Extern aanvalsoppervlak

Je nalevings- en blootstellingsscans kijken in je tenant. De scan van het externe aanvalsoppervlak kijkt er van buitenaf naar, zoals een aanvaller zou doen: hij inspecteert de publieke rand van je domeinen - TLS-certificaten, DNS-beveiligingsrecords en blootgestelde service-endpoints - en markeert wat zwak is, verkeerd geconfigureerd, of een nadere blik waard.

Hij heeft geen agent nodig en geen toegang tot je servers. Alles wat hij controleert is al openbaar, dus de scan verzamelt het gewoon, vergelijkt het met goede praktijken en zet het om in heldere bevindingen.

Vereist een betaald abonnement

De scan van het externe aanvalsoppervlak is inbegrepen bij betaalde abonnementen. Zonder een betaald abonnement toont de pagina een upgradeprompt in plaats van resultaten. Bekijk de abonnementenpagina voor wat elk abonnement omvat.

Wat de scan controleert

Bevindingen zijn gegroepeerd in drie secties.

SSL/TLS

Overzicht. Dit onderdeel inspecteert de certificaten en de TLS-configuratie op je publieke hosts: de onderhandeling die een browser, een mailserver of een aanvaller aangaat zodra die verbinding maakt. Een zwakke of verlopen opzet ondermijnt elke andere maatregel die erachter zit.

• Certificaatverloop - of een certificaat geldig is en niet bijna verloopt. Een verlopen certificaat breekt het vertrouwen en sluit gebruikers buiten.
• Protocolversie - of de host nog steeds zwakke, verouderde protocollen (SSL 3.0, TLS 1.0 en 1.1) onderhandelt in plaats van TLS 1.2 of 1.3.
• Cijfersterkte - of de host zwakke cijfersuites accepteert, zoals RC4, 3DES of export-grade cijfers.
• Nieuwe certificaten - certificaten die zijn waargenomen in openbare Certificate Transparency-logs en nieuw zijn sinds de laatste scan, zodat een onverwachte uitgifte voor je domein niet onopgemerkt blijft.

Herstel.

• Vernieuw certificaten ruim voordat ze verlopen en automatiseer de vernieuwing (bijvoorbeeld via ACME / Let's Encrypt, of de automatische vernieuwing van je certificeringsinstantie), zodat een verloop je niet kan verrassen.
• Schakel SSL 3.0 en TLS 1.0/1.1 uit en bied op elke publieke host alleen TLS 1.2 en 1.3 aan. Voor hosts die je niet zelf beheert (een CDN, een load balancer, een SaaS-site) stel je dit in via het TLS-beleid van dat platform.
• Verwijder zwakke en verouderde cijfersuites; het Mozilla-profiel "Intermediate" is een veilige standaard, tenzij je een specifieke reden hebt om ervan af te wijken.
• De hostnamen van de Microsoft 365-services (zoals outlook en autodiscover) gebruiken certificaten en TLS-instellingen die Microsoft beheert, dus daar valt niets te wijzigen: richt je op de eigen hosts die jij beheert.
• Publiceer een CAA-record zodat alleen de door jou gekozen certificeringsinstanties voor het domein mogen uitgeven, en blijf Certificate Transparency volgen zodat een onverwacht certificaat snel wordt opgemerkt.

Bronnen.

• RFC 8446 - TLS 1.3
• Mozilla Server Side TLS configuration guidance
• Microsoft - Solving the TLS 1.0 problem
• RFC 6962 - Certificate Transparency
• RFC 8659 - DNS Certification Authority Authorization (CAA)
• Qualys SSL Labs server test

DNS-beveiliging

Dit onderdeel behandelt de DNS-records die je domein en je e-mail beschermen: de maatregelen die voorkomen dat anderen je domein vervalsen, je mail lezen of manipuleren, of een vergeten record kapen. Elk record wordt hieronder afzonderlijk uitgelegd: wat het is, waarom het belangrijk is en hoe een goede, veilige waarde eruitziet.

E-mail- en domeinbeveiligingsrecords

Record	Type	Waarom het belangrijk is	Hoe een goede waarde eruitziet
SPF	TXT	Somt op welke mailservers namens jouw domein mogen verzenden, zodat ontvangers vervalste mail kunnen weigeren.	Eén TXT-record op de apex dat Microsoft 365 autoriseert en eindigt op een hard fail: v=spf1 include:spf.protection.outlook.com -all. Gebruik nooit +all, want dat autoriseert elke afzender.
DKIM	CNAME	Ondertekent je uitgaande mail, zodat ontvangers kunnen aantonen dat er onderweg niet mee is geknoeid.	DKIM-ondertekening voor het domein ingeschakeld in het Microsoft Defender-portaal, met de twee CNAME-records selector1 en selector2 die het uitgeeft gepubliceerd.
DMARC	TXT	Vertelt ontvangers wat ze moeten doen met mail die de SPF- of DKIM-controle niet doorstaat, en stuurt je rapporten.	Een _dmarc-TXT-record van minstens v=DMARC1; p=quarantine met een rua=-rapportadres. Stap over op p=reject zodra je er vertrouwen in hebt. p=none houdt alleen toezicht en biedt geen bescherming.
MX	MX	Bepaalt waar mail voor je domein wordt afgeleverd.	MX verwijst naar <jouw-domein>.mail.protection.outlook.com voor mail die via Microsoft 365 loopt.
DNSSEC	-	Ondertekent je DNS-antwoorden, zodat ze onderweg naar een resolver niet kunnen worden vervalst.	DNSSEC ingeschakeld bij je DNS-provider of registrar, zodat je zone ondertekend is.
Subdomeinovername	CNAME	Vindt bungelende records die verwijzen naar een service die je niet meer draait en die een aanvaller zou kunnen claimen.	Geen CNAME meer die naar een ongebruikte service verwijst. Verwijder of verleg elk bungelend record voordat iemand anders het claimt.

Microsoft 365-servicerecords

Deze standaardrecords laten Microsoft 365-services hun endpoints op je domein vinden. De scan toont de waarde waar elk record naar zou moeten verwijzen naast de waarde waar het nu naar verwijst.

Record	Host	Moet verwijzen naar	Doel
Autodiscover	autodiscover	autodiscover.outlook.com	Laat Outlook zijn postbusinstellingen automatisch vinden.
Skype / Teams	lyncdiscover, sip	webdir.online.lync.com, sipdir.online.lync.com	Discovery voor Skype for Business / Teams.
Apparaatbeheer	enterpriseregistration, enterpriseenrollment	enterpriseregistration.windows.net, enterpriseenrollment.manage.microsoft.com	Registratie en inschrijving van Windows-apparaten.

Een record dat simpelweg ontbreekt, wordt ter informatie getoond (mogelijk gebruik je die service niet). Een record dat ergens anders naartoe verwijst dan naar het Microsoft-doel wordt gemarkeerd, omdat het de service kan breken of een teken kan zijn van een verouderde of gekaapte vermelding.

Bronnen.

• Microsoft - Set up SPF en RFC 7208
• Microsoft - Set up DKIM en RFC 6376
• Microsoft - Set up DMARC en RFC 7489
• Microsoft 365 - Create DNS records at any provider
• RFC 9364 - DNS Security Extensions (DNSSEC)
• Microsoft - Prevent dangling DNS entries and subdomain takeover

Blootgestelde endpoints

Publieke oppervlakken die je aanvalsoppervlak vergroten:

• Verouderde authenticatie-endpoints - oudere protocollen die moderne aanmeldbeveiligingen omzeilen en een veelgebruikte route zijn voor wachtwoordaanvallen.
• Extern delen - hoe breed SharePoint en OneDrive het delen buiten je organisatie toestaan.
• Gasttoegang - hoe vrij gasten in je tenant kunnen worden uitgenodigd.

Aanvullende domeinen

De scan moet weten welke hosts hij moet bekijken. Er zijn twee soorten doelen.

Automatisch ontdekte domeinen

Wanneer een scan draait, leest Aether365 de geverifieerde domeinen uit je gekoppelde Microsoft 365-tenant en scant die automatisch, samen met de standaard Microsoft 365-servicehostnamen die daarvan zijn afgeleid (zoals autodiscover en owa). Omdat Microsoft al heeft geverifieerd dat je deze domeinen bezit, worden ze als vertrouwd beschouwd en gescand zonder enige extra stap van jouw kant.

Je kunt een automatisch ontdekte host van scannen uitsluiten als je hem niet wilt opnemen, maar je kunt hem niet verwijderen - hij zou bij de volgende scan gewoon opnieuw worden ontdekt.

Aangepaste domeinen

Je kunt je eigen domeinen toevoegen - bijvoorbeeld een marketingsite of een productdomein dat geen deel uitmaakt van je Microsoft 365-tenant. Open Aanvullende domeinen, voer een kale domeinnaam in (zoals example.com, zonder https:// en zonder pad) en voeg hem toe.

Voordat Aether365 een verificatiestap aanbiedt, bevestigt het dat het domein daadwerkelijk geregistreerd is en oplost (het bestaat in de DNS en heeft adres- of mailrecords). Een verkeerd gespeld of geparkeerd domein wordt meteen geweigerd, omdat er niets te scannen zou zijn. Domeinen die al door je Microsoft 365-tenant worden gedekt, worden ook geweigerd, aangezien die automatisch worden gescand.

Aangepaste domeinen moeten vervolgens worden geverifieerd voordat Aether365 ze scant. Dit bewijst dat je het domein beheert en voorkomt dat iemand onze scanner op een site richt die niet van hem is.

Een aangepast domein verifiëren

Wanneer je een aangepast domein toevoegt, begint het als Unverified en wordt het nog niet gescand. Zo verifieer je het:

1. Zoek in Aanvullende domeinen het domein op. Er wordt een DNS TXT-record getoond dat je moet publiceren, in de vorm:

   aether365-site-verification=<your-unique-token>

2. Voeg die waarde toe als een TXT-record bij je DNS-provider, op het domein zelf (de apex). De exacte stappen hangen af van je provider, maar je maakt een nieuw TXT-record aan waarvan de waarde de regel is die in de app wordt getoond. Gebruik de knop Record kopiëren om het exact te kopiëren.

3. Sla het record op bij je provider en geef de DNS een paar minuten om te propageren.

4. Klik terug in Aether365 op Verify. We zoeken de TXT-records van het domein op en bevestigen dat de jouwe aanwezig is. Zodra het overeenkomt, wordt het domein gemarkeerd als Verified en opgenomen in je volgende scan.

DNS heeft even tijd nodig

Als de verificatie mislukt vlak nadat je het record hebt gepubliceerd, wacht dan een paar minuten en probeer het opnieuw - DNS-wijzigingen zijn niet altijd meteen zichtbaar. Het token blijft geldig, dus je kunt het zo vaak proberen als nodig is.

Je hoeft elk aangepast domein maar één keer te verifiëren. Automatisch ontdekte Microsoft 365-domeinen hebben deze stap nooit nodig.

Een scan uitvoeren

Open de pagina Attack Surface en selecteer Run scan. De scan draait op de achtergrond en de pagina toont de voortgang; wanneer hij klaar is, vullen de drie secties zich met bevindingen en weerspiegelt de statussamenvatting bovenaan de laatste run. Je kunt op aanvraag een scan uitvoeren wanneer je een actueel beeld wilt.

De resultaten lezen

De resultaten zijn gegroepeerd per domein. Elk domein heeft zijn eigen kaart, en elke Microsoft 365-servicehostnaam (zoals autodiscover.example.com of sip.example.com) staat binnen de kaart van zijn hoofddomein in plaats van als een aparte vermelding. Een kaart staat standaard open; klik op de kop om hem in te klappen.

Binnen een kaart zijn de controles opgesplitst naar de services waartoe ze behoren - Mail security, Domain security, Autodiscover, Skype / Teams, Device management, Certificates en Exposed endpoints - zodat verwante records bij elkaar staan.

Elke kaart opent als een leesbare lijst, en een Table-schakelaar in de kop van de kaart zet de DNS-records om in een overzichtelijke tabel, zodat je elk record in één oogopslag kunt lezen. De tabel heeft één regel per record met vier kolommen:

Kolom	Wat het toont
Type	Het recordtype als pill: TXT, CNAME, MX, enzovoort.
Host / naam	De host waarop het record staat, zoals autodiscover.example.com.
Status	Een gekleurde pill: Match (groen) wanneer de gepubliceerde waarde klopt, Mismatch (rood) wanneer er een waarde is gepubliceerd maar die fout is, of Missing (oranje) wanneer er niets is gepubliceerd.
Gepubliceerde waarde	De waarde die op dit moment is gepubliceerd. Wanneer een record hersteld moet worden, wordt de waarde die Microsoft 365 verwacht er direct onder getoond, zodat je verwacht en huidig naast elkaar kunt vergelijken. Lange waarden zoals DKIM-sleutels blijven op één regel totdat je ze uitvouwt.

Records die aandacht nodig hebben, worden als eerste vermeld, zodat de records die het waard zijn om te herstellen bovenaan staan. Een ontbrekend record kan prima zijn als je die service niet gebruikt. Welke weergave je ook gebruikt, elke bevinding linkt naar meer details over de specifieke controle.

De samenvatting bovenaan de pagina telt de openstaande problemen per ernst op, en elke domeinkaart toont hoeveel van zijn records aandacht nodig hebben, zodat je ziet waar je eerst moet kijken. Elke bevinding linkt naar meer details over de specifieke controle.

Veelgestelde vragen

Raakt de scan mijn servers aan? Nee. Hij leest alleen informatie die al openbaar is - DNS-records, TLS-handshakes op standaardpoorten en Certificate Transparency-logs.

Waarom wordt een aangepast domein niet gescand? Het is waarschijnlijk nog Unverified. Voeg het TXT-record toe dat in Aanvullende domeinen wordt getoond en klik op Verify. Totdat een aangepast domein is geverifieerd, wordt het overgeslagen.

Kan ik een automatisch ontdekt domein verwijderen? Je kunt het niet verwijderen, maar je kunt het uitsluiten zodat het buiten scans wordt gelaten.