Waarom macro’s een bekende aanvalsroute zijn
Macro’s zijn kleine programma’s in Word-, Excel- of PowerPoint-bestanden die taken automatiseren. Dat is handig voor een offerte- of urensheet, maar dezelfde techniek kan ook schadelijke software downloaden of starten. Aanvallers sturen daarom bestanden die eruitzien als een factuur, pakbon of salarisoverzicht, met de vraag om ‘inhoud in te schakelen’. Eén klik is genoeg. Een goede filter voor koppelingen en bijlagen houdt veel tegen, maar niet alles, en een bestand kan ook via een downloadlink of USB-stick binnenkomen.
Wat Microsoft standaard al doet
Office voor Windows markeert bestanden die van internet of uit e-mail komen. Voor zulke bestanden blokkeert Office macro’s inmiddels standaard; de medewerker ziet dan een rode balk met een beveiligingswaarschuwing in plaats van een knop om ze aan te zetten. Dat is een flinke verbetering, maar er blijven gaten. Een medewerker kan een bestand in de eigenschappen ‘deblokkeren’, oudere instellingen of versies kunnen afwijken, en bestanden uit andere bronnen krijgen niet altijd die markering. Zonder centraal beleid weet u niet zeker hoe het op elke laptop staat.
Wat u centraal vastlegt
- Macro’s uit internetbestanden blokkeren: zet via Intune het beleid aan dat macro’s in Office-bestanden van internet blokkeert, voor Word, Excel, PowerPoint en de andere Office-apps die u gebruikt.
- Alleen ondertekende macro’s toestaan: stel de macro-instelling in op ‘alle macro’s uitschakelen behalve digitaal ondertekende macro’s’. Bedrijfsmacro’s ondertekent u met een certificaat van uw eigen organisatie of van de leverancier.
- Vertrouwde locaties beperkt houden: een vertrouwde locatie is een map waar macro’s altijd mogen draaien. Gebruik er zo weinig mogelijk, nooit de map Downloads of een map waar iedereen in kan schrijven, en leg ze centraal vast.
- Instellingen niet door gebruikers laten wijzigen: omdat het beleid via Intune komt, kan een medewerker het niet zelf terugzetten in de Office-opties.
- Extra regels op de laptop: met Defender for Business kunt u regels aanzetten die voorkomen dat Office-apps andere programma’s starten of uitvoerbare bestanden aanmaken. Dat beperkt de schade als er toch een macro draait.
Zo houdt u de bedrijfsmacro’s werkend
- Inventariseren: vraag per afdeling welke bestanden macro’s gebruiken, zoals een urensheet, prijscalculatie of export uit het boekhoudpakket. Vaak zijn het er minder dan gedacht.
- Opruimen of vervangen: sommige oude macro’s zijn niet meer nodig of kunnen vervangen worden door standaardfuncties in Excel of een koppeling met uw software.
- Ondertekenen of vaste plek: de macro’s die blijven, ondertekent u, of u zet ze op één beheerde locatie. Bij een overstap naar SharePoint hoort dit bij de planning; zie ook ons artikel over de fileserver naar SharePoint migreren.
- Proefgroep: zet het beleid eerst een week aan voor een paar collega’s, inclusief iemand van de administratie, en los meldingen op voordat iedereen meegaat.
- Medewerkers uitleggen waarom: wie weet dat een factuur nooit om ‘inhoud inschakelen’ hoort te vragen, klikt minder snel. Neem het mee in uw security awareness-training.
Hoe Floor ICT dit regelt
Floor ICT inventariseert met u welke Office-bestanden macro’s gebruiken en wie ze nodig heeft. We richten via Intune het macrobeleid in voor alle beheerde laptops, ondertekenen of verplaatsen de bedrijfsmacro’s die moeten blijven, en zetten waar mogelijk de extra regels in Defender aan. Eerst bij een proefgroep, daarna voor iedereen. Zo werkt de administratie gewoon door, en levert een nep-factuur met macro’s alleen nog een waarschuwing op in plaats van een besmette laptop.