Microsoft AZ-500: Incidentrespons, herstel en veerkracht — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Security Engineer Associate AZ-500 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Incidentrespons, herstel en veerkracht in Azure vormen een doorlopend vermogen dat goed geoefende operationele procedures combineert met platform-native controles. Een effectief programma anticipeert op storingen of compromittering, detecteert en trieert snel, beperkt de ‘blast radius’ (schadeomvang) met automatisering, herstelt de service volgens gedefinieerde doelstellingen, bewaart onveranderlijk bewijsmateriaal en verhardt vervolgens de omgeving op basis van de geleerde lessen. Azure-native services—Microsoft Sentinel, Defender for Cloud, Logic Apps, Azure Backup, Azure Site Recovery (ASR), DDoS Protection, Web Application Firewall (WAF), Traffic Manager/Front Door en Microsoft Entra—bieden de bouwstenen. De ontwerpprioriteit is het vooraf configureren van de juiste telemetrie, ‘break-glass’-toegangspaden voor identiteiten en geautomatiseerde handhaving, zodat teams binnen minuten kunnen handelen, niet uren.

Levenscyclus van incidentrespons en Sentinel-operaties

• Voorbereiding

  • Definieer wie wat doet, wanneer en met welke tools. Richt vooraf Microsoft Sentinel-workspaces in, verbind databronnen (Activity Log, resource logs, NSG flow logs, Microsoft Entra sign-in/audit logs, Defender-signalen) en implementeer toegangscontroles en RBAC voor analisten, responders en incidentcommandanten.
  • Maak playbooks (Logic Apps) voor veelvoorkomende inperkingsacties zoals VM-isolatie, intrekking van gebruikerstokens of sleutelrotatie. Configureer vooraf quarantaine-NSG’s en toegewijde ‘forensics’-abonnementen.
  • Stel onveranderlijke logretentie in via Diagnostic Settings naar Log Analytics en naar een Azure Storage-account met onveranderlijkheid (WORM).

• Detectie

  • Schakel in Sentinel analyseregels in voor diefstal van referenties, zeldzame aanmeldingspatronen, verdachte procesuitvoering, misbruik van Key Vault en data-exfiltratie. Vul aan met UEBA- en fusieregels om goedaardige gebeurtenissen te correleren tot betekenisvolle incidenten. Kalibreer regeldrempels en onderdrukking om ‘alert fatigue’ (waarschuwingsmoeheid) te minimaliseren.

• Inperking

  • Voer vooraf goedgekeurde acties uit: plaats NIC’s in quarantaine via NSG, schakel gecompromitteerde service principals uit, trek Entra-verversingstokens in, roteer secrets, schakel inkomende publieke eindpunten uit of zet WAF in preventiemodus. Gebruik Sentinel-automatiseringsregels om te routeren op ernst, tags toe te voegen, eigenaren toe te wijzen en playbooks te activeren.

• Uitroeiing

  • Verwijder persistentie (opstarttaken, geplande taken, cloud-init-scripts, kwaadaardige extensies), roteer referenties, implementeer ‘golden images’ opnieuw en patch kwetsbaarheden die door Defender for Cloud zijn gemarkeerd. Voor identiteitsgerelateerde incidenten, vereis wachtwoordresets en versterk Conditional Access.

• Herstel

  • Herstel vanuit Azure Backup naar schone VNet’s; voer een failover uit met ASR-herstelplannen; valideer de integriteit en herstel secrets en configuraties vanuit betrouwbare bronnen (IaC-templates, Key Vault met soft delete/purge protection). Zorg ervoor dat RTO en RPO worden gehaald.

• Geleerde lessen

  • Voer een ‘blameless’ (schuldvrije) evaluatie uit. Werk Sentinel-regels en playbooks, Azure Policy-toewijzingen, basis-images en runbooks bij. Codificeer herstelacties in IaC en dwing deze af via management groups.

Sentinel-triage, bewijsverzameling, onderzoek en case management

• Triage

  • Prioriteer incidenten op basis van ernst, kriticiteit van assets en ‘blast radius’ met behulp van entiteitsverrijking (host, gebruiker, IP) en watchlists. Gebruik incidentgroepering om duplicaten te verminderen en de tijdlijnweergave om de volgorde te begrijpen.

• Bewijsverzameling

  • Markeer opmerkelijke gebeurtenissen, exporteer onbewerkte logs naar onveranderlijke opslag, maak snapshots van getroffen VM-schijven voor offline analyse en leg processtructuren vast via Defender for Endpoint-integraties. Behoud de ‘chain of custody’ door hashes op te slaan en de toegang te beperken tot een forensische resource group.

• Onderzoek

  • Gebruik onderzoeksgrafieken en entiteitspagina’s (aanmeldingsgeschiedenis van gebruiker, processtructuur van host). Jaag met KQL in SigninLogs, AuditLogs, SecurityEvent en AzureDiagnostics. Leg bevindingen vast, voeg artefacten toe en tag IOC’s voor toekomstige detectie.

• Case management

  • Standaardiseer statussen (New, Active, In Progress, Resolved), eigenaren en SLA-timers. Integreer Sentinel met ITSM (ServiceNow/Azure DevOps) voor ticketing en change control. Automatiseringsregels kunnen bekende goedaardige waarschuwingen automatisch sluiten of specifieke tactieken escaleren naar Tier 2.

Geautomatiseerde inperking en workflow-orkestratie

• Sentinel-automatiseringsregels

  • Activeer bij het aanmaken/bijwerken van een incident. Wijs dynamisch eigenaarschap toe, stel de ernst in, voeg tags toe (bijv. QuarantineCandidate) en roep een of meer playbooks aan. Rationale: ga binnen seconden van detectie naar actie, consistent met ’least privilege’ en vooraf goedgekeurde playbooks.

• Logic Apps-playbooks

  • Veelvoorkomende acties: pas een quarantaine-NSG toe op een VM NIC, schakel een gebruiker uit, trek tokens in, blokkeer een IP in WAF of open een ITSM-ticket met volledige context. Gebruik managed identities en Azure RBAC om de permissies van elk playbook te beperken tot de exacte set resources.

• Defender for Cloud workflowautomatisering

  • Bij aanbevelingen of waarschuwingen (bijv. ‘Open RDP to Internet’), activeer automatisch playbooks om te herstellen (NSG-regels aanscherpen), resources te taggen voor opvolging of eigenaren te informeren. Rationale: sluit blootstelling snel, verbeter de Secure Score en verkort de ‘dwell time’ (verblijftijd) van de aanvaller.

Voorbeeld: een VM NIC in quarantaine plaatsen in seconden

# Create a high-priority deny-all inbound NSG rule and associate a quarantine NSG to the NIC
az network nsg rule create -g rg-prod -n QuarantineDenyAll --nsg-name nsg-quarantine \
  --priority 100 --access Deny --direction Inbound --protocol '*' --source-address-prefixes '*' \
  --source-port-ranges '*' --destination-address-prefixes '*' --destination-port-ranges '*'

az network nic update -g rg-prod -n vm1-nic --network-security-group nsg-quarantine

Tokenintrekking voor een gecompromitteerde gebruiker

az rest --method POST \
  --uri "https://graph.microsoft.com/v1.0/users/user@contoso.com/revokeSignInSessions"

Back-up, replicatie, RTO/RPO en veerkracht

Azure Backup-beveiliging

• Recovery Services-kluizen en Back-upkluizen

  • Gebruik kluizen per workloadgrens en regio. Schakel voorlopig verwijderen (soft delete) in om te beschermen tegen onbedoelde/kwaadwillige verwijdering van back-upitems; stel een passende bewaarperiode in die is afgestemd op wettelijke vereisten. Schakel beveiliging tegen definitief verwijderen (purge protection) in (waar ondersteund) om onomkeerbare verwijderingen te voorkomen.

• Onveranderlijkheid

  • Configureer de onveranderlijkheid van de kluis. Gebruik de ontgrendelde modus tijdens de initiële afstemming en schakel vervolgens over naar de vergrendelde modus om te voorkomen dat de bewaarperiode wordt verkort of het beleid wordt gemanipuleerd. Reden: zorgt ervoor dat back-ups ‘write-once’ zijn en niet kunnen worden gewijzigd, een belangrijke maatregel tegen ransomware.

• Autorisatie door meerdere gebruikers (MUA)

  • Bescherm kritieke back-upoperaties (bijv. beveiliging stoppen met gegevensverwijdering, kluisinstellingen wijzigen) met behulp van Azure Backup Resource Guard in een afzonderlijk abonnement/resourcegroep die eigendom is van een ander team. Reden: dwingt scheiding van taken (separation-of-duties) af; aanvallers moeten twee identiteiten in verschillende scopes compromitteren om de herstelbaarheid te vernietigen.

• Cross-regionale mogelijkheden

  • Voor RSV die GRS gebruiken, schakel herstel tussen regio’s (cross-region restore) in om te kunnen herstellen, zelfs als de primaire regio niet beschikbaar is. Valideer dat cryptografische sleutels die door workloads worden gebruikt ook veerkrachtig zijn (Key Vault voorlopig verwijderen/beveiliging tegen definitief verwijderen en, indien nodig, geo-redundante herstelplanning).

Azure Site Recovery (ASR)

• Replicatie

  • Azure-naar-Azure, VMware/Hyper-V-naar-Azure en fysieke servers. Definieer replicatiebeleid (RPO-drempel, bewaarperiode van herstelpunten, frequentie van applicatieconsistente snapshots). Implementeer de Mobility-service waar nodig.

• Herstelplannen

  • Orchestreer de failover van multi-tier applicaties met opstartvolgorde, handmatige stappen en runbooks (bijv. DNS-updates, omwisselen van connection strings). Bewaar referenties en scripts in Key Vault.

• Failover testen

  • Voer regelmatig niet-verstorende tests uit naar een geïsoleerd VNet met gemaskeerde IP-adressen. Gebruik ‘Testfailover opschonen’ om de status te resetten. Reden: valideert het end-to-end herstel zonder de productieomgeving te beïnvloeden.

• Failback

  • Na herstel van de primaire site, opnieuw beveiligen en een failback uitvoeren, waarbij wijzigingen opnieuw worden gesynchroniseerd. Plan bandbreedtevensters en onderhoud om te voldoen aan de zakelijke SLA’s.

Architectuur selecteren om aan RTO/RPO te voldoen

• Strakke RPO (seconden tot minuten) en lage RTO (minuten)

  • Geef de voorkeur aan ASR of native applicatiereplicatie (bijv. SQL Always On, Cosmos DB multi-region) boven back-ups; houd een hot of warm standby aan; gebruik Front Door/Traffic Manager voor regionale failover.

• Gematigde RPO (uren) en RTO (uren)

  • Combineer frequente back-ups met ASR voor kritieke tiers; gebruik functies voor back-upversnelling (instant restore snapshots) om de hersteltijd te verkorten.

• Lange RPO (dagen) en RTO (dagen)

  • Alleen back-up met langere bewaarperiode; voor kosten geoptimaliseerde archieftiers.

Operationele redenering: replicatie levert een kleine RPO tegen hogere doorlopende kosten; back-ups bieden goedkopere langetermijnbewaring maar een langzamere RTO/RPO. Mix per tier om aan te sluiten bij de business impact analyse.

Netwerkverdediging, forensisch onderzoek, continuïteit en hardening

Azure DDoS-respons, WAF-tuning en failover van verkeersbeheer

• DDoS Protection Standard

  • Koppel aan VNets die openbare IP’s hosten. Het biedt adaptieve real-time mitigatie en DDoS Rapid Response (DRR)-ondersteuning tijdens aanvallen. Configureer alerts en diagnostiek naar Sentinel. Reden: automatische mitigatie aan de edge voordat het verkeer de workloads bereikt.

• WAF-tuning

  • Gebruik beheerde OWASP-regelsets en schakel over naar de preventiemodus. Voeg uitsluitingen toe voor bekende goedaardige patronen, schakel waar nodig inspectie van de aanvraaggrootte/body in en maak aangepaste regels voor toestaan/weigeren en rate limiting op misbruikende IP’s of geografische locaties. Verfijn continu op basis van logs.

• Traffic failover

  • Gebruik Traffic Manager (op DNS-basis) met priority routing en een lage TTL voor regio-failover, of Azure Front Door (anycast L7) voor snellere, door health probes gestuurde failover en wereldwijde ingress. Test kritieke endpoints en voer regelmatig failover-oefeningen uit.

Forensisch onderzoek: logs en onveranderlijke retentie

• Activity Log

  • Audit control-plane-acties (creëren/verwijderen/roltoewijzingen). Stream naar Sentinel en naar Azure Storage met onveranderlijkheid (immutability) voor juridische bewaring (legal hold).

• Resource-logs

  • Schakel in via Diagnostic Settings voor belangrijke services (Key Vault, App Service, Storage, SQL, AKS). Routeer naar Log Analytics, Event Hub en onveranderlijke Storage.

• NSG-flowlogs

  • Schakel in via Network Watcher; analyseer met Traffic Analytics om netwerkstromen tijdens incidenten te reconstrueren.

• Microsoft Entra aanmeldings- en auditlogs

  • Neem op in Sentinel voor identiteitsonderzoek. Monitor risicovolle aanmeldingen en de uitkomsten van conditional access. Verleng de retentie via het Log Analytics-archief en/of exporteer naar onveranderlijke Storage.

Break-glass- en continuïteitsmaatregelen

• Onderhoud ten minste twee ‘cloud-only’ Global Administrator break-glass-accounts met lange, complexe wachtwoorden, uitgesloten van Conditional Access- en MFA-beleid om storingen te overleven. Sla de credentials veilig offline op en monitor elke aanmelding met real-time alerts. Wijs elders beperkte permanente rollen toe; gebruik PIM voor just-in-time elevatie tijdens normale operaties.
• Documenteer noodtoegangsprocedures, inclusief Entra’s ‘Toegang verhogen om alle Azure-abonnementen te beheren’ en de stappen om Owner toe te wijzen op de root management group als RBAC niet functioneert.
• Bescherm kritieke assets met management locks (CanNotDelete) en beperk de scope van roltoewijzingen met behulp van management groups.

Hardening na een incident

• Pas Azure Policy toe op management groups om een baseline af te dwingen (bijv. DeployIfNotExists voor antimalware-extensies, schijfversleuteling, diagnostische instellingen, JIT VM-toegang). Herstel non-compliance met policy remediation tasks.
• Verbeter detectie door Sentinel analytics te tunen (nieuwe IOC’s toevoegen, drempels aanpassen), succesvolle ‘hunts’ om te zetten in geplande regels en automatiseringsregels toe te voegen voor triage.
• Werk beveiligingsbaselines bij (images, Key Vault-beleid, NSG/WAF-regels). Leg alle wijzigingen vast als code (Bicep/Terraform) en valideer met CI/CD en change control. Volg de Secure Score en wettelijke naleving om de voortgang te meten.

Praktijkscenario

Starbucks ervaart een golf van verdachte aanmeldingen, gevolgd door anomale uitgaande data (egress) vanuit een productieabonnement dat een bestel-API host. Het beveiligingsteam moet de service indammen, onderzoeken en herstellen, terwijl bewijsmateriaal wordt bewaard en een RTO van twee uur en een RPO van 15 minuten voor de API-laag wordt gehaald.

1. Automatiseer triage en beperk de ‘blast radius’

• In Sentinel activeert een automatiseringsregel bij incidenten met een hoge ernstgraad met entiteiten uit de resourcegroep van de bestel-API, wijst de dienstdoende analist toe, tagt het incident als QuarantineCandidate en voert een playbook uit om:
  • Sessies voor de gecompromitteerde gebruiker in te trekken.
  • Een quarantaine-NSG toe te passen op de NIC’s van de API VM scale set.
  • Een aangepaste WAF-regel toe te voegen om de aanvallende IP-bereiken te blokkeren.
• Reden: Automatisering voert vooraf goedgekeurde acties met de minste privileges binnen seconden uit, waardoor de ‘dwell time’ van de aanvaller wordt verkort en verdere data-egress wordt voorkomen.

2. Bewaar bewijsmateriaal met onveranderlijkheid

• Het playbook maakt snapshots van de getroffen VM OS/data-schijven en exporteert de Activity Log, NSG-flowlogs en Storage-accountlogs voor de doelcontainers naar een Azure Storage-account met op tijd gebaseerde onveranderlijkheid (time-based immutability) en legal hold. Bookmarks en KQL-query’s worden aan het Sentinel-incident gekoppeld.
• Reden: Onveranderlijke opslag garandeert de ‘chain-of-custody’; snapshots maken offline forensisch onderzoek mogelijk zonder de gecompromitteerde systemen te wijzigen.

3. Herstel de service binnen RTO/RPO

• Omdat de API-laag wordt beschermd door ASR met een frequentie van app-consistente snapshots van 15 minuten, voert het team een geprioriteerd herstelplan uit om een failover van de API-laag naar de gekoppelde regio uit te voeren. Azure Front Door voert een op health probes gebaseerde failover uit naar het secundaire endpoint.
• Reden: Replicatie voldoet aan de RPO van 15 minuten, en de georkestreerde failover plus Front Door-routing voldoen aan de RTO van twee uur zonder herstel vanaf een back-up.

4. Herstel identiteit en secrets

• Geprivilegieerde beheerders roteren credentials en sleutels in Key Vault (met soft delete en purge protection ingeschakeld) en schakelen het gecompromitteerde account uit, waarbij strengere Conditional Access voor geprivilegieerde rollen wordt afgedwongen.
• Reden: Secrets en identiteit zijn veelvoorkomende vectoren voor persistentie; snelle rotatie en strengere toegangscontroles snijden de herintredingsmogelijkheden van de aanvaller af.

5. Hardening en validatie na het incident

• Het team tunet de beheerde WAF-regels, voegt een aangepaste rate-limiting-regel toe, onboardt het Storage-account bij Defender for Cloud met anomalie-alerts en implementeert Azure Policy om standaard diagnostische instellingen en NSG-baselines af te dwingen. Er wordt een Sentinel analytics-regel toegevoegd om vergelijkbare egress-patronen te detecteren, en er wordt een oefening gepland om de ASR-herstelplannen per kwartaal te valideren.
• Reden: Het institutionaliseren van oplossingen via beleid en analytics vermindert herhaling en zorgt ervoor dat de veerkracht verifieerbaar en herhaalbaar blijft.

← Hybride en multi-cloudbeveiliging · Alle domeinen

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →