Microsoft AZ-140: Sicurezza, conformità e protezione degli endpoint — Guida allo studio

    Add-MpPreference -ExclusionPath 'C:\Program Files\FSLogix','C:\ProgramData\FSLogix','C:\Users\*\AppData\Local\FSLogix'
    Add-MpPreference -ExclusionProcess 'frxsvc.exe'
    Add-MpPreference -ExclusionExtension 'vhd','vhdx'
    ```

  - Escludere anche il percorso di rete della condivisione del contenitore se i criteri lo consentono, e assicurarsi che la firma e la crittografia SMB siano abilitate sulla condivisione.

- Indagine e risposta
  - Connettere MDE a Microsoft Sentinel per flussi di lavoro SOC unificati. Utilizzare la funzionalità di advanced hunting di MDE per tracciare azioni utente sospette attraverso sessioni effimere, usando pivot su dispositivi e account, e correlarle con i log di diagnostica di AVD.

### Hardening della piattaforma: crittografia dei dischi e avvio attendibile

Eseguire l'hardening di ogni host di sessione a livello di virtualizzazione e dei dati a riposo (at rest).

- Avvio attendibile per VM di seconda generazione
  - Abilitare l'avvio protetto (secure boot) e il TPM virtuale (vTPM) per garantire un avvio misurato e attestato. L'avvio attendibile riduce i rischi di bootkit e rootkit e sblocca la protezione delle chiavi BitLocker della macchina guest con il vTPM.
  - Richiedere l'avvio attendibile tramite Azure Policy per tutti i nuovi host di sessione.

- Opzioni di crittografia dei dischi
  - La crittografia lato server (SSE) per i dischi gestiti è sempre attiva. Per un controllo più rigoroso, utilizzare chiavi gestite dal cliente (CMK) tramite un Disk Encryption Set supportato da Azure Key Vault.
  - Azure Disk Encryption (ADE) con BitLocker protegge i volumi all'interno della macchina guest e archivia chiavi/segreti in Key Vault. ADE è supportato su dischi dati e dischi del sistema operativo per configurazioni con sistema operativo persistente.
  - I dischi del sistema operativo effimeri non possono utilizzare ADE; si basano invece sulla crittografia sull'host e sull'avvio attendibile con vTPM.
  - Per Windows 10/11 Enterprise, BitLocker può essere abilitato all'interno della macchina guest per proteggere i dischi dati e, dove supportato, il disco del sistema operativo; sigillare le chiavi nel vTPM.

- Controlli di accesso alla rete
  - Bloccare le porte di gestione pubbliche. Utilizzare Azure Bastion o endpoint privati e DNS privato. Per il traffico della sessione RDP, preferire RDP Shortpath su UDP per una latenza inferiore; se si utilizza Shortpath per reti pubbliche, distribuire un certificato TLS di autenticazione server agli host di sessione tramite Intune o GPO.

- Integrità degli aggiornamenti e dell'immagine
  - Mantenere una pipeline sicura per l'immagine golden: applicare patch mensilmente, scansionare con MDE, convalidare rispetto alle baseline di sicurezza CIS o Microsoft e sigillare con Sysprep. Richiedere tramite Azure Policy che le immagini provengano da definizioni approvate della Shared Image Gallery.
### Configurazione, baseline e privilegio minimo

Standardizzare la configurazione e minimizzare il raggio d'impatto amministrativo.

- Microsoft Intune per AVD
  - Windows 10/11 Enterprise multi-session è supportato per la configurazione dei dispositivi con il Catalogo delle impostazioni (Settings Catalog), le policy di Endpoint Security, Microsoft Defender AV, il firewall e gli anelli di aggiornamento (Update rings).
  - Baseline di sicurezza: Partire dalla baseline di sicurezza Microsoft per client Windows e adattarla alle esigenze specifiche di AVD, come l'abilitazione del controllo degli appunti, le policy di reindirizzamento e l'ottimizzazione per il multi-sessione.
  - Gestione delle app: Preferire MSIX app attach per le app pacchettizzate; la distribuzione di app Intune Win32 in multi-sessione presenta delle limitazioni.

- Pattern di distribuzione delle policy
  - Host aggiunti ad Azure AD (Azure AD–joined): Usare Intune MDM e i gruppi di dispositivi. Stratificare secondo necessità i profili del Catalogo delle impostazioni (Settings Catalog), di Endpoint Security e OMA-URI personalizzati per le proprietà RDP.
  - Host aggiunti ad AD DS (AD DS–joined): Usare le Group Policy per le impostazioni principali; opzionalmente, co-gestire con Intune per Defender e gli aggiornamenti.

- Controlli dell'amministratore locale
  - Limitare il gruppo Administrators locale a un set di identità gestite. Per le VM aggiunte ad Azure AD, usare il ruolo di amministratore del dispositivo Azure AD e la policy di Intune sulle appartenenze ai gruppi di utenti locali (Local user group memberships).
  - Rimuovere i diritti di accesso interattivo dagli account di amministratore globale; utilizzare account di emergenza (break-glass) separati, archiviati offline e soggetti a rotazione.

- Windows LAPS
  - Utilizzare Windows LAPS per la rotazione di password univoche dell'amministratore locale per ogni VM. Per gli host aggiunti ad Azure AD, configurare le policy LAPS basate su Azure AD in Intune. Per gli host aggiunti ad AD DS, usare LAPS con le password archiviate negli oggetti computer di AD. Imporre la rotazione al check-in e on-demand.

- Amministrazione just-in-time
  - Utilizzare Microsoft Entra Privileged Identity Management per l'attivazione JIT dei ruoli RBAC di Azure che gestiscono le risorse AVD e degli host di sessione.
  - Limitare l'accesso a livello di VM utilizzando l'accesso Just-in-Time alle VM di Defender for Cloud per aprire le porte di gestione in ingresso solo quando richiesto e approvato.
### Governance, protezione dei dati e prove di conformità

Governare l'ambiente end-to-end e mantenere prove pronte per gli audit.

- Azure Policy e configurazione guest
  - Imporre l'uso di immagini VM consentite, richiedere l'avvio attendibile (trusted launch), non consentire IP pubblici, rendere obbligatoria la diagnostica verso Log Analytics e richiedere le estensioni VM Insights/MDE.
  - Utilizzare la Configurazione Guest per verificare lo stato di BitLocker, la protezione in tempo reale di Defender, la conformità delle proprietà RDP e l'appartenenza ai gruppi locali. Assegnare le policy a livello di management group o di sottoscrizione per l'ereditarietà.

- Azure Key Vault
  - Archiviare le chiavi BitLocker di ADE, le CMK per i dischi gestiti tramite Disk Encryption Sets, le credenziali di aggiunta al dominio per l'automazione e i certificati per RDP Shortpath o TLS delle applicazioni.
  - Abilitare l'eliminazione temporanea (soft delete) e la protezione dall'eliminazione definitiva (purge protection). Utilizzare il RBAC di Key Vault e gli endpoint privati con restrizioni del firewall per limitare l'accesso. Integrare con le pipeline di distribuzione utilizzando identità gestite e riferimenti a Key Vault.

- Protezione dei dati e gestione dei dati utente
  - Contenitori FSLogix: Proteggere la condivisione file con l'autenticazione basata su AD o Entra Kerberos, ACL NTFS con privilegi minimi, e firewall di archiviazione più endpoint privati. Abilitare la crittografia a livello di condivisione e SMB.
  - Applicare etichette di riservatezza e policy di prevenzione della perdita di dati con Microsoft Purview per governare i contenuti nelle app di Microsoft 365 in esecuzione su AVD. Utilizzare l'Accesso controllato alle cartelle per bloccare i comportamenti ransomware, se compatibile con le app.
  - Ridurre i canali di esfiltrazione utilizzando le proprietà RDP di AVD: Disabilitare il reindirizzamento di unità, dispositivi e appunti dove proibito; abilitare la filigrana (watermarking) e la protezione dalla cattura dello schermo per i carichi di lavoro ad alta sensibilità.

- Log di audit e indagini
  - Abilitare la diagnostica di AVD verso Log Analytics per catturare eventi di connessione, gestione e agente. Inserire i log di Sicurezza di Windows, Sysmon (se utilizzato) e i log operativi di FSLogix.
  - Connettere gli avvisi e la telemetria di Microsoft Defender for Endpoint a Microsoft Sentinel. Creare regole di analisi per alberi di processi sospetti, tentativi di accesso a credenziali, comportamenti anomali delle sessioni e fuoriuscita di dati.
  - Conservare i log secondo gli obblighi normativi con l'archiviazione immutabile o la conservazione a lungo termine di Sentinel. Esportare i log di attività di Azure e gli stati di conformità delle policy in un'area di lavoro sicura per l'attestazione.

- Raccomandazioni di Defender for Cloud e Defender for Servers
  - Abilitare Defender for Cloud sulle sottoscrizioni che ospitano l'infrastruttura AVD. Utilizzare le sue raccomandazioni per risolvere le lacune nella postura di identità, rete, crittografia e aggiornamenti.
  - Per gli host di sessione Windows Server o l'IaaS di supporto (gateway, broker in progetti specializzati), abilitare Defender for Servers:
    - Il Piano 1 fornisce protezione e integrazione di base per i server.
    - Il Piano 2 aggiunge EDR con MDE for Servers, gestione delle vulnerabilità, controlli adattivi delle applicazioni, monitoraggio dell'integrità dei file e accesso JIT alle VM.
  - Utilizzare il provisioning automatico degli agenti e la remediation su larga scala tramite flussi di lavoro per mantenere la postura coerente.

#### Scenario pratico

Siemens AG deve ospitare applicazioni di ingegneria confidenziali in AVD per appaltatori in tutta Europa, rispettando al contempo severi requisiti di gestione dei dati e di audit. Le sfide principali includono la prevenzione dell'esfiltrazione dei dati, la dimostrazione della crittografia e della conformità alle baseline, l'onboarding dell'EDR su host multi-sessione e la rotazione delle credenziali di amministratore locale senza accesso permanente.

1) Imporre l'avvio attendibile e la crittografia
   - Creare un Disk Encryption Set con una CMK supportata da Key Vault e richiederlo tramite Azure Policy su tutti i dischi degli host di sessione. Distribuire VM di seconda generazione con avvio attendibile (trusted launch, ovvero avvio protetto e vTPM) per abilitare l'avvio misurato (measured boot) e proteggere le chiavi BitLocker.
   - Perché: L'avvio attendibile rafforza la catena di avvio, mentre la CMK garantisce che Siemens controlli i cicli di vita delle chiavi e possa dimostrare la governance della crittografia.

2) Eseguire l'onboarding di Microsoft Defender for Endpoint
   - Utilizzare Intune per distribuire il profilo di onboarding di MDE e le policy di sicurezza di Defender Endpoint agli host multi-sessione Windows 11 Enterprise. Per qualsiasi utility su Windows Server, abilitare Defender for Servers Piano 2 in Defender for Cloud per il provisioning automatico di MDE.
   - Perché: Intune fornisce un onboarding ripetibile per i client multi-sessione, e il Piano 2 fornisce EDR e rilevamento avanzato delle minacce su qualsiasi componente server.

3) Applicare baseline di sicurezza e regole ASR
   - Assegnare la baseline di sicurezza di Windows tramite il Catalogo delle impostazioni di Intune, ottimizzata per le app di ingegneria. Abilitare le regole ASR chiave e l'EDR in modalità di blocco con esclusioni testate sugli strumenti CAD.
   - Perché: Le baseline standardizzano le configurazioni rafforzate (hardened); l'ASR riduce gli exploit e l'abuso di macro senza firme personalizzate.

4) Configurare FSLogix e le esclusioni antivirus
   - Archiviare i profili su Azure Files protetti con autenticazione basata su AD, endpoint privati e ACL NTFS. Distribuire le esclusioni di Defender AV per i binari di FSLogix, i punti di montaggio e le estensioni VHD(X), oltre alla firma e crittografia SMB.
   - Perché: Preserva le prestazioni di accesso e riduce la contesa di I/O, mantenendo i dati crittografati in transito e a riposo.

5) Implementare il principio del privilegio minimo con LAPS e PIM
   - Configurare Windows LAPS tramite Intune per ruotare le password di amministratore locale per ogni VM e limitare l'appartenenza al gruppo Administrators locale tramite policy di Intune. Utilizzare Entra Privileged Identity Management per l'elevazione JIT per gestire le risorse AVD e l'accesso JIT alle VM per qualsiasi porta di gestione.
   - Perché: Elimina le credenziali permanenti e riduce la superficie di attacco da movimenti laterali o furto di credenziali.

6) Controllare l'esfiltrazione dei dati nelle sessioni
   - Impostare le proprietà RDP di AVD per disabilitare il reindirizzamento di unità e dispositivi per gli host pool dei contractor, consentire gli appunti in sola lettura, abilitare la protezione dalla cattura dello schermo e la filigrana. Utilizzare Purview DLP per le app di Microsoft 365 per prevenire l'esfiltrazione di dati sensibili.
   - Perché: Combina i controlli all'interno della sessione con policy consapevoli del contenuto per bloccare la perdita di dati attraverso i canali comuni.

7) Governare con Azure Policy e Configurazione Guest
   - Assegnare policy che richiedono l'avvio attendibile, proibiscono gli IP pubblici, rendono obbligatoria la diagnostica verso Log Analytics e limitano le immagini a definizioni approvate nella Shared Image Gallery. Utilizzare la Configurazione Guest per verificare lo stato di BitLocker, di Defender e l'appartenenza ai gruppi locali.
   - Perché: Garantisce che ogni host rimanga conforme e produca prove verificabili automaticamente.

8) Centralizzare log e rilevamento
   - Inoltrare la diagnostica di AVD, i log di Sicurezza di Windows e gli avvisi di MDE a Microsoft Sentinel. Creare regole di analisi per processi figlio sospetti di strumenti di ingegneria e trasferimenti di dati anomali. Archiviare gli eventi delle chiavi ADE/BitLocker e i risultati di conformità delle policy per una conservazione di 1 anno.
   - Perché: Fornisce visibilità end-to-end e prove a lungo termine e interrogabili per soddisfare gli audit e accelerare la risposta agli incidenti.

Questo approccio fornisce a Siemens host di sessione rafforzati (hardened) con crittografia e conformità alle baseline dimostrabili, EDR di livello enterprise su componenti client e server, controlli rigorosi basati sul principio del privilegio minimo, segreti e certificati governati e una registrazione completa sia per le operazioni di sicurezza che per le attestazioni normative.

---

← [Applicazioni ed esperienza dell'utente finale](/it/posts/az-140-applications/)  ·  [Tutti i domini](/it/posts/az-140-study-guide/)  ·  [Monitoraggio](/it/posts/az-140-monitoring/) →

**[Esercitati su queste domande →](/it/kb/microsoft/)**  ·  **[Pratica cronometrata su ExamRoll.io →](https://www.examroll.io/?utm_source=guide&utm_medium=referral&utm_campaign=az-140)**