Microsoft AZ-500: Sicurezza ibrida e multi-cloud — Guida allo studio

    azcmagent connect \
      --resource-group rg-hybrid \
      --tenant-id <tenantId> \
      --subscription-id <subId> \
      --location <azureRegion> \
      --service-principal-id <appId> \
      --service-principal-secret <password>
    ```

- Requisiti dell'agente ed estensioni
  - L'agente Connected Machine (azcmagent) è obbligatorio; utilizza TLS 1.2 in uscita sulla porta TCP 443 e richiede privilegi di amministratore locale/root per l'installazione.
  - Non ispezionare il suo traffico con SSL inspection; l'agente esegue TLS reciproco (mTLS) e cert pinning durante l'handshake in alcuni flussi.
  - Usare le estensioni di Arc per distribuire funzionalità: Azure Monitor Agent (preferito), componenti di Defender for Endpoint/Defender for Servers, Update Manager e Guest Configuration.
  - Motivazione: le estensioni offrono un ciclo di vita e una conformità in stile Azure per host non-Azure senza porte in entrata (inbound).

- RBAC
  - Azure Connected Machine Onboarding: registra le macchine.
  - Azure Connected Machine Resource Administrator: gestisce la risorsa server Arc e le sue estensioni.
  - Policy Contributor/Reader: governa l'applicazione e la visibilità delle policy.
  - Motivazione: la separazione dei compiti — onboarding vs. amministrazione continua — riduce il raggio d'impatto (blast radius).

- Connettività privata
  - Utilizzare Private Link per i server abilitati per Arc creando un Private Link Scope e endpoint privati per i servizi del piano di controllo di Arc, e integrare con zone Private DNS e forwarder DNS on-premise.
  - Motivazione: forza l'agente a percorrere il percorso di rete privato, eliminando la dipendenza dall'uscita (egress) pubblica e soddisfacendo controlli di egress restrittivi.

Kubernetes abilitato per Azure Arc

- Cluster connect
  - Connettere i cluster con:

    az k8s-configuration flux create \
      --cluster-name arc-aks-onprem --resource-group rg-hybrid \
      --name baseline --namespace cluster-config \
      --url https://github.com/org/platform-baseline --branch main --sync-interval 1m
    ```

- Policy
  - Abilitare Azure Policy for Kubernetes (Gatekeeper v3) tramite l'estensione azurepolicy; assegnare iniziative predefinite per bloccare pod privilegiati, hostPath o profili seccomp mancanti.
  - Motivazione: applicare il controllo di ammissione (admission control) in fase di deploy, riducendo l'esposizione a runtime.

- Integrazione con Defender
  - Sui cluster Arc, abilitare Defender for Containers. Questo distribuisce gli agenti necessari per raccogliere gli eventi di audit di Kube, rilevare comportamenti anomali e supportare i risultati delle vulnerabilità per immagini e workload.
  - Motivazione: unificare il rilevamento delle minacce e la postura con i cluster cloud-native sotto un unico piano.

SQL Server abilitato per Azure Arc e inventario ibrido

- Eseguire l'onboarding delle istanze di SQL Server in esecuzione su macchine abilitate per Arc utilizzando l'estensione SQL Server; questo espone SQL come una risorsa Azure.
- Abilitare Defender for SQL sulle macchine per la valutazione delle vulnerabilità e il rilevamento avanzato delle minacce; configurare l'auto-provisioning da Defender for Cloud per garantire la copertura.
- Utilizzare l'inventario di Arc e Azure Resource Graph per interrogare gli asset ibridi, assegnare tag di criticità e definire l'ambito delle policy (ad esempio, imporre endpoint solo TLS e suite di cifratura robuste).
- Motivazione: governance e analisi della sicurezza coerenti per SQL legacy basato su VM insieme a database PaaS.
### Integrazione multicloud con Microsoft Defender for Cloud

Connettori multicloud

- AWS
  - Creare un connettore AWS in Defender for Cloud; distribuire il template CloudFormation o lo StackSet fornito a livello di Organization per creare un ruolo cross-account di sola lettura e l'inoltro degli eventi.
  - Opzionalmente, abilitare il provisioning automatico degli agenti per Defender for Servers e Containers.
  - Motivazione: l'onboarding a livello di organizzazione garantisce che i nuovi account ereditino i controlli di sicurezza senza passaggi manuali.

- Google Cloud
  - Creare un connettore GCP; distribuire il template Terraform o Deployment Manager raccomandato a livello di Organization con un service account basato sul principio del privilegio minimo (least-privilege).
  - Motivazione: un accesso standardizzato e basato sul principio del privilegio minimo scala automaticamente la gestione della postura di sicurezza (posture management) ai nuovi progetti e cartelle.

Gestione della postura di sicurezza cloud (CSPM)

- Aggregare Azure, AWS, GCP e on-prem/edge (tramite Arc) nel punteggio di sicurezza (secure score) e nella dashboard di conformità normativa di Defender for Cloud.
- Assegnare iniziative integrate (CIS, NIST, PCI) a livello di management group; estendere le baseline a livello di sistema operativo ai server Arc tramite Azure Policy Guest Configuration.
- Utilizzare le raccomandazioni per guidare le attività di remediation e la correzione automatica con DeployIfNotExists dove supportato (ad esempio, distribuire l'Azure Monitor Agent sui server Arc).
- Motivazione: un unico modello di conformità su piattaforme eterogenee riduce la complessità degli audit e accelera la remediation.

Protezione dalle minacce

- Abilitare i piani Defender pertinenti (Servers, Containers, SQL, Storage) su tutti i cloud; configurare centralmente il provisioning automatico e le impostazioni di raccolta dati.
- Motivazione: una tassonomia comune degli avvisi e l'analisi dei dati alimentano il SIEM con segnali normalizzati.

### Identità ibrida e monitoraggio sicuro

Identità ibrida e sicurezza di AD on-premises

- **Strategia di sincronizzazione**
  - Utilizzare la sincronizzazione degli hash delle password (password hash synchronization) per la resilienza e l'autenticazione pass-through (pass-through authentication) con SSO seamless quando è necessario applicare le policy delle password e le restrizioni di accesso on-prem, riducendo al minimo l'infrastruttura. Questa combinazione minimizza l'impronta dei server e soddisfa l'applicazione delle policy on-prem.
  - Escludere gli account (ad esempio, con givenName che inizia per LAB) utilizzando il filtro basato su attributi del Synchronization Rules Editor.
- **Monitoraggio di Microsoft Entra Connect**
  - Distribuire Azure AD Connect Health per monitorare la sincronizzazione, i domain controller e AD FS (se utilizzato), con avvisi per latenza, errori e configurazioni rischiose.
- **Accesso con privilegi**
  - Per configurare Privileged Identity Management (PIM), è richiesto il ruolo di Global administrator. Iniziare individuando i ruoli con privilegi, quindi abilitare l'accesso just-in-time, l'approvazione e le verifiche di accesso (access reviews).
- **Esperienza di autenticazione**
  - Per i dispositivi Windows in modalità hybrid-joined, utilizzare l'autenticazione integrata di Active Directory verso Azure SQL Database da SSMS per ridurre al minimo le richieste di credenziali, utilizzando al contempo i token di Entra ID.
- **Hardening di AD**
  - Applicare il modello di amministrazione a livelli (tiered admin model), LAPS per la rotazione delle password degli amministratori locali, disabilitare i protocolli legacy e monitorare le anomalie Kerberos/NTLM con Defender for Identity.
- **Motivazione**: una solida igiene delle identità (identity hygiene) impedisce che il furto di credenziali si trasformi in una compromissione cross-environment.

Azure Monitor Agent (AMA), Regole di raccolta dati (DCR) e raccolta sicura dei log

- Utilizzare le estensioni di Arc per distribuire l'AMA; creare DCR che definiscano esattamente quali registri eventi di Windows (Windows Event Logs) e facility di Syslog raccogliere e instradare a specifici workspace di Log Analytics.
- Disaccoppiare gli endpoint di inserimento tramite i Data Collection Endpoints (DCE); limitare il traffico in uscita (egress) utilizzando Azure Monitor Private Link Scope (AMPLS).
- Esempio di snippet DCR:

- Motivazione: le DCR forniscono una telemetria basata sul principio del privilegio minimo (raccogliendo solo ciò che è necessario), riducono i costi e semplificano la gestione delle modifiche (change control) rispetto alla deriva della configurazione a livello di host (host-level config drift).
### Baseline di rete, DNS, proxy e basate su policy

Requisiti di connettività privata, DNS, proxy e firewall in uscita

- Modello solo in uscita
- Gli agenti Arc, AMA, Defender e le estensioni delle policy utilizzano TLS 1.2 in uscita sulla porta 443. Non dovrebbe essere richiesto alcun NAT in ingresso o l'apertura di porte.
- Private Link
- Utilizzare Private Link Scopes per Arc e Azure Monitor; creare le zone DNS private e i server d'inoltro condizionali corrispondenti in modo che le macchine ibride risolvano gli FQDN dei servizi in indirizzi IP privati.
- Proxy
- Se si utilizza un forward proxy, inserire in allowlist gli FQDN del piano di controllo e di inserimento dati di Azure e bypassare l'ispezione SSL per gli endpoint di Arc/Monitor.
- Configurare su un server con: