Ransomware is niet meer iets wat alleen grote bedrijven overkomt. Gemeentes, ziekenhuizen, mkb’ers — niemand is immuun. En als sysadmin ben jij degene die de boel draaiende moet houden als het misgaat. Of beter nog: die ervoor zorgt dat het níét misgaat. SCCM speelt daarin een grotere rol dan veel mensen beseffen. Want een goed ingerichte Configuration Manager-omgeving is niet alleen handig voor deployments — het is ook een serieuze verdedigingslinie.
Waarom SCCM en ransomware meer met elkaar te maken hebben dan je denkt
Laten we eerlijk zijn: de meeste ransomware-aanvallen beginnen niet met een geniaal stuk malware dat door alle beveiligingslagen breekt. Ze beginnen met een ongepatchte machine, een vergeten service account met te veel rechten, of een softwarepakket dat al maanden op een onbeheerde client staat te wachten. Dat zijn allemaal dingen die je met SCCM had kunnen zien. Of voorkomen.
De kracht van Configuration Manager zit ‘m in zichtbaarheid. Je weet welke machines er zijn, welke software erop staat en — cruciaal — welke updates er níét zijn uitgerold. Dat is informatie die je actief moet gebruiken, niet alleen voor je maandelijkse patchcyclus, maar als onderdeel van je bredere securityhouding. Wie zijn SCCM alleen gebruikt om Office te deployen, laat een hoop potentie liggen.
Patch compliance als eerste verdedigingslinie
De meeste ransomware-varianten misbruiken bekende kwetsbaarheden. Niet zero-days, maar gewoon CVE’s waarvoor al maanden een patch beschikbaar is. Dat is tegelijkertijd bemoedigend en frustrerend: je kunt het voorkomen, maar alleen als je patchproces op orde is.
Begin met je Software Update Point goed te configureren. Zorg dat je synchronisatiecyclus klopt, dat je de juiste classificaties synchroniseert (Security Updates, Critical Updates — en voor sommige omgevingen ook Definition Updates voor Defender), en dat je deployment templates niet meer datteren uit de tijd dat Windows 7 nog mainstream was.
Stel vervolgens duidelijke compliance-baselines in:
- Machines ouder dan 30 dagen zonder kritieke patches: direct in een aparte collection voor escalatie
- Servers apart van workstations behandelen — andere patchvensters, andere goedkeuringsflows
- Gebruik de ingebouwde rapportages om compliance per collection inzichtelijk te maken
- Stel alerts in wanneer compliance onder een drempelwaarde zakt
Want wie heeft er nou niet een keer ontdekt dat een hele OU al drie maanden buiten de patch-scope viel omdat er een verkeerde collection-query in zat? Precies. Zorg dat je het weet vóórdat de aanvaller het weet.
Collections als segmentatietool
Collections zijn in SCCM je manier om orde te scheppen in chaos. Maar ze zijn ook — als je er slim mee omgaat — een segmentatietool die je helpt bij incident response. Stel dat er een besmetting is op een bepaalde afdeling of locatie: hoe snel kun jij een collection bouwen van alle machines in dat subnet, en daar een noodpatch of een isolatie-actie op deployen?
Als je collections nu al goed zijn ingericht op basis van locatie, afdeling, OS-versie en patchstatus, dan heb je tijdens een incident een enorme voorsprong. Je hoeft niet te zoeken — je filtert. En dat scheelt in een crisissituatie letterlijk uren.
Denk ook aan het aanmaken van een permanente “Unmanaged Devices” collection: machines die al langer dan X dagen geen heartbeat hebben gestuurd. Die zijn niet alleen een beheerhoofdpijn, ze zijn ook potentieel een blinde vlek in je securitylandschap. Een machine die SCCM niet meer ziet, patch je ook niet.
De rol van SCCM bij detectie en respons
SCCM is geen SIEM en geen EDR. Dat moet je ook niet willen. Maar het is wél een rijke bron van informatie die je kunt inzetten als onderdeel van je detectie- en responsstrategie. Hardware-inventory, software-inventory, de aanwezigheid van bepaalde processen of bestanden — dat zijn allemaal datapunten die je uit Configuration Manager kunt halen.
Combineer je SCCM-data met je SIEM of met Microsoft Sentinel, en je krijgt een veel completer beeld van je omgeving. Welke machines draaien nog SMBv1? Welke clients hebben geen Defender-definitie-update ontvangen in de afgelopen 48 uur? Welke software staat er geïnstalleerd die niet in je goedgekeurde lijst staat?
Dat ransomware-aanvallen steeds vaker in het nieuws komen — de berichtgeving op NOS over cyberaanvallen op Nederlandse organisaties laat zien dat dit geen ver-van-mijn-bed-show is — betekent ook dat de druk op sysadmins toeneemt om proactief te handelen. En SCCM geeft je de tools om dat te doen, als je ze tenminste gebruikt.
Praktisch gezien kun je denken aan:
- Inventory-regels die specifieke bestanden of registry-keys detecteren die geassocieerd zijn met bekende ransomware-families
- Compliance-items die controleren of bepaalde beveiligingsinstellingen actief zijn (denk aan: is Controlled Folder Access ingeschakeld?)
- Software Metering om onverwacht gebruik van bepaalde executables te signaleren
Het is geen vervanging voor een goede EDR-oplossing, maar het is een extra laag. En in security zijn extra lagen nooit verkeerd.
Wat te doen als het toch misgaat
Oké, het is zover. Er is een besmetting. Wat nu? Hier is SCCM opnieuw waardevol — maar alleen als je er van tevoren over hebt nagedacht.
Zorg dat je een nood-deployment klaar hebt liggen. Niet iets wat je dan ter plekke in elkaar moet knutselen, maar een vooraf geteste package die je kunt uitrollen op een collection naar keuze. Denk aan een script dat een bepaalde service stopt, een netwerkverbinding verbreekt, of een specifieke tool uitvoert. Hoe snel je dat kunt deployen, hangt af van hoe goed je je omgeving kent.
Daarnaast: zorg dat je SCCM-infrastructuur zelf beschermd is. Je site server, je distribution points, je SQL-backend — die zijn een primair doelwit bij een gerichte aanval. Als een aanvaller toegang krijgt tot je SCCM-omgeving, heeft hij in potentie een deployment-mechanisme naar elk beheerd apparaat in je organisatie. Dat is geen prettige gedachte. Beperk daarom de toegang tot de SCCM-console strikt, gebruik role-based access control consequent, en zorg dat je service accounts niet meer rechten hebben dan strikt noodzakelijk.
Tot slot
SCCM is geen beveiligingstool in de klassieke zin. Maar het is wél een van de krachtigste instrumenten die je als sysadmin hebt om je omgeving inzichtelijk, beheerd en gepatcht te houden. En dat is precies wat ransomware-aanvallers het liefst niet zien. Een goed beheerde omgeving is een stuk minder aantrekkelijk doelwit dan een omgeving vol blinde vlekken en achterstallig onderhoud.
Dus ja, zorg voor je patch compliance. Bouw je collections slim. Gebruik de inventory-data die je toch al verzamelt. En zorg dat je weet wat je gaat doen als het misgaat — want hopen dat het niet gebeurt is geen strategie.