2 november 2026 · 10 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Active Directory pentest: scope, de hiaten die wij aantreffen en de herstelvolgorde die ertoe doet
Vrijwel elke ernstige inbraak in een Windows-gebaseerde organisatie eindigt in Active Directory, omdat wie de directory beheerst elk account, elke server en elk beleid beheerst dat ervan afhangt. Deze gids legt uit wat een Active Directory pentest dekt, van on-premises domeinen tot Entra ID en hybride identiteit, welke hiaten steeds terugkomen, hoe een assumed-breach-opdracht verloopt en welke herstelstappen u als eerste zet.
Wat een Active Directory pentest is, en waarom identiteit het doelwit is
Een Active Directory pentest is een handmatige, geautoriseerde beoordeling van de identiteitsinfrastructuur waarop de meeste organisaties nog draaien: on-premises Active Directory-domeinen en -forests, de trusts ertussen, Group Policy, Active Directory Certificate Services (AD CS), de bevoorrechte accounts en groepen die dit alles beheren en, bij vrijwel elke organisatie vandaag, de Entra ID-tenant en de synchronisatielaag die cloud- en on-premises-identiteit tot één hybride systeem verbindt. De test begint vanuit de positie van een aanvaller die al voet aan de grond heeft (een gewoon gebruikersaccount of een werkplek) en stelt vast hoe ver die positie kan worden uitgebreid, welke paden naar privileges bestaan en welke maatregelen de voortgang hadden moeten stoppen.
Identiteit is het doelwit omdat zij het control plane is. Ransomwaregroepen, spionagegroepen en insiders besteden het grootste deel van een inbraak niet aan het breken van software, maar aan het verzamelen en misbruiken van inloggegevens en rechten tot zij domein- of tenantbeheerder zijn, waarna back-ups, endpointbeveiliging, e-mail en elke bedrijfsapplicatie zijn uit te schakelen. In september 2024 publiceerde het Australian Signals Directorate met CISA, de NSA en de cybersecuritycentra van Canada, het Verenigd Koninkrijk en Nieuw-Zeeland Detecting and Mitigating Active Directory Compromises, een gids over de 17 technieken die het vaakst in echte incidenten voorkomen. De kernboodschap: dit zijn geen exotische exploits, maar misbruik van configuratie en privileges dat de eigenaar van de directory kan wegnemen.
Wat in scope is: de negen gebieden van een Active Directory pentest
Een volledige opdracht dekt de on-premises directory, de cloudtenant en de brug ertussen. Benoem elk gebied in uw scopeverklaring, ook wat u uitsluit.
Forest-, domein- en trustontwerp
Hoeveel forests en domeinen er zijn, hoe trusts ze verbinden en of een domein met lagere zekerheid (een overname, een lab, een oude dochter) een domein met hogere zekerheid kan bereiken.
Bevoorrechte accounts, groepen en tiering
Wie in Domain Admins, Enterprise Admins en de andere ingebouwde bevoorrechte groepen zit, wie ze indirect kan wijzigen, en of beheeraccounts per tier zijn gescheiden zodat een gecompromitteerde werkplek geen domeinbrede credentials oplevert.
Authenticatieprotocollen en wachtwoordbeleid
Welke authenticatieprotocollen nog zijn ingeschakeld, of verouderde protocollen nog worden geaccepteerd, hoe het wachtwoordbeleid is ingesteld, of meerfactorauthenticatie bevoorrechte en externe toegang dekt, en hoe credentials van serviceaccounts worden beheerd en geroteerd.
Group Policy en configuratie
Group Policy-objecten zijn de configuratiemotor van de directory. De test beoordeelt wie ze mag bewerken, of credentials of scripts in beleidsregels geheimen blootleggen, of hardeningbaselines daadwerkelijk worden toegepast en of een beleidswijziging instellingen naar bevoorrechte systemen kan duwen.
Active Directory Certificate Services
Enterprise-certificaatautoriteiten geven de certificaten uit waarmee gebruikers, computers en diensten zich authenticeren. De test beoordeelt sjablonen, inschrijvingsrechten en CA-rechten.
Entra ID en hybride identiteit
De synchronisatiedienst tussen on-premises Active Directory en Entra ID, de accounts waaronder die draait, Entra-rollen en applicatierechten, de dekking van conditional access, en of een compromittering aan de ene kant omzet in controle over de andere.
Serviceaccounts en delegatie
Serviceaccounts met hoge privileges, interactieve aanmeldrechten of wachtwoorden die nooit wijzigen, delegatie-instellingen waarmee één dienst namens gebruikers handelt, en de applicaties die ervan afhangen.
Domeincontrollers, back-ups en herstel
Waar domeincontrollers draaien, wie zich erop kan aanmelden, hoe zij worden gepatcht, of hun back-ups zijn beschermd tegen de credentials die een aanvaller zou bezitten, en of de directory na een destructief incident kan worden herbouwd.
Monitoring en detectie
Of beveiligingsgebeurtenissen van de directory een SIEM of managed-detectiedienst bereiken, of wijzigingen aan bevoorrechte groepen, beleidsregels en certificaatsjablonen alarmen opleveren, en welke afgesproken handelingen van de testers zijn opgemerkt.
De hiaten die wij het vaakst rapporteren
Beschreven als hiaten in beheersmaatregelen, niet als technieken. Elk hiaat wordt gescoord op hoe direct het naar domein- of tenantcontrole leidt.
1. Zwakke of ontbrekende beheer-tiering
Domeinbeheerders die zich op gewone werkplekken aanmelden, servicedeskmedewerkers met rechten over bevoorrechte accounts, en dezelfde credentials voor dagelijks werk en beheer.
2. Verouderde authenticatieprotocollen nog ingeschakeld
Oudere protocollen die in leven worden gehouden voor een printer, een bestandsshare of een applicatie zonder eigenaar, geaccepteerd door elke domeincontroller omdat uitschakelen nooit is ingepland.
3. Te ruim bevoorrecht lidmaatschap en indirecte paden
Bevoorrechte groepen die jarenlang zijn gegroeid, geneste groepen die domeinbrede rechten geven aan mensen die dat niet weten, en objectrechten waarmee een niet-beheerder bevoorrechte accounts kan resetten of wijzigen.
4. Verkeerd geconfigureerde certificaatsjablonen en inschrijving
Sjablonen waarmee aanvragers zelf de identiteit in het certificaat bepalen, inschrijvingsrechten voor brede groepen en certificaatautoriteiten waarvan de eigen rechten nooit zijn beoordeeld. Omdat certificaten gebruikers en computers authenticeren, worden deze instellingen een direct pad naar bevoorrechte identiteiten.
5. Wachtwoordbeleid en blootstelling van credentials
Korte minimumlengtes, geen screening tegen bekend gelekte wachtwoorden, geen monitoring op brede aanmeldpogingen over veel accounts, serviceaccounts met wachtwoorden van jaren oud, en credentials in scripts, shares en Group Policy.
6. Verouderde accounts, verouderde systemen en onbeheerde service-identiteiten
Accounts van vertrokken medewerkers die nog actief zijn, computeraccounts van systemen die niet meer bestaan, niet-ondersteunde besturingssystemen in het domein en service-identiteiten die niemand aan een eigenaar kan koppelen.
Active Directory security assessment versus pentest versus red team
Inkopers ontvangen vaak drie voorstellen met vergelijkbare titels. Ze verschillen in methode, realisme en resultaat, en de juiste keuze hangt af van wat u moet aantonen.
| Aspect | AD security assessment (configuratiereview) | Active Directory pentest | Red team-opdracht |
|---|---|---|---|
| Beantwoorde vraag | Welke instellingen en rechten wijken af van goede praktijk? | Welke paden leiden vanuit een realistische voet aan de grond naar domein- of tenantcontrole, en wat houdt ze tegen? | Kan een gemotiveerde tegenstander onopgemerkt een bedrijfsdoel bereiken? |
| Methode | Geautomatiseerde verzameling van directorygegevens plus expertreview | Assumed-breach-testen vanuit een gewone gebruiker en werkplek, handmatige privilegepadanalyse, gecontroleerde validatie | Heimelijk, doelgericht, volledige aanvalsketen over weken |
| Startpositie | Leestoegang tot de directory | Gewoon gebruikersaccount, werkplek in het domein | Niets, of wat het scenario bepaalt |
| Dekking | Breed, elk object en elke instelling | Diep op privilegepaden en de maatregelen eromheen | Smal, de paden die het team daadwerkelijk gebruikte |
| Resultaat | Bevindingenlijst tegen een benchmark | Aanvalsverhaal, CVSS-gescoorde bevindingen, geprioriteerd herstel, hertest | Bereikte doelen, detectietijdlijn, strategische aanbevelingen |
| Geschikt voor | Basis en doorlopende hygiëne | Jaarlijkse zekerheid, validatie na migratie, compliancebewijs | Volwassen programma's die detectie en respons valideren |
Hoe een Active Directory pentest verloopt
De opdracht is gepositioneerd als assumed breach: wij beginnen vanuit een realistische voet aan de grond en meten hoe ver die kan worden uitgebreid.
1. Scoping en spelregels
Wij spreken af welke forests, domeinen, tenant en trusts in scope zijn, de startpositie (standaard een gewone gebruiker en werkplek), of het security operations-team wordt geïnformeerd, de uitgesloten systemen, het testvenster en het escalatiepad voor kritieke bevindingen.
2. Directory- en identiteitskaart
Vanuit de startpositie bouwen testers een model van de directory: accounts, groepen, geneste lidmaatschappen, objectrechten, Group Policy-koppelingen, certificaatsjablonen, trusts, synchronisatieaccounts en Entra-rollen.
3. Privilegepadanalyse
Testers identificeren de ketens die van de startpositie leiden naar bevoorrechte accounts, domeincontrollers, de certificaatautoriteit, de synchronisatiedienst en Entra-beheerrollen, en documenteren elk pad met het hiaat dat het mogelijk maakt en de maatregel die het had moeten blokkeren.
4. Gecontroleerde validatie
Geselecteerde paden worden onder afgesproken voorwaarden gevalideerd om aan te tonen dat zij echt zijn en niet theoretisch, met bewijs voor het rapport.
5. Hybride en clouduitbreiding
Waar Entra ID in scope is, beoordelen testers of on-premises-controle omzet in tenantcontrole en omgekeerd: de synchronisatiedienst en zijn accounts, applicatie- en service-principal-rechten, hiaten in conditional access en toewijzingen van bevoorrechte rollen.
6. Rapportage, herstelworkshop en hertest
Managementsamenvatting, privilegepadverhaal, CVSS-gescoorde bevindingen met bewijs, een herstelplan gerangschikt op risicoreductie per inspanning en een koppeling aan de kaders waarover u rapporteert. Bevindingen van middelzwaar of hoger worden binnen 90 dagen hertest.
Herstelprioriteiten: wat u als eerste aanpakt
Directoryherstel kan een jaar opslokken als u het als lijst benadert. Gerangschikt op risicoreductie nemen de eerste drie de meeste paden weg die wij vinden.
1. Dwing tiering voor bevoorrechte toegang af
Gescheiden accounts en speciale geharde werkplekken voor directorybeheer, geen bevoorrechte aanmeldingen op gewone werkplekken of servers, en bevoorrechte credentials die hun tier nooit verlaten. Het enterprise access model van Microsoft beschrijft de doelsituatie.
2. Verklein en beheer bevoorrecht lidmaatschap
Reduceer ingebouwde bevoorrechte groepen tot een kleine set beheerders bij naam, verwijder geneste paden, herstel objectrechten die indirecte controle toestaan en verplaats iedereen anders naar just-in-time-verhoging met goedkeuring en logging. Beoordeel elk kwartaal.
3. Verhard de certificaatdiensten
Beoordeel elk certificaatsjabloon, haal inschrijvingsrechten weg bij brede groepen, schakel sjablonen uit waarmee aanvragers zelf identiteit bepalen tenzij een gedocumenteerde behoefte bestaat, vereis goedkeuring voor gevoelige sjablonen en controleer de rechten van de certificaatautoriteit zelf. Behandel de CA als een tier-nul-asset.
4. Faseer verouderde protocollen uit en versterk credentials
Inventariseer en verwijder afhankelijkheden van verouderde authenticatie, dwing moderne authenticatie af op de domeincontrollers, pas de wachtwoordrichtlijn van NIST SP 800-63B toe met screening op gelekte wachtwoorden, breid meerfactorauthenticatie uit naar alle bevoorrechte en externe toegang, en verplaats serviceaccounts naar beheerde accounttypen.
5. Sluit de hybride brug en detecteer
Behandel de synchronisatieserver en zijn accounts als tier nul, beperk welke on-premises-accounts bevoorrechte Entra-rollen bezitten, pas conditional access zonder uitzondering toe op beheerders en alarmeer op wijzigingen aan bevoorrechte groepen, Group Policy en certificaatsjablonen.
Kaders en compliance-mapping
De publieke referentie voor dit werk is Detecting and Mitigating Active Directory Compromises (ASD ACSC met CISA, NSA, CCCS, NCSC-UK en NCSC-NZ, september 2024), dat 17 veelvoorkomende compromitteringstechnieken beschrijft met per techniek mitigaties en detecties. Het enterprise access model van Microsoft definieert de architectuur voor bevoorrechte toegang waar de prioriteiten hierboven naartoe werken en rekt tier nul op tot het hele control plane, inclusief cloudidentiteit. NIST SP 800-63B stelt de authenticatie- en wachtwoordeisen die Amerikaanse toezichthouders steeds vaker aanhalen.
Voor Amerikaanse complianceprogramma's levert een Active Directory pentest bewijs voor de families Access Control (AC) en Identification and Authentication (IA) van NIST SP 800-53 Rev. 5, die doorwerken in FedRAMP en in CMMC 2.0 Level 2 via NIST SP 800-171 Rev. 3 (de AC.L2- en IA.L2-practices en de beoordelingseis CA.L2-3.12.1). PCI DSS v4.0.1 Requirements 7, 8 en 11.4 raken de directory overal waar zij de toegang tot de kaarthouderomgeving regelt, de HIPAA Security Rule vereist toegangs- en auditmaatregelen in 45 CFR 164.312(a) en (b), en SOC 2-onderzoeken koppelen directorybevindingen aan CC6.1 tot en met CC6.3. In de EU noemt NIS2 artikel 21(2) toegangsbeleid en meerfactorauthenticatie als vereiste maatregelen, dekken DORA artikel 9 en 25 toegangsbeheer en penetratietesten voor financiële entiteiten, en zijn ISO 27001:2022-maatregelen A.5.15, A.5.18, A.8.2 en A.8.5 de maatregelen waarvoor een auditor bewijs over de directory zal vragen.
Wat u voorbereidt vóór de test
Een korte voorbereidingslijst die testdagen bespaart en verrassingen tijdens de opdracht voorkomt.
- Een schematisch overzicht van forests, domeinen, trusts en de Entra-tenant, inclusief recente overnames en oude omgevingen
- De startpositie schriftelijk vastgelegd: een gewoon gebruikersaccount en een werkplek in het domein met dezelfde opbouw en beleidsregels als een normale medewerker
- Een lijst van uitgesloten systemen en kwetsbare legacy-applicaties, met de bedrijfseigenaar die controles ertegen kan goedkeuren of weigeren
- Documentatie van de huidige beheerpraktijk: wie de directory beheert, vanwaar, met welke accounts, en hoe bevoorrechte toegang wordt verleend en ingetrokken
- Bevestiging dat de organisatie eigenaar is van, of gemachtigd is om te testen op, elk domein, elke tenant en elk systeem in scope, ook die door een managed service provider worden beheerd
Hoe HackersHub Active Directory test
Active Directory-testen bij HackersHub is onderdeel van onze netwerk pentest-praktijk, gepositioneerd als assumed breach en met dekking van on-premises directories, Entra ID en de hybride brug ertussen. Onze testers hebben minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en de methodiek sluit aan op PTES en NIST SP 800-115.
Elk rapport noemt de lead tester bij naam en bevat een managementsamenvatting, het privilegepadverhaal, CVSS-gescoorde bevindingen met bewijs, een herstelplan gerangschikt op risicoreductie en een koppeling aan de kaders waarover u rapporteert. Een verificatiehertest van middelzware en hogere bevindingen binnen 90 dagen is inbegrepen. Wij leveren op afstand vanuit Amsterdam voor klanten in de EU en de VS, met werk op locatie waar een opdracht dat vraagt. Elke opdracht wordt afzonderlijk gescopet.
Veelgestelde vragen
Gerelateerde gidsen en diensten
- Netwerk pentest door HackersHub
- Penetratietest laten uitvoeren door HackersHub
- Kubernetes pentest: scope, bevindingen en voorbereiding
- Red teaming vs pentest: welke heeft u nodig
- Black box, grey box en white box pentest vergeleken
- Pentest methodiek: standaarden, fasen en bewijs
- Externe vs interne penetratietest
- CMMC pentest: eisen voor Level 2-beoordelingen
Is uw directory de zwakste schakel?
Wij brengen de privilegepaden van gewone gebruiker naar domein- en tenantcontrole in kaart en geven u een herstelvolgorde die met de eerste drie veranderingen het meeste risico wegneemt. Praat met een expert.