Application control met EAMP
App Control for Business (WDAC), van audit naar enforce.
Alleen software die je vertrouwt mag draaien. Dat stopt ransomware en misbruik van ingebouwde Windows-tools (LOLBins) bij de bron. De techniek is er al, in Windows zelf; de kunst is invoeren zonder dat er iets breekt.
Herken je dit?
- App Control staat al maanden in audit-modus, omdat niemand de stap naar enforce durft te zetten.
- Elke software-update vraagt om een policy-aanpassing, en dat schaalt niet.
- Één grote samengevoegde policy is niet meer te overzien of te onderhouden.
- Auditors of toezichthouders vragen om application allowlisting, maar het plan ontbreekt.
Wat je krijgt
- Een policy-architectuur die software-updates overleeft
- Een gefaseerd plan van audit naar enforce
- Ondertekende policies, blocklists voor drivers en LOLBins, en managed installer
- Optioneel: EAMP om het dagelijks beheer eenvoudig te houden
- App Control for Business
- EAMP
- MSIX
- App Attach
- Azure Artifact Signing
- Microsoft Intune
Application control met EAMP
Zo pakken we het aan
Inventariseren
Welke software draait er, wie heeft hem ondertekend, en hoe komt hij op het apparaat?
Ontwerpen
Base- en supplemental policies naast elkaar, op publisher-niveau waar het kan, zodat updates gewoon blijven werken.
Simuleren
Audit-modus en simulatie: vooraf zien wat er geblokkeerd zou worden, en waarom.
Afdwingen
Ondertekende policies gefaseerd naar enforce, met een begeleide weg terug als dat nodig is.
Veelgestelde vragen
Wat is het verschil tussen App Control for Business en WDAC?
Het is hetzelfde: Microsoft heeft Windows Defender Application Control (WDAC) hernoemd naar App Control for Business. Het zit in Windows zelf en controleert welke code mag draaien, tot in de kernel.
Breken updates de policy niet steeds?
Niet als de policies goed zijn opgezet. Met regels op publisher-niveau en aparte supplemental policies per applicatie blijven updates van dezelfde leverancier gewoon werken, zonder dat je de policy hoeft aan te passen.
Is AppLocker niet genoeg?
AppLocker is ouder, makkelijker te omzeilen en wordt door Microsoft niet meer doorontwikkeld. App Control for Business is de aanbevolen opvolger en beschermt ook drivers en scripts.
Moeten we EAMP afnemen om App Control in te voeren?
Nee. We voeren App Control in met de standaard Microsoft-middelen en Intune. EAMP is een optie als je het beheer eenvoudiger wilt maken: policies samenstellen, simuleren, ondertekenen en uitrollen vanuit één portal.
Hoe zit het met ondertekende policies?
Ondertekende policies kunnen niet zomaar worden verwijderd, ook niet door een beheerder met lokale rechten. Dat maakt ze sterk, maar vraagt om een zorgvuldig proces, juist ook om ze later veilig te kunnen wijzigen of verwijderen.
Begin met een intake van 20 minuten.
We bespreken je situatie en zeggen eerlijk of en hoe we kunnen helpen, ook als het antwoord ‘dit heb je niet nodig’ is. Je hoort binnen twee werkdagen van ons.