Microsoft AZ-801: Segurança e Hardening do Windows Server — Guia de estudos

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Faz parte do Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O hardening do Windows Server é um exercício em camadas que prioriza o isolamento de identidade, o controle de aplicativos, a mitigação de exploits e malware e limites de rede rígidos — impostos de forma consistente com baselines repetíveis. O objetivo é prevenir o roubo de credenciais, reduzir a superfície de ataque com controles de negação por padrão (default-deny), detectar e conter comportamentos maliciosos e verificar a configuração eficaz por meio de relatórios. Os recursos descritos abaixo são nativos do Windows Server moderno e se integram com o gerenciamento em escala por meio da Group Policy, PowerShell e serviços de segurança da Microsoft.

Proteção de Identidade e Credenciais

O Windows Defender Credential Guard usa segurança baseada em virtualização (VBS) para isolar segredos do sistema operacional, de modo que o LSASS não possa ser lido (scraped) por malware. Os requisitos do VBS incluem UEFI 2.3.1 com Secure Boot, virtualização assistida por hardware (Intel VT-x/AMD-V com SLAT) e TPM 2.0 (fortemente recomendado para proteção de chaves). Para VMs, use a Geração 2 com Secure Boot e um vTPM; o VBS é executado usando o hypervisor do Windows e não exige que a role do Hyper-V esteja instalada.

Habilite o Credential Guard via Group Policy: Computer Configuration > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security. Defina Virtualization Based Protection of Code Integrity como Enabled e escolha Credential Guard Configuration como Enabled with Secure Boot (ou with Secure Boot and DMA Protection, onde houver suporte). É necessário reiniciar. Verifique em msinfo32: Virtualization-based security: Running; Credential Guard: On. Os eventos aparecem em Microsoft-Windows-CodeIntegrity/Operational e DeviceGuard.

A proteção da Local Security Authority (LSA) complementa o Credential Guard. Configure o LSASS para ser executado como um processo protegido (PPL) para bloquear a injeção de código não assinado, mesmo por administradores. Use a Group Policy: Computer Configuration > Administrative Templates > System > Local Security Authority > Configure LSASS to run as a protected process. Isso define o RunAsPPL, forçando o uso apenas de drivers assinados e confiáveis. O Credential Guard isola segredos em um processo LSAISO protegido por VSM; o LSASS PPL fortalece (hardens) o limite do processo LSASS. Habilite ambos para uma defesa em profundidade (defense-in-depth).

As Privileged Access Workstations (PAW) operacionalizam o isolamento de credenciais. Adote um modelo de administração em camadas (tiered):

• Tier 0: AD DS, ADFS, PKI, raízes de confiança (roots of trust) de identidade e segurança
• Tier 1: servidores de aplicação e infraestrutura
• Tier 2: workstations de usuário Cada camada usa contas de administrador separadas e PAWs dedicadas. As PAWs passam por hardening com Credential Guard, WDAC, HVCI (Memory Integrity), SmartScreen, navegação restrita e regras de egresso de firewall rígidas. Bloqueie os caminhos de logon entre camadas (nenhum administrador do Tier 0 faz login em dispositivos do Tier 1 ou 2). Este modelo reduz materialmente o raio de alcance (blast radius) do roubo de credenciais.

Controle de Aplicativos e Gerenciamento da Superfície de Ataque

O Windows Defender Application Control (WDAC) impõe uma política de negação por padrão para código. Os tipos de política incluem uma única política base (SiPolicy) e políticas suplementares opcionais para estender as regras de permissão sem alterar a base. O Windows Server moderno suporta múltiplas políticas simultaneamente. O WDAC governa tanto binários/scripts em modo de usuário quanto drivers em modo de kernel. A confiança pode ser definida por assinaturas da Microsoft, WHQL, Windows Store, seu certificado de assinatura de código empresarial, hash de arquivo, atributos de editor/arquivo ou por um Instalador Gerenciado (Managed Installer) que marca o código implantado como confiável. Implante primeiro em modo de Auditoria para coletar eventos e, em seguida, mude para o modo Imposto (Enforced) para bloquear. Crie políticas usando o módulo ConfigCI do PowerShell: New-CIPolicy -Level Publisher -FilePath .\Base.xml -UserPEs 1; Merge-CIPolicy para consolidação; Set-CIPolicyIdInfo para carimbar os IDs da política; ConvertFrom-CIPolicy para gerar o arquivo .p7b assinado; implante em %SystemRoot%\System32\CodeIntegrity\SiPolicy.p7b ou via Group Policy. O WDAC também pode restringir o uso e o registro de classes COM para prevenir o abuso malicioso de COM.

A proteção contra explorações (Exploit protection) fornece mitigações de processo globalmente e por aplicativo. As mitigações em nível de sistema incluem DEP, ASLR (realocação forçada, randomização bottom-up, alta entropia), CFG, SEHOP e políticas rigorosas de manipulação (handle) e carregamento de imagem. As substituições em nível de aplicativo permitem um ajuste granular, como habilitar/desabilitar a Criação de Processo Filho (Child Process Creation), a Filtragem de Endereços de Exportação (Export Address Filtering) ou a Proteção de Código Arbitrário (Arbitrary Code Guard) para um executável específico. Gerencie com o aplicativo Segurança do Windows (Controle de aplicativos e do navegador > Proteção contra explorações) ou com o PowerShell: Get-ProcessMitigation -System; Set-ProcessMitigation -System -Enable CFG; Set-ProcessMitigation -Name app.exe -Disable ChildProcess. Exporte/importe XML para escalar: Export-ProcessMitigation e Import-ProcessMitigation. Quando um aplicativo de linha de negócios (LOB) precisa criar processos filhos, crie uma substituição por aplicativo desabilitando essa mitigação apenas para o executável.

As regras de Redução da Superfície de Ataque (ASR) bloqueiam técnicas de malware na camada de comportamento. Configure cada regra no modo de Bloqueio (Block), Auditoria (Audit) ou Aviso (Warn). Os IDs de regras comuns incluem:

• D4F940AB-401B-4EFC-AADC-AD5F3C50688A: Bloquear a criação de processos filhos por aplicativos do Office
• 3B576869-A4EC-4529-8536-B80A7769E899: Bloquear a criação de conteúdo executável por aplicativos do Office
• 75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84: Bloquear a injeção de código em outros processos por aplicativos do Office
• BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550: Bloquear conteúdo executável de clientes de e-mail e webmail
• D3E037E1-3EB8-44C8-A917-57927947596D: Bloquear a execução de executáveis baixados por JavaScript/VBScript
• 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC: Bloquear a execução de scripts potencialmente ofuscados
• D1E49AAC-8F56-4280-B9BA-993A6D77406C: Bloquear criações de processos originadas de comandos PSExec e WMI
• 01443614-CD74-433A-B99E-2ECDC07BFC25: Bloquear executáveis, a menos que atendam a critérios de prevalência, idade ou lista confiável
• 9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2: Bloquear o roubo de credenciais do LSASS Gerencie com o PowerShell: Set-MpPreference -AttackSurfaceReductionRules_Ids <GUIDs separados por vírgula> -AttackSurfaceReductionRules_Actions Enabled|AuditMode|Warn|Disabled. Defina exclusões de processo/arquivo que se aplicam apenas à ASR com -AttackSurfaceReductionOnlyExclusions. Relate eventos no Visualizador de Eventos (Event Viewer) em Microsoft-Windows-Windows Defender/Operational e, quando integrado ao Microsoft Defender for Endpoint, em tabelas de busca avançada (advanced hunting) (DeviceEvents, DeviceSecurityEvents) com identificadores explícitos de regras ASR.

O Acesso controlado a pastas (CFA) impede ransomware ao restringir que processos não confiáveis gravem em pastas protegidas. Os padrões incluem as pastas do perfil do usuário Documentos, Imagens, Área de Trabalho, Favoritos e outras; você pode adicionar caminhos personalizados (incluindo volumes de dados que hospedam compartilhamentos de aplicativos). Permita que binários específicos de linha de negócios (LOB) gravem através de “aplicativos permitidos”. Gerencie usando Set-MpPreference -EnableControlledFolderAccess Enabled|AuditMode; -ControlledFolderAccessProtectedFolders; -ControlledFolderAccessAllowedApplications. Monitore os bloqueios nos logs de eventos do Windows Defender e ajuste os aplicativos permitidos com base em evidências, não em suposições.

Proteção de Endpoint e Linhas de Base

O Windows Defender Antivirus em servidores oferece proteção em tempo real e varreduras agendadas/sob demanda. Os tipos de varredura incluem Rápida (Quick), Completa (Full) e Personalizada (Custom); agende atualizações de definição, mecanismo (engine) e plataforma através de Group Policy ou WSUS. Use MpCmdRun.exe -Scan -ScanType 2 para uma varredura Completa, ou o PowerShell Start-MpScan -ScanType Quick. Configure exclusões (caminhos, processos, extensões) com Set-MpPreference -ExclusionPath/-ExclusionProcess/-ExclusionExtension, mas minimize as exclusões e prefira entradas precisas baseadas em processos; combine com ASR e WDAC para evitar riscos compensatórios. A Proteção contra Adulteração (Tamper Protection) impede alterações não autorizadas nas configurações do Defender (registro e WMI) por malware ou administradores locais; gerencie centralmente através do gerenciamento de configurações de segurança do Microsoft Defender for Endpoint para servidores. Habilite a proteção fornecida pela nuvem (MAPS) e o envio automático de amostras para o bloqueio rápido de ameaças emergentes; verifique com Get-MpComputerStatus (AMServiceEnabled, AntispywareSignatureLastUpdated, IsTamperProtected, CloudProtectionEnabled).

As linhas de base de segurança (Security baselines) implementam um endurecimento (hardening) comprovado em escala. Use o Microsoft Security Compliance Toolkit (MSCT) para baixar as linhas de base do Windows Server (backups de GPO e documentação). Importe os GPOs da linha de base via Gerenciamento de Política de Grupo (clique com o botão direito em Objetos de Política de Grupo > Importar Configurações) ou aplique localmente com LGPO.exe. Valide primeiro em uma UO (Unidade Organizacional) de teste. Use o Policy Analyzer (parte do MSCT) para comparar os GPOs atuais e a política local com a linha de base, identificar conflitos e produzir relatórios de desvio. Documente quaisquer desvios intencionais com justificativa de negócio e controle de alterações, e execute novamente as comparações após os ciclos de patch para manter a consciência sobre desvios (drift).

Aplicação de Rede e Políticas

O Windows Defender Firewall with Advanced Security é stateful (com estado) e ciente do perfil. Aplique o princípio do menor privilégio com negação padrão para tráfego de entrada (inbound) e permissões explícitas para serviços necessários, definindo o escopo por endereços remotos, interfaces e SIDs de usuários/serviços. Use regras de proteção de serviço (service-hardening) sempre que possível para vincular o tráfego ao serviço correto, e não apenas a uma porta. Regras de saída (outbound) devem ser definidas para servidores que iniciam conexões com destinos restritos, prevenindo movimento lateral e saída não autorizada de dados. Regras de segurança de conexão adicionam IPsec (autenticação, integridade e, opcionalmente, criptografia) ao tráfego; lembre-se de que elas não abrem portas — combine-as com regras de firewall. Para uma autenticação forte e interoperável entre domínios e grupos de trabalho, use a autenticação por certificado de computador. Configure isenções de IPsec quando diagnósticos como o tracert precisarem permanecer sem criptografia (WFAS > Propriedades > Configurações de IPsec > Isenções de IPsec). Aplique os perfis de domínio, privado e público adequadamente; interfaces de servidor conectadas a segmentos não confiáveis devem usar o perfil público. Habilite cenários de gerenciamento remoto apenas com grupos de regras direcionados (por exemplo, Acesso à Rede COM+ (DCOM-In) e Gerenciamento Remoto de Log de Eventos para acesso ao Gerenciamento do Computador via DCOM e ao log de eventos).

Entenda como a Política de Segurança Local e a Política de Grupo (Group Policy) interagem. A Política de Segurança Local (secpol.msc) é a camada inicial, mas as GPOs de domínio a substituem seguindo o processamento LSDOU: Local, Site, Domínio e, em seguida, OU (a última escrita prevalece por configuração), com algumas configurações de segurança sendo mescladas (por exemplo, atribuições de direitos de usuário agregam entradas de “negar” e “permitir” com regras de precedência). Use o Conjunto de Políticas Resultante (RSoP) via

undefined

(ou

undefined

) e o Assistente de Resultados da Política de Grupo para ver a configuração efetiva, incluindo qual GPO e filtro WMI foram aplicados. Ao solucionar problemas de configurações de segurança (Defender, firewall, preparação do WDAC, proteção LSA), sempre confirme a GPO aplicada e sua cadeia de precedência e, em seguida, execute

undefined

após as alterações.

Cenário de Problema Prático

A Contoso Ltda. está implementando uma nova aplicação de RH no Windows Server 2022 que grava em um compartilhamento de dados e gera processos auxiliares para relatórios. A liderança de segurança exige resiliência contra ransomware, prevenção de roubo de credenciais e execução com negação padrão (default-deny) em servidores de Nível 1 (Tier 1) sem interromper a aplicação de RH.

1. Estabelecer o limite de identidade com o Credential Guard e a proteção LSA

• Ação: Configurar a opção Ativar Segurança Baseada em Virtualização (Credential Guard com Secure Boot) e Configurar o LSASS para ser executado como um processo protegido por meio de uma GPO de segurança reforçada “Tier 1 – Server Security” aplicada à OU dos servidores de RH.
• Por quê: Segredos não podem ser extraídos do LSASS, e a PPL impede a injeção de código, reduzindo o impacto de um comprometimento do servidor.

2. Aplicar a lista de permissões de aplicativos com o WDAC em modo de auditoria e, em seguida, em modo de imposição

• Ação: Gerar uma política WDAC base usando

undefined

com os níveis Publisher e FilePublisher a partir de uma imagem de referência (gold build) que hospeda a aplicação de RH; adicionar o Instalador Gerenciado (Managed Installer) para confiar na distribuição de software da empresa; assinar e implantar a política em modo de Auditoria e, em seguida, passar para o modo de Imposição (Enforced) após revisar os eventos.

• Por quê: O WDAC fornece negação padrão para binários, scripts e drivers não autorizados, ao mesmo tempo que permite com segurança a aplicação de RH e implantações gerenciadas.

3. Ajustar as mitigações de exploit por aplicativo

• Ação: Aplicar CFG/ASLR globalmente no sistema; para o executável de relatórios de RH, definir uma substituição por aplicativo para permitir a Criação de Processo Filho usando

undefined

, deixando outras mitigações ativadas.

• Por quê: Mantém a proteção contra exploits (exploit hardening) amplamente ativa, ao mesmo tempo que acomoda um comportamento legítimo do aplicativo referenciado pelas operações.

4. Bloquear técnicas de ataque comuns com regras ASR e exclusões direcionadas

• Ação: Habilitar regras ASR importantes em modo de Bloqueio (por exemplo, D4F940AB… para bloqueio de processo filho do Office, 9E6C4E1F… para bloquear roubo de credenciais do LSASS, 01443614… para confiança baseada em prevalência/idade) e definir quaisquer regras iniciais de alto atrito para o modo de Auditoria; adicionar uma exclusão específica

undefined

para o binário assinado da aplicação de RH, se necessário.

• Por quê: A ASR reduz o abuso de macros, scripts e técnicas “living-off-the-land” sem enfraquecer amplamente as defesas; as exclusões são precisas e aplicam-se apenas à ASR.

5. Proteger os caminhos de dados com o Acesso controlado a pastas

• Ação: Habilitar o CFA em modo de Bloqueio; adicionar o caminho do compartilhamento de dados de RH e as pastas de dados da aplicação às pastas protegidas; adicionar os binários da aplicação de RH como aplicativos permitidos com base no caminho assinado.
• Por quê: Impede a criptografia ou adulteração não autorizada de dados críticos de negócios por processos não confiáveis, oferecendo resistência a ransomware.

6. Confirmar a postura do antivírus e a proteção na nuvem

• Ação: Garantir que a proteção em tempo real, a proteção fornecida pela nuvem e o envio de amostras estejam ativados; agendar varreduras completas (Full scans) fora do horário de pico; revisar o

undefined

; restringir as exclusões apenas ao processo da aplicação de RH, se estritamente necessário.

• Por quê: Mantém a detecção atualizada com o mínimo aumento da superfície de ataque.

7. Proteger o plano de rede

• Ação: Configurar apenas as regras de entrada (inbound) exigidas pelo serviço de RH com escopo de SID de serviço; definir regras de saída (outbound) mínimas para bancos de dados e endpoints de atualização; se for criptografar o tráfego de servidor para servidor, adicionar regras de segurança de conexão com autenticação por certificado; adicionar isenções de IPsec para necessidades de diagnóstico como o tracert.
• Por quê: A rede precisa, baseada apenas em permissões (allow-only), e o IPsec previnem o movimento lateral e a espionagem (eavesdropping), preservando as operações necessárias.

8. Criar uma linha de base e verificar

• Ação: Importar a linha de base de segurança do Windows Server do Microsoft Security Compliance Toolkit para a GPO de Nível 1, revisar com o Policy Analyzer em comparação com as GPOs existentes e documentar os desvios aprovados para a carga de trabalho de RH.
• Por quê: Garante uma proteção abrangente além dos controles pontuais e fornece conformidade mensurável e auditável.

Essa combinação foi escolhida para isolar credenciais (Credential Guard, LSA PPL), negar por padrão a execução de código (WDAC), bloquear técnicas comuns de ataque (ASR, proteção contra exploits), impedir a adulteração de dados (CFA), impor a detecção de malware (Defender AV com nuvem) e fechar brechas de rede (firewall e IPsec), com linhas de base e relatórios garantindo consistência e auditabilidade.

Todos os domínios · Microsoft Defender for Cloud e Segurança de Endpoint →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →

Navegar Microsoft →