Microsoft AZ-801: Microsoft Defender for Cloud und Endpunktsicherheit — Lernleitfaden

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Teil des Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Microsoft Defender for Cloud und Microsoft Defender for Endpoint bilden einen zusammenhängenden Stack für die Härtung hybrider Windows-Server-Umgebungen, die Erkennung von Bedrohungen und die Durchsetzung des Prinzips der geringsten Rechte (Least-Privilege). In Azure und on-premises (über Azure Arc) bieten sie Posture-Management, automatisierte Behebung (Remediation) und Endpoint Detection and Response (EDR). Das Verständnis der Defender for Servers-Pläne, der Workflow-Automatisierung, der Zugriffskontrollen, der Integritätsüberwachung und des Schutzes für Container ist entscheidend, um eine konsistente Sicherheitsbaseline zu erstellen und die Reaktion zu operationalisieren.

Cloud Security Posture und Server-Pläne

Der Secure Score von Defender for Cloud quantifiziert, wie gut Ihre Ressourcen die Sicherheits-Best-Practices und regulatorischen Standards erfüllen, die über Azure Policy abgebildet werden. Jede Sicherheitskontrolle trägt einen gewichteten Anteil zur Gesamtbewertung bei und wird durch eine oder mehrere Empfehlungen untermauert. Sie verbessern den Secure Score, indem Sie Empfehlungen in den Bereichen Compute, Netzwerk, Identitäten und Daten umsetzen. Der Workflow zur Behebung beginnt mit der Detailansicht einer Empfehlung, der Überprüfung der betroffenen Ressourcen und der Behebungsschritte sowie der Nutzung von Quick-Fixes, sofern verfügbar. Beispielsweise ist die Aktivierung des Endpunktschutzes eine Ein-Klick-Bereitstellung, die an eine Richtlinie gebunden ist und Agenten automatisch bereitstellen kann. Empfehlungen können Verantwortlichen zugewiesen, Fälligkeitsdaten festgelegt und Behebungsaufgaben nachverfolgt werden. Wenn eine Empfehlung nicht zutrifft, können Sie eine Ausnahme mit einer Begründung und einem optionalen Ablaufdatum erstellen. Dies aktualisiert den Secure Score, ohne nicht zusammenhängende Risiken zu verschleiern. Ansichten zur Einhaltung gesetzlicher Vorschriften (z. B. Azure Security Benchmark, CIS) projizieren dieselben Kontrollen in standardspezifische Bewertungen für Auditoren und zur kontinuierlichen Überwachung.

Defender for Servers bietet über zwei Pläne einen mehrschichtigen Schutz:

Plan 1 (ca. 5 $/Server/Monat, regionale Abweichungen möglich) konzentriert sich auf den Schutz auf Endpunktebene, indem er Microsoft Defender for Endpoint Plan 2 für Server einschließt. Er bietet EDR mit verhaltensbasierter Erkennung, Kernfunktionen für das Bedrohungs- und Schwachstellenmanagement, Empfehlungen zur Reduzierung der Angriffsfläche und Sicherheitsbaselines, die über MDE bereitgestellt werden. Plan 1 ist ideal, wenn Sie ein leistungsstarkes EDR mit minimalen Azure-nativen Härtungsfunktionen wünschen.
Plan 2 (ca. 15 $/Server/Monat, regionsabhängig) enthält alles aus Plan 1 und fügt Azure-native Härtungs- und Überwachungsfunktionen hinzu: Just-in-Time (JIT) VM-Zugriff, adaptive Anwendungssteuerung, adaptive Netzwerkhärtung, Dateiintegritätsüberwachung (FIM), Schwachstellenbewertung für Server (über integriertes Qualys oder MDE-basiertes Defender Vulnerability Management), Integrationen zur Erkennung sensibler Daten und tiefgreifendere Bedrohungserkennungen, die sowohl aus dem Host- als auch aus dem Cloud-Kontext stammen. Plan 2 ist die umfassende Option für Unternehmen, die sowohl für die Prävention als auch für die Erkennung auf Defender for Cloud standardisieren.

Beide Pläne unterstützen Azure- und Arc-fähige Server. Das Onboarding auf Abonnement- oder Arbeitsbereichsebene ermöglicht es Defender for Cloud, die erforderlichen Agenten und Erweiterungen mithilfe von verwalteten Identitäten und Azure Policy automatisch bereitzustellen, was eine konsistente Bereitstellung in großem Umfang sicherstellt.

Schutzmaßnahmen und Automatisierung

Die Workflow-Automatisierung operationalisiert Empfehlungen und Warnungen. Playbooks sind Azure Logic Apps, die an Trigger von Defender for Cloud gebunden sind:

Warnungs-Trigger: Wenn eine Sicherheitswarnung erstellt oder aktualisiert wird, kann ein Playbook Informationen anreichern, Benachrichtigungen senden (Teams/E-Mail) oder Maßnahmen ergreifen (Host isolieren, VM anhalten).
Empfehlungs-Trigger: Wenn eine neue fehlerhafte Ressource für eine Empfehlung erscheint, kann ein Playbook ein Ticket öffnen, die Zuständigkeit zuweisen oder APIs zur Behebung aufrufen.
Trigger für die Einhaltung gesetzlicher Vorschriften: Bei Änderungen in der Bewertung kann ein Playbook die Ergebnisse in GRC-Tools exportieren.

Implementieren Sie Playbooks mithilfe einer systemseitig zugewiesenen verwalteten Identität, der Rollen mit den geringsten Rechten gewährt werden (z. B. Virtual Machine Contributor zum Anhalten von VMs). Verwenden Sie Filterbedingungen, um auf bestimmte Warnungen wie „Antimalware auf der virtuellen Maschine deaktiviert“ abzuzielen, und rufen Sie dann die Compute-PowerOff-Operation für die betroffene VM auf. Dieses Muster reduziert die durchschnittliche Zeit bis zur Behebung (Mean Time to Remediate), während die Überprüfbarkeit und Konsistenz erhalten bleiben.

Der Just-in-Time-VM-Zugriff (JIT) verkleinert die Angriffsfläche, indem er Verwaltungsports (SSH, RDP, benutzerdefiniert) auf der NSG oder Azure Firewall schließt, bis sie explizit angefordert werden. Voraussetzungen sind eine NSG oder Azure Firewall, die auf die Netzwerkschnittstelle oder das Subnetz der VM angewendet wird; falls keine vorhanden ist, erstellen Sie zuerst eine NSG. Konfigurieren Sie JIT, um erlaubte Ports, Quellbereiche (bevorzugen Sie die Einschränkung auf bevorzugte Quell-IPs), das Protokoll und die maximale Zugriffsdauer pro Port festzulegen. Wenn ein Operator Zugriff anfordert, validiert Defender for Cloud die RBAC-Berechtigungen und genehmigt den Zugriff entweder automatisch oder leitet ihn gemäß Ihrer Richtlinie zur Genehmigung weiter. Anschließend wird eine temporäre „Allow“-Regel eingefügt, die auf die öffentliche IP des Anforderers beschränkt ist, und bei Ablauf automatisch wieder entfernt. Alle Anfragen, Genehmigungen und Änderungen an NSG-Regeln werden in Defender for Cloud und den Azure Activity Logs auditiert und können an Log Analytics oder Microsoft Sentinel gestreamt werden.

Adaptive Anwendungssteuerungen nutzen maschinelles Lernen, um ähnliche Maschinen (nach Workload und beobachteten Prozessen) zu gruppieren und Allowlists vorzuschlagen. Sie verfeinern und veröffentlichen Regeln mithilfe von:

Herausgeber- und signaturbasierten „Allow“-Regeln für signierte Binärdateien
Dateipfadregeln für Installationsorte
Hash-Regeln für bestimmte Binärdateien Betreiben Sie die Steuerung zuerst im Überwachungsmodus (Audit Mode), um potenzielle Blockierungen zu beobachten, und wechseln Sie dann in den Erzwingungsmodus (Enforce Mode), um die Ausführung außerhalb der Allowlist zu blockieren. Bei Windows werden die Steuerungen intern durch Windows Defender Application Control implementiert; bei Linux werden die Allowlists für beobachtete Prozesse über unterstützte Mechanismen erzwungen. Stellen Sie sicher, dass operative Prozesse wie Software-Updates und Verwaltungsagenten erlaubt sind, um durch Abweichungen (Drift) verursachte Fehlalarme (False Positives) zu vermeiden.

Die adaptive Netzwerkhärtung analysiert tatsächliche Datenverkehrsmuster und schlägt verschärfte eingehende NSG-Regeln vor. Wenn beispielsweise RDP nur aus einem bekannten Verwaltungsnetzwerk beobachtet wird, empfiehlt die Funktion, 3389/TCP auf diesen Bereich anstelle von „Any“ zu beschränken. Überprüfen und wenden Sie Empfehlungen pro NSG an; Defender for Cloud schreibt aktualisierte Regeln mit beschreibenden Namen und bewahrt so den Kontext der Änderung. Bewerten Sie die Regeln regelmäßig neu, da neue legitime Quellen zu aktualisierten Vorschlägen führen können.

Die Überwachung der Dateiintegrität (File Integrity Monitoring, FIM) fügt detektivische Kontrollen für Änderungen an kritischen Dateien und Registries hinzu. Konfigurieren Sie FIM, indem Sie einen Log Analytics-Arbeitsbereich zuordnen und die FIM-Datensammlung für Zielmaschinen aktivieren (Auto-Provisioning wird unterstützt). Definieren Sie überwachte Pfade und Registrierungsschlüssel, einschließlich Ein-/Ausschlussmustern und der Sensitivität gegenüber Inhaltsänderungen im Vergleich zu reinen Attributänderungen. Defender for Cloud löst bei nicht autorisierten oder verdächtigen Änderungen Warnungen mit Details darüber aus, wer was wann geändert hat; die Ereignisse werden in Ihrem Arbeitsbereich für die Suche (Hunting) und Korrelation gespeichert. Verwenden Sie Aufbewahrungs- und Datenexporteinstellungen, um den Änderungsverlauf an die Compliance-Anforderungen anzupassen.

Endpunkt- und Schwachstellenmanagement

Das Onboarding von Windows Server in Microsoft Defender for Endpoint wird durch Defender for Cloud optimiert. Für Azure-VMs aktivieren Sie die automatische Bereitstellung (Auto-Provisioning); für lokale (On-Premises) oder andere Clouds verbinden Sie Maschinen mit Azure Arc (Azure Connected Machine Agent) und aktivieren Sie dann Defender for Servers, um den einheitlichen MDE-Agenten auf unterstützten Windows Server-Versionen automatisch zu installieren. Validieren Sie das Onboarding, indem Sie die Sensorkonnektivität und die Generierung von Warnmeldungen durch Testerkennungen bestätigen.

EDR im Blockmodus verstärkt den Schutz, indem es MDE ermöglicht, bösartige Artefakte und Verhaltensweisen zu blockieren, selbst wenn ein Antivirenprogramm eines Drittanbieters primär ist oder wenn Microsoft Defender Antivirus im passiven Modus ausgeführt wird. Stellen Sie sicher, dass die Engine und die Plattform von Microsoft Defender Antivirus vorhanden und auf dem neuesten Stand sind; aktivieren Sie den EDR-Blockmodus über die MDE-Sicherheitseinstellungen (GPO, Intune oder das MDE-Portal). Dieser Modus ist besonders wertvoll auf Servern, auf denen signaturbasierte AV-Lösungen den Einsatz von Post-Exploitation-Tools möglicherweise übersehen, da er verhaltensbasierte Blockierungen ermöglicht.

Live Response bietet einen sicheren, auditierten Remote-Shell-Zugriff vom Microsoft Defender-Portal auf einen eingebundenen Server zur Triage und Eindämmung (Containment). Mit den entsprechenden Rollen können Responder Artefakte sammeln, Prozesse und Persistenzmechanismen untersuchen, bösartige Prozesse beenden, Dateien löschen und Skripte zur Risikominderung anwenden. Live-Response-Sitzungen werden protokolliert und können in Runbooks für die Reaktion auf Vorfälle (Incident Response) integriert werden.

Die Schwachstellenbewertung für Server ist über zwei Integrationen verfügbar:

Integriertes Qualys: Defender for Cloud stellt eine schlanke Qualys-Agent-Erweiterung bereit, die authentifizierte Scans durchführt und Software-Schwachstellen an Defender for Cloud meldet. Es ist kein separates Qualys-Abonnement erforderlich, und die Ergebnisse fließen in den Secure Score und die Empfehlungen ein. Dieser Weg wird häufig verwendet, wenn Sie eine Azure-native Bereitstellung mit minimaler Abhängigkeit von MDE bevorzugen.
Microsoft Defender Vulnerability Management (über MDE): Nutzt den MDE-Sensor, um ohne zusätzliche Agenten eine Software-Inventur, CVE-Bewertung, Empfehlungen zur Reduzierung der Angriffsfläche und eine Risikobewertung (Exposure Scoring) bereitzustellen. Es konsolidiert Schwachstellen mit Endpunkterkennungen und ermöglicht so einheitliche Workflows zur Behebung.

Wählen Sie die MDE-basierte Schwachstellenanalyse (VA), wenn Sie auf MDE standardisieren und tiefgehende Analysen zur Gerätehaltung (Device Posture) wünschen; wählen Sie das integrierte Qualys, wenn MDE nicht auf bestimmten Servern bereitgestellt wird oder Sie Parität zwischen Windows und Linux ohne zusätzliche Onboarding-Schritte benötigen. In Defender for Servers Plan 2 kann jede der beiden Datenquellen auf Bereichsebene (Scope Level) ausgewählt werden; stellen Sie sicher, dass nur eine aktiviert ist, um Duplizierung zu vermeiden.

Container und Registries

Defender for Containers von Defender for Cloud sichert sowohl Images als auch die Laufzeitumgebung. Aktivieren Sie für Azure Container Registry das Scannen von Images, damit bei jedem Image-Push und bei regelmäßigen erneuten Scans CVEs, offengelegte Geheimnisse und Konfigurationsprobleme (z. B. Ausführung als root) identifiziert werden. Die Ergebnisse werden als Empfehlungen in Defender for Cloud angezeigt und können Bereitstellungen über Pipeline-Gates blockieren. Integrieren Sie bei Multi-Cloud-Registries oder CI-Systemen den Defender-Scanner in Ihren Build-Prozess, um den „Shift-Left“-Ansatz zu verfolgen.

Aktivieren Sie zur Laufzeit den Defender-Agenten für Kubernetes (als AKS-Add-On oder als DaemonSet für andere Cluster), um verdächtige Verhaltensweisen wie Privilegienerweiterung innerhalb von Containern, anomale Prozessaktivitäten, Krypto-Mining oder Versuche der lateralen Bewegung zu erkennen. Der Laufzeitsensor korreliert Host-Signale, Kubernetes-Audit-Logs und Container-Ereignisse und generiert Warnungen, die mit Metadaten zu Pod, Namespace und Knoten angereichert sind. Härten Sie Cluster, indem Sie empfohlene Kubernetes-Richtlinienkontrollen anwenden, minimale Berechtigungen durchsetzen und den Ingress/Egress-Verkehr mit Netzwerkrichtlinien steuern. Richten Sie sich dabei an den Secure Score-Empfehlungen aus, die dem Azure Security Benchmark zugeordnet sind.

Praktisches Problemszenario

Die Siemens AG betreibt eine hybride Windows-Server-Umgebung mit Azure-VMs und lokalen Servern. Das Management muss die Gefährdung durch offene Verwaltungsports reduzieren, die Reaktion auf kritische Warnungen automatisieren und eine kontinuierliche Transparenz über unbefugte Dateiänderungen erlangen, während gleichzeitig die Einhaltung regulatorischer Vorschriften verbessert wird.

Onboarding von Servern und Planauswahl

Aktion: Aktivieren Sie Microsoft Defender for Servers Plan 2 für die Produktionssubscription und den zentralen Log Analytics Workspace. Verbinden Sie lokale Server über Azure Arc und aktivieren Sie die automatische Bereitstellung (Auto-Provisioning).
Warum: Plan 2 bietet zusätzlich zu MDE auch JIT, adaptive Kontrollen, FIM und eine Schwachstellenbewertung. Dies entspricht den Präventions- und Erkennungszielen von Siemens und gewährleistet eine konsistente Agenten-Bereitstellung in Azure und vor Ort.

Verbesserung der Sicherheitslage und des Secure Score

Aktion: Überprüfen Sie den Secure Score und priorisieren Sie Empfehlungen, die mit hochriskanten Kontrollen verbunden sind (z. B. nicht installierter Endpunktschutz, offene Verwaltungsports). Weisen Sie Verantwortliche und Fälligkeitstermine zu; erstellen Sie Ausnahmen mit Begründung, wenn eine Kontrolle tatsächlich nicht zutrifft (z. B. bei einem Air-Gapped-Labor).
Warum: Der Secure Score fördert eine messbare Risikominderung und ist direkt den regulatorischen Kontrollen zugeordnet, über die Siemens Bericht erstatten muss.

Implementierung des JIT-VM-Zugriffs

Aktion: Stellen Sie sicher, dass jede VM-NIC/jedes Subnetz eine NSG hat; erstellen Sie für die ohne NSG neue NSGs und ordnen Sie diese entsprechend zu. Konfigurieren Sie JIT für RDP/SSH und benutzerdefinierte Admin-Ports mit einem maximalen Zeitfenster von 3 Stunden und Quell-IP-Beschränkungen auf die Jump-Hosts von Siemens. Fordern Sie für die Produktion eine Genehmigung an.
Warum: JIT beseitigt die ständige Gefährdung durch offene Verwaltungsports und erfüllt das Prinzip der geringsten Rechte (Least Privilege), indem der Zugriff zeitlich und auf bestimmte Quellen beschränkt wird, mit vollständigen Audit-Protokollen.

Automatisierung der Reaktion mit Logic Apps

Aktion: Erstellen Sie ein Playbook, das durch Sicherheitswarnungen ausgelöst wird, die auf „Antimalware in der virtuellen Maschine deaktiviert“ passen. Verwenden Sie eine verwaltete Identität mit der Rolle „Virtual Machine Contributor“, um die PowerOff-API auf der betroffenen VM aufzurufen und SecOps über Teams zu benachrichtigen.
Warum: Das automatische Herunterfahren nicht konformer Hosts verhindert eine schnelle Ausnutzung und benachrichtigt gleichzeitig die Stakeholder. Die Verwendung einer verwalteten Identität setzt das Prinzip der geringsten Rechte mit überprüfbaren Aktionen durch.

Durchsetzung adaptiver Anwendungs- und Netzwerkkontrollen

Aktion: Aktivieren Sie adaptive Anwendungskontrollen im Überwachungsmodus (Audit Mode) für IIS- und SQL-Servergruppen. Verfeinern Sie die Positivlisten (Allowlists) für signierte Binärdateien und Standardpfade und wechseln Sie dann in den Erzwingungsmodus (Enforce Mode). Wenden Sie Empfehlungen zur adaptiven Netzwerkhärtung an, um die NSG-Regeln für eingehende Ports auf bekannte Management-IPs von Siemens zu verschärfen.
Warum: Das Führen von Positivlisten für Anwendungen und gehärtete NSGs reduzieren die Angriffsfläche und blockieren unbekannte ausführbare Dateien, was den Basisanforderungen von Siemens entspricht.

Konfiguration der Dateiintegritätsüberwachung

Aktion: Weisen Sie einen zentralen Log Analytics Workspace zu, definieren Sie überwachte Verzeichnisse für Betriebssystem und Anwendungen sowie Registry-Hives, schließen Sie bekannte „laute“ Pfade aus und aktivieren Sie Warnungen für unbefugte Änderungen. Streamen Sie FIM-Warnungen zur Korrelation an Microsoft Sentinel.
Warum: FIM ermöglicht die Früherkennung von Manipulationen und unbefugten Konfigurationsabweichungen, erfüllt Audit-Anforderungen und verbessert die Vorfallerkennung.

Standardisierung der Schwachstellenbewertung

Aktion: Verwenden Sie das MDE-basierte Defender Vulnerability Management für alle Server mit MDE-Onboarding; deaktivieren Sie Qualys, wo MDE vorhanden ist. Aktivieren Sie für Legacy-Server ohne MDE die integrierte Qualys-Erweiterung.
Warum: Die Konsolidierung auf die MDE-basierte VA vereinfacht den Betrieb und vertieft die Analysen. Qualys füllt Lücken, wo MDE nicht machbar ist, und verhindert so Datenduplizierung.

Absicherung von Containern und Registries

Aktion: Aktivieren Sie das ACR-Image-Scanning und den AKS Defender-Agenten. Konfigurieren Sie CI-Gates, um Images mit kritischen CVEs zu blockieren, und setzen Sie Laufzeiterkennungen mit Warnungsrouting an SecOps durch.
Warum: Dies stellt sicher, dass Schwachstellen vor der Bereitstellung behoben und Laufzeitanomalien mit Kubernetes-Kontext schnell erkannt werden, was die Defense-in-Depth-Strategie von Siemens vervollständigt.

← Windows Server-Sicherheit und -Härtung · Alle Domänen · Microsoft Sentinel und Sicherheitsüberwachung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →