Uw Active Directory bepaalt de toegang tot uw hele onderneming. Ontdek wie het zou kunnen overnemen, en hoe u dat voorkomt.
ShieldAD auditeert uw Active Directory en Microsoft Entra ID bij u ter plaatse, in alleen-lezen modus. Eén scan geeft u de zwakke plekken die echt uitbuitbaar zijn, gerangschikt volgens prioriteit, correcties die u kunt toepassen zonder de productie te verstoren, en het bewijs voor uw audits: NIS2, ISO 27001, CyFun en 4 andere raamwerken.
- Alleen-lezen
- Geen gegevens verlaten uw infrastructuur
- Ontwikkeld in Brussel
Waarom Active Directory het eerste doelwit van aanvallers is
Active Directory bepaalt wie toegang heeft tot wat: werkstations, servers, e-mail, bedrijfstoepassingen. Een aanvaller die er de controle over krijgt, heeft de controle over de hele onderneming. Het is de sleutelstap in de meeste ransomware-aanvallen.
Onzichtbare zwakke plekken
Na jaren van wijzigingen stapelen vergeten accounts, geërfde rechten en verouderde instellingen zich op. Niemand ziet ze, behalve een aanvaller.
Te veel meldingen, geen prioriteiten
Klassieke audittools produceren honderden meldingen, zonder te zeggen welke echt gevaarlijk zijn of hoe u ze veilig oplost.
Verplichtingen die bewijs vereisen
NIS2, ISO 27001, CyFun, DORA: veilig zijn volstaat niet meer, u moet het ook kunnen aantonen.
Van diagnose tot nalevingsbewijs, in één platform
Zien
Een duidelijke beveiligingsscore en een kaart van de paden die een aanvaller zou volgen tot de beheerdersaccounts (ShieldGraph).
Prioriteren
Elke zwakke plek wordt gerangschikt volgens het reële risico, de uitbuitbaarheid en de impact op uw activiteiten. U weet waar u moet beginnen.
Oplossen
Voor elke zwakke plek: een stapsgewijs herstelplan, een kant-en-klaar PowerShell-script, en een simulatie van wat de correctie zou kunnen verstoren vóór u ze toepast (ShieldPredict Professional-plan).
Aantonen
Elke controle is gekoppeld aan de vereisten van NIS2, ISO 27001, CIS, AVG, CyFun, DORA en ANSSI. Uw rapporten zijn klaar voor de auditor.
Eén scan, een rapport voor elke beslisser
Directie
Uw risiconiveau op één pagina, zonder jargon, met de impact op uw activiteiten.
IT-verantwoordelijke / CISO
De geprioriteerde lijst met correcties, met scripts en geschatte inspanning.
DPO / Compliance
De koppeling met de NIS2-, AVG- en ISO 27001-vereisten, en het te bewaren bewijs.
Externe auditors
Een multi-klanttool voor uw NIS2- en ISO 27001-opdrachten (Auditor-plan).
Vier stappen. Niets te installeren. Niets verlaat uw organisatie.
Wij komen bij u.
Vóór de start controleert uw beveiligingsverantwoordelijke samen met ons dat de software echt en ongewijzigd is (SHA-256-vingerafdruk).
De scan analyseert zonder iets te wijzigen.
Hij draait in alleen-lezen modus op Active Directory en Entra ID, in enkele minuten, zonder geïnstalleerde agent.
U ontvangt 8 rapporten.
Directie, IT, DPO, herstel, scoring, trend, risicogebruikers, AD-forest.
U corrigeert, begeleid.
Kant-en-klare scripts, en de volgende scan meet uw vooruitgang.
Gecontroleerd vóór elke scan. Alleen-lezen. Ter plaatse. Uw gegevens blijven bij u.
Elke ShieldAD-scan begint met een integriteitscontrole van de software, live uitgevoerd in aanwezigheid van uw beveiligingsverantwoordelijke. De analyse wijzigt niets in uw omgeving, en geen enkel Active Directory-gegeven passeert via onze servers: dat wordt gegarandeerd door de architectuur, niet alleen door een contract.
Validatie ter plaatse
De SHA-256-vingerafdruk van de software wordt vóór elke scan in uw bijzijn gecontroleerd.
Geen exfiltratie
Alles draait lokaal. De resultaten blijven in uw infrastructuur.
Gemeten vooruitgang
Elke scan vergelijkt uw resultaten met de vorige: toegepaste correcties en opgeloste controles verschijnen automatisch in het volgende rapport.
Het echte product
Echte schermafbeeldingen, geen illustraties: dashboard, scan, aanvalspaden, SIEM-export.
Het Dashboard toont uw globale identiteitsbeveiligingsscore, de FAIL/WARN/PASS-verdeling en uw topprioritaire risico's.
Het Scan-scherm start een on-premises Active Directory-scan of een Azure/Entra ID-scan, met IAM-toegangsinventaris.
ShieldGraph visualiseert aanvalspaden, met escalatieroutes en kritieke knooppunten naar Domain Admins.
ShieldConnect stuurt resultaten naar uw SIEM of SOAR: Microsoft Sentinel, Splunk, Elastic, Wazuh, Graylog, IBM QRadar, Teams en Slack.
ShieldConnect stuurt resultaten naar (Professional-formule, JSON/CEF-export):
Voor. Na.
Schakel bij een echte bevinding tussen de oplossing, het resterende risico en de compliance-winst.
Beveiligingsprobleem FAIL
Kerberoastbare bevoorrechte service-accounts gedetecteerd
Service-accounts met een SPN (Service Principal Name) kunnen hun Kerberos service-ticket laten opvragen door elke geauthenticeerde gebruiker, waarna het offline gekraakt kan worden. Zwakke versleuteling en voorspelbare wachtwoorden vergroten de kans op credential-diefstal en laterale beweging.
Get-ADUser -Filter 'ServicePrincipalName -like "*"' -Properties ServicePrincipalName,AdminCount,'msDS-SupportedEncryptionTypes' | Where-Object AdminCount -eq 1
Set-ADUser -Identity svc-app -Replace @{'msDS-SupportedEncryptionTypes'=24}
Beveiligingsprobleem PASS
Bevoorrechte service-accounts passen nu uitsluitend AES Kerberos-versleuteling toe
Het attribuut msDS-SupportedEncryptionTypes van het account werd ingesteld op alleen AES128+AES256, waarmee het zwakke-versleutelingspad voor offline Kerberoasting wordt uitgeschakeld. Waar mogelijk werd het account gemigreerd naar een group managed service account (gMSA) met automatisch geroteerd wachtwoord, verwijderd uit bevoorrechte groepen die niet langer nodig waren, en werden ongebruikte SPN's verwijderd.
Get-ADUser -Filter 'ServicePrincipalName -like "*"' -Properties 'msDS-SupportedEncryptionTypes' |
Where-Object { $_.'msDS-SupportedEncryptionTypes' -eq 24 }
Reglementaire Conformiteit
Los het één keer op. NIS2, ISO 27001, CIS, AVG, DORA en ANSSI bewegen mee.
Herstel de technische controle eenmalig en hergebruik het bewijs vervolgens in meerdere compliance-weergaven.
- Beheer van bevoorrechte toegang
- Incidentmelding (24u / 72u / 1 maand)
- Kwetsbaarheidsbeheer
- Bedrijfscontinuïteit
- Toegangscontrole (A.5.15)
- Cryptografie (A.8.24)
- Logging en monitoring (A.8.15-A.8.16)
- Incidentbeheer (A.5.24)
- Accountbeheer (CIS 05)
- Toegangsbeheer (CIS 06)
- Auditlogbeheer (CIS 08)
- Applicatiebeveiliging (CIS 16)
- Traceerbaarheid van toegang
- Levenscyclusbeheer
- Minimale rechten
- Logbeheer
- Identificatie van activa
- Authenticatiebeveiliging
- Anomaliedetectie
- Incidentrespons
- ICT-risicobeheer
- Veerkrachttests
- Incidentbeheer
- Toezicht op derden
- Hardening van domeincontrollers
- FSMO & SPOF scheiding
- Tiering-model
- PAM-aanbevelingen
Wettelijke vermelding: ShieldAD levert bewijs van technische controles en vormt geen NIS2-, ISO 27001- of AVG-certificering. Reglementaire conformiteit vereist aanvullende documentaire beoordeling door een gekwalificeerde auditor. DORA (EU 2022/2554) is uitsluitend van toepassing op EU-financiële entiteiten. Bekijk ons volledige Beveiliging & Compliance-beleid.
Transparante Tarieven
Vier formules, van een eenmalige audit tot een onbeperkte jaarlicentie
Oneshot
Een momentopname van uw Active Directory, ter plaatse uitgevoerd door ons team. Voor 20 tot 249 gebruikers. Zonder abonnement, geen softwarelicentie inbegrepen.
