicep is, net zoals ARM templates, dat het alleen te gebruiken is op het Azure platform. Zoals aangegeven heb je voor dezelfde handeling, het aanmaken van een resource group, minder code nodig.
Terraform is een taal die is ontwikkeld door het bedrijf Terracorp. Deze taal is te gebruiken voor alle cloud platforms, Google, AWS en Azure. Hierdoor is het een taal die veel gebruikt wordt door ontwikkelaars in de open-source community en bedrijven met een multi cloud omgeving. Net zoals Bicep maakt Terraform gebruik van de Azure Resource Manager voor het aan maken van de resources. Doordat Terraform voor meerdere cloud omgevingen gebruikt kan worden, moet je hierbij aangeven dat je de Azure Resource Manager wil gebruiken. Voor het aanmaken van een resource group kan je de volgende code gebruiken:
Door de opkomst van Bicep en Terraform wordt het eenvoudiger om resources op een eenduidige manier aan te maken. Doordat beide talen goed leesbaar zijn, heb je ook documentatie van de omgeving en in combinatie met Azure DevOps of Github een stukje geschiedenis voor wat betreft de wijzigingen.
Hier is niet echt een eenduidig antwoord op te geven en heeft heel erg te maken met welke cloud provider je gebruikt en de samenstelling van een team.
Wanneer je alleen gebruik maakt van Microsoft Azure, kan je het beste werken met Bicep omdat deze taal ontwikkeld is voor Microsoft Azure.
Mocht je in de omgeving gebruik maken van verschillende Cloud-omgevingen, bijvoorbeeld AWS en Azure, dan is het advies om juist Terraform te gebruiken omdat je dan met dezelfde taal beide omgevingen kan beheren.
Op dit moment maak ik het liefst gebruik van Terraform, omdat je hiermee de verschillende cloud-omgevingen kunt beheren met één taal. Daarbij is het sinds een paar maanden zo dat alle nieuwe resources ook met Terraform gelijk zijn aan te maken of te configureren.
In mijn volgende blog ga ik verder in op het gebruik van Terraform.
Meer weten?
Mocht je meer willen weten over Infrastructure as Code of hulp kunnen gebruiken bij het inrichten ervan, neem dan contact met ons op. We helpen graag!
We proberen onze omgevingen zo veilig mogelijk te maken, zonder dat het onwerkbaar wordt voor de gebruikers. De balans hierin vinden is de grote uitdaging: hoe hou je het gebruikersvriendelijk, zonder dat het onveilig wordt? In deze blog zoomen we in op Multi-Factor Authenticatie, en de ontwikkelingen hierin om onze omgeving nóg veiliger te maken.
Wat is Multi-Factor Authenticatie (MFA)?
Zoals de naam al aangeeft, is Multi-factor Authenticatie een extra verificatiemethode om aan te tonen dat jij echt degene bent die inlogt. De eerste factor is meestal een wachtwoord, en de tweede factor een code via SMS of notificatie van een Authenticator App.
Afbeelding 1. Diverse verificatiemethodes
Wat is MFA-vermoeidheid?
Wanneer je te vaak gevraagd wordt om MFA, loop je het risico dat je er minder bewust mee omgaat, en dus notificaties bevestigd terwijl jij zelf geen inlogpoging deed. Dit wordt steeds meer gebruikt door kwaadwillenden. Ze sturen zoveel pushnotificaties naar je Authenticator App, in de hoop dat jij één keer per ongeluk bevestigt. Zodra er maar 1x per ongeluk bevestigd wordt, zit de aanvaller in je omgeving. Dit concept wordt MFA-Vermoeidheid, of MFA Fatigue genoemd.
Wat kan je er tegen doen?
Er zijn verschillende opties beschikbaar om het risico te verkleinen of geheel weg te nemen. Hieronder de belangrijkste mogelijkheden:
Bewustwording creëren bij de eindgebruikers door middel van een nieuwsbericht.
Alternatieve methodes aanbieden zoals een FIDO2 Security key.
Conditional access inrichten om inlogpogingen uit specifieke landen te blokkeren.
Microsoft Authenticator number matching inschakelen.
Microsoft Authenticator en andere verificatie opties.
Microsoft zit niet stil om het fenomeen MFA-vermoeidheid aan te pakken. Gebruikers van Microsoft Authenticator kunnen vanaf 27 februari 2023 niet meer MFA-prompts bevestigen met 1 klik op de knop. Ze moeten daarentegen een getal overnemen dat in de browser weergegeven wordt. Hierdoor is het nagenoeg onmogelijk om per ongeluk toegang te verlenen. Naast het zogenaamde number matching, kan er ook extra context weergegeven worden zoals de locatie van de inlogpoging en de naam van de applicatie waarop wordt ingelogd. In de afbeeldingen hieronder zie je de huidige situatie (links) en de toekomstige situatie (rechts).
Afbeelding 2. links de huidige situatie inloggen en rechts de toekomstige situatie inloggen
Afbeelding 3. Extra context bij inloggen
Vooruitlopend op de aankondiging van Microsoft, kan de functionaliteit nu al ingeschakeld worden in je huidige omgeving. Dit is meteen een mooie voorbereiding om je huidige MFA en Self Service Password Reset (SSPR) verificatiemethodes onder de loep te nemen, en eventueel al (gedeeltelijk) te migreren naar het nieuwe beleid voor verificatiemethoden die vanaf 2024 standaard zal zijn.
Afbeelding 4. Nieuw beleid voor verificatiemethodes
Tot slot
Zoals je ziet staan de ontwikkelingen niet stil, en zijn er legio aan mogelijkheden om je omgeving veiliger te maken. Mocht je meer willen weten over MFA, SSPR of Conditional Access of hulp kunnen gebruiken bij het inrichten ervan, neem dan contact met ons op. We helpen graag!
Heb je weleens de behoefte gehad om iets uit te proberen in Microsoft Azure? Of ben je simpelweg nieuw in de Cloud oplossing van Microsoft en wil je een kijkje nemen achter de schermen? Dan is dat goed mogelijk met een Azure free account waarvoor jij, zoals de term free al weggeeft, je gratis kunt aanmelden voor het gebruik van Azure.
Eerst even in het kort wat Microsoft Azure is: het is het cloudcomputingplatform van Microsoft waar een aantal diensten over het Internet wordt aangeboden. Het Internet wordt hierin vaak aangeduid als de Cloud. Bij diensten kun je o.a. denken aan virtuele machines, webapplicaties, digitale beveiliging, opslag en werkstromen. Een Azure free account is in feite een abonnement op Azure. Aan dit abonnement zitten wel bepaalde voorwaarden verbonden (anders gesteld zitten er enige beperkingen aan, maar dat klinkt zo negatief). Op deze voorwaarden wordt later in de blog op ingegaan.
Nieuwsgierig geworden? Lees gerust verder. Heb je geen zin in het lezen van een lap tekst en wil je gelijk overgaan tot actie en je dus aanmelden voor een Azure free account? Bekijk dan het kopje Stappen om je aan te melden
Wat is er nodig voor een Azure free account?
Om je te kunnen aanmelden voor een Azure free account heb je het volgende nodig:
Microsoft-account: dit is een gebruikersaccount waarmee op verschillende diensten van Microsoft kan worden aangemeld.
Dit kan een bestaande zijn (A) of je kunt direct een Microsoft-account aan maken (B)
Figuur 1. Maak een Microsoft-account
Creditcard. Dit wordt door Microsoft enkel gebruikt om de identiteit te verifiëren.
Wat krijg je met een Azure free account?
Zoals bij de inleiding vermeld, zitten er wat voorwaarden aan een Azure free account. Ik zal deze hieronder beschrijven.
Bij het registeren voor een Azure free account krijg je $200,- tegoed die je de eerste 30 dagen kunt besteden in Azure, daarna vervalt dit tegoed. Een aantal voorbeelden waarbij je de tegoed kunt inzetten zijn:
Azure App service Dit is een webapplicatie hosting service van Microsoft in Azure. Hier kun je dus o.a. websites huisvesten.
Azure Virtual Machines Dit zijn schaalbare, on-demand virtuele computers die aanpasbaar zijn aan de behoefte en/of gebruik.
Azure Logic Apps Dit is een PaaS oplossing van Microsoft waar je geautomatiseerde werkstromen in kunt maken.
Dit zijn slechts een paar mogelijkheden. Azure biedt veel meer dan ik hier in dit blog kan beschrijven. Om meer te weten en te zien wat de mogelijkheden zijn, kun je de informatie hierover lezen op op Microsoft Learn.
Verder biedt een Azure free account een aantal diensten die gedurende 12 maanden gratis te gebruiken. Naast dat het een aantal diensten biedt die voor altijd gratis te gebruiken zijn. Let wel: ‘Gratis’ in deze heeft vaak een beperking in de hoeveelheid transacties/handelingen er gedaan mag worden of een beperking in de opslag/grootte van een bepaalde dienst.
Hieronder een korte blik op een aantal gratis services.
Je wordt nu omgeleid naar het inlogscherm van Microsoft.
3. Log in met een Microsoft-account.
Het aanmaken van een Microsoft-account is buiten bereik van deze blog, meer informatie hoe een Microsoft-account te maken kun je hier vinden.
4. Vul de volgende gegevens in, optionele gegevens achterwege gelaten:
Country / Region – Land / Regio
First name – Voornaam
Last name – Achternaam
Email address – E-mailadres
Phone – Telefoonnummer
Address line 1 – Adres
City – Stad
State – Provincie
Postal Code – Postcode
5. Ga akkoord met de Customer agreement en Privacy agreement.
Figuur 3. Customer agreement en Privacy agreement.
6. Klik op de knop Next.
7. Vul jouw creditcard gegevens in.
Wederom, deze gegevens worden enkel gebruikt om jouw identiteit te verifiëren
Figuur 4. Vul jouw creditcard gegevens ter verificatie.
Een scherm wordt nu geladen waarin de identiteit wordt gecontroleerd en vervolgens wordt het account gereed gemaakt.
8. Je bent nu klaar. De pagina met de volgende tekst wordt getoond:
Figuur 5. Je bent nu klaar.
Klik op de knop Go to the Azure portal om het Azure avontuur te beginnen!
Je eerste stappen binnen Azure
Hieronder zal ik wat stappen en tips benoemen die je kunt nemen aan het begin van het avontuur.
Het aanpassen van het thema binnen de Azure Portal:
Je kunt de Azure Portal meer naar jouw eigen smaak aanpassen door te kiezen tussen de verschillende thema’s. Het default (Azure) thema is toegepast die ziet zoals je kunt zien zo uit
Figuur 6. Zo ziet het default (Azure) thema eruit.
Om het thema aan te passen klik je op het tandwiel, gevolgd door Appearance + startup views
Figuur 7. Portal settings met de Appearance + startup views.
Nu zie je de verschillende thema’s onder Theme, selecteer het gewenste thema en klik vervolgens op Apply. Als voorbeeld heb ik nu gekozen voor het thema Dark en ziet het startscherm van de Azure Portal er nu op deze manier uit:
Figuur 8. Het startschema in thema Dark.
Zoals je waarschijnlijk al hebt kunnen zien in Appearance + startup views kun je ook het gedrag van het menu aanpassen. Je zou ook de taal kunnen aanpassen onder Language + Region. Ik zou zeggen bekijk het om te zien wat voor jou werkt.
Hoe vind je een bepaalde service?
Verder wil ik nog wat tips meegeven zoals hoe men het snelst een bepaalde service vindt. Deze ligt voor de hand maar wil ik toch even benoemen. Het makkelijkste is dan om de bovenstaande zoekbalk binnen het Azure portal te gebruiken.
Hoe blijf je binnen budget?
Het is ook wel handig om de $200,- die je hebt in de gaten te houden. Dit kun je doen onder Cost Management.
Figuur 9. Pagina Cost Management.
Hier kun je bijvoorbeeld Cost alerts instellen. Deze brengen jou dan op de hoogte als een bepaald budget dreigt te overschrijden of hebt bereikt. Dit is afhankelijk voor je keuzes binnen de Cost alerts. Deze werken ook alleen in combinatie met een budget die je kunt instellen onder Budgets.
Hieronder een toelichting hoe je een budget kunt instellen:
1. Navigeer naar Cost Management door het in de zoekbalk in te voeren.
2. Kies aan de linkerkant voor Budgets.
Figuur 10. Kies voor Budgets in het menu.
3. Klik op de knop + Add.
4. De Budget Scoping kun je laten zoals het is.
5. Voer het volgende in onder Budget Details
Name: voer hier een gewenste naam in
Reset period: in dit geval kan je het op ‘monthly’ laten
Creation date: huidig jaar + huidige maand + huidige dag
Expiration date: volgend jaar + huidige maand + huidige dag
6. Bij Budget Amount geef je een waarde van 200 op.
7. Klik op de knop Next.
8. Je bevindt je in het scherm waar je een Alert kunt instellen, voer hier het volgende in
Type: Actual
% op budget: 95
9. Voer onder Alert recipients (email) een e-mailadres in waar je wilt dat de alert op ontvangen wordt.
10. Kies je gewenste taal onder Language preference.
Wat is Microsoft Defender for Endpoint nou precies, waar past het binnen het grotere plaatje van Microsoft 365 Defender en wat kan je er allemaal mee? Laatst heb ik hier een presentatie over gegeven tijdens ons evenement ShareVision, maar graag vertel ik het nogmaals in deze blog.
Wat is Microsoft Defender for Endpoint?
Een Endpoint is eigenlijk het apparaat waar jij de gegevens op benadert. Dat kan je laptop zijn, je telefoon, eigenlijk alles waarop je internetverbinding hebt en je bezig bent met bedrijfsdata.
Vaak denken mensen “ik heb toch al Microsoft Defender? Zo heet mijn virusscanner!”. Dat klopt, maar Microsoft Defender for Endpoint is nog een extra laag daar bovenop. Naast de standaardsignalen die een virusscanner oppakt, zijn er nog veel meer verdiepingsslagen die je kan doen. Hier komt Defender voor Endpoint naar voren. Zo werkt Defender voor Endpoint bijvoorbeeld preventief: het voorkomt dat je apparaat geïnfecteerd wordt door een virus, in plaats van reageren wanneer het virus of kwaadwillend bestand al aanwezig is.
Defender voor Endpoint is opgebouwd uit verschillende onderdelen:
De verschillende onderdelen van Microsoft Defender
Bedreigings- en risicobeheer (Threat & Vulnerability Management): wat zijn de huidige bedreigingen op de markt en hoe zorg ik ervoor dat de risico’s zo klein mogelijk blijven?
Kwetsbaarheid voor aanvallen verminderen (Attack surface reduction): door middel van mitigerende technieken voorkomen dat een virus of exploit een ingang kan vinden of worden uitgevoerd.
Beveiliging van de next-generation (Next-generation protection): een tot nu toe onbekende bedreiging wordt gesignaleerd en daar wordt actie op ondernomen.
Endpoint detectie en response: kijkt meer naar de big picture. Als bijvoorbeeld één laptop een virus heeft, dan wordt die geclassificeerd als ‘high risk laptop’. Je kunt een access rule instellen dat laptops die zijn geclassificeerd als high risk, geen toegang hebben tot de bedrijfsdata.
Geautomatiseerd onderzoek en herstel (Automated investigation and remediation): bepaalde regels instellen om minder geavanceerde gevaren te voorkomen en genezen. Hier is dan geen security-expert voor nodig om dit handmatig te doen; dat doet het systeem voor je.
Microsoft Threat experts: voor als je het niet zeker weet, kan je altijd experts online inschakelen die je dan kunnen helpen bij je (mogelijke) infectie.
Plaats binnen Microsoft 365 Defender Suite
Bij Defender voor Endpoint kijk je dus voornamelijk naar de apparaten binnen je organisatie. Maar er zijn nog meer producten binnen Microsoft 365 Defender. Laten we het daar ook even over hebben.
Microsoft Defender for Office 365: als je een Microsoft 365 – licentie hebt, neem je dit eigenlijk al af. In combinatie met Exchange Online Protection heb je dan al een heel sterk beveiligingspakket wat zich bezighoudt met alle Office-programma’s als Word, PowerPoint, Excel (waar nog wel eens bijzondere macro’s inzitten). Exchange Online Protection houdt zich voornamelijk bezig met mails waar bijvoorbeeld bijlages in zitten. Hiermee heb je dus al best veel afgevangen.
Azure AD Identity Protection houdt zicht vooral bezig met Azure AD. En dan heb je ook nog Microsoft Defender for Identity. Deze twee lijken erg op elkaar, maar de laatste houdt zich vooral bezig met de On-Prem Active Directory en AD FS. Deze gaan dus eigenlijk hand in hand, maar de een zit voornamelijk in de cloud, waar de ander echt On-Prem actief is.
De Microsoft Defender Suite
Alle signalen samen, van die verschillende pakketten, kan je terugvinden in de Defenderportal. Die portal laat ik aan het eind van deze blog even zien in een video.
Defender in actie
Een casus ter voorbeeld!
Stel: er komt een mailtje binnen met een bijlage die niet pluis is. Als die bijlage bekend is en het echt niet de bedoeling is dat deze bijlage geopend wordt, is daar Exchange Online Protection die dat oppakt.
Wordt het niet opgepakt en wordt de malware geïnstalleerd (of geprobeerd), dan komt Defender for Endpoint om de hoek kijken en onderneemt de actie. Heb je dat pakket niet of gebeurt er iets anders waardoor het niet wordt opgepakt? Dan komen de andere pakketten in actie. Is het bijvoorbeeld een fishing-praktijk en komt de aanvaller aan de gegevens van de gebruiker, zoals gebruikersnaam en wachtwoord, dan komt Defender for Identity om de hoek kijken. Die ziet bijvoorbeeld dat je vijf minuten geleden nog aan je bureau zat in Amsterdam en nu ineens in Sint Petersburg. Dat is raar, een ‘impossible travel’, dus log maar even in met een two-factor-authentication. Verifieer maar even dat jij het echt bent.
Microsoft Cloud App Security houdt zich meer bezig met signaleren dan met echt in actie komen. Als je ineens veel meer data verbruikt dan eerst bijvoorbeeld: dan geeft het aan ‘dit is niet gebruikelijk! Hier moet iemand van Security naar kijken!’
Licenties
Er zijn twee plannen voor Microsoft Defender for Endpoint: plan 1 en plan 2. Als je Microsoft 365 E3 hebt, heb je al Plan 1. Als je E5 hebt, heb je plan 2. Wat is nou het verschil?
Plan 1:
Microsoft Defender for Endpoint plan 1
Bij plan 1 heb je voornamelijk de Attack Surface Reduction (voorkomt dat dingen gebeuren) en de Next Generation Protection.
Plan 2:
Microsoft Defender for Endpoint plan 2
Hier heb je meer inzichten. Geautomatiseerde reacties. En je kunt de Threat Experts inschakelen (dat kan bij Plan 1 ook, maar daar zal je dan een aparte Add-on licentie voor moeten afnemen ).
Meer weten over licenties en hoe ShareValue je daarbij kan helpen? Neem dan vooral eens contact op!
De Microsoft 365 Defender Portal
In onderstaande video geef ik een korte demo van de Microsoft 365 Defender Portal.
Mocht je nou nog vragen hebben over Microsoft 365 Defender for Endpoint en hoe je dit in kunt zetten bij jouw organisatie: laat het ons weten! Ik denk graag met je mee.
Barry
/
28-03-2023
Koos
/
23-01-2023
Manuel
/
08-12-2022
