Microsoft AZ-801: Microsoft Defender for Cloud et sécurité des points de terminaison — Guide d'étude

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Fait partie du Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Microsoft, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

Microsoft Defender for Cloud et Microsoft Defender for Endpoint forment une pile cohésive pour renforcer les parcs de serveurs Windows hybrides, détecter les menaces et appliquer l’accès au moindre privilège. Dans Azure et sur site (via Azure Arc), ils fournissent la gestion de la posture, la remédiation automatisée et la détection et réponse au niveau des points de terminaison (EDR). Comprendre les plans de Defender for Servers, l’automatisation des workflows, les contrôles d’accès, la surveillance de l’intégrité et les protections des conteneurs est essentiel pour construire une base de référence de sécurité cohérente et opérationnaliser la réponse.

Posture de sécurité du cloud et plans pour serveurs

Le Secure Score de Defender for Cloud quantifie la conformité de vos ressources avec les meilleures pratiques de sécurité et les normes réglementaires mappées via Azure Policy. Chaque contrôle de sécurité contribue à une part pondérée du score et est soutenu par une ou plusieurs recommandations. Vous améliorez le Secure Score en traitant les recommandations concernant le calcul, le réseau, les identités et les données. Le workflow de remédiation commence par l’analyse détaillée d’une recommandation, l’examen des ressources affectées et des étapes de remédiation, et l’utilisation de correctifs rapides lorsqu’ils sont disponibles. Par exemple, l’activation de la protection des points de terminaison est un déploiement en un seul clic lié à une politique qui peut provisionner automatiquement les agents. Des propriétaires peuvent être assignés aux recommandations, des dates d’échéance fixées et les tâches de remédiation suivies. Lorsqu’une recommandation n’est pas applicable, vous pouvez créer une exemption avec une justification et une expiration facultative, ce qui met à jour le Secure Score sans masquer les risques non liés. Les vues de conformité réglementaire (par ex., Azure Security Benchmark, CIS) projettent les mêmes contrôles dans des évaluations spécifiques aux normes pour les auditeurs et la surveillance continue.

Defender for Servers fournit des protections à plusieurs niveaux via deux plans :

Le Plan 1 (environ 5 $/serveur/mois, des variations régionales s’appliquent) se concentre sur les protections au niveau des points de terminaison en incluant Microsoft Defender for Endpoint Plan 2 pour les serveurs. Il fournit l’EDR avec des détections comportementales, les capacités de base de la gestion des menaces et des vulnérabilités, des recommandations de réduction de la surface d’attaque et des bases de référence de sécurité présentées via MDE. Le Plan 1 est idéal lorsque vous souhaitez un EDR puissant avec un minimum de fonctionnalités de renforcement natives d’Azure.
Le Plan 2 (environ 15 $/serveur/mois, selon la région) inclut tout ce qui se trouve dans le Plan 1 et ajoute des capacités de renforcement et de surveillance natives d’Azure : accès juste-à-temps (JIT) aux VM, contrôles d’application adaptatifs, renforcement adaptatif du réseau, surveillance de l’intégrité des fichiers (FIM), évaluation des vulnérabilités des serveurs (via Qualys intégré ou Defender Vulnerability Management basé sur MDE), intégrations de la découverte de données sensibles et détections de menaces plus approfondies provenant à la fois du contexte de l’hôte et du cloud. Le Plan 2 est l’option complète pour les entreprises qui standardisent leur approche sur Defender for Cloud pour la prévention et la détection.

Les deux plans prennent en charge les serveurs Azure et ceux activés pour Arc. L’intégration au niveau de l’abonnement ou de l’espace de travail permet à Defender for Cloud de provisionner automatiquement les agents et extensions requis en utilisant des identités managées et Azure Policy, garantissant un déploiement cohérent à grande échelle.

Contrôles de protection et automatisation

L’automatisation des workflows opérationnalise les recommandations et les alertes. Les playbooks sont des Azure Logic Apps liées à des déclencheurs Defender for Cloud :

Déclencheur d’alerte : Lorsqu’une alerte de sécurité est créée ou mise à jour, un playbook peut enrichir, notifier (Teams/E-mail) ou entreprendre une action (isoler l’hôte, arrêter la VM).
Déclencheur de recommandation : Lorsqu’une nouvelle ressource non saine apparaît pour une recommandation, un playbook peut ouvrir un ticket, attribuer la responsabilité ou invoquer des API de remédiation.
Déclencheur de conformité réglementaire : Lors de changements dans l’évaluation, un playbook peut exporter les résultats vers des outils GRC.