- Volledige on-prem + cloud scan (524 controles)
- Alle 8 HTML-rapporten geleverd
- Ter plaatse SHA-256 gevalideerde uitvoering
- Expert debrief & rapporttoelichting
Volledig te betalen bij bestelling, vóór de interventie.
Afspraak makenEssential
Jaarlijkse softwarelicentie met 4 scans per jaar, uitgevoerd door uw team. Voor 20 tot 249 gebruikers.
- Licentie + 4 scans per jaar, door u gestart
- Volledige scan (524 controles), 8 rapporten, SHA-256-controle vóór elke scan
- Trendrapport: volg beveiligingsevolutie in de tijd
- Toegang tot software-updates inbegrepen
- Controles in kaart gebracht: NIS2, ISO 27001, AVG, CIS, DORA, ANSSI
- E-mailondersteuning inbegrepen
Minimaal gefactureerd: 20 gebruikers (€ 580 excl. btw/jaar). Verbintenis van 12 maanden.
Afspraak makenProfessional
Jaarlicentie met onbeperkte scans en ShieldConnect SIEM-export. Voor 20 tot 249 gebruikers.
- Onbeperkte scans tijdens abonnementsperiode
- Alle 524 controles + 8 rapporten
- Multi-domein Active Directory
- SIEM-connectoren inbegrepen: ShieldConnect (Sentinel, Splunk, Elastic, Wazuh, Graylog, QRadar, Teams, Slack; JSON/CEF-export)
- ShieldPredict inbegrepen: simulatie van aanvalsimpact vóór herstel
- Prioritaire telefoon + e-mail ondersteuning + premium toegang tot productupdates
Minimaal gefactureerd: 20 gebruikers (€ 980 excl. btw/jaar). Verbintenis van 12 maanden.
Afspraak makenRoadmap (binnenkort):
ShieldBrand: eigen brandingAuditor
Voor externe auditors & pentesters. NIS2, ISO 27001. Betaal per scanpakket.
- Scanpakketten: 5, 10 of 20 scans
- Volledige scan + alle 8 rapporten per audit
- Multi-client gebruik
- Pakket geldig tot 18 maanden
Eén gebruiker = één actieve, persoonsgebonden gebruikersaccount in uw directory. Service-accounts en gedeelde accounts worden niet meegeteld.
- Alle tarieven zijn exclusief btw: btw van toepassing conform geldende wetgeving
- Oneshot: volledig te betalen bij bestelling, vóór de interventie.
- Betalingstermijn: 30 dagen netto
- Essential & Professional abonnementen jaarlijks gefactureerd
- Stilzwijgende verlenging voor opeenvolgende termijnen van 1 jaar, tenzij 30 dagen op voorhand opgezegd
- Offerte op maat binnen 48 werkuren
Veelgestelde Vragen
Vind snel antwoorden op de meest gestelde vragen
ShieldAD Report™ is een Active Directory- en Entra ID-auditplatform. Vanuit één enkele alleen-lezen scan produceert het 8 afzonderlijke rapporten (directie, IT-manager, DPO/AVG, herstel, gedetailleerde score, trend, risicogebruikers, AD forest) die 524 beveiligingscontroles dekken: 356 on-premises Active Directory en 168 Entra ID.
Nee. De scan draait in alleen-lezen modus, zonder installatie, zonder wijziging van de infrastructuur. Gegevens verlaten de omgeving van de klant niet. De zelfstandige PowerShell-agent werkt op elke Windows-omgeving vanaf Server 2016. Geen Active Directory-gegevens worden naar onze servers doorgestuurd: dit is architecturaal gegarandeerd, niet alleen contractueel.
De Oneshot wordt altijd ter plaatse uitgevoerd door ons team. Een beveiligingstool op een domeincontroller implementeren zonder fysiek aanwezig te zijn om de integriteit te valideren en de rapportaflevering te begeleiden, betekent het essentiële van een audit missen: de SHA-256-validatie van het uitvoerbaar bestand, live uitgevoerd in aanwezigheid van de CISO vóór de lancering, is de basis van vertrouwen. Met de Essential- en Professional-abonnementen voert uw team de scans zelf uit, in alleen-lezen modus, na controle van de SHA-256-vingerafdruk van het uitvoerbaar bestand.
Besturingssysteem: Windows 10/11 (64-bit) of Windows Server 2016/2019/2022/2025. De EXE is gecompileerd als x64: het werkt niet op een 32-bit systeem.
PowerShell: Windows PowerShell 5.1 minimaal (standaard inbegrepen op Win10/11 en Server 2016+). PowerShell 7+ (Core) wordt niet ondersteund. Alleen de native Windows PowerShell.
RSAT: De ActiveDirectory PowerShell-module moet geïnstalleerd zijn op de computer die de scan uitvoert. Op Windows 10/11: Instellingen › Apps › Optionele functies › RSAT: Active Directory Domain Services en LDS-hulpprogramma's. Op Windows Server: Install-WindowsFeature RSAT-AD-PowerShell
Netwerk & AD-rechten: De computer moet lid zijn van het te auditen domein. Een via het netwerk bereikbare domeincontroller (poorten LDAP 389, Kerberos 88, RPC 135). Een account met Active Directory-leesrechten (Domain Admin aanbevolen voor een volledige scan).
Uitvoeringsrechten: Voer de EXE uit "als administrator" (deze vraagt automatisch om UAC-verhoging).
Uitvoermap: Schrijfrechten op Documents\ShieldAD (automatisch aangemaakt): HTML-rapporten worden daar gegenereerd.
Optioneel (AADS cloudmodule): Alleen vereist bij het scannen van Entra ID / Azure AD: Install-Module MSAL.PS -Scope CurrentUser, .NET Framework 4.6.1+ (standaard op Win10/Server 2016+), een Azure-account met alleen-lezen Graph-machtigingen op de tenant (beheerderstoestemming vereist), internettoegang voor Microsoft Device Code Flow (geen opgeslagen geheimen, authenticatie alleen in geheugen).
Ja. De 524 ShieldAD-controles zijn, waar een eis van toepassing is, gekoppeld aan het relevante NIS2-artikel (EU-richtlijn 2022/2555) en aan de relevante Bijlage A-maatregelen van ISO/IEC 27001:2022 (93 maatregelen verdeeld over de thema's Organisatorisch, Mensen, Fysiek en Technologisch, A.5 t/m A.8). Het directierapport genereert een Art. 21 conformiteitsamenvatting voor auditors. We dekken ook CIS Controls v8.1, AVG, CyFun (België), DORA (financiële sector) en de ANSSI-gids voor het hardenen van Active Directory. ShieldAD verleent op zichzelf geen NIS2-conformiteit of ISO 27001-certificering: daarvoor is een organisatorische beoordeling door een gekwalificeerde auditor vereist.
Wij bieden vier formules aan:
Oneshot (€ 500 excl. btw) is een momentopname van uw Active Directory, ter plaatse uitgevoerd door ons team: u ontvangt de 8 rapporten, niet de software. Voor 20 tot 249 gebruikers, zonder abonnement.
Essential (€ 29 excl. btw per gebruiker per jaar) omvat de softwarelicentie, 4 scans per jaar uitgevoerd door uw team, een trendrapport en toegang tot software-updates.
Professional (€ 49 excl. btw per gebruiker per jaar) voegt onbeperkte scans, ShieldConnect (8 SIEM-, messaging- en e-mailconnectoren: JSON/CEF-export) en ShieldPredict toe. De Entra ID / Azure AD-module is inbegrepen in alle formules.
Essential en Professional worden gefactureerd op minimaal 20 gebruikers (€ 580 en € 980 excl. btw per jaar), met een verbintenis van 12 maanden. Vanaf 250 gebruikers zijn alle formules, Oneshot inbegrepen, op offerte.
Auditor is ontworpen voor externe NIS2 / ISO 27001 auditors en pentesters, aangekocht als scanpakketten van 5, 10 of 20 scans, bruikbaar in meerdere klantomgevingen.
Neem contact met ons op om te bespreken welke formule aansluit bij uw beveiligingsvolwassenheid en regelgevende verplichtingen.
Eén gebruiker = één actieve, persoonsgebonden gebruikersaccount in uw directory. Service-accounts en gedeelde accounts worden niet meegeteld. Elke persoonsgebonden account telt afzonderlijk: iemand met een standaardaccount en een beheerdersaccount telt als twee gebruikers. Een account die gesynchroniseerd is tussen Active Directory en Entra ID wordt slechts één keer geteld. Essential en Professional worden gefactureerd per gebruiker per jaar, met minimaal 20 gefactureerde gebruikers. Het aantal gebruikers kan worden gecontroleerd met de gebruikerstelling van de ShieldAD-scan en wordt bij elke verlenging aangepast: tijdens de lopende periode wordt niets extra gefactureerd.
We bieden geen gratis proefversies aan vanwege de gevoelige aard van Active Directory-audits. We organiseren echter gepersonaliseerde afspraken om het platform voor te stellen, uw specifieke vragen te beantwoorden en uw behoeften te beoordelen. Contacteer ons op contact@mandatoryshield.com om een gesprek met onze experts te plannen.
Voor de Oneshot plannen wij de interventie ter plaatse binnen 5 tot 10 werkdagen nadat uw bestelling betaald is. De scan en de overhandiging van de rapporten vinden plaats tijdens deze interventie. Bij Essential en Professional voert uw team de scans zelf uit zodra het contract ondertekend en de licentie geleverd is: 4 scans per jaar met Essential, onbeperkte scans met Professional. De Auditor-formule werkt per scanpakket.
Ja. De Entra ID / Azure AD-module is zonder meerkost inbegrepen in alle formules. De module analyseert uw Microsoft cloud-omgeving, Azure AD Connect synchronisaties en federatieconfiguraties, en produceert een specifiek rapport naast de on-premise AD-audit.
Shield-modules zijn inbegrepen in het Professional plan, zonder meerprijs.
ShieldConnect stuurt scanresultaten rechtstreeks naar uw SIEM (Sentinel, Splunk, Elastic, Wazuh, Graylog, QRadar), berichtentools (Teams, Slack) en e-mail, in JSON- of CEF-formaat. 8 connectoren inbegrepen.
ShieldPredict simuleert aanvalsscenario's op basis van uw huidige AD-postuur, waarbij risico's worden gescoord op exploiteerbaarheid en bedrijfsimpact.
ShieldBrand, waarmee MSP's en integratoren ShieldAD-rapporten onder hun eigen merkidentiteit kunnen leveren, is gepland voor een volgende versie en nog niet beschikbaar.
Contacteer ons op contact@mandatoryshield.com om de beschikbaarheid te bespreken.
Ja. De Auditor-formule is specifiek ontworpen voor externe NIS2, ISO 27001 auditors en pentesters die AD beveiligingsbeoordelingen moeten uitvoeren in meerdere klantomgevingen.
In plaats van een jaarabonnement koopt u een scanpakket (5, 10 of 20 scans). Elke scan bevat de volledige 524-controle analyse en alle 8 regelgevende rapporten. Pakketten zijn geldig tot 18 maanden en kunnen worden gebruikt in verschillende client-Active Directories.
Contacteer ons op contact@mandatoryshield.com om de Auditor-prijzen te bespreken.
Nee. ShieldAD is het platform: de beoordelingsengine en de 8 rapporten. ShieldConnect en ShieldPredict zijn modules die zonder meerkost bij de Professional-formule zijn inbegrepen, geen zelfstandige producten die apart geïnstalleerd worden. ShieldBrand staat op de routekaart en is nog niet beschikbaar.
Wie zijn wij?
Mandatory Shield Company, opgericht in Brussel in 2026, ontwikkelt ShieldAD, een Active Directory-auditoplossing ontworpen voor Europese kmo's en middelgrote bedrijven. ShieldAD genereert in minder dan 10 minuten een volledig rapport met 524 beveiligingscontroles, afgestemd op NIS2, ISO 27001, CIS en AVG, inclusief kant-en-klare PowerShell-herstelscripts. Geen gegevens verlaten de infrastructuur van de klant: alles werkt lokaal, in alleen-lezen modus.
Onze Missie
Elke Europese organisatie in staat stellen het aanvalsoppervlak van haar Active Directory te begrijpen en te verkleinen, ongeacht de grootte, zonder gegevens buiten haar eigen infrastructuur te laten gaan.
Gemaakt in België
Ontwikkeld in Brussel sinds 2026. Gehost in de EU. Geen afhankelijkheid van cloud van derden.
SHA-256-validatie ter plaatse
De hash van het uitvoerbaar bestand wordt live gecontroleerd voor uw CISO vóór elke scan.
Uitvoerbare herstelmaatregelen
Elke bevinding komt met een kant-en-klaar PowerShell-herstelscript.
Contact
Afspraak Maken
Laten we uw behoeften op het gebied van Active Directory beveiliging bespreken. Onze experts nemen binnen 48 werkuren contact met u op om een afspraak te maken.
contact@mandatoryshield.com
www.mandatoryshield.com
Brussel, België (Europese Unie)