Help, er staat een Mac op mijn netwerk (8): moet daar geen antivirus op?

Aflevering 8 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Het mailtje van Marieke had als onderwerp “even invullen?” en als bijlage een vragenlijst van 14 pagina’s. De cyberverzekering moest verlengd worden. Ruud zette koffie, pakte zijn mok (“Have you tried turning it off and on again?”) en begon. MFA: ja. Back-ups: ja, offline kopie ook. Patchbeleid: ja. Toen kwam vraag 23: “Is op alle endpoints antivirus of EDR geïnstalleerd en centraal beheerd?”

Ruud wilde het vinkje al zetten. Alle Windows-laptops draaien Defender, netjes gekoppeld aan Intune. Toen dacht hij aan de MacBook Air van Marieke. En aan de drie Macs die er sindsdien bij gekomen waren, want Marieke had haar goede gevoel gedeeld met de afdeling werkvoorbereiding.

“Sam, wat draait er eigenlijk aan antivirus op die Macs?”

Sam keek op van zijn scherm. “Niks toch? Macs krijgen toch geen virussen?”

Het bleef even stil. Ruud zette zijn mok heel langzaam neer. “Dat,” zei hij, “is precies wat ik in 2003 ook over mijn Windows XP-machine zei. Twee dagen later had ik Blaster.”

“Oké, oké,” zei Sam. “Ik bedoelde het half als grap. Maar zo kaal is zo’n Mac ook weer niet. Mag ik even?” Hij trok een stoel bij en begon op te sommen. XProtect. Gatekeeper. Notarisatie. SIP. Een verzegeld systeemvolume. FileVault. Ruud schreef mee op de achterkant van de vragenlijst en moest toegeven dat dat meer was dan hij had verwacht.

“Mooi,” zei Ruud. “En nu het belangrijkste. Waar zie ik dat allemaal? Want de verzekeraar vraagt niet of het erop zit. Die vraagt of wij het kunnen laten zien.”

Daar had Sam even geen antwoord op. “Daar heb jij dan weer gelijk in,” zei hij.

Wat er echt aan de hand is

Allebei hebben ze een beetje gelijk, en dat is meteen het eerlijke antwoord op de vraag.

De Mac is van zichzelf goed beveiligd. Er zit standaard meer in dan veel Windows-beheerders denken:

• XProtect is de ingebouwde malwarescanner van macOS. Die controleert apps op bekende malware op basis van handtekeningen die Apple los van de gewone macOS-updates bijwerkt.
• XProtect Remediator scant periodiek op de achtergrond, vooral als de Mac wakker is maar niet veel doet, en ruimt bekende malware op die al op het systeem staat.
• Gatekeeper en notarisatie: apps van buiten de App Store moeten ondertekend zijn met een ontwikkelaars-ID en door Apple gecontroleerd. Sinds macOS Sequoia kun je een geblokkeerde app niet meer met Control-klik en Open starten. Dat moet nu via Systeeminstellingen, Privacy en beveiliging, Open toch.
• System Integrity Protection (SIP) en het signed system volume: de systeembestanden staan op een alleen-lezen volume dat cryptografisch verzegeld is. Zelfs met beheerdersrechten kom je daar niet zomaar aan.
• FileVault versleutelt de schijf. Raakt iemand zijn MacBook kwijt in de trein, dan is de data niet leesbaar.

Maar Macs krijgen wel degelijk malware. De grootste dreiging is geen klassiek virus dat zichzelf verspreidt, maar de infostealer. Atomic macOS Stealer, kortweg AMOS, wordt als dienst verhuurd aan criminelen en is al jaren de bekendste. Zo’n stealer pakt wachtwoorden uit browsers, sessiecookies, de sleutelhanger en cryptowallets, en is daarna vaak alweer weg. Met die gestolen sessiecookies loggen aanvallers vervolgens in op je Microsoft 365-omgeving.

Hoe komt dat erop? Bijna altijd doordat de gebruiker zelf meewerkt. Via een advertentie voor een “gratis” versie van een bekende app, een nep-installer op een look-alike site, of de truc die ClickFix heet: een nep-CAPTCHA die je vraagt een commando in Terminal te plakken “om te bewijzen dat je geen robot bent”. In 2026 zijn er meerdere van die campagnes beschreven, onder meer door Microsoft, Jamf en Unit 42 van Palo Alto Networks, waarbij AMOS via Terminal of zelfs Script Editor werd binnengehaald. Apple heeft in macOS Tahoe 26.4 een waarschuwing toegevoegd als je een verdacht commando in Terminal plakt, maar die is niet officieel gedocumenteerd en de gebruiker kan er gewoon doorheen klikken.

En dan de vragenlijst. Een verzekeraar, een auditor of straks de NIS2-regels (in Nederland de Cyberbeveiligingswet) willen niet horen dat iets “standaard aan staat”. Ze willen aantoonbaarheid: welk apparaat, welke status, welke meldingen, en wie er reageert als er iets gebeurt. XProtect werkt prima, maar meldt niets aan jouw console. Daarvoor heb je EDR nodig. Of jullie bedrijf zelf onder NIS2 valt hangt af van sector en omvang, maar je grote opdrachtgevers vallen er misschien wel onder, en die stellen dezelfde vragen aan hun leveranciers.

Zo los je het op

1. Zet Microsoft Defender for Endpoint op de Macs

Als je al Defender voor Windows hebt, via Microsoft 365 Business Premium (daar zit Defender for Business in) of via Defender for Endpoint Plan 1 of 2, dan mag je die licentie ook voor macOS gebruiken. Defender ondersteunt de drie nieuwste macOS-versies: op dit moment Golden Gate (27), Tahoe (26) en Sequoia (15). Uitrol via Intune gaat zo:

1. Koppel Defender en Intune aan elkaar (eenmalig, in het Intune-beheercentrum onder Endpoint security).
2. Maak een settings catalog-profiel dat de systeemextensies goedkeurt: com.microsoft.wdav.epsext en com.microsoft.wdav.netext, team-ID UBF8T346G9, types Network en EndpointSecurity.
3. Rol het netwerkfilterprofiel uit (netfilter.mobileconfig uit Microsofts GitHub-repo mdatp-xplat). Let op: macOS ondersteunt maar één netwerkfilterprofiel. Heb je al een ander webfilter, test dan eerst.
4. Geef Full Disk Access via een PPPC-profiel (fulldisk.mobileconfig). Via MDM kan de gebruiker het niet zelf weer uitzetten.
5. Voeg de profielen voor achtergrondtaken (background_services.mobileconfig) en meldingen (notif.mobileconfig) toe.
6. Maak een antivirus- en EDR-beleid voor macOS.
7. Publiceer pas daarna de app (Intune heeft een apptype speciaal voor Defender op macOS) en het onboardingpakket uit de Defender-portal.

Controleer op de Mac met mdatp health in Terminal. Staat healthy op true en zie je de Mac in de Defender-portal, dan kun je dat vinkje met een gerust hart zetten.

2. Dwing de ingebouwde bescherming af

• FileVault aan via een Intune-beleid, met de herstelsleutel in Intune opgeslagen. Net zoals je BitLocker-sleutels niet op een post-it wilt.
• Firewall: de applicatiefirewall van macOS staat standaard uit. Zet hem aan via een firewallbeleid voor macOS in Intune, met stealth mode erbij.
• Updates: laat beveiligingsupdates en systeemdatabestanden automatisch installeren, zodat XProtect actueel blijft.
• Geen dagelijkse beheerdersaccounts. Een gebruiker zonder beheerdersrechten kan veel minder kapotmaken, ook als hij wel ergens op klikt.

3. Vertel het de gebruikers

De beste scanner helpt niet tegen iemand die zelf een commando in Terminal plakt. Eén regel in de interne nieuwsbrief doet wonders: “Een website vraagt je nooit iets in Terminal te plakken. Doet hij dat wel, bel Ruud.”

De les van Ruud

“Macs krijgen geen virussen” is net zo’n uitspraak als “ik heb nog nooit een lekke band gehad”. Klopt, tot het niet meer klopt. De Mac heeft prima sloten op de deur, alleen hangt er geen camera die jij kunt terugkijken. Sam wist welke sloten erop zaten, ik wist wie de beelden wilde zien. Samen hadden we vraag 23 in een middag ingevuld. Eerlijk ingevuld, dat vooral.

Verder lezen: Apple Business, Entra ID en Intune in het mkb en een Mac in een Windows-netwerk.

Dit is aflevering 8 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.