L1 BIO 12.02.01 ISO A.8.7 CIS Windows Defender - Realtime bescherming

Windows Defender Realtime Bescherming Ingeschakeld

📅 2025-10-30
•
⏱️ 6 minuten lezen
•
🔴 Must-Have

💼 Management Samenvatting

Windows Defender Realtime bescherming is de meest kritieke antivirus functie die files, processes, en memory continu scant op malware en onmiddellijk Blokkeert bij detectie - het uitschakelen hiervan laat systemen volledig onbeschermd.

Aanbeveling
IMPLEMENT
Risico zonder
Critical
Risk Score
10/10
Implementatie
1u (tech: 0.5u)
Van toepassing op:
✓ Windows 10
✓ Windows 11
✓ Windows Server

Realtime bescherming (RTP) is de kern van Windows Defender antivirus beveiliging en biedt continue, proactieve bescherming tegen malware. Zonder RTP: worden files NIET gescand bij openen/uitvoeren, blijft malware undetected tot handmatige scan, kan ransomware zich vrij verspreiden zonder blokkering, worden downloads niet gescand voor virussen, blijven memory-resident malware processen onopgemerkt, en wordt het systeem in essentie een sitting duck voor elke malware. Aanvallers proberen vaak als eerste stap RTP uit te schakelen via: registry modificaties, group policy manipulation, service stopping, of tamper bescherming bypass. Met RTP ingeschakeld worden threats binnen milliseconden gedetecteerd en geblokkeerd voordat ze schade kunnen aanrichten. RTP is VERPLICHT en mag NOOIT worden uitgeschakeld behalve voor zeer specifieke troubleshooting (en dan tijdelijk onder security team oversight).

PowerShell Modules Vereist
Primary API: Microsoft Graph / Windows Management
Connection: Get-MpPreference
Required Modules: Defender

Implementatie

Deze control verifieert dat DisableRealtimeMonitoring is gezet op False in Windows Defender preferences. Dit betekent dat Realtime bescherming actief is en: alle file access wordt gescand (read/write/execute), process creation wordt gemonitord, memory scanning draait voor fileless malware, behavior monitoring is actief, en cloud-delivered bescherming werkt. De setting wordt geconfigureerd via Intune Endpoint Security of Device configuratiebeleidsregels en wordt lokaal gecontroleerd via Get-MpPreference PowerShell cmdlet.

Vereisten

Voor het implementeren van deze control zijn de volgende vereisten van toepassing:

  1. Windows 10/11 of Windows Server 2016 of hoger
  2. Windows Defender Antivirus ingeschakeld (standaard in moderne Windows)
  3. Microsoft Intune licentie voor policy management
  4. Tamper bescherming ingeschakeld (voorkomt unauthorized disable)
  5. Cloud-delivered bescherming ingeschakeld voor realtime bedreigingsinformatie
  6. Voldoende systeem resources (CPU/Memory) voor scanning

Implementatie

Realtime bescherming kan worden afgedwongen via Intune policies:

Gebruik PowerShell-script realtime-bescherming-enabled.ps1 (functie Invoke-Remediation) – PowerShell script voor verificatie en forceren van Realtime bescherming.

Implementatie via Intune (aanbevolen):

  1. Ga naar Microsoft Intune admin center
  2. Navigeer naar Endpoint security → Antivirus → Maak aan Policy
  3. Selecteer Platform: Windows 10 en later, Profile: Microsoft Defender Antivirus
  4. Configureer: realtime bescherming is ingeschakeld (DisableRealtimeMonitoring is Not geconfigureerd of 0)
  5. Configureer ook: Tamper bescherming is ingeschakeld (voorkomt Schakel uit van RTP)
  6. Configureer: Cloud-delivered bescherming is ingeschakeld
  7. Configureer: Sample submission is Verzend alle samples automatically
  8. Wijs policy toe aan alle Windows devices
  9. monitor compliance via Intune dashboard

Lokale verificatie via PowerShell:

  1. Get-MpPreference | Select-Object DisableRealtimeMonitoring
  2. Verwacht resultaat: DisableRealtimeMonitoring is False
  3. Als True: RTP is UIT - KRITIEKE SECURITY ISSUE
  4. Remediate: Set-MpPreference -DisableRealtimeMonitoring $false

KRITISCH: Schakel ook Tamper bescherming in via: Set-MpPreference -DisableTamperProtection $false. Dit voorkomt dat malware of aanvallers RTP kunnen uitschakelen.

monitoring

Gebruik PowerShell-script realtime-protection-enabled.ps1 (functie Invoke-Monitoring) – Controleren.

monitor continue:

  1. Intune device compliance: Antivirus status rapportage
  2. Get-MpPreference: DisableRealtimeMonitoring is False
  3. Get-MpComputerStatus: RealTimeProtectionEnabled is True
  4. Windows Event Logs: Event ID 5001 (Realtime bescherming disabled) is CRITICAL ALERT
  5. Microsoft 365 Defender: Endpoint detectie voor RTP Schakel uit attempts
  6. Alert onmiddellijk bij RTP Schakel uit - potentieel compromise indicator
  7. Tamper bescherming status monitoring

Remediatie

Gebruik PowerShell-script realtime-protection-enabled.ps1 (functie Invoke-Remediation) – Herstellen.

Als Realtime bescherming uitgeschakeld is (KRITIEKE BEVINDING):

  1. DIRECT: Schakel in RTP via Set-MpPreference -DisableRealtimeMonitoring $false
  2. Run volledige antivirus scan onmiddellijk: Start-MpScan -ScanType FullScan
  3. Isoleer device van netwerk indien malware suspected
  4. Controleer wie/wat RTP uitschakelde: Event logs, user context, process
  5. Als malware RTP uitschakelde: volledige incidentrespons procedure
  6. Schakel in Tamper bescherming: voorkomt toekomstige Schakel uit attempts
  7. Review beveiligingspositie: hoe kon RTP worden uitgeschakeld?
  8. Escaleer naar security team voor root cause analysis
  9. Document incident en lessons learned

Compliance en Auditing

Deze control voldoet aan de volgende compliance frameworks:

  1. CIS Microsoft Windows Benchmark - Antivirus Realtime bescherming
  2. BIO 12.02.01 - Bescherming tegen malware - Realtime scanning
  3. ISO 27001:2022 A.8.7 - Bescherming tegen malware
  4. ISO 27001:2022 A.12.2.1 - Maatregelen tegen malware
  5. NIS2 Artikel 21 - Maatregelen voor cybersecurity - Endpoint bescherming
  6. PCI-DSS Requirement 5.1 - implementeren anti-virus software
  7. NIST Cybersecurity Framework - PR.DS-6 (Integrity checking)

Compliance & Frameworks

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

PowerShell
<# .SYNOPSIS Intune Windows Defender: Realtime Protection Enabled .DESCRIPTION CIS - Realtime protection KRITISCH enabled. .NOTES Filename: defender-rtp-enabled.ps1|Author: Nederlandse Baseline voor Veilige Cloud|Setting: DisableRealtimeMonitoring|Expected: False #> #Requires -Version 5.1 #Requires -RunAsAdministrator [CmdletBinding()]param([switch]$WhatIf, [switch]$Monitoring, [switch]$Remediation, [switch]$Revert) $ErrorActionPreference = 'Stop' function Connect-RequiredServices { $p = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent()); return $p.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator) } function Test-Compliance { $r = [PSCustomObject]@{ScriptName = "rtp-enabled.ps1"; PolicyName = "Realtime Protection"; IsCompliant = $false; CurrentValue = $null; Details = @() }; function Invoke-Revert { Write-Host "WARNING: Not disabling RTP" } try { $pref = Get-MpPreference; if ($pref.DisableRealtimeMonitoring -eq $false) { $r.IsCompliant = $true; $r.Details += "RTP enabled" }else { $r.Details += "RTP disabled - CRITICAL" } }catch { $r.Details += "Error: $($_.Exception.Message)" }; return $r } function Invoke-Remediation { Set-MpPreference -DisableRealtimeMonitoring $false; Write-Host "Realtime protection enabled" -ForegroundColor Green } function Invoke-Monitoring { $r = Test-Compliance; Write-Host "`n$($r.PolicyName): $(if($r.IsCompliant){'COMPLIANT'}else{'NON-COMPLIANT'})" -ForegroundColor $(if ($r.IsCompliant) { 'Green' }else { 'Red' }); return $r } function Invoke-Revert { Write-Host "WARNING: Not disabling RTP" } try { if (-not(Connect-RequiredServices)) { exit 1 }; if ($Monitoring) { $r = Invoke-Monitoring; exit $(if ($r.IsCompliant) { 0 }else { 1 }) }elseif ($Remediation) { if (-not $WhatIf) { Invoke-Remediation } }elseif ($Revert) { Invoke-Revert }else { $r = Test-Compliance; exit $(if ($r.IsCompliant) { 0 }else { 1 }) } }catch { Write-Error $_; exit 1 }

Risico zonder implementatie

Risico zonder implementatie
Critical: KRITIEK - ONMIDDELLIJK ACTIE VEREIST: Zonder Realtime bescherming is een systeem volledig onbeschermd tegen malware. Ransomware kan zich vrij verspreiden, virussen worden niet geblokkeerd bij executie, en downloads worden niet gescand. Dit is vergelijkbaar met rijden zonder airbags en gordels - elk malware encounter wordt automatisch een succesvolle infectie. Geschatte kosten van ransomware zonder RTP: €500.000 - €5.000.000+. RTP mag NOOIT uitgeschakeld zijn in productie.

Management Samenvatting

Windows Defender Realtime bescherming moet ALTIJD ingeschakeld zijn. Dit is de meest kritieke antivirus functie. Zonder RTP is volledig onbeschermd tegen malware. Schakel ook Tamper bescherming in om Schakel uit te voorkomen. Monitorsystemen continu - RTP Schakel uit is kritieke beveiligingsincident. Voldoet aan BIO 12.02, ISO 27001 A.8.7, PCI-DSS 5.1.