Microsoft AZ-500: Netwerkbeveiligingsarchitectuur — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Security Engineer Associate AZ-500 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

De netwerkbeveiligingsarchitectuur van Azure dwingt connectiviteit met minimale rechten (least-privilege) af, gaat uit van een inbreuk (assume breach) en implementeert continue monitoring. Het combineert microsegmentatie binnen virtuele netwerken, stateful controlelagen voor oost-west- en uitgaand verkeer, edge-bescherming voor naar internet gerichte eindpunten en private toegang tot PaaS. Goede ontwerpen geven prioriteit aan identiteitsbewuste toegang op de applicatielaag, terwijl sterke netwerkgrenzen, expliciete routering en verifieerbare telemetrie behouden blijven.

Virtual Network-controles en -segmentatie

Subnetten zijn de eerste segmentatiegrens. Plaats workloads met een vergelijkbaar vertrouwensniveau, levenscyclus en beleid in hetzelfde subnet; scheid de lagen (web, app, data) zodat u onafhankelijk beleid en routes kunt toepassen. Vermijd platte ‘gedeelde’ subnetten die beheertools, jump hosts en zakelijke workloads combineren; ze bemoeilijken het beleid en vergroten de ‘blast radius’.

Network Security Groups (NSG’s) passen stateful L3–L4-filtering toe per subnet of per NIC. Inkomende en uitgaande regels worden geëvalueerd op basis van prioriteit (lager getal eerst), met een impliciete DenyAll aan het einde. NSG’s zijn stateful: antwoorden op toegestane stromen worden automatisch toegelaten, dus u hebt zelden regels voor efemere poorten nodig. Operationeel gezien, koppel NSG’s aan subnetten voor brede controles en verfijn vervolgens op kritieke NIC’s. Documenteer altijd de eigenaar, het doel en de vervaldatum voor alle ’tijdelijke’ toestemmingen.

Met Application Security Groups (ASG’s) kunt u naar VM-groepen verwijzen op naam in plaats van op IP, zodat regels schaalvergroting en IP-verloop overleven. Tag VM’s in op rollen gebaseerde ASG’s (bijv. asg-web, asg-app) en formuleer beleid zoals “asg-web → asg-app TCP 443”. Dit vermindert de wildgroei van regels en operationele afwijkingen.

Effectieve beveiligingsregels zijn het resultaat van het samenvoegen van NSG’s die zowel op een NIC als op het bijbehorende subnet worden toegepast. De meest specifieke overeenkomende allow/deny (op basis van prioriteit) wint. Valideer met “Effective security rules” in de portal of via Network Watcher IP flow verify om conflicterende regels te ondervangen vóór de implementatievensters.

Servicetags (bijv. AzureLoadBalancer, Storage, Sql, Internet, VirtualNetwork) worden onderhouden door Microsoft en vouwen grote, dynamische IP-ruimtes samen tot stabiele doelen voor regels. Geef de voorkeur aan servicetags boven handmatige IP-lijsten om storingen te voorkomen bij de rotatie van service-IP’s. Beperk bijvoorbeeld uitgaand verkeer tot Storage en Sql terwijl u brede internettoegang weigert.

Microsegmentatie en Zero Trust worden gerealiseerd door:

Het toepassen van deny-by-default NSG’s en alleen expliciete, minimale paden te openen.
Het gebruiken van ASG’s om de intentie van de workload te coderen.
Het beperken van uitgaand verkeer met servicetags of FQDN-gebaseerde filtering via Azure Firewall.
Het afdwingen van ‘geen publiek IP op servers’ en al het uitgaande verkeer via een gecontroleerd inspectiepunt te routeren.

Voorbeeld: maak een NSG-regel die web-naar-app-verkeer via TLS toestaat met ASG’s en al het andere expliciet weigert met een hogere prioriteit dan de impliciete deny om de intentie te documenteren.

az network nsg rule create \
  --resource-group rg-sec \
  --nsg-name nsg-app \
  --name allow-web-to-app-443 \
  --priority 200 \
  --direction Inbound \
  --access Allow \
  --protocol Tcp \
  --source-asgs asg-web \
  --destination-asgs asg-app \
  --destination-port-ranges 443

Netwerkbeveiligingsservices en Edge-bescherming

Azure Firewall is een volledig stateful, high-availability firewall met centraal beleid. Gebruik het voor:

Oost-west- en uitgaande controle wanneer NSG’s onvoldoende zijn (domeinnamen, TLS-inspectie).
DNAT voor beperkte inkomende blootstelling wanneer Application Gateway ongeschikt is.
Centrale logging en threat intelligence.

Regelverzamelingsgroepen bevatten regelverzamelingen (Netwerk, Applicatie, NAT) met prioriteiten die de evaluatievolgorde bepalen. Binnen een groep worden verzamelingen met een lagere prioriteit eerst geëvalueerd; regels worden gematcht op basis van de meest specifieke criteria. Houd DNAT-regels in hun eigen groep met de hoogste evaluatieprioriteit om inkomend verkeer deterministisch af te vangen.

Netwerkregels filteren op 5-tuple (IP/poort/protocol).
Applicatieregels filteren op FQDN, URL-categorieën (Premium) en kunnen FQDN-tags gebruiken.
NAT-regels vertalen publieke naar private adressen/poorten voor inkomende scenario’s.

Op threat intelligence gebaseerde filtering blokkeert bekende slechte IP’s/domeinen. Draai in de Alert-modus tijdens de initiële baselining, en schakel over naar Deny zodra false positives zijn aangepakt.

Premium-functies voegen toe:

TLS-inspectie met uitgaande en inkomende decryptie, wat L7-zichtbaarheid en IDPS mogelijk maakt.
Intrusion Detection and Prevention (IDPS) met handtekeningen en prioritering van kwetsbaarheden.
URL-filtering en webcategorieën voor granulaire controle op uitgaand verkeer.
Geavanceerde controles voor certificaten en TLS-beleid.

Operationeel gezien, isoleer de firewall in een toegewezen subnet (AzureFirewallSubnet), routeer al het internetverkeer ernaartoe met UDR’s en schakel Availability Zones in. Gebruik Firewall Policy (niet de klassieke regels) voor schaalbaar beheer, overerving en afwijkingen voor Dev/Test met een gedeeld basisbeleid.

Web Application Firewall (WAF) mitigeert L7-aanvallen (SQLi, XSS).

Op Application Gateway beschermt WAF regionale apps met end-to-end TLS en beleid per site; het beëindigt de client-TLS en versleutelt optioneel opnieuw naar de backend.
Op Azure Front Door beschermt WAF wereldwijd gedistribueerde apps aan de edge met geïntegreerde CDN, bot-bescherming en geo-controles.

Maak WAF-beleidsregels en koppel ze aan gateways, listeners of routes. Kies in eerste instantie de Detection-modus om af te stemmen, en daarna de Prevention-modus om te blokkeren. Gebruik beheerde regelsets (OWASP 3.x) en voeg aangepaste regels toe voor rate limits of IP-bereiken. Configureer uitsluitingen (bijv. specifieke JSON-velden of headers) om false positives te verminderen zonder de algehele bescherming te verzwakken.

Distributed Denial of Service (DDoS):

Basic is een altijd actieve platformbescherming, maar biedt geen telemetrie per resource of afstemming van mitigatie.
DDoS Protection: Network Protection voegt adaptieve afstemming per publiek IP-adres, automatische mitigatie, aanvalsanalyses, alarmering, krediet voor kostenbescherming en toegang tot DDoS Rapid Response toe.

Schakel Network Protection in op VNet’s die publieke IP’s (Standard SKU) hosten. Gebruik telemetrie (Metrics, Diagnostic logs) om aanvalsvectoren, de mitigatielevenscyclus en de effectiviteit te observeren. Ontwerp beschermde resources achter load balancers of Application Gateway om volumetrische belasting op te vangen en minimaliseer directe publieke blootstelling. Combineer WAF en DDoS voor een gelaagde verdediging.

Private Toegang, Hybride Connectiviteit en Routing

Private Link en private endpoints bieden private IP-toegang vanuit uw VNet tot PaaS-diensten. Een private endpoint is een NIC in uw subnet die is gekoppeld aan de PaaS-resource; het verkeer blijft op de backbone van Microsoft. Operationele stappen:

Schakel publieke netwerktoegang op de PaaS-resource uit om bypass te voorkomen.
Implementeer private DNS zones (bijv. privatelink.blob.core.windows.net) en koppel deze aan VNets voor naadloze naamresolutie.
Beheer goedkeuringen centraal; overweeg isolatie op abonnements-/tenantniveau met een handmatige goedkeuringsworkflow.

Service endpoints breiden de identiteit van uw subnet uit naar PaaS-resources via hun publieke IP’s, waardoor de PaaS-firewall de toegang kan beperken tot specifieke subnets. Ze creëren geen private IP’s, dus uitgaand verkeer (egress) passeert de publieke rand maar blijft binnen het Microsoft-netwerk. Gebruik service endpoint policies om alleen goedgekeurde storage accounts toe te staan. Voor gecontaineriseerde workloads op IaaS VM’s, zorg ervoor dat Azure CNI wordt gebruikt zodat de IP’s van pods/containers uit het subnet komen; anders herkent het service endpoint de bron niet en kan de toegang mislukken.

Strategie voor DNS-resolutie:

Voor Private Link, zorg ervoor dat uw DNS-pad de FQDN van de PaaS-service omzet naar het private endpoint. Gebruik Azure Private DNS zones, conditional forwarders op on-premise DNS, of Azure DNS Private Resolver voor hybride forwarding.
Houd gezaghebbende (authoritative) split-horizon mappings duidelijk om onderbroken publieke resolutie te voorkomen.

Hybride connectiviteit:

VPN Gateway: Gebruik voor site-to-site een route-based VPN met IKEv2 en sterke ciphers. Gebruik BGP om routes dynamisch uit te wisselen, wat groei en failover vereenvoudigt. Pas VPN NAT toe wanneer er overlappende adresruimtes zijn. Voor forced tunneling, adverteer 0.0.0.0/0 vanaf on-premise via BGP of pas UDR’s toe die 0/0 naar een virtual appliance sturen; zorg indien nodig voor een uitzonderingsroute voor private PaaS-bereiken.
ExpressRoute: Biedt private connectiviteit; versleuteling is niet inherent. Gebruik MACsec (voor ExpressRoute Direct) of voer IPsec uit over ER voor vertrouwelijkheid. Gebruik BGP communities en route filters voor Microsoft peering. Ondersteun active-active met ECMP over circuits voor veerkracht (resiliency). Voor forced tunneling, accepteer default routes vanaf on-premise en zorg ervoor dat er geen conflicterende UDR’s zijn die internetpaden ‘blackholen’.

User-defined routes (UDR’s), NVA’s en voorrang (precedence):

Route-selectie gebruikt de ’longest prefix match’, daarna de bron: UDR > BGP > systeem. Verkeerd toegepaste 0/0 UDR’s kunnen retourpaden ‘blackholen’; valideer dit met de ’next-hop’ functie van Network Watcher.
Voor NVA’s, schakel IP forwarding in op de NIC’s en plaats ze achter een load balancer of Gateway Load Balancer voor transparante, schaalbare insertie. Geef de voorkeur aan Azure Firewall voor beheerde scenario’s; wanneer leveranciersspecifieke functies vereist zijn, ontwerp dan voor hoge beschikbaarheid (HA) met meerdere availability zones en load balancing met health probes.

Veilig Beheer, Monitoring en Telemetrie

Veilige administratieve connectiviteit:

Azure Bastion biedt RDP/SSH over TLS vanuit de portal of een native client zonder publieke IP’s van VM’s bloot te stellen. Gebruik de Standard SKU voor schaalbaarheid, op IP gebaseerde verbindingen en deelbare links. Beperk de toegang tot Bastion met RBAC en Just-in-Time.
Just-in-Time VM-toegang (Defender for Cloud) sluit beheerpoorten in NSG’s en opent ze op basis van een tijdgebonden verzoek met goedkeuring en limieten voor bron-IP’s. Combineer met Bastion voor een ’no-public-IP’-houding en een nauwkeurig audittrail.

Network Watcher biedt operationele verificatie en forensische analyse:

NSG flow logs (v2) schrijven naar storage en kunnen worden verzonden naar Traffic Analytics in Log Analytics voor inzichten in ’top talkers’, toegestane/geweigerde flows en geografie.
Connection troubleshoot test actief de end-to-end connectiviteit en rapporteert waar een pad wordt geblokkeerd (NSG, UDR, DNS, firewall).
Packet capture kan on-demand of door alerts worden geactiveerd; gebruik ringbuffers om opslag te verminderen en alleen relevante poorten vast te leggen.
Effective routes en IP flow verify brengen runtime-beslissingen over UDR’s, BGP en NSG’s in kaart; automatiseer deze controles in CI/CD preflight-checks.

Schakel NSG flow logs en analytics snel in:

az network watcher flow-log configure \
  --resource-group rg-sec \
  --nsg nsg-app \
  --enabled true \
  --traffic-analytics true \
  --storage-account saflowlogs \
  --workspace /subscriptions/<sub>/resourceGroups/rg-la/providers/Microsoft.OperationalInsights/workspaces/la-workspace

Praktijkscenario

Starbucks moderniseert een orderbeheerplatform naar Azure. Beveiligingsdoelen: geen publieke IP’s op de app/data-lagen, strikte egress, wereldwijde webbeveiliging en operationele zichtbaarheid.

Creëer drie subnets per regio: web, app, data, elk met een eigen NSG en op rollen afgestemde ASG’s.

Rationale: Microsegmentatie op subnetniveau met ASG’s legt ’least-privilege’ flows vast (web→app 443, app→data 1433) en verkleint de ‘blast radius’. Afzonderlijke NSG’s per laag voorkomen onbedoelde beleidskoppeling.

Implementeer Azure Front Door Standard/Premium met een WAF-policy in Prevention-modus, gebruikmakend van OWASP 3.x en custom rules voor rate limiting en geo-restricties.

Rationale: Wereldwijde edge-bescherming absorbeert volumetrisch verkeer, blokkeert veelvoorkomende L7-aanvallen voordat ze de regio bereiken en vermindert de latentie via anycast. WAF-beleid aan de edge zorgt voor consistente handhaving over regio’s heen.

Plaats een Application Gateway met WAF v2 in elke regio vóór de web-laag; beëindig TLS op de App Gateway en her-encrypteer naar de backend.

Rationale: Regionale L7-routing en WAF vullen Front Door aan, waardoor per-app mTLS naar backends, op cookies gebaseerde affiniteit en blue/green-implementaties mogelijk worden, terwijl de inspectiemogelijkheden behouden blijven.

Schakel DDoS Protection in: Network Protection op de VNets die de publieke IP’s van de Application Gateway bevatten.

Rationale: Adaptieve mitigatie per IP, telemetrie en kostenbescherming verminderen het risico van volumetrische aanvallen gericht op regionale toegangspunten. VNet-scoping zorgt ervoor dat alle huidige en toekomstige publieke IP’s worden beschermd zonder configuratie per resource.

Implementeer Azure Firewall Premium in een beveiligde hub; routeer alle egress van de app- en data-subnets ernaartoe met UDR’s. Schakel TLS-inspectie en IDPS in voor uitgaand verkeer en configureer application rules om alleen de vereiste FQDN’s toe te staan.

Rationale: Gecentraliseerde egress-controle met decryptie en op handtekeningen gebaseerde detectie voorkomt command-and-control en data-exfiltratie. Application rules verminderen het onderhoud in vergelijking met op IP gebaseerde regels en sluiten aan bij een Zero Trust-egressmodel.

Gebruik Private Link voor Azure SQL en Storage; schakel publieke netwerktoegang uit en configureer private DNS zones die aan alle VNets zijn gekoppeld. Gebruik voor gecontaineriseerde workloads Azure CNI.

Rationale: Private endpoints houden datastromen op de backbone en elimineren publieke blootstelling. Private DNS zorgt voor naadloze naamresolutie. Azure CNI garandeert dat pod-IP’s afkomstig zijn van het subnet, zodat Private Link en service endpoints correct functioneren.

Zet ExpressRoute op met dubbele circuits in active-active en adverteer on-prem routes met BGP; schakel IPsec over ER in voor gevoelig verkeer. Adverteer initieel geen 0/0; piloteer ‘forced tunneling’ eerst in een staging-subnet.

Rationale: ER biedt voorspelbare, private connectiviteit; gelaagde encryptie beschermt zeer gevoelige datastromen. Een gecontroleerde uitrol van ‘forced tunneling’ voorkomt onbedoelde ‘internet blackholing’ en valideert uitzonderingsroutes.

Bied administratieve toegang via Azure Bastion en dwing Just-in-Time af op alle VM’s; verwijder alle publieke IP’s van servers.

Rationale: Elimineert blootgestelde beheerinterfaces en behoudt tegelijkertijd auditeerbare, tijdgebonden toegang die in lijn is met het ’least privilege’-principe.

Schakel NSG flow logs en Traffic Analytics in, configureer diagnostische gegevens van Firewall en WAF naar Log Analytics en stel alerts in voor DDoS-mitigaties en pieken in WAF-blokkades.

Rationale: Geünificeerde telemetrie maakt proactieve detectie, capaciteitsplanning en snelle incidentrespons mogelijk. Alarmering op afwijkende patronen detecteert aanvallen en misconfiguraties in een vroeg stadium.

Implementeer Azure Policy om publieke IP’s op NIC’s te weigeren, NSG’s op alle subnets te vereisen en VNets zonder ingeschakelde DDoS te auditen; integreer policy-controles in CI/CD.

Rationale: Voorkomt ‘drift’, dwingt ‘guardrails’ op schaal af en maakt veilige standaardinstellingen herhaalbaar voor toekomstige workloads.

← Identiteits- en toegangsbeheer · Alle domeinen · Beveiliging van compute →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →