Microsoft AZ-801: Microsoft Defender for Cloud e Segurança de Endpoint — Guia de estudos

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Faz parte do Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O Microsoft Defender for Cloud e o Microsoft Defender for Endpoint formam uma pilha coesa para o fortalecimento de ambientes híbridos de Windows Server, detecção de ameaças e imposição de acesso de privilégio mínimo. No Azure e on-premises (via Azure Arc), eles fornecem gerenciamento da postura de segurança, remediação automatizada e detecção e resposta de endpoint (EDR). Compreender os planos do Defender for Servers, a automação de fluxos de trabalho, os controles de acesso, o monitoramento de integridade e as proteções de contêineres é essencial para construir uma linha de base de segurança consistente e operacionalizar a resposta.

Postura de Segurança na Nuvem e Planos do Servidor

A Pontuação de Segurança (Secure Score) do Defender for Cloud quantifica o quão bem seus recursos estão em conformidade com as melhores práticas de segurança e padrões regulatórios mapeados através do Azure Policy. Cada controle de segurança contribui com uma parcela ponderada da pontuação e é respaldado por uma ou mais recomendações. Você melhora a Secure Score ao abordar as recomendações em computação, rede, identidades e dados. O fluxo de trabalho de remediação começa ao detalhar uma recomendação, revisar os recursos afetados e os passos de remediação, e usar correções rápidas (quick fixes) quando disponíveis. Por exemplo, habilitar a proteção de endpoint é uma implantação de um único clique vinculada a uma política que pode provisionar agentes automaticamente. Proprietários podem ser atribuídos às recomendações, datas de vencimento podem ser definidas e as tarefas de remediação podem ser acompanhadas. Quando uma recomendação não é aplicável, você pode criar uma isenção com uma justificativa e uma expiração opcional, o que atualiza a Secure Score sem mascarar riscos não relacionados. As visualizações de conformidade regulatória (por exemplo, Azure Security Benchmark, CIS) projetam os mesmos controles em avaliações específicas de padrões para auditores e monitoramento contínuo.

O Defender for Servers oferece proteções em camadas por meio de dois planos:

O Plano 1 (aproximadamente US$ 5/servidor/mês, variações regionais se aplicam) foca em proteções no nível do endpoint ao incluir o Microsoft Defender for Endpoint Plano 2 para servidores. Ele oferece EDR com detecções comportamentais, recursos essenciais de gerenciamento de ameaças e vulnerabilidades, recomendações de redução da superfície de ataque e linhas de base de segurança apresentadas através do MDE. O Plano 1 é ideal para quem deseja um EDR poderoso com recursos mínimos de fortalecimento nativos do Azure.
O Plano 2 (aproximadamente US$ 15/servidor/mês, dependendo da região) inclui tudo do Plano 1 e adiciona recursos nativos do Azure de fortalecimento e monitoramento: acesso just-in-time (JIT) a VMs, controles de aplicativos adaptáveis, fortalecimento de rede adaptável, monitoramento da integridade de arquivos (FIM), avaliação de vulnerabilidades de servidores (via Qualys integrado ou MDE-based Defender Vulnerability Management), integrações para descoberta de dados sensíveis e detecções de ameaças mais profundas originadas tanto do contexto do host quanto da nuvem. O Plano 2 é a opção abrangente para empresas que estão padronizando o uso do Defender for Cloud tanto para prevenção quanto para detecção.

Ambos os planos suportam servidores no Azure e habilitados para o Arc. A integração no nível da assinatura ou do workspace permite que o Defender for Cloud provisione automaticamente os agentes e extensões necessários usando identidades gerenciadas e o Azure Policy, garantindo uma implantação consistente em escala.

Controles de Proteção e Automação

A automação de fluxos de trabalho (workflows) operacionaliza recomendações e alertas. Playbooks são Azure Logic Apps vinculados a gatilhos (triggers) do Defender for Cloud:

Gatilho de alerta: quando um alerta de segurança é criado ou atualizado, um playbook pode enriquecer, notificar (Teams/Email) ou executar uma ação (isolar o host, parar a VM).
Gatilho de recomendação: quando um novo recurso não íntegro (unhealthy) aparece para uma recomendação, um playbook pode abrir um ticket, atribuir um responsável ou invocar APIs de remediação.
Gatilho de conformidade regulatória: em caso de alterações na avaliação, um playbook pode exportar os resultados para ferramentas de GRC.

Implemente playbooks usando uma identidade gerenciada atribuída pelo sistema com funções de privilégio mínimo (por exemplo, Colaborador de Máquina Virtual para parar VMs). Use condições de filtragem para direcionar alertas específicos, como “Antimalware desabilitado na máquina virtual”, e então chame a operação Compute PowerOff para a VM afetada. Esse padrão reduz o tempo médio de remediação (MTTR), preservando a auditabilidade e a consistência.

O acesso just-in-time (JIT) a VMs reduz a superfície de ataque fechando portas de gerenciamento (SSH, RDP, personalizadas) no NSG ou no Azure Firewall até que seja explicitamente solicitado. Os pré-requisitos incluem um NSG ou Azure Firewall aplicado à interface de rede ou sub-rede da VM; se não houver, crie um NSG primeiro. Configure o JIT para especificar as portas permitidas, os intervalos de origem (prefira a restrição de IP de origem), o protocolo e a duração máxima de acesso por porta. Quando um operador solicita acesso, o Defender for Cloud valida as permissões do RBAC e aprova automaticamente ou encaminha para aprovação, conforme sua política. Em seguida, ele insere uma regra de permissão temporária com escopo para o IP público do solicitante e a remove automaticamente na expiração. Todas as solicitações, aprovações e alterações de regras do NSG são auditadas nos logs do Defender for Cloud e do Azure Activity, e podem ser transmitidas para o Log Analytics ou o Microsoft Sentinel.

Os controles de aplicativos adaptáveis utilizam machine learning para agrupar máquinas semelhantes (por carga de trabalho e processos observados) e propor listas de permissões (allowlists). Você refina e publica regras usando:

Regras de permissão baseadas em editor e signatário para binários assinados
Regras de caminho de arquivo para locais de instalação
Regras de hash para binários específicos Opere primeiro no modo de auditoria para observar os bloqueios que ocorreriam e, em seguida, mude para o modo de imposição (enforce) para bloquear a execução fora da lista de permissões. Para Windows, os controles são implementados internamente através do Windows Defender Application Control; para Linux, as listas de permissões de processos observados são impostas por meio de mecanismos compatíveis. Garanta que processos operacionais, como atualizações de software e agentes de gerenciamento, sejam permitidos para evitar falsos positivos relacionados a desvios de configuração (drift).

O fortalecimento adaptável de rede (adaptive network hardening) analisa os padrões de tráfego reais e propõe regras de NSG de entrada mais restritas. Por exemplo, se o RDP for observado apenas a partir de uma rede de gerenciamento conhecida, a recomendação restringirá a porta 3389/TCP a esse intervalo em vez de Qualquer (Any). Revise e aplique as recomendações por NSG; o Defender for Cloud grava as regras atualizadas com nomes descritivos, preservando o contexto da alteração. Reavalie periodicamente, pois novas fontes legítimas podem levar a propostas atualizadas.

O monitoramento de integridade de arquivos (FIM) adiciona controles de detecção para alterações em arquivos e registros críticos. Configure o FIM associando um workspace do Log Analytics e habilitando a coleta de dados do FIM para as máquinas de destino (o provisionamento automático é suportado). Defina os caminhos e as chaves de registro monitorados, incluindo padrões de inclusão/exclusão e a sensibilidade a alterações de conteúdo em vez de apenas alterações de atributos. O Defender for Cloud gera alertas sobre alterações não autorizadas ou suspeitas com detalhes sobre quem, o quê e quando; os eventos são armazenados em seu workspace para investigação (hunting) e correlação. Use as configurações de retenção e exportação de dados para manter o histórico de alterações alinhado com as necessidades de conformidade.

Gerenciamento de Endpoints e Vulnerabilidades

A integração do Windows Server ao Microsoft Defender for Endpoint é simplificada através do Defender for Cloud. Para VMs do Azure, habilite o provisionamento automático; para ambientes on-premises ou em outras nuvens, conecte as máquinas com o Azure Arc (usando o agente Azure Connected Machine), e então habilite o Defender for Servers para instalar automaticamente o agente unificado do MDE nas versões compatíveis do Windows Server. Valide a integração confirmando a conectividade do sensor e a geração de alertas a partir de detecções de teste.

O EDR em modo de bloqueio (block mode) fortalece a proteção ao permitir que o MDE bloqueie artefatos e comportamentos maliciosos, mesmo quando um antivírus de terceiros é o principal ou quando o Microsoft Defender Antivirus está em modo passivo. Garanta que o mecanismo (engine) e a plataforma do Microsoft Defender Antivirus estejam presentes e atualizados; habilite o EDR em modo de bloqueio através das configurações de segurança do MDE (via GPO, Intune ou pelo portal do MDE). Este modo é particularmente valioso em servidores onde um antivírus baseado em assinaturas pode não detectar o uso de ferramentas de pós-exploração, pois ele permite bloqueios baseados em comportamento.

A resposta ao vivo (Live response) fornece acesso seguro e auditado a um shell remoto, a partir do portal do Microsoft Defender, a um servidor integrado para fins de triagem e contenção. Com as funções (roles) apropriadas, os analistas de resposta a incidentes podem coletar artefatos, inspecionar processos e persistência, encerrar processos maliciosos, excluir arquivos e aplicar scripts de mitigação. As sessões de resposta ao vivo são registradas e podem ser integradas a runbooks de resposta a incidentes.

A avaliação de vulnerabilidades para servidores está disponível através de duas integrações:

Qualys integrado: O Defender for Cloud implanta uma extensão leve do agente Qualys que realiza varreduras autenticadas e reporta vulnerabilidades de software para o Defender for Cloud. Nenhuma assinatura separada do Qualys é necessária, e os resultados alimentam o Secure Score e as recomendações. Este caminho é comumente usado quando se prefere o provisionamento nativo do Azure com dependência mínima do MDE.
Microsoft Defender Vulnerability Management (via MDE): Utiliza o sensor do MDE para fornecer inventário de software, avaliação de CVEs, recomendações de redução da superfície de ataque e pontuação de exposição (exposure scoring) sem a necessidade de agentes adicionais. Ele consolida as vulnerabilidades com as detecções de endpoint, permitindo fluxos de trabalho de remediação unificados. Escolha a avaliação de vulnerabilidades (VA) baseada em MDE quando você padroniza o uso do MDE e deseja análises aprofundadas da postura do dispositivo; escolha o Qualys integrado quando o MDE não está implantado em servidores específicos ou quando você precisa de paridade entre Windows e Linux sem etapas adicionais de integração. No Defender for Servers Plano 2, qualquer uma das fontes de dados pode ser selecionada no nível do escopo; garanta que apenas uma esteja habilitada para evitar duplicação.

← Segurança e Hardening do Windows Server · Todos os domínios · Microsoft Sentinel e Monitoramento de Segurança →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →