Microsoft AZ-500: Beheer van beveiligingspostuur en governance — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Security Engineer Associate AZ-500 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Security posture management en governance in Azure is de discipline van het continu beoordelen, prioriteren en afdwingen van configuraties die risico’s verminderen over subscriptions en clouds heen, terwijl aantoonbare compliance wordt gehandhaafd. Een effectief ontwerp combineert Microsoft Defender for Cloud voor inzicht in en bescherming van de security posture, Azure Policy voor preventieve en corrigerende guardrails, landing-zone governance voor schaalbare overerving, en logging van auditkwaliteit om de controles te bewijzen. Het operationele doel is verdedigbare risicoreductie: beslissingen worden gedreven door blootstelling en impact, afgedwongen door code, overgeërfd door ontwerp, en bewezen door onveranderlijke logs.

Microsoft Defender for Cloud: Architectuur, Plannen en Aanbevelingen

Defender for Cloud (MDC) neemt signalen op uit Azure, hybride en multicloud-omgevingen, correleert deze tot een Secure Score, aanbevelingen en alerts, en kan herstel orkestreren. Ontwerp dit op het root-niveau van de management group (MG) zodat plannen en policies overerven naar alle subscriptions; gebruik subscriptions alleen voor het afbakenen van uitzonderingen. Voor multicloud, implementeer de native MDC-connectors voor AWS en GCP op het tenant-rootniveau (of in een toegewijde “Security”-subscription), met gebruik van accounts met minimale rechten (least-privilege) en gecentraliseerde auto-provisioning om de implementatie van agents en dataverzameling te standaardiseren.

De selectie van plannen is risicogestuurd:

