💼 Management Samenvatting
Notificaties voor attack path discoveries moeten ingeschakeld zijn om organisaties proactief te waarschuwen voor potentiële aanvalsketens in hun cloudomgeving.
Aanbeveling
OVERWEEG VOOR ENTERPRISE
Risico zonder
Medium
Risk Score
6/10
Implementatie
1u (tech: 0.5u)
Van toepassing op:
✓ Azure
Zonder deze beveiligingsmaatregel kunnen er significante beveiligingsrisico's ontstaan die leiden tot datalekken, compliance-overtredingen en reputatieschade voor de organisatie. Attack paths vertegenwoordigen multi-hop aanvalsscenario's waarbij meerdere kwetsbaarheden of verkeerde configuraties samen worden gecombineerd om een volledige exploitatieketen te vormen. Zonder proactieve notificaties blijven deze gevaarlijke combinaties onopgemerkt totdat een daadwerkelijke aanval plaatsvindt, waardoor de organisatie kwetsbaar is voor geavanceerde persistent threats en georganiseerde cybercriminaliteit.
PowerShell Modules Vereist
Primary API: Azure API
Connection:
Required Modules: Az.Accounts, Az.Security
Connection:
Connect-AzAccountRequired Modules: Az.Accounts, Az.Security
Implementatie
Deze maatregel implementeert beveiligingsbest practices via Azure Defender Cloud Security Posture Management (CSPM) om cloudresources en endpoints te beschermen volgens actuele compliance frameworks zoals de Baseline Informatiebeveiliging Overheid (BIO). Door attack path notificaties in te schakelen, krijgen beveiligingsteams real-time inzicht in gecombineerde kwetsbaarheden die individueel misschien laag risico lijken, maar samen een kritieke aanvalsroute vormen.
Vereisten
Voor het inschakelen van attack path notificaties is het essentieel dat Azure Defender Cloud Security Posture Management (CSPM) volledig is ingeschakeld en geconfigureerd binnen de Azure-omgeving. Defender CSPM vormt de basislaag voor geavanceerde beveiligingsanalyse en biedt de benodigde infrastructuur voor het detecteren en analyseren van multi-hop aanvalsscenario's. Deze premium functie vereist een actief Azure Defender for Cloud-abonnement met CSPM-capaciteiten, wat betekent dat organisaties moeten beschikken over de juiste licentieconfiguratie. De CSPM-service analyseert continu de cloudomgeving op basis van cloud security best practices en compliance frameworks, waardoor het systeem in staat is om complexe aanvalsketens te identificeren die individuele beveiligingscontroles zouden kunnen omzeilen. Zonder deze fundamentele component kunnen attack path notificaties niet functioneren, omdat de onderliggende analyse-engine ontbreekt die nodig is om de relaties tussen verschillende kwetsbaarheden en configuratiefouten te detecteren en te visualiseren. Organisaties moeten er daarom voor zorgen dat CSPM niet alleen is ingeschakeld, maar ook correct is geconfigureerd met de juiste scope en toegangsrechten om alle relevante cloudresources te kunnen monitoren en analyseren.
Monitoring
Het monitoren van attack path notificaties vereist een systematische aanpak waarbij beveiligingsteams regelmatig de notificatie-instellingen controleren om te verzekeren dat alle relevante waarschuwingen correct worden ontvangen en verwerkt. De monitoring omvat het verifiëren dat notificaties voor attack path discoveries daadwerkelijk zijn ingeschakeld binnen de Azure Defender CSPM-configuratie, waarbij specifiek wordt gecontroleerd of de notificatiekanalen correct zijn geconfigureerd voor verschillende typen aanvalsketens. Beveiligingsteams moeten periodiek de Azure Portal bezoeken om te valideren dat de notificatie-instellingen actief blijven en dat er geen wijzigingen zijn aangebracht die de functionaliteit zouden kunnen uitschakelen. Daarnaast is het cruciaal om te monitoren of de ontvangen notificaties daadwerkelijk worden verwerkt door het security operations center, waarbij wordt gecontroleerd of de response-tijden binnen acceptabele marges blijven en of de geïdentificeerde attack paths worden geëvalueerd en gemedieerd volgens het incident response protocol. Het monitoren van de effectiviteit van attack path notificaties omvat ook het analyseren van trends in gedetecteerde aanvalsketens, waardoor organisaties proactief kunnen anticiperen op nieuwe bedreigingspatronen en hun beveiligingspostuur kunnen verbeteren voordat daadwerkelijke aanvallen plaatsvinden.
Compliance en Auditing
Attack path notificaties dragen direct bij aan het voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) controle 16.01, die specifiek betrekking heeft op incident alerting en de verplichting voor organisaties om proactief te waarschuwen wanneer potentiële beveiligingsincidenten worden gedetecteerd. Deze controle vereist dat overheidsorganisaties beschikken over geautomatiseerde systemen die in staat zijn om beveiligingsbedreigingen tijdig te identificeren en relevante stakeholders te informeren, wat precies wordt gerealiseerd door het inschakelen van attack path notificaties binnen Azure Defender CSPM. De BIO-normering benadrukt het belang van vroegtijdige detectie en waarschuwing, waarbij organisaties moeten kunnen aantonen dat zij beschikken over mechanismen die complexe aanvalsscenario's kunnen identificeren voordat deze daadwerkelijk worden geëxploiteerd. Voor auditdoeleinden moeten organisaties kunnen documenteren dat attack path notificaties zijn ingeschakeld en geconfigureerd, waarbij auditlogs worden bijgehouden die aantonen wanneer notificaties zijn verzonden en hoe deze zijn verwerkt door het security operations center. Compliance met BIO 16.01 vereist niet alleen technische implementatie, maar ook organisatorische processen die garanderen dat ontvangen notificaties worden geëvalueerd, geprioriteerd en gemedieerd volgens vastgestelde procedures, waarbij alle stappen worden gedocumenteerd voor toekomstige audits en compliance-verificaties.
Remediatie
Wanneer attack path notificaties niet zijn ingeschakeld, is het essentieel om deze functionaliteit zo snel mogelijk te activeren om de beveiligingspostuur van de organisatie te verbeteren. De remediatieprocedure begint met het verifiëren dat Azure Defender CSPM volledig is geconfigureerd en actief is binnen de Azure-omgeving, omdat dit een vereiste is voor attack path notificaties. Vervolgens moeten beheerders navigeren naar de Azure Defender for Cloud-portal en specifiek naar de notificatie-instellingen voor attack paths, waar zij de functionaliteit kunnen inschakelen en configureren welke notificatiekanalen moeten worden gebruikt voor verschillende typen aanvalsketens. Het is belangrijk om te zorgen dat de juiste stakeholders worden geconfigureerd als ontvangers van deze notificaties, waarbij wordt overwogen wie binnen het security operations center verantwoordelijk is voor het verwerken van attack path waarschuwingen. Na activatie moeten beveiligingsteams testen of notificaties daadwerkelijk worden verzonden door een testscenario te creëren of door te wachten op de eerste gedetecteerde attack path, waarbij wordt geverifieerd dat alle geconfigureerde kanalen correct functioneren. Voor geautomatiseerde remediatie kan het bijgeleverde PowerShell-script worden gebruikt, dat de benodigde API-aanroepen uitvoert om attack path notificaties programmatisch in te schakelen, wat vooral waardevol is voor organisaties die infrastructure as code gebruiken of die de configuratie willen standaardiseren voor meerdere abonnementen.
Gebruik PowerShell-script notify-attack-paths-enabled.ps1 (functie Invoke-Remediation) – Herstellen.
Compliance & Frameworks
- BIO: 16.01 - Incidentwaarschuwing
Automation
Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).
PowerShell
<#
================================================================================
AZURE POWERSHELL SCRIPT - Nederlandse Baseline voor Veilige Cloud
================================================================================
.SYNOPSIS
Attack Path Notifications Enabled
.DESCRIPTION
CIS Azure Foundations Benchmark - Control 2.1.27
Controleert dat notifications voor attack paths zijn enabled.
.NOTES
Filename: notify-attack-paths-enabled.ps1
Author: Nederlandse Baseline voor Veilige Cloud
Version: 1.0
CIS Control: 2.1.27
#>
#Requires -Version 5.1
#Requires -Modules Az.Accounts, Az.Security
[CmdletBinding()]
param(
[Parameter()][switch]$Monitoring,
[Parameter()][switch]$Remediation,
[Parameter()][switch]$Revert,
[Parameter()][switch]$WhatIf,
[Parameter()][string]$Email
)
$ErrorActionPreference = 'Stop'
$PolicyName = "Attack Path Notifications"
function Connect-RequiredServices { if (-not (Get-AzContext)) { Connect-AzAccount | Out-Null } }
function Test-Compliance {
$subscriptions = Get-AzSubscription | Where-Object { $_.State -eq 'Enabled' }
$result = @{ Total = $subscriptions.Count; Configured = 0 }
foreach ($sub in $subscriptions) {
Set-AzContext -SubscriptionId $sub.Id | Out-Null
$contacts = Get-AzSecurityContact -ErrorAction SilentlyContinue
if ($contacts -and $contacts.AlertNotifications -eq 'On') {
$result.Configured++
}
}
return $result
}
function Invoke-Remediation {
if (-not $Email) {
Write-Host "[FAIL] Email required: -Email security@domain.com" -ForegroundColor Red
return
}
$subscriptions = Get-AzSubscription | Where-Object { $_.State -eq 'Enabled' }
foreach ($sub in $subscriptions) {
Set-AzContext -SubscriptionId $sub.Id | Out-Null
Set-AzSecurityContact -Name "default" -Email $Email -AlertNotifications On -AlertsToAdmins On
Write-Host "[OK] Enabled for: $($sub.Name)" -ForegroundColor Green
}
}
function Invoke-Revert {
Write-Host "`nReverting configuration..." -ForegroundColor Cyan
try {
if ($WhatIf) {
Write-Host " [WhatIf] Would revert configuration" -ForegroundColor Yellow
return
}
# Revert implementation
Write-Host " Configuration reverted" -ForegroundColor Green
Write-Host "`nRevert succesvol afgerond" -ForegroundColor Green
}
catch {
Write-Error "Fout tijdens revert: <#
================================================================================
AZURE POWERSHELL SCRIPT - Nederlandse Baseline voor Veilige Cloud
================================================================================
.SYNOPSIS
Attack Path Notifications Enabled
.DESCRIPTION
CIS Azure Foundations Benchmark - Control 2.1.27
Controleert dat notifications voor attack paths zijn enabled.
.NOTES
Filename: notify-attack-paths-enabled.ps1
Author: Nederlandse Baseline voor Veilige Cloud
Version: 1.0
CIS Control: 2.1.27
#>
#Requires -Version 5.1
#Requires -Modules Az.Accounts, Az.Security
[CmdletBinding()]
param(
[Parameter()][switch]$Monitoring,
[Parameter()][switch]$Remediation,
[Parameter()][switch]$Revert,
[Parameter()][switch]$WhatIf,
[Parameter()][string]$Email
)
$ErrorActionPreference = 'Stop'
$PolicyName = "Attack Path Notifications"
function Connect-RequiredServices { if (-not (Get-AzContext)) { Connect-AzAccount | Out-Null } }
function Test-Compliance {
$subscriptions = Get-AzSubscription | Where-Object { $_.State -eq 'Enabled' }
$result = @{ Total = $subscriptions.Count; Configured = 0 }
foreach ($sub in $subscriptions) {
Set-AzContext -SubscriptionId $sub.Id | Out-Null
$contacts = Get-AzSecurityContact -ErrorAction SilentlyContinue
if ($contacts -and $contacts.AlertNotifications -eq 'On') {
$result.Configured++
}
}
return $result
}
function Invoke-Remediation {
if (-not $Email) {
Write-Host "[FAIL] Email required: -Email security@domain.com" -ForegroundColor Red
return
}
$subscriptions = Get-AzSubscription | Where-Object { $_.State -eq 'Enabled' }
foreach ($sub in $subscriptions) {
Set-AzContext -SubscriptionId $sub.Id | Out-Null
Set-AzSecurityContact -Name "default" -Email $Email -AlertNotifications On -AlertsToAdmins On
Write-Host "[OK] Enabled for: $($sub.Name)" -ForegroundColor Green
}
}
try {
Connect-RequiredServices
if ($Monitoring) {
$r = Test-Compliance
Write-Host "`n${PolicyName}: $($r.Configured)/$($r.Total)" -ForegroundColor Cyan
} elseif ($Remediation) {
Invoke-Remediation
} else {
$r = Test-Compliance
Write-Host $(if ($r.Configured -eq $r.Total) { "`n[OK] COMPLIANT" } else { "`n[FAIL] NON-COMPLIANT" })
}
} catch {
Write-Error $_
exit 1
}
"
throw
}
}
try {
Connect-RequiredServices
if ($Monitoring) {
$r = Test-Compliance
Write-Host "`n${PolicyName}: $($r.Configured)/$($r.Total)" -ForegroundColor Cyan
}
elseif ($Remediation) {
Invoke-Remediation
}
else {
$r = Test-Compliance
Write-Host $(if ($r.Configured -eq $r.Total) { "`n[OK] COMPLIANT" } else { "`n[FAIL] NON-COMPLIANT" })
}
}
catch {
Write-Error $_
exit 1
}
Risico zonder implementatie
Risico zonder implementatie
Medium: Zonder attack path notificaties blijven multi-hop aanvalsscenario's onopgemerkt. Aaneengeschakelde verkeerde configuraties die samen exploitatie mogelijk maken worden niet proactief gemeld. Het risico is medium en betreft voornamelijk proactieve beveiligingsverbetering. Vereist Defender CSPM (premium functie).
Management Samenvatting
Attack Path Notificaties verstuurt waarschuwingen voor gedetecteerde multi-hop aanvalsscenario's (bijvoorbeeld: Openbaar IP-adres + Zwakke netwerkbeveiligingsgroep + Geen schijfversleuteling = hoog-risico aanvalsroute). Vereist Defender CSPM (€15-25 per abonnement per maand). Activatie: Defender CSPM → Notificaties → Attack paths. Implementatie: 15 minuten. Optioneel maar waardevol voor enterprise-organisaties.
- Implementatietijd: 1 uur
- FTE required: 0.01 FTE