Implémentez les playbooks en utilisant une identité managée affectée par le système à laquelle sont accordés des rôles de moindre privilège (par exemple, Contributeur de machine virtuelle pour arrêter les VM). Utilisez des conditions de filtrage pour cibler des alertes spécifiques telles que « Antimalware désactivé sur la machine virtuelle », puis appelez l’opération Compute PowerOff pour la VM concernée. Ce modèle réduit le temps moyen de remédiation tout en préservant l’auditabilité et la cohérence.

L’accès juste-à-temps (JIT) aux VM réduit la surface d’attaque en fermant les ports de gestion (SSH, RDP, personnalisés) au niveau du NSG ou d’Azure Firewall jusqu’à ce qu’ils soient explicitement demandés. Les prérequis incluent un NSG ou Azure Firewall appliqué à l’interface réseau ou au sous-réseau de la VM ; si aucun n’existe, créez d’abord un NSG. Configurez le JIT pour spécifier les ports autorisés, les plages de sources (préférez la restriction par IP source), le protocole et la durée d’accès maximale par port. Lorsqu’un opérateur demande l’accès, Defender for Cloud valide les autorisations RBAC et approuve automatiquement ou achemine pour approbation selon votre politique. Il insère ensuite une règle d’autorisation temporaire limitée à l’adresse IP publique du demandeur et la supprime automatiquement à l’expiration. Toutes les demandes, approbations et modifications de règles NSG sont auditées dans les journaux de Defender for Cloud et d’Azure Activity, et peuvent être diffusées vers Log Analytics ou Microsoft Sentinel.

Les contrôles d’application adaptatifs exploitent le machine learning pour regrouper des machines similaires (par charge de travail et processus observés) et proposer des listes blanches. Vous affinez et publiez les règles en utilisant :

Des règles d’autorisation basées sur l’éditeur et le signataire pour les binaires signés
Des règles de chemin de fichier pour les emplacements d’installation
Des règles de hachage pour des binaires spécifiques Opérez d’abord en mode audit pour observer les blocages potentiels, puis passez en mode d’application (enforce) pour bloquer l’exécution en dehors de la liste blanche. Pour Windows, les contrôles sont implémentés via Windows Defender Application Control en arrière-plan ; pour Linux, les listes blanches de processus observés sont appliquées via des mécanismes pris en charge. Assurez-vous que les processus opérationnels tels que les mises à jour logicielles et les agents de gestion sont autorisés pour éviter les faux positifs liés à la dérive.

Le durcissement adaptatif du réseau analyse les modèles de trafic réels et propose des règles NSG entrantes plus strictes. Par exemple, si le RDP n’est observé qu’à partir d’un réseau de gestion connu, la recommandation restreindra le port 3389/TCP à cette plage au lieu de Any. Examinez et appliquez les recommandations par NSG ; Defender for Cloud écrit des règles mises à jour avec des noms descriptifs, préservant le contexte du changement. Réévaluez périodiquement, car de nouvelles sources légitimes peuvent conduire à des propositions mises à jour.

La surveillance de l’intégrité des fichiers (FIM) ajoute des contrôles de détection pour les modifications des fichiers et registres critiques. Configurez le FIM en associant un espace de travail Log Analytics et en activant la collecte de données FIM pour les machines ciblées (l’auto-provisionnement est pris en charge). Définissez les chemins et les clés de registre surveillés, y compris les modèles d’inclusion/exclusion et la sensibilité aux changements de contenu par rapport aux changements d’attributs seuls. Defender for Cloud génère des alertes sur les modifications non autorisées ou suspectes avec des détails sur qui, quoi et quand ; les événements sont stockés dans votre espace de travail pour la recherche de menaces (hunting) et la corrélation. Utilisez les paramètres de rétention et d’exportation de données pour conserver un historique des modifications aligné sur les besoins de conformité.

Gestion des points de terminaison et des vulnérabilités

L’intégration de Windows Server à Microsoft Defender for Endpoint est simplifiée via Defender for Cloud. Pour les machines virtuelles Azure, activez l’approvisionnement automatique ; pour les environnements sur site ou d’autres clouds, connectez les machines avec Azure Arc (agent Azure Connected Machine), puis activez Defender for Servers pour installer automatiquement l’agent unifié MDE sur les versions prises en charge de Windows Server. Validez l’intégration en confirmant la connectivité du capteur et la génération d’alertes à partir de détections de test.

L’EDR en mode bloc renforce la protection en permettant à MDE de bloquer les artefacts et les comportements malveillants même lorsqu’un antivirus tiers est le principal ou lorsque Microsoft Defender Antivirus s’exécute en mode passif. Assurez-vous que le moteur et la plateforme Microsoft Defender Antivirus sont présents et à jour ; activez l’EDR en mode bloc via les paramètres de sécurité MDE (GPO, Intune ou le portail MDE). Ce mode est particulièrement utile sur les serveurs où un antivirus basé sur les signatures peut manquer l’utilisation d’outils de post-exploitation, car il permet des blocages basés sur le comportement.

La réponse en direct (Live response) fournit un accès shell distant sécurisé et audité depuis le portail Microsoft Defender à un serveur intégré pour le tri et le confinement. Avec les rôles appropriés, les intervenants peuvent collecter des artefacts, inspecter les processus et la persistance, tuer les processus malveillants, supprimer des fichiers et appliquer des scripts d’atténuation. Les sessions de réponse en direct sont journalisées et peuvent être intégrées dans les guides d’intervention (runbooks) en cas d’incident.

L’évaluation des vulnérabilités pour les serveurs est disponible via deux intégrations :

Qualys intégré : Defender for Cloud déploie une extension d’agent Qualys légère qui effectue des analyses authentifiées et signale les vulnérabilités logicielles à Defender for Cloud. Aucun abonnement Qualys distinct n’est requis, et les résultats alimentent le Secure Score et les recommandations. Cette voie est couramment utilisée lorsque vous préférez un approvisionnement natif d’Azure avec une dépendance minimale à MDE.
Microsoft Defender Vulnerability Management (via MDE) : Utilise le capteur MDE pour fournir un inventaire logiciel, une évaluation des CVE, des recommandations de réduction de la surface d’attaque et un score d’exposition sans agents supplémentaires. Il consolide les vulnérabilités avec les détections de point de terminaison, permettant des flux de travail de remédiation unifiés. Choisissez l’évaluation des vulnérabilités (VA) basée sur MDE lorsque vous standardisez sur MDE et souhaitez des analyses approfondies de la posture des appareils ; choisissez Qualys intégré lorsque MDE n’est pas déployé sur des serveurs spécifiques ou que vous exigez une parité entre Windows et Linux sans étapes d’intégration supplémentaires. Dans Defender for Servers Plan 2, l’une ou l’autre source de données peut être sélectionnée au niveau de la portée ; assurez-vous qu’une seule est activée pour éviter la duplication.

Conteneurs et registres

Defender for Containers de Defender for Cloud sécurise à la fois les images et l’environnement d’exécution. Pour Azure Container Registry, activez l’analyse d’images afin que chaque envoi d’image (push) et les analyses régulières identifient les CVE, les secrets exposés et les problèmes de configuration (par ex., exécution en tant que root). Les résultats sont présentés sous forme de recommandations Defender for Cloud et peuvent bloquer les déploiements via des portes de pipeline (pipeline gates). Pour les registres multi-cloud ou les systèmes d’intégration continue (CI), intégrez l’analyseur Defender dans votre processus de build pour une approche « shift-left ».

À l’exécution, activez l’agent Defender pour Kubernetes (add-on AKS ou DaemonSet pour les autres clusters) pour détecter les comportements suspects tels que l’escalade de privilèges dans les conteneurs, l’activité de processus anormale, le crypto-minage ou les tentatives de mouvement latéral. Le capteur d’exécution corrèle les signaux de l’hôte, les journaux d’audit Kubernetes et les événements de conteneur, générant des alertes enrichies avec les métadonnées du pod, du namespace et du nœud. Renforcez la sécurité des clusters en appliquant les contrôles de politique Kubernetes recommandés, en imposant des privilèges minimaux et en contrôlant les flux d’entrée/sortie (ingress/egress) avec des politiques réseau ; alignez-vous sur les recommandations du Secure Score mappées à l’Azure Security Benchmark.

Scénario de problème pratique

Siemens AG exploite un parc de serveurs Windows hybride avec des machines virtuelles Azure et des serveurs sur site (on-premises). La direction doit réduire l’exposition due aux ports de gestion ouverts, automatiser la réaction aux alertes critiques et obtenir une visibilité continue sur les modifications de fichiers non autorisées, tout en améliorant sa posture réglementaire.

Intégrer les serveurs et choisir un plan

Action : Activer Microsoft Defender for Servers Plan 2 sur l’abonnement de production et l’espace de travail Log Analytics central. Connecter les serveurs sur site à l’aide d’Azure Arc et activer l’auto-provisioning.
Pourquoi : Le Plan 2 fournit l’accès JIT, les contrôles adaptatifs, le FIM et l’évaluation des vulnérabilités en plus de MDE, s’alignant sur les objectifs de prévention et de détection de Siemens tout en assurant un déploiement cohérent de l’agent sur Azure et sur site.

Améliorer la posture et le Secure Score

Action : Examiner le Secure Score et prioriser les recommandations liées aux contrôles à haut risque (par ex., protection des points de terminaison non installée, ports de gestion exposés). Assigner des propriétaires et des dates d’échéance ; créer des exemptions avec justification lorsqu’un contrôle ne s’applique vraiment pas (par ex., laboratoire isolé ou « air-gapped »).
Pourquoi : Le Secure Score permet une réduction mesurable des risques et correspond directement aux contrôles réglementaires sur lesquels Siemens doit rendre compte.

Mettre en œuvre l’accès JIT aux machines virtuelles

Action : S’assurer que chaque carte réseau/sous-réseau de VM dispose d’un NSG ; pour celles qui n’en ont pas, créer des NSG et les associer de manière appropriée. Configurer l’accès JIT pour RDP/SSH et les ports d’administration personnalisés avec des fenêtres maximales de 3 heures et des restrictions d’IP source aux serveurs de rebond (jump hosts) de Siemens. Exiger une approbation pour la production.
Pourquoi : L’accès JIT supprime l’exposition permanente des ports de gestion et respecte le principe de moindre privilège en limitant l’accès dans le temps et par source, avec des pistes d’audit complètes.

Automatiser la réponse avec Logic Apps

Action : Créer un playbook déclenché par des alertes de sécurité correspondant à « Antimalware disabled in the virtual machine ». Utiliser une identité managée avec le rôle Virtual Machine Contributor pour appeler l’API PowerOff sur la VM affectée et notifier le SecOps via Teams.
Pourquoi : L’arrêt automatisé des hôtes non conformes empêche une exploitation rapide tout en notifiant les parties prenantes ; l’utilisation d’une identité managée applique le principe de moindre privilège avec des actions auditables.

Appliquer les contrôles adaptatifs d’application et de réseau

Action : Activer les contrôles adaptatifs d’application en mode audit pour les groupes de serveurs IIS et SQL ; affiner les listes d’autorisation (allowlists) pour les binaires signés et les chemins standards, puis passer en mode d’application (enforce mode). Appliquer les recommandations de renforcement adaptatif du réseau pour resserrer les règles NSG pour les ports entrants aux adresses IP de gestion connues de Siemens.
Pourquoi : La mise en liste d’autorisation d’applications (allowlisting) et le renforcement des NSG réduisent la surface d’attaque et bloquent les exécutables inconnus, s’alignant sur les normes de base de Siemens.

Configurer la surveillance de l’intégrité des fichiers (FIM)

Action : Assigner un espace de travail Log Analytics central, définir les répertoires du système d’exploitation et des applications ainsi que les ruches de registre à surveiller, exclure les chemins connus pour être bruyants et activer les alertes pour les modifications non autorisées. Diffuser les alertes FIM vers Microsoft Sentinel pour corrélation.
Pourquoi : Le FIM permet une détection précoce des manipulations et des dérives de configuration non autorisées, répondant aux exigences d’audit et améliorant la détection d’incidents.

Standardiser l’évaluation des vulnérabilités

Action : Utiliser Defender Vulnerability Management basé sur MDE pour tous les serveurs intégrés à MDE ; désactiver Qualys là où MDE est présent. Pour les serveurs hérités sans MDE, activer l’extension Qualys intégrée.
Pourquoi : La consolidation sur l’évaluation des vulnérabilités (VA) basée sur MDE simplifie les opérations et approfondit les analyses ; Qualys comble les lacunes là où MDE n’est pas réalisable, évitant ainsi la duplication des données.

Sécuriser les conteneurs et les registres

Action : Activer l’analyse d’images ACR et l’agent Defender pour AKS. Configurer les portes d’intégration continue (CI gates) pour bloquer les images avec des CVE critiques et appliquer les détections à l’exécution avec un routage des alertes vers le SecOps.
Pourquoi : Cela garantit que les vulnérabilités sont corrigées avant le déploiement et que les anomalies d’exécution sont détectées rapidement avec le contexte Kubernetes, complétant ainsi la stratégie de défense en profondeur de Siemens.

← Sécurité et renforcement de Windows Server · Tous les domaines · Microsoft Sentinel et surveillance de la sécurité →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →