Microsoft AZ-104: Sicurezza di Azure e Conformità — Guida allo studio

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Fa parte della Microsoft Azure Administrator Associate AZ-104 — Guida allo studio. Esercitati con risposte verificate nel centro esami Microsoft, oppure fai test cronometrati su ExamRoll.io.

Panoramica

La Sicurezza e Conformità di Azure nella pratica operativa consiste nel ridurre continuamente la superficie di attacco, rilevare e rispondere alle minacce, e applicare il principio del privilegio minimo e la protezione dei dati con controlli verificabili. In qualità di amministratore, si integrano la gestione della postura, la protezione dei carichi di lavoro, la governance delle identità e la protezione delle informazioni in modo che ogni risorsa abbia un proprietario chiaro, una baseline di rischio e conformità definita e dei guardrail automatizzati. I servizi seguenti sono interconnessi: Defender for Cloud guida la configurazione sicura e la protezione dei carichi di lavoro; Key Vault e Managed HSM proteggono il materiale crittografico; DDoS Protection rafforza i perimetri internet; Microsoft Sentinel centralizza il rilevamento e la risposta; AIP applica la sensibilità dei dati a livello di documento; e la governance delle identità con PIM e Access Reviews mantiene l’accesso privilegiato e alle applicazioni limitato nel tempo e revisionabile.

Microsoft Defender for Cloud: Postura, Punteggio di Sicurezza, Raccomandazioni, Protezione dei Carichi di Lavoro e JIT

Defender for Cloud offre due principali flussi di valore. In primo luogo, la gestione della postura di sicurezza del cloud (cloud security posture management) stabilisce delle baseline e valuta continuamente le risorse rispetto alle iniziative di Azure Policy. Il Punteggio di Sicurezza (Secure Score) quantifica quanto l’ambiente si avvicina alla baseline raccomandata e mostra l’impatto potenziale di ogni raccomandazione sul punteggio, in modo da poter dare priorità alle correzioni che offrono la maggiore riduzione del rischio. Le raccomandazioni sono attuabili, mappate agli standard nel dashboard di Conformità Normativa (Regulatory Compliance) e spesso supportano correzioni rapide o di massa. Assicurarsi che il provisioning automatico sia abilitato dove necessario, in modo che agenti, estensioni e policy vengano distribuiti in modo coerente.

In secondo luogo, la protezione dei carichi di lavoro (workload protections) offre il rilevamento delle minacce e configurazioni rafforzate (hardened). Abilitare i piani per sottoscrizione o gruppo di gestione:

• Server: Defender for Servers Plan 1 aggiunge la valutazione delle vulnerabilità e la configurazione di sicurezza; il Plan 2 aggiunge l’EDR tramite Microsoft Defender for Endpoint con gestione delle minacce e delle vulnerabilità, monitoraggio dell’integrità dei file e controlli adattivi delle applicazioni.
• SQL: Defender for SQL su risorse Azure SQL fornisce analisi comportamentale, valutazioni delle vulnerabilità e individuazione/classificazione dei dati; Defender for SQL servers on machines copre SQL in esecuzione su IaaS e in ambienti ibridi.
• Storage: Monitora l’esfiltrazione di dati e il malware durante il caricamento di blob, i pattern di accesso anomali e i rischi di esposizione pubblica.
• Container: Defender for Kubernetes analizza la postura del cluster, monitora le minacce a runtime e si integra con i registri di container per scansionare le immagini prima della distribuzione.

L’accesso Just-In-Time (JIT) alle VM riduce l’esposizione mantenendo le porte di gestione chiuse per impostazione predefinita e aprendole solo su richieste approvate e limitate nel tempo. Si configurano le porte consentite, gli intervalli di IP di origine, la durata massima e se sono richieste approvazioni. All’attivazione, Defender for Cloud aggiorna le regole degli NSG o di Azure Firewall, per poi ripristinarle automaticamente, con un audit completo di chi ha richiesto l’accesso, da dove e per quanto tempo.

Azure Key Vault e Managed HSM: Segreti, Chiavi, Certificati; Modelli di Controllo degli Accessi; Eliminazione Temporanea e Protezione dall’Eliminazione Definitiva

Key Vault centralizza tre tipi di oggetti. I Segreti (Secrets) archiviano valori confidenziali arbitrari come stringhe di connessione e password. Le Chiavi (Keys) supportano operazioni crittografiche come crittografia, decrittografia, firma e wrapping; i servizi di Azure possono eseguire la crittografia con chiavi gestite dal cliente (customer-managed keys) tramite riferimenti alla chiave, senza recuperare il materiale della chiave grezza. I Certificati (Certificates) forniscono la gestione del ciclo di vita, il rinnovo automatico con CA integrate e l’emissione basata su policy, supportati da chiavi e segreti.

Comprendere i piani di controllo. Le operazioni del piano di controllo (creazione o eliminazione di un vault) utilizzano Azure RBAC a livello di risorsa. Le operazioni del piano dati (ottenere un segreto, usare una chiave) sono autorizzate dal modello di autorizzazione del vault. Esistono due modelli di piano dati, mutualmente esclusivi, per un dato vault:

• Modello di policy di accesso al vault: Liste di autorizzazioni esplicite per i principal per tipo di oggetto e operazione. Semplice e autonomo, ma grossolano per ambienti di grandi dimensioni.
• Azure RBAC for Key Vault: Utilizza ruoli predefiniti come Key Vault Administrator, Key Vault Crypto Officer, Secrets Officer e Certificates Officer, con ambito definito a livello di sottoscrizioni, gruppi di risorse o del vault stesso. Questo unifica l’autorizzazione con altre risorse Azure e supporta PIM e le revisioni degli accessi.

La sicurezza di rete dovrebbe limitare l’accesso al vault a endpoint privati e reti attendibili, con regole firewall e protezione dalle minacce dove supportato. Per la resilienza, l’eliminazione temporanea (soft delete) è attiva per impostazione predefinita e impedisce la distruzione immediata di vault e oggetti. Gli elementi eliminati passano a uno stato recuperabile per un periodo di conservazione configurabile; la protezione dall’eliminazione definitiva (purge protection), se abilitata, blocca l’eliminazione permanente prima della scadenza del periodo di conservazione, anche da parte di utenti con privilegi elevati. Questa combinazione soddisfa requisiti stringenti di conservazione e anti-manomissione. Pianificare la rotazione delle chiavi, il pinning delle versioni nei servizi dipendenti e le procedure di ripristino di emergenza (break-glass).

Azure Managed HSM fornisce un cluster HSM single-tenant, convalidato FIPS 140-2 Level 3, con accesso basato esclusivamente sui ruoli. Le chiavi crittografiche non lasciano mai il perimetro dell’HSM e le operazioni vengono eseguite in-hardware. Managed HSM utilizza ruoli Azure RBAC specifici per gli HSM (come Managed HSM Administrator, Crypto Officer e Crypto User), supporta endpoint privati e backup/ripristino tramite domini di sicurezza, e impone l’eliminazione temporanea con protezione dall’eliminazione definitiva durante il periodo di conservazione configurato. Scegliere Managed HSM quando sono necessari livelli di garanzia più elevati, separazione dei compiti o perimetri HSM richiesti dalle normative.

Azure DDoS Protection: Basic vs Standard, Ottimizzazione Adattiva e Telemetria

Ogni endpoint pubblico di Azure beneficia della protezione a livello di piattaforma DDoS Basic, che assorbe molti attacchi volumetrici globali ma non fornisce ottimizzazione specifica per il cliente, telemetria o SLA. DDoS Standard si collega a una o più reti virtuali tramite un DDoS Protection Plan e protegge tutti gli IP pubblici in quelle VNet, inclusi quelli su VM, Azure Load Balancer, Application Gateway e servizi AKS che utilizzano IP pubblici di SKU Standard.

La versione Standard aggiunge un’ottimizzazione adattiva che apprende il profilo di traffico normale di ogni IP pubblico protetto e regola automaticamente le soglie di mitigazione per ridurre i falsi positivi, rispondendo rapidamente alle anomalie sui vettori L3/L4. Si ottiene una telemetria dettagliata tramite Azure Monitor: metriche in tempo reale che indicano lo stato di attacco in corso e i pacchetti scartati; log di diagnostica che includono DDoSProtectionNotifications, DDoSMitigationFlowLogs e DDoSMitigationReports trasmessi in streaming a Log Analytics, Storage o Event Hubs; e report post-attacco per supportare la documentazione degli incident e le richieste di risarcimento assicurativo. La versione Standard include anche crediti per la protezione dei costi derivanti dallo scale-out durante gli attacchi e l’accesso al team di risposta rapida di Microsoft. Abbinare DDoS Standard a un web application firewall per le minacce di livello L7; sono complementari.

Microsoft Sentinel: Connettori Dati, Regole di Analisi, Incident e Playbook

Sentinel è un SIEM e SOAR cloud-native basato su Log Analytics. Iniziare abilitando i data connector che importano la telemetria dagli accessi di Azure AD, dagli alert di Defender for Cloud, da Microsoft 365, da Azure Activity, dai log di Firewall e WAF e da origini di terze parti tramite AMA, Syslog, CEF o API REST. Definire l’ambito della raccolta dati con attenzione per gestire i costi di inserimento, assicurandosi di catturare gli eventi di sicurezza ad alto valore informativo.

Utilizzare le regole di analisi per convertire i dati grezzi in rilevamenti utilizzabili. Le regole pianificate (Scheduled rules) eseguono KQL a una data cadenza con soglie e mappatura delle entità; le regole di sicurezza Microsoft (Microsoft Security rules) inseriscono alert dai prodotti di sicurezza Microsoft; le regole quasi in tempo reale (near-real-time rules) riducono la latenza di rilevamento per gli indicatori critici; le regole Fusion applicano il ML per correlare attacchi multi-fase tra più prodotti. L’ottimizzazione include la soppressione, il raggruppamento delle regole e le impostazioni degli incident per minimizzare l’affaticamento da alert (alert fatigue).

Gli Incident aggregano gli alert correlati in un unico caso con gravità, proprietario, stato, entità (utente, host, IP, risorsa) e un grafo di investigazione per fornire contesto. Gli analisti eseguono il triage, aggiungono commenti, tag e collegano i ticket. Le regole di automazione standardizzano la gestione degli incident, ad esempio assegnando proprietari in base all’etichetta della regola e attivando i playbook.

I Playbook sono Logic Apps che orchestrano la risposta. Le azioni comuni includono la disabilitazione di un utente a rischio in Entra ID, l’isolamento di un endpoint tramite Defender for Endpoint, il blocco di un IP in Azure Firewall o negli NSG, la messa in quarantena di un blob di storage o la creazione di un ticket in ServiceNow. Utilizzare le identità gestite (managed identities) e assegnare al playbook i ruoli con i privilegi minimi necessari per le risorse di destinazione. Misurare il tempo di contenimento (time-to-contain) e perfezionare in modo iterativo l’analisi e l’automazione.

Governance dei dati e delle identità: Etichette di riservatezza AIP, PIM e Verifiche di accesso

Le etichette di riservatezza in Microsoft Information Protection applicano una protezione coerente a documenti, e-mail e contenitori. Un’etichetta può imporre la crittografia con diritti di utilizzo, marcature del contenuto e controlli sulla condivisione esterna; per i contenitori come i siti Teams e SharePoint, le etichette determinano l’accesso esterno, le restrizioni sui dispositivi non gestiti e la privacy. Pubblica le etichette tramite policy di etichettatura indirizzate a utenti o gruppi, con un ordine di priorità, etichette predefinite, etichettatura obbligatoria e suggerimenti. L’etichettatura automatica utilizza tipi di informazioni sensibili e classificatori addestrabili per consigliare o applicare etichette nelle app di Office, e le policy lato servizio possono etichettare automaticamente i contenuti a riposo (at rest) in SharePoint e OneDrive. Mantieni il versioning delle etichette, esegui test in modalità di audit e monitora l’attività per garantirne l’adozione.

Privileged Identity Management riduce i privilegi permanenti (standing privileges) convertendo le assegnazioni di ruolo permanenti in idonee (eligible). Gli utenti assegnati come idonei devono attivare un ruolo per una durata limitata con requisiti configurabili: MFA, giustificazione, numero di ticket e, eventualmente, approvazione da parte di approvatori designati. Le impostazioni del ruolo definiscono il tempo massimo di attivazione, i periodi di tolleranza e le notifiche. Utilizza PIM sia per i ruoli di Entra ID (ad esempio, Global Administrator) sia per i ruoli delle risorse Azure (Owner, Contributor, User Access Administrator) nell’ambito appropriato. Gli eventi di attivazione, le approvazioni e le scadenze sono completamente auditati, consentendo una chiara responsabilità per le operazioni con privilegi.

Le Verifiche di accesso (Access Reviews) garantiscono che le appartenenze ai gruppi e le assegnazioni di applicazioni rimangano appropriate nel tempo. Definisci l’ambito delle verifiche a tutti gli utenti o solo agli ospiti (guest), scegli i revisori (proprietari dei gruppi, utenti selezionati o auto-revisione da parte di ogni utente), imposta la ricorrenza, richiedi una motivazione per l’approvazione e configura l’applicazione automatica dei risultati per rimuovere gli utenti negati o che non hanno risposto. Combina le Verifiche di accesso con PIM in modo che l’appartenenza continuata o l’accesso alle app richieda una ri-attestazione periodica, riducendo ulteriormente la finestra di tempo per l’aumento incontrollato dei privilegi (privilege creep) o per le autorizzazioni obsolete (stale entitlements).

Scenario pratico

Starbucks deve rafforzare (harden) la propria infrastruttura Azure che ospita API rivolte ai clienti, applicazioni line-of-business interne e carichi di lavoro di analisi, rispettando al contempo rigidi requisiti di protezione dei dati e di minimo privilegio (least-privilege) su più sottoscrizioni.

1. Stabilire baseline di postura con Microsoft Defender for Cloud e migliorare il Secure Score

• Assegnare iniziative di policy predefinite (built-in) a livello di management group per standardizzare le baseline tra le sottoscrizioni.
• Abilitare il provisioning automatico e attivare i piani di protezione dei carichi di lavoro per Server, SQL, Storage e Kubernetes. Perché: Defender for Cloud fornisce una valutazione continua e raccomandazioni prioritizzate, garantendo una configurazione coerente e azioni di correzione (remediation) attuabili su carichi di lavoro eterogenei.

2. Abilitare DDoS Protection Standard sulle reti virtuali hub

• Creare un DDoS Protection Plan e associarlo alle VNet hub che ospitano Application Gateway condivisi e punti di ingresso pubblici.
• Configurare la diagnostica per inviare la telemetria e gli avvisi DDoS a Log Analytics. Perché: Le API pubbliche di Starbucks richiedono una difesa adattiva a livello L3/L4 e una telemetria dettagliata degli attacchi che vada oltre le impostazioni predefinite della piattaforma, con protezione dei costi e supporto alla risposta durante gli incidenti.

3. Bloccare le porte di gestione con l’accesso Just-in-Time (JIT) alle VM

• Configurare policy JIT per tutte le porte di gestione delle VM, limitando gli IP di origine agli intervalli di egress aziendali di Starbucks e limitando le finestre di accesso a un’ora con approvazione. Perché: Riduce al minimo l’esposizione a scansioni da internet e ad attacchi alle credenziali, preservando al contempo la produttività degli amministratori e creando una traccia di audit.

4. Centralizzare i segreti e il controllo crittografico con Key Vault e Managed HSM

• Archiviare i segreti e i certificati delle app in Key Vault, protetto da endpoint privati e ruoli del piano dati (data-plane) di Azure RBAC; abilitare la protezione dall’eliminazione definitiva (purge protection).
• Generare e archiviare le chiavi di crittografia relative ai pagamenti in Managed HSM; configurare la rotazione delle chiavi e il backup su un Key Vault protetto. Perché: Key Vault semplifica il ciclo di vita dei segreti e si integra con i servizi Azure; Managed HSM soddisfa requisiti di garanzia (assurance) più elevati e di segregazione per i dati di pagamento.

5. Implementare Microsoft Sentinel per il rilevamento e la risposta (detection and response)

• Connettere i log di Azure AD, Defender for Cloud, Azure Firewall, Application Gateway WAF e dei server critici.
• Implementare regole di analisi per accessi a rischio, accessi anomali allo storage e minacce al runtime dei container; creare regole di automazione e playbook per disabilitare utenti compromessi, bloccare IP malevoli e aprire ticket. Perché: Sentinel correla la telemetria trasformandola in incidenti e automatizza il contenimento, riducendo il tempo medio di rilevamento e risposta (MTTD/MTTR).

6. Applicare la riservatezza dei dati con etichette AIP e l’etichettatura automatica

• Creare etichette per Pubblico, Interno, Confidenziale e Altamente Confidenziale con restrizioni di crittografia e condivisione; pubblicare le policy per i gruppi di utenti con etichettatura obbligatoria e raccomandazioni predefinite.
• Abilitare l’etichettatura automatica per i documenti contenenti dati di carte di pagamento o PII in SharePoint e OneDrive. Perché: Assicura che i dati sensibili siano protetti ovunque vengano trasferiti e allinea il comportamento degli utenti con le policy aziendali.

7. Gestire i privilegi con PIM e convalidare l’accesso tramite le Verifiche di accesso

• Convertire le assegnazioni di ruoli con privilegi di Entra ID e delle risorse Azure in idonee (eligible) con MFA, approvazione e finestre di attivazione brevi; notificare ai proprietari delle risorse le attivazioni.
• Pianificare Verifiche di accesso trimestrali per i gruppi di Microsoft 365 e di sicurezza e per le assegnazioni di app aziendali, rimuovendo automaticamente chi non risponde. Perché: I privilegi limitati nel tempo e l’attestazione periodica riducono il rischio legato all’accesso permanente e prevengono la proliferazione incontrollata delle autorizzazioni (entitlement sprawl), soddisfacendo gli obiettivi di audit e conformità.

← Azure Monitor · Tutti i domini

Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →

Sfoglia Microsoft →