Jordy HerberIn het Microsoft Digital Defense Report 2025 staat één pagina die je als securityprofessional eigenlijk moet uitprinten, inlijsten, en vervolgens aan elke IT-manager, CISO, architect en beleidsmaker moet geven: pagina 7.
Waarom?
Omdat hier de Tien Kernmaatregelen staan die Microsoft aanbeveelt voor elke organisatie — van klein mkb tot multinationale enterprise. Geen hype, geen marketing, geen productverkoop: pure risico-reductie, gebaseerd op honderd biljoen dagelijkse securitysignalen (p6) en geaggregeerde incidentdata uit duizenden breaches wereldwijd.
Maar… wat betekenen die tien stappen nou in de praktijk?
Welke zijn kritisch? Welke zijn onderschat?
En hoe pas je dit toe op Microsoft 365, Azure, identity, endpoints, data en cloud workloads?
In deze blog ontleden we ze één-voor-één.
🧱 De Top 10 Aanbevelingen uit het MDDR — volledig geduid
(Pagina 7, Microsoft Digital Defense Report 2025)
Laten we beginnen met de volledige lijst. Microsoft noemt:
- Protect Identities as the First Line of Defense
- Mandate Strong Multi-Factor Authentication (MFA)
- Secure Privileged Access
- Discover and Protect Cloud Assets
- Prepare for Ransomware Attacks
- Mitigate Vulnerabilities Quickly
- Implement Strong Data Governance
- Protect Operational Technology (OT)
- Adopt AI-Safe Practices
- Plan for Quantum-Safe Cryptography
Iedere maatregel is kort geformuleerd, maar achter elke regel gaat een wereld van implicaties schuil. Hieronder pakken we ze gefaseerd uit — met praktijkvoorbeelden, risico’s, veelgemaakte fouten en Microsoft-securitymapping.
🔐 1. Protect Identities as the First Line of Defense
Waarom dit de #1 aanbeveling is
Het MDDR is glashelder: identiteit is het nieuwe slagveld.
De cijfers uit het rapport (p16–18) spreken voor zich:
- 97% van identity-attacks zijn password spray of brute force.
- De groei van identity threats is +32% in één jaar.
- Workload identities worden steeds vaker misbruikt voor supply-chain aanvallen (p17).
Aanvallers breken niet langer in — ze loggen in.
Veelgemaakte fouten
- Te veel reliance op wachtwoorden
- Geen governance over app registrations
- Guest users zonder expiratiedatum
- Workload identities zonder CA / restrictions
- Too-permissive Service Principals (classic app model)
Wat organisaties wél moeten doen
- Introduceer risk-based access als standaard
- Beperk device join/re-registering (veel abuse, p17)
- Monitor workload identity anomalies (Defender for Cloud Apps)
- Reduce blast radius door role-minimizing
Microsoft Product Mapping
- Entra ID Protection → risk scoring
- Entra Conditional Access → risk-based enforcement
- Defender XDR Identity → token theft / anomalous sign-in detection
- Sentinel UEBA → afwijkend gedrag
🔑 2. Mandate Strong Multi-Factor Authentication (MFA)
Waarom MFA nog steeds dé baseline is
Het rapport herhaalt dit jaar nóg harder dan voorheen (p16): MFA blokkeert meer dan 99% van alle geautomatiseerde identity-attacks.
Maar wereldwijd heeft slechts een derde van alle tenants volledige MFA-coverage.
Dat betekent dat identity-aanvallen nóg rendabeler worden voor aanvallers.
Wat hoort onder “Strong MFA”?
Niet alle MFA is gelijk. Slechte keuzes:
- SMS-codes
- E-mailcodes
- Mobile push zonder nummermatching
Sterke keuzes:
- Authenticator app met nummermatching
- FIDO2 keys
- Certificate-based authentication
- Passkeys
Veelgemaakte fouten
- MFA voor admins maar niet voor service accounts
- MFA optioneel maken
- MFA bypass rules in Conditional Access
- “Trusted locations” te ruim definiëren
Mapping
- Entra ID → MFA Policies
- Entra ID → Authentication Strengths
- Conditional Access → Require MFA
👑 3. Secure Privileged Access
Waarom privileged access nog steeds de #1 breach factor is
In bijna elk incident dat Microsoft onderzocht in 2023–2025 werd privilege escalatie ontdekt. Soms binnen minuten (p12), soms na lange dwell-time.
Privileged accounts zijn:
- sneller te misbruiken
- moeilijker te detecteren
- aantrekkelijker voor ransomware-operators
- permanente springplanken
Veelgemaakte fouten
- Admin accounts gebruiken voor dagelijks werk
- Te veel Global Admins (vaak 20–50x meer dan nodig)
- Service accounts met permanente GA-toegang
- Geen Privileged Identity Management (PIM)
Best Practices
- GA’s terugbrengen naar 2–4
- Altijd Just-In-Time (JIT) roles via PIM
- Geen externe identiteiten in admin-rollen
- Admin accounts niet mail-enabled
- Admin Workstations (PAWs) verplicht
Mapping
- Entra ID → Privileged Identity Management (PIM)
- Defender XDR Identity → privilege abuse
- Sentinel UEBA → privilege anomalies
- Intune → secure admin workstations
☁️ 4. Discover and Protect Cloud Assets
De meest onderschatte oorzaak van breaches
Het MDDR benoemt dat cloud-workload-attacks met 87% zijn gestegen (p41).
Cloud-assets omvatten:
- VMs
- Storage accounts
- Databases
- Container workloads
- API-endpoints
- Workload identities
Veel organisaties weten niet eens hoeveel cloud-assets ze hebben — laat staan of ze veilig zijn.
Veelgemaakte fouten
- Shadow IT
- Open storage buckets
- Hardcoded credentials
- Public-facing VMs zonder patchbeleid
- Over-permissive managed identities
Wat moet je doen?
- Breng al je cloud-assets in kaart
- Monitor posture continu
- Harden workloads volgens Defender for Cloud recommendations
- Dwing identity governance af op workloads
Mapping
- Defender for Cloud → Cloud Security Posture Management (CSPM)
- Azure Policy → prevent misconfigurations
- Entra ID → workload identity restrictions
- Sentinel → workload activity analytics
💣 5. Prepare for Ransomware
De realiteit van 2025
Ransomware is geen script-kiddie-probleem meer. Het is een bedrijfsmodel.
Het MDDR 2025 laat zien (p29–30):
- 80% van moderne ransomware focust op data exfiltration
- De tijd tussen initiële toegang en encryptie wordt steeds korter
- Ransomware gebruikt infostealers als “step 0”
- Cloud-omgevingen zijn steeds vaker onderdeel van de aanvalsketen
Wat betekent “prepare” volgens Microsoft?
- Zorg voor detectie binnen minuten, niet uren
- Test je incident response (IR) 2–4x per jaar
- Implementeer segmentation
- Gebruik immutable backups
- Zorg voor isolatie-automatisering
Mapping
- Defender XDR → detectie van elk stadium
- Sentinel → correlatie en automatisering
- Azure Backup → immutable backups
- Intune → firewall en endpoint security
- Purview → detectie van gevoelige datastromen
🩹 6. Mitigate Vulnerabilities Quickly
Waarom dit nog steeds misgaat
Aanvallers hoeven niet creatief te zijn als bedrijven niet patchen.
Microsoft laat zien:
- Unpatched web applications zijn de #2 initial access vector (p12).
- Zero-days worden sneller weaponized dan ooit.
- Patch latency is een business metric geworden — geen IT metric.
Veelgemaakte fouten
- Slechte asset-inventarisatie
- Patch automation alleen op endpoints
- Cloud workloads zonder patch cadence
- Shared responsibility verkeerd geïnterpreteerd
- Legacy OS niet uitgefaseerd
Wat Microsoft verwacht
- Binnen 48 uur patchen bij high-severity
- Automated vulnerability management
- Orphaned assets opsporen
- Supply-chain patching (containers, images)
Mapping
- Defender Vulnerability Management
- Azure Update Manager
- Intune → Update rings
- Defender for Cloud → vulnerability assessments
🔐 7. Implement Strong Data Governance
Data is het nieuwe doelwit
Volgens het MDDR (p29) richten ransomware-aanvallen zich steeds meer op exfiltration.
Dat betekent:
“Als je data niet geclassificeerd, gelabeld of gemonitord is, ben je in het donker aan het vechten.”
Veelgemaakte fouten
- Geen sensitivity labels
- DLP alleen in e-mail
- Geen beleid voor externe sharing in SharePoint / Teams
- Geen labeling inheritance
Wat organisaties wél moeten doen
- Sensitivity labels afdwingen
- DLP uitbreiden naar SharePoint, OneDrive, Teams en endpoint
- Monitor data movement
- Zero-trust collaboration policies
Mapping
- Microsoft Purview Information Protection
- Purview DLP
- Defender for Cloud Apps → exfil detection
- SharePoint & Teams governance
🏭 8. Protect Operational Technology (OT)
Waarom OT nu centraal staat
Voor het eerst neemt Microsoft OT expliciet op in het Top 10-overzicht, vanwege:
- groeiende aanvallen op kritieke infrastructuur
- remote access in industriële omgevingen
- convergentie tussen IT en OT
- ransomware die OT-processen raakt
Wat organisaties moeten doen
- Segmentatie tussen OT en IT
- Monitoring van OT-netwerken
- Zero trust voor remote access
- Patchable OT-devices prioriteren
Mapping
- Defender for IoT
- Sentinel → OT analytics
- Entra ID → secure remote access
🤖 9. Adopt AI-Safe Practices
De opkomst van AI-enabled attackers
Het MDDR wijdt een heel hoofdstuk aan AI (p52–56).
Belangrijk:
- AI versnelt reconnaissance
- AI verbetert social engineering
- AI automatiseert credential testing
- AI wordt gebruikt om evasion patterns te genereren
En tegelijkertijd: De enige haalbare verdediging wordt AI-assisted defense (p60–62).
Veelgemaakte fouten
- Geen policies rond generative AI
- Geen data controls rond AI-input
- Geen monitoring voor AI-driven anomalous behavior
Mapping
- Microsoft Security Copilot
- Sentinel AI analytics
- Purview → data classification before AI exposure
🧬 10. Plan for Quantum-Safe Cryptography
Waarom dit nu al op de roadmap moet
Dit is de verrassende toevoeging voor 2025 — niet voor techfanaten, maar omdat:
- Kwantumcomputers bedreigen publieke-key cryptografie
- Migraties van crypto-infrastructuren jaren duren
- Slechte crypto-governance betekent: retrospectieve decryptie
Microsoft benoemt in p57–60 dat “store now, decrypt later”-aanvallen al plaatsvinden.
Praktische stappen
- Inventariseer welke systemen RSA/elliptic curve gebruiken
- Voer crypto-agility in
- Volg NIST’s standaardisatieproces
- Plan migratiepad voor certificaten, VPN, TLS, workloads
Mapping
- Entra ID → key rotation policies
- Azure Key Vault → crypto-agility
- Purview → data lifecycle protection
📊 Prioriteitsmatrix: welke van de 10 wegen het zwaarst?
| Prioriteit | Aanbeveling |
| Zeer hoog | #1, #2, #3, #4, #5, #6, #7 |
| Hoog | #9 |
| Middel | #8 |
| Langetermijn essentieel | #10 |
Quantum is lange termijn, maar de rest is nú urgent.
🧠 Conclusie
De Top 10 Microsoft-aanbevelingen uit het Digital Defense Report 2025 vormen geen checklist — ze vormen het minimum viable security framework voor het moderne tijdperk.
Ze komen allemaal neer op vijf centrale principes:
- Identity is de frontlinie
- Cloud assets zijn een must, niet een add-on
- Data is het nieuwe doelwit
- AI verandert alles
- Resilience is belangrijker dan ooit
Deze maatregelen zijn niet vrijblijvend.
Ze zijn niet “nice to have”.
Ze zijn niet “ideaal maar lastig”.
Ze zijn — zoals Microsoft het zelf formuleert — het verschil tussen een breach in minuten of een verdediging die standhoudt.