Microsoft AZ-104: Azure-Sicherheit und Compliance — Lernleitfaden

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Teil des Microsoft Azure Administrator Associate AZ-104 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Azure DDoS Protection: Basic vs. Standard, Adaptive Tuning und Telemetrie

Jeder öffentliche Azure-Endpunkt profitiert von DDoS Basic auf Plattformebene, das viele globale volumetrische Angriffe abfängt, aber kein kundenspezifisches Tuning, keine Telemetrie und kein SLA bietet. DDoS Standard wird über einen DDoS Protection Plan an ein oder mehrere virtuelle Netzwerke angebunden und schützt alle öffentlichen IPs in diesen VNets, einschließlich derer auf VMs, Azure Load Balancer, Application Gateway und AKS-Diensten, die öffentliche IPs der Standard-SKU verwenden.

Standard fügt adaptives Tuning hinzu, das das normale Traffic-Profil jeder geschützten öffentlichen IP lernt und die Schwellenwerte für die Risikominderung automatisch anpasst, um False Positives zu reduzieren und gleichzeitig schnell auf Anomalien bei L3/L4-Vektoren zu reagieren. Sie erhalten detaillierte Telemetriedaten über Azure Monitor: Echtzeit-Metriken, die den Angriffsstatus und verworfene Pakete anzeigen; Diagnoseprotokolle einschließlich DDoSProtectionNotifications, DDoSMitigationFlowLogs und DDoSMitigationReports, die zu Log Analytics, Storage oder Event Hubs gestreamt werden; und Berichte nach einem Angriff zur Unterstützung der Vorfalldokumentation und von Versicherungsansprüchen. Standard beinhaltet außerdem Kostenschutzgutschriften für das Scale-Out während Angriffen und den Zugang zum Microsoft Rapid Response Team. Kombinieren Sie DDoS Standard mit einer Web Application Firewall für L7-Bedrohungen; sie ergänzen sich gegenseitig.

Microsoft Sentinel: Datenkonnektoren, Analyseregeln, Incidents und Playbooks

Sentinel ist ein cloud-natives SIEM und SOAR, das auf Log Analytics aufbaut. Beginnen Sie mit der Aktivierung von Datenkonnektoren, die Telemetriedaten von Azure AD-Anmeldungen, Defender for Cloud-Warnungen, Microsoft 365, Azure Activity, Firewall- und WAF-Protokollen sowie von Drittanbieterquellen über AMA, Syslog, CEF oder REST-APIs einbinden. Legen Sie den Umfang der Sammlung sorgfältig fest, um die Erfassungskosten zu verwalten und gleichzeitig sicherzustellen, dass Sie sicherheitsrelevante Ereignisse mit hoher Aussagekraft erfassen.

Verwenden Sie Analyseregeln, um Rohdaten in verwertbare Erkennungen umzuwandeln. Geplante Regeln führen KQL in einem bestimmten Rhythmus mit Schwellenwerten und Entitätszuordnung aus; Microsoft Security-Regeln erfassen Warnungen von Microsoft-Sicherheitsprodukten; Nahezu-Echtzeit-Regeln (NRT) reduzieren die Erkennungslatenz für kritische Indikatoren; Fusion-Regeln wenden ML an, um mehrstufige Angriffe über verschiedene Produkte hinweg zu korrelieren. Das Tuning umfasst die Unterdrückung, die Gruppierung von Regeln und die Incident-Einstellungen, um die „Alert Fatigue“ (Warnungsmüdigkeit) zu minimieren.

Incidents fassen zusammengehörige Warnungen in einem einzigen Fall zusammen, mit Schweregrad, Besitzer, Status, Entitäten (Benutzer, Host, IP, Ressource) und einem Untersuchungsgraphen für den Kontext. Analysten führen eine Triage durch, fügen Kommentare hinzu, versehen sie mit Tags und verknüpfen sie mit Tickets. Automatisierungsregeln standardisieren die Behandlung von Incidents, wie z. B. die Zuweisung von Besitzern nach Regelbezeichnung und das Auslösen von Playbooks.

Playbooks sind Logic Apps, die die Reaktion orchestrieren. Häufige Aktionen sind das Deaktivieren eines riskanten Benutzers in Entra ID, das Isolieren eines Endpunkts über Defender for Endpoint, das Blockieren einer IP in Azure Firewall oder NSGs, das Verschieben eines Storage-Blobs in die Quarantäne oder das Erstellen eines ServiceNow-Tickets. Verwenden Sie verwaltete Identitäten und weisen Sie dem Playbook die geringsten Berechtigungen (Least-Privilege-Rollen) für die Zielressourcen zu. Messen Sie die „Time-to-Contain“ (Eindämmungszeit) und verfeinern Sie die Analysen und die Automatisierung iterativ.

Daten- und Identitäts-Governance: AIP Sensitivity Labels, PIM und Zugriffsüberprüfungen

Vertraulichkeitsbezeichnungen in Microsoft Information Protection wenden konsistenten Schutz auf Dokumente, E-Mails und Container an. Eine Bezeichnung kann Verschlüsselung mit Nutzungsrechten, Inhaltsmarkierungen und Kontrollen für die externe Freigabe erzwingen. Für Container wie Teams- und SharePoint-Websites legen Bezeichnungen den externen Zugriff, Einschränkungen für nicht verwaltete Geräte und den Datenschutz fest. Veröffentlichen Sie Bezeichnungen über Bezeichnungsrichtlinien, die auf Benutzer oder Gruppen ausgerichtet sind, mit Prioritätsreihenfolge, Standardbezeichnungen, verpflichtender Bezeichnung und Empfehlungsaufforderungen. Die automatische Bezeichnung verwendet Typen vertraulicher Informationen und trainierbare Klassifizierer, um Bezeichnungen in Office-Apps zu empfehlen oder anzuwenden. Serverseitige Richtlinien können Inhalte im Ruhezustand (at rest) in SharePoint und OneDrive automatisch bezeichnen. Pflegen Sie die Versionskontrolle für Bezeichnungen, testen Sie im Überwachungsmodus und überwachen Sie die Aktivitäten, um die Akzeptanz sicherzustellen.

Privileged Identity Management reduziert dauerhafte Berechtigungen, indem permanente Rollenzuweisungen in berechtigte umgewandelt werden. Benutzer, die als berechtigt zugewiesen sind, müssen eine Rolle für eine begrenzte Dauer aktivieren, wobei konfigurierbare Anforderungen gelten: MFA, Begründung, Ticketnummer und möglicherweise eine Genehmigung durch benannte Genehmiger. Rolleneinstellungen definieren die maximale Aktivierungszeit, Toleranzperioden und Benachrichtigungen. Verwenden Sie PIM sowohl für Entra ID-Rollen (z. B. Global Administrator) als auch für Azure-Ressourcenrollen (Owner, Contributor, User Access Administrator) im entsprechenden Geltungsbereich. Aktivierungsereignisse, Genehmigungen und Ablaufdaten werden vollständig auditiert, was eine klare Nachvollziehbarkeit für privilegierte Operationen ermöglicht.

Zugriffsüberprüfungen stellen sicher, dass Gruppenmitgliedschaften und Anwendungszuweisungen über die Zeit angemessen bleiben. Legen Sie den Geltungsbereich der Überprüfungen auf alle Benutzer oder nur auf Gäste fest, wählen Sie Prüfer (Gruppenbesitzer, ausgewählte Benutzer oder jeder Benutzer prüft sich selbst), stellen Sie die Wiederholung ein, fordern Sie Gründe für die Genehmigung an und konfigurieren Sie die automatische Anwendung der Ergebnisse, um abgelehnte oder nicht reagierende Benutzer zu entfernen. Kombinieren Sie Zugriffsüberprüfungen mit PIM, sodass eine fortgesetzte Mitgliedschaft oder ein App-Zugriff eine regelmäßige erneute Bestätigung erfordert, was das Zeitfenster für eine schleichende Ausweitung von Berechtigungen oder veraltete Berechtigungen weiter verkleinert.

Praktisches Problemszenario

Starbucks muss seine Azure-Umgebung härten, die kundenorientierte APIs, interne Geschäftsanwendungen und Analyse-Workloads hostet, und dabei strenge Datenschutz- und Least-Privilege-Anforderungen über mehrere Abonnements hinweg erfüllen.

Sicherheitsstatus-Baselines mit Microsoft Defender for Cloud erstellen und den Secure Score verbessern

Integrierte Richtlinieninitiativen auf Ebene der Verwaltungsgruppe zuweisen, um Baselines über Abonnements hinweg zu standardisieren.
Automatische Bereitstellung aktivieren und Workload-Schutzpläne für Server, SQL, Storage und Kubernetes einschalten. Warum: Defender for Cloud bietet eine kontinuierliche Bewertung und priorisierte Empfehlungen, was eine konsistente Konfiguration und umsetzbare Korrekturmaßnahmen für heterogene Workloads gewährleistet.

DDoS Protection Standard in den virtuellen Hub-Netzwerken aktivieren

Einen DDoS Protection Plan erstellen und ihn mit den Hub-VNets verknüpfen, die gemeinsam genutzte Application Gateways und öffentliche Einstiegspunkte hosten.
Diagnoseeinstellungen für DDoS-Telemetrie und -Warnungen an Log Analytics konfigurieren. Warum: Die öffentlichen APIs von Starbucks erfordern eine adaptive L3/L4-Verteidigung und detaillierte Angriffstelemetrie, die über die Plattformstandards hinausgehen, mit Kostenschutz und Reaktionsunterstützung bei Vorfällen.

Verwaltungsports mit Just-in-Time-VM-Zugriff (JIT) absichern

JIT-Richtlinien für alle VM-Verwaltungsports konfigurieren, wobei die Quell-IPs auf die Ausgangsbereiche des Starbucks-Unternehmensnetzwerks beschränkt und die Zugriffsfenster mit Genehmigung auf eine Stunde begrenzt werden. Warum: Minimiert die Anfälligkeit für Scans aus dem Internet und Angriffe auf Anmeldeinformationen, während die Produktivität der Administratoren erhalten bleibt und ein Prüfpfad erstellt wird.

Geheimnisse und kryptografische Kontrolle mit Key Vault und Managed HSM zentralisieren

App-Geheimnisse und Zertifikate in Key Vault speichern, gesichert durch private Endpunkte und Azure RBAC-Rollen auf Datenebene; Löschschutz aktivieren.
Verschlüsselungsschlüssel für den Zahlungsverkehr in Managed HSM generieren und speichern; Schlüsselrotation und Backup in einem gesicherten Key Vault konfigurieren. Warum: Key Vault vereinfacht den Lebenszyklus von Geheimnissen und lässt sich in Azure-Dienste integrieren; Managed HSM erfüllt höhere Sicherheitsanforderungen und die Anforderung zur Trennung von Zahlungsdaten.

Microsoft Sentinel für Erkennung und Reaktion einrichten

Azure AD, Defender for Cloud, Azure Firewall, Application Gateway WAF und kritische Serverprotokolle anbinden.
Analyseregeln für risikoreiche Anmeldungen, anomale Speicherzugriffe und Container-Laufzeit-Bedrohungen bereitstellen; Automatisierungsregeln und Playbooks erstellen, um kompromittierte Benutzer zu deaktivieren, bösartige IPs zu blockieren und Tickets zu öffnen. Warum: Sentinel korreliert Telemetriedaten zu Incidents und automatisiert die Eindämmung, wodurch die durchschnittliche Zeit bis zur Erkennung und Reaktion (MTTD/MTTR) reduziert wird.

Datensensitivität mit AIP-Bezeichnungen und automatischer Bezeichnung durchsetzen

Bezeichnungen für Öffentlich, Intern, Vertraulich und Streng Vertraulich mit Verschlüsselungs- und Freigabeeinschränkungen erstellen; Richtlinien für Benutzergruppen mit verpflichtender Bezeichnung und Standardempfehlungen veröffentlichen.
Automatische Bezeichnung für Dokumente aktivieren, die Zahlungskarten- oder personenbezogene Daten (PII) in SharePoint und OneDrive enthalten. Warum: Stellt sicher, dass sensible Daten überall geschützt sind, und bringt das Benutzerverhalten in Einklang mit den Unternehmensrichtlinien.

Berechtigungen mit PIM steuern und Zugriff über Zugriffsüberprüfungen validieren

Privilegierte Rollenzuweisungen für Entra ID und Azure-Ressourcen in berechtigte Zuweisungen mit MFA, Genehmigung und kurzen Aktivierungsfenstern umwandeln; Ressourcenbesitzer über Aktivierungen benachrichtigen.
Vierteljährliche Zugriffsüberprüfungen für Microsoft 365- und Sicherheitsgruppen sowie für Zuweisungen von Unternehmensanwendungen planen, wobei nicht reagierende Benutzer automatisch entfernt werden. Warum: Zeitlich begrenzte Berechtigungen und regelmäßige Bestätigungen reduzieren das Risiko dauerhafter Zugriffe und verhindern ein unkontrolliertes Anwachsen von Berechtigungen, wodurch Audit- und Compliance-Ziele erfüllt werden.

← Azure Monitor · Alle Domänen

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →