CompTIA SY0-701: Endpoint, Mobiele & Fysieke Beveiliging — Studiegids

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Onderdeel van de CompTIA Security+ SY0-701 — Studiegids. Oefen met geverifieerde antwoorden in het CompTIA-examencentrum, of doe getimede oefentests op ExamRoll.io.

De beveiliging van informatiesystemen is uiteindelijk afhankelijk van de beveiliging van de fysieke en eindpuntapparaten die gegevens opslaan en verwerken. Een perfect geconfigureerde firewall biedt weinig bescherming wanneer een niet-versleutelde laptop wordt gestolen uit een luchthavenlounge, wanneer een technicus voor het gemak een datacenterdeur openhoudt, of wanneer een medewerker een gecompromitteerde APK op een bedrijfstelefoon side-loadt.

Mobiele Implementatiemodellen en Apparaat-Hardening

De strategie voor het beheer van mobiele apparaten begint met eigendoms- en beheermodellen. In een Bring Your Own Device (BYOD)-model gebruiken medewerkers hun persoonlijke hardware voor werk. De organisatie heeft beperkte bevoegdheid om configuraties af te dwingen, dus de controles richten zich op containerisatie — het scheiden van bedrijfsgegevens in een versleutelde, op afstand beheersbare werkruimte (zoals Android Work Profile of iOS User Enrollment), terwijl persoonlijke gegevens onaangetast blijven. Remote wipe bij BYOD is doorgaans beperkt tot de bedrijfscontainer.

Corporate-Owned, Personally Enabled (COPE)-apparaten worden gekocht en zijn eigendom van de organisatie, maar staan redelijk persoonlijk gebruik toe. Omdat het bedrijf de hardware bezit, kan het een volledig apparaatbeleid afdwingen: verplichte pincodecomplexiteit, uitgeschakelde ontwikkelaarsopties, afgedwongen OS-versies, application allowlisting en een volledige remote wipe van het apparaat. COPE biedt een balans tussen gebruikerstevredenheid en controle door de onderneming.

Corporate-Owned, Business Only (COBO) beperkt apparaten tot strikt werkgerelateerd gebruik. Persoonlijke apps, camera’s, USB-overdracht en app stores zijn uitgeschakeld. COBO is geschikt voor omgevingen met hoge beveiligingseisen, zoals de gezondheidszorg, de financiële sector of de overheid, waar het risico op datalekken zwaarder weegt dan het gemak voor de medewerker.

Mobile Device Management (MDM)-platforms (Jamf, Microsoft Intune, VMware Workspace ONE) dwingen beleid af, pushen configuraties, implementeren applicaties en maken remote wipe mogelijk. Mobile Application Management (MAM) richt zich specifiek op controles op applicatieniveau zonder volledige inschrijving van het apparaat te vereisen — handig in BYOD-scenario’s waar medewerkers zich verzetten tegen volledige MDM-inschrijving.

Endpoint-Hardening en Configuratie-Baselines

Endpoint-hardening verkleint het aanvalsoppervlak van werkstations en servers. De CIS Benchmarks bieden prescriptieve, op consensus gebaseerde configuratierichtlijnen voor Windows, Linux, macOS en belangrijke applicaties. Belangrijke hardening-maatregelen zijn onder meer het uitschakelen van onnodige services en poorten, het inschakelen van host-based firewalls, het configureren van automatische updates, het inschakelen van volledige schijfversleuteling, het implementeren van EDR en het afdwingen van application allowlisting.

Group Policy in Active Directory-omgevingen dwingt configuratie op grote schaal af. Een GPO kan bijvoorbeeld afdwingen:

Computer Configuration > Windows Settings > Security Settings:
  - Minimum password length: 14 characters
  - Account lockout threshold: 5 invalid attempts
  - Audit logon events: Success and Failure
  - Disable: Guest account, AutoRun/AutoPlay
  - Enable: Windows Firewall (all profiles)

Patchmanagement is de beveiligingsactiviteit met het hoogste rendement voor endpoints. De meerderheid van de succesvolle exploits richt zich op bekende kwetsbaarheden waarvoor al maanden of jaren patches beschikbaar zijn. Een patchmanagementprogramma definieert SLA’s per ernstgraad (kritieke patches binnen 72 uur, hoge binnen 14 dagen, gemiddelde binnen 30 dagen), volgt de naleving en escaleert uitzonderingen.

Fysieke Beveiligingsmaatregelen

Fysieke beveiliging is de eerste verdedigingslinie. Mantraps (ook wel sluizen of toegangssluizen genoemd) creëren een ingang met twee deuren waarbij de eerste deur moet sluiten voordat de tweede opent, wat ’tailgating’ (meeglippen) voorkomt. Badgelezers, biometrische scanners en pincodepanelen controleren de toegang tot gevoelige gebieden. CCTV zorgt voor afschrikking en forensisch bewijs. Beveiligers bieden een menselijk oordeel dat geautomatiseerde systemen niet kunnen repliceren.

Omgevingscontroles beschermen tegen niet-vijandige dreigingen. Datacenters vereisen nauwkeurig temperatuur- en vochtigheidsbeheer (ASHRAE A1-klasse: 15–32°C, 20–80% RV), redundante koeling, brandblussystemen (blusgassystemen zoals FM-200 of Novec 1230 die apparatuur niet beschadigen) en verhoogde vloeren voor kabelbeheer en luchtstroom.

Kooien van Faraday blokkeren elektromagnetische signalen, waardoor draadloze communicatie naar of vanuit een afgeschermde ruimte wordt voorkomen. Ze worden gebruikt in hoogbeveiligde faciliteiten om RF-gebaseerde data-exfiltratie te voorkomen en bij forensisch onderzoek om te verhinderen dat in beslag genomen apparaten op afstand worden gewist.

Praktijkscenario: Fysiek Meeglippen Leidt tot Datadiefstal

De handelsvloer van een financiële dienstverlener had toegang met badges, maar geen mantrap. Een aanvaller die zich voordeed als een HVAC-monteur (in uniform en met gereedschap) wachtte bij de ingang en volgde een legitieme medewerker door de deur toen deze zijn badge gebruikte — een klassieke ’tailgating’-aanval. Eenmaal binnen vond de aanvaller een onbeheerd werkstation dat was ingelogd, plaatste een USB-stick met een keylogger en een reverse shell-payload, en vertrok binnen vier minuten. De keylogger legde de week daarop de inloggegevens van handelaren vast, die werden gebruikt om vanaf een extern IP-adres toegang te krijgen tot het handelsplatform. Het falen van de fysieke controle — geen mantrap, geen beleid voor het begeleiden van bezoekers, geen beleid voor onbeheerde werkstations — maakte de hele aanvalsketen mogelijk. Een mantrap zou de aanvaller hebben verplicht om zelfstandig een badge te gebruiken, en een schermvergrendelingsbeleid (inactiviteitstime-out van 5 minuten) zou de toegang tot het ontgrendelde werkstation hebben verhinderd.

← Bedrijfscontinuïteit · Alle domeinen · Kwetsbaarhedenbeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →