Microsoft AZ-500: Security Posture Management und Governance — Lernleitfaden

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Teil des Microsoft Azure Security Engineer Associate AZ-500 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Das Management der Sicherheitslage und Governance in Azure ist die Disziplin der kontinuierlichen Bewertung, Priorisierung und Durchsetzung von Konfigurationen zur Risikominderung über Abonnements und Clouds hinweg, während eine nachweisbare Compliance aufrechterhalten wird. Ein effektives Design kombiniert Microsoft Defender for Cloud für die Sichtbarkeit der Sicherheitslage und den Schutz, Azure Policy für präventive und korrigierende Leitplanken, Landing-Zone-Governance für skalierbare Vererbung und auditfähige Protokollierung zum Nachweis von Kontrollen. Das operative Ziel ist eine vertretbare Risikominderung: Entscheidungen basieren auf der Gefährdung und den Auswirkungen, werden durch Code durchgesetzt, durch das Design vererbt und durch unveränderliche Protokolle nachgewiesen.

Microsoft Defender for Cloud: Architektur, Pläne und Empfehlungen

Defender for Cloud (MDC) erfasst Signale aus Azure, hybriden und Multicloud-Umgebungen, korreliert diese zu einem Secure Score, Empfehlungen und Warnungen und kann die Behebung orchestrieren. Konfigurieren Sie es auf der Ebene der Stamm-Verwaltungsgruppe (MG), sodass Pläne und Richtlinien an alle Abonnements vererbt werden; verwenden Sie Abonnements nur zur Definition von Ausnahmen. Für Multicloud-Umgebungen stellen Sie die nativen MDC-Konnektoren für AWS und GCP auf der Mandantenebene (Tenant Root) oder in einem dedizierten „Security“-Abonnement bereit, unter Verwendung von Konten mit den geringsten Rechten und zentralisierter automatischer Bereitstellung, um die Agenten-Bereitstellung und Datenerfassung zu standardisieren.

Die Auswahl des Plans ist risikogesteuert:

Defender for Servers: Plan 1 bietet Schwachstellenbewertung und grundlegende Härtung; Plan 2 fügt Microsoft Defender for Endpoint (MDE), Just-in-Time (JIT) VM-Zugriff, Bedrohungs- und Verhaltensanalysen sowie Überwachung der Dateiintegrität hinzu. Verwenden Sie Plan 2 für mit dem Internet verbundene oder privilegierte Hosts; Plan 1 für Server-Pools mit geringer Gefährdung.
Defender for Storage: Erkennt anomalen Zugriff und Malware auf Blobs, Dateien und ADLS Gen2. Aktivieren Sie es pro Konto, wobei das Scannen auf Hochrisiko-Container (z. B. öffentliche Ingest-Punkte) ausgerichtet ist, um die Kosten zu verwalten und gleichzeitig die Eingangspunkte abzudecken.
Defender for SQL: Für Azure SQL ermöglicht es Bedrohungserkennung und Schwachstellenbewertung mit Abweichungen von der Baseline; für SQL auf Maschinen (einschließlich Arc-fähiger) fügt es agentenbasierten Schutz hinzu. Aktivieren Sie es breitflächig für Produktionsdatenbanken; erstellen Sie eine Baseline normaler Muster, um Fehlalarme (Noise) zu reduzieren.
Defender for Containers: Schützt AKS und Arc-fähiges Kubernetes mit Schwachstellenscans für Images (ACR und zur Laufzeit), Kubernetes-Audit-Analysen und Laufzeit-Bedrohungserkennung. Setzen Sie Kubernetes-Richtlinien (Gatekeeper/OPA) über das Azure Policy Add-On durch. Integrieren Sie CI/CD-Scans, um kritische CVEs vor der Bereitstellung zu blockieren.
Defender for Key Vault: Erkennt anomalen Zugriff auf Geheimnisse und Exfiltrationsmuster. Verwenden Sie Azure RBAC für die Vault-Verwaltung und Richtlinien für den Zugriff auf die Datenebene (oder RBAC-Datenaktionen) für Operationen mit Geheimnissen nach dem Prinzip der geringsten Rechte.
Defender for DNS: Erkennt DNS-basierte Exfiltration und Command-and-Control. Priorisieren Sie es in Spoke-VNets mit ausgehendem Internetverkehr; kein Agent erforderlich.
Defender for DevOps: Verbinden Sie Azure DevOps- und GitHub-Organisationen, um Repos, Geheimnisse, IaC-Fehlkonfigurationen und die Härtung von Pipelines zu bewerten. Verwenden Sie blockierende Richtlinien für Pull-Requests bei schwerwiegenden Fehlkonfigurationen, um die Risikominderung nach links zu verlagern (Shift-Left).

Sicherheitsempfehlungen fassen die Ergebnisse der Pläne und die Bewertungen von Azure Policy zusammen. Operationalisieren Sie diese durch:

Aktivierung der automatischen Bereitstellung von Plänen auf MG-Ebene.
Behandlung von Empfehlungen mit „hohem Schweregrad, mit dem Internet verbunden“ als änderungsgesteuerte Arbeitselemente mit SLOs.
Dokumentation von Governance-Ausnahmen als Richtlinienausnahmen mit Ablaufdatum und Begründung.

Secure Score, Compliance und Workflow-Automatisierung

Der Secure Score fasst „Kontrollen“ (Gruppen zusammengehöriger Sicherheitsanforderungen) zu einem normalisierten Prozentsatz zusammen. Jede Kontrolle ist eine bestimmte Punktzahl wert, die sich auf ihre „Verbesserungsmaßnahmen“ verteilt. Die Auswirkung auf den Score spiegelt das Potenzial zur Risikominderung und den Umfang der betroffenen Ressourcen wider. Priorisieren Sie nach:

Höchste potenzielle Auswirkung auf den Score pro Aufwandseinheit (Quick Wins: z. B. MFA für Besitzer aktivieren, öffentlichen Zugriff auf Speicher einschränken).
Angriffsflächenexposition (öffentliche Endpunkte, privilegierte Identitäten, schwache Netzwerkgrenzen).
Regulatorische Verpflichtungen, die auf dieselben Maßnahmen abgebildet werden (maximiert den Compliance-Gewinn).

Nutzen Sie Verbesserungsmaßnahmen mit Anleitungen zur Behebung, Quick-Fixes und Logic App-Automatisierungen. Verfolgen Sie das Restrisiko über Ausnahmen wie „kann nicht behoben werden“ oder „durch das Design gemindert“ mit Ablaufdatum, um eine regelmäßige Neubewertung zu erzwingen.

Die Einhaltung gesetzlicher Vorschriften (Regulatory Compliance) in MDC bildet Konfigurationen und Empfehlungen auf Standards ab (z. B. Azure Security Benchmark, CIS, NIST). Wählen Sie die erforderlichen Standards auf MG-Ebene aus; vermeiden Sie Abweichungen pro Abonnement. Behandeln Sie das Compliance-Dashboard als einen Policy-as-Code-Bericht: jede grüne Kontrolle sollte auf eine Richtlinie, eine Initiative oder eine automatisierte Konfiguration zurückführbar sein. Für Kontrollfamilien, die Prozessnachweise erfordern (z. B. Incident Response), verknüpfen Sie Workbook-Visualisierungen und Ticket-IDs zur Unterstützung von Audits.

Die Workflow-Automatisierung verknüpft die Sicherheitslage mit Maßnahmen. Typische Muster:

Auslöser: Eine Empfehlung wird für ein geschäftskritisches Abonnement fehlerhaft (unhealthy) → Aktion: Ein P1-Ticket öffnen, SecOps benachrichtigen und automatisch eine Aufgabe zur Behebung erstellen.
Auslöser: Eine neue Warnung mit hohem Schweregrad für eine Produktionsressource → Aktion: Endpunkt isolieren (MDE), Speicherobjekt unter Quarantäne stellen oder öffentlichen Zugriff durch Richtlinienbehebung deaktivieren.

Richtliniengesteuerte Governance und Landing Zones

Azure Policy ist das präventive und korrigierende Leitplankensystem gegen Cloud-Drift. Schlüsselelemente:

Definition: Eine Regel mit Bedingungen und einem Effekt. Gängige Effekte sind Deny, Audit, Append, Modify, DeployIfNotExists, AuditIfNotExists und Disabled. Verwenden Sie Deny für nicht verhandelbare Leitplanken (z. B. öffentliche IP-Adressen auf NICs verbieten). Verwenden Sie DeployIfNotExists, um erforderliche Agents oder Erweiterungen (z. B. Antimalware oder MDE) automatisch zu installieren.
Initiative: Eine kuratierte Sammlung von Richtliniendefinitionen, die für eine konsistente Zuweisung parametrisiert sind (z. B. die Azure Security Benchmark-Initiative).
Zuweisung: Der Geltungsbereich sollte zuerst auf Verwaltungsgruppen festgelegt werden, dann auf Abonnements oder Ressourcengruppen für gezielte Überschreibungen. Aktivieren Sie den „Erzwingungsmodus“ für zwingend erforderliche Richtlinien, sobald diese überwacht werden.
Ausnahmen: Verwenden Sie die Kategorien Verzicht (akzeptiertes Risiko) oder Gemindert (kompensierende Kontrolle). Legen Sie immer ein Ablaufdatum fest, um eine Neubewertung sicherzustellen.
Korrekturaufgaben: Erforderlich für DeployIfNotExists und Modify, um bestehende Ressourcen zu konfigurieren. Weisen Sie der verwalteten Identität der Richtlinienzuweisung die Rolle „Mitwirkender“ (und bei Bedarf Berechtigungen auf Datenebene) für die Zielbereiche zu.

Beispiel für ein Richtlinienskelett zur Erzwingung einer Antimalware-Erweiterung auf Windows-VMs:

{
  "properties": {
    "displayName": "Deploy antimalware on Windows VMs",
    "policyType": "Custom",
    "mode": "Indexed",
    "parameters": {},
    "policyRule": {
      "if": {
        "allOf": [
          { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
          { "field": "Microsoft.Compute/virtualMachines/osProfile.windowsConfiguration", "exists": "true" }
        ]
      },
      "then": {
        "effect": "DeployIfNotExists",
        "details": {
          "type": "Microsoft.Compute/virtualMachines/extensions",
          "name": "IaaSAntimalware",
          "roleDefinitionIds": ["/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"],
          "deploymentScope": "resourceGroup",
          "existenceCondition": { "field": "name", "equals": "IaaSAntimalware" },
          "deployment": { "properties": { "mode": "incremental", "template": { "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#", "resources": [] } } }
        }
      }
    }
  }
}

Die Governance von Landing Zones organisiert die Vererbung und Funktionstrennung:

Verwaltungsgruppen: Bauen Sie eine klare Hierarchie auf (Mandantenstammgruppe → Plattform → Corp/Online → Umgebungen wie Prod/NonProd). Weisen Sie Initiativen und RBAC auf MG-Ebene zu, um die Vererbung zu maximieren und den Drift pro Abonnement zu minimieren. Erkennen und integrieren Sie privilegierte Rollen in PIM; die Konfiguration von PIM erfordert einen Globalen Administrator.
Abonnementorganisation: Trennen Sie nach Umgebung und Kritikalität des Workloads, um den Explosionsradius und die Budgets zu isolieren. Verwenden Sie Archetypen (z. B. „Mission-Critical AKS“, „Data Platform“) mit vorab zugewiesenen Initiativen und RBAC.
Tags: Standardisieren Sie erforderliche Tags (Owner, CostCenter, DataSensitivity, Environment) und erzwingen Sie deren Normalisierung über Modify/Append; verweigern Sie die Erstellung von Ressourcen in der Produktion, wenn erforderliche Tags fehlen.
Ressourcensperren: CanNotDelete schützt kritische, gemeinsam genutzte Dienste; ReadOnly verhindert jegliche PUT-Operationen. Sparsam und erst nach der Richtlinienhärtung einsetzen. Beachten Sie, dass eine ReadOnly-Sperre auf einer VM oder ihrer Ressourcengruppe das Starten von freigegebenen VMs verhindert und Konfigurationsänderungen blockiert.

Für Anforderungen, die bisher mit Blueprints umgesetzt wurden, empfiehlt sich die Einführung von „Policy-as-Code“ mit ARM/Bicep, Template Specs und Initiativzuweisungen, um Blueprint-ähnliche, konsistente Bereitstellungen im großen Maßstab zu erreichen.

Sicherheitsinventar, Cloud-Apps, Data Governance und Auditing

Für Inventarisierung und Compliance im großen Maßstab werden Azure Resource Graph (ARG) und Richtlinien-Compliance-Berichte verwendet. ARG-Abfragen liefern nahezu in Echtzeit Einblicke in den Sicherheitsstatus von Millionen von Ressourcen:

securityresources
| where type =~ 'microsoft.security/assessments'
| where properties.status.code == 'Unhealthy'
| summarize unhealthy=count() by tostring(properties.displayName)
| order by unhealthy desc

Verknüpfen Sie den Ressourcenstatus mit Tags, um eine Triage nach Datensensitivität durchzuführen:

resources
| where type == 'microsoft.compute/virtualmachines'
| project id, name, resourceGroup, subscriptionId, dataSensitivity = tostring(tags['DataSensitivity'])
| join kind=leftouter (
  securityresources
  | where type =~ 'microsoft.security/assessments'
  | where properties.status.code == 'Unhealthy'
  | summarize issues=count() by tolower(tostring(properties.resourceDetails.Id))
) on $left.id == $right['tolower_tostring_properties_resourceDetails_Id']
| project name, dataSensitivity, issues = coalesce(issues, 0)
| order by issues desc

Defender for Cloud Apps (MDCA) steuert das SaaS-Risiko:

App-Erkennung: Erfassen Sie Firewall-/Proxy-Protokolle über Cloud Discovery oder integrieren Sie Defender for Endpoint für die endpunktbasierte Erkennung. Klassifizieren Sie Apps nach Risikobewertung und Nutzung; markieren Sie sie als genehmigt/nicht genehmigt, um bedingten Zugriff und Proxy-Blockaden zu steuern.
Sitzungssteuerungen: Verwenden Sie Conditional Access App Control, um Sitzungen für sensible Aktionen über einen Proxy zu leiten. Wenden Sie Echtzeit-Richtlinien an, um Downloads zu blockieren, Uploads zu überwachen, Inhalte zu schwärzen oder Wasserzeichen für riskante Sitzungen oder nicht verwaltete Geräte hinzuzufügen.
Governance-Aktionen: Stellen Sie Dateien in Microsoft 365 unter Quarantäne oder klassifizieren Sie sie, widerrufen Sie die Zustimmung für OAuth-Apps, entfernen Sie externe Freigaben, sperren Sie riskante Benutzer und benachrichtigen Sie App-Besitzer. Automatisieren Sie die wiederkehrende Durchsetzung, um Abweichungen (Drift) zu verhindern.

Microsoft Purview erweitert die Governance auf Daten:

Data Map und Scannen: Registrieren und scannen Sie Azure Storage, SQL, Synapse und Multicloud-Speicher, um Assets und deren Herkunft (Lineage) zu ermitteln. Klassifizieren Sie mit integrierten und benutzerdefinierten Klassifizierern.
Vertraulichkeitsbezeichnungen und Schutz: Wenden Sie Bezeichnungen mit Verschlüsselung und Nutzungsrechten an; automatische Klassifizierung basierend auf Inhalt und Kontext. Erzwingen Sie bezeichnungsbasierten Zugriff in Microsoft 365 und integrieren Sie DLP, um die Exfiltration von Daten zu verhindern.
Richtlinienabgleich: Ordnen Sie Purview-Vertraulichkeitsstufen Tags zu (z. B. DataSensitivity) und steuern Sie kompensierende Kontrollen über Azure Policy (z. B. Private Endpoints für Speicher mit der Klassifizierung „HighlyConfidential“ vorschreiben).

Audit-Protokolle müssen manipulationssicher und vollständig sein:

Azure Activity Log: Zeichnet Vorgänge auf der Steuerungsebene auf Subscription-Ebene auf. Streamen Sie die Daten an Log Analytics und archivieren Sie sie über Diagnoseeinstellungen in Storage. Bewahren Sie Langzeitkopien außerhalb der Subscription in einer zentralen „Security-Logs“-Subscription auf, um die Bedrohung durch Insider zu minimieren.
Diagnoseeinstellungen für Ressourcen: Aktivieren Sie diese für kritische Provider (Key Vault, Storage, SQL, AKS, Network Security Groups), um Protokolle der Datenebene und des Dienstes zu erfassen. Leiten Sie sie zur Erkennung an Log Analytics und zur Aufbewahrung an Storage weiter.
Unveränderlicher Speicher für Protokolle: Verwenden Sie Blob Storage mit zeitbasierter Aufbewahrung oder Legal Hold (WORM). Aktivieren Sie allowProtectedAppendWritesAll, damit Diagnosedaten weiterhin angefügt werden können, während die Unveränderlichkeit erzwungen wird. Konfigurieren Sie Lebenszyklusrichtlinien zur Kostenkontrolle, aber löschen Sie niemals Daten innerhalb der vorgeschriebenen Aufbewahrungsfrist. Dies untermauert den Nachweis für regulatorische Anforderungen und die forensische Analyse von Vorfällen.

Praktisches Problemszenario

Contoso, ein globaler Einzelhändler, führt zwei neue Produktions-Subscriptions ein und muss den Sicherheitsstatus standardisieren, Compliance mit dem Azure Security Benchmark erreichen und unveränderliche Protokolle für sieben Jahre aufbewahren, während der operative Aufwand minimiert wird.

Governance auf Ebene der Verwaltungsgruppe einrichten

Erstellen Sie eine Verwaltungsgruppe „Prod“ und ordnen Sie beide Subscriptions darunter an.
Begründung: Vererbung stellt konsistente Richtlinien, Defender-Pläne und RBAC ohne Abweichungen pro Subscription sicher und reduziert den Konfigurationsaufwand.

Sicherheitsinitiativen und Defender for Cloud-Pläne zuweisen

Weisen Sie die Azure Security Benchmark-Initiative mit „Deny“ für öffentliche IPs für Storage und SQL zu; aktivieren Sie Defender for Servers Plan 2, Storage, SQL, Containers, Key Vault und DNS auf Ebene der Prod-Verwaltungsgruppe.
Begründung: Die Pläne schalten erweiterte Erkennungen frei; die Initiative kodiert Kontrollen als Leitplanken (Guardrails). Die Zuweisung auf MG-Ebene garantiert eine einheitliche Durchsetzung und eine konsistente Berechnung des Secure Score.

Richtliniengesteuerte Automatisierung und Ausnahmen implementieren

Fügen Sie „DeployIfNotExists“-Richtlinien hinzu, um bei Bedarf MDE und den Log Analytics-Agenten automatisch zu installieren; erstellen Sie Korrekturaufgaben für bestehende Ressourcen. Verwenden Sie Ausnahmen mit einem Ablaufdatum für ältere VMs, die nicht sofort eingebunden werden können.
Begründung: „DeployIfNotExists“ wandelt Anleitungen in Aktionen um; zeitlich begrenzte Ausnahmen erhalten den Compliance-Fortschritt, ohne kritische Vorgänge zu blockieren.

Einen durch den Secure Score gesteuerten Korrektur-Workflow konfigurieren

Erstellen Sie einen Logic App-Workflow in Defender for Cloud, um P1-Tickets für jede Verbesserungsmaßnahme zu öffnen, deren Auswirkung auf den Score >3 % beträgt und die in der Produktionsumgebung fehlerhaft wird, und benachrichtigen Sie automatisch die Ressourcenbesitzer.
Begründung: Die Auswirkung auf den Score richtet die Korrektur an einer messbaren Risikominderung aus, und die Automatisierung setzt SLOs ohne manuelle Triage durch.

Audit-Protokolle mit Unveränderlichkeit zentralisieren

Erstellen Sie für das Activity Log jeder Subscription und für kritische Ressourcen (Key Vault, Storage, SQL, AKS) Diagnoseeinstellungen, um Daten an einen zentralen Log Analytics-Arbeitsbereich und ein Storage-Konto mit einer siebenjährigen, zeitbasierten Aufbewahrungsrichtlinie und allowProtectedAppendWritesAll zu senden.
Begründung: Die Zentralisierung vereinfacht die Erkennung und Compliance; unveränderlicher Speicher bietet die für Audits und Forensik erforderliche Nichtabstreitbarkeit.

SaaS-Nutzung und Egress-Risiko steuern

Verbinden Sie Defender for Cloud Apps mit Defender for Endpoint zur App-Erkennung; markieren Sie nicht genehmigte, hochriskante Apps und erzwingen Sie Conditional Access App Control für nicht verwaltete Geräte, die auf genehmigte Apps zugreifen.
Begründung: Reduziert das Risiko von Schatten-IT und setzt Sitzungssteuerungen in Echtzeit durch, ohne die Benutzererfahrung auf verwalteten Geräten zu stören.

Daten-Governance mit Purview integrieren

Registrieren Sie die Storage- und SQL-Umgebungen von Contoso in Purview, führen Sie Scans aus und wenden Sie automatisch Vertraulichkeitsbezeichnungen an. Ordnen Sie Bezeichnungen einer Tag-Richtlinie für Environment und DataSensitivity zu, die Private Endpoints für Speicher mit der Klassifizierung „HighlyConfidential“ vorschreibt.
Begründung: Daten-sensitive Richtlinien stellen sicher, dass die Netzwerkhärtung automatisch dort angewendet wird, wo sensible Daten entdeckt werden. Dies schließt den Kreis zwischen Daten-Governance und Infrastruktursicherheit.

← Schlüsselverwaltung · Alle Domänen · Microsoft Sentinel und Security Operations →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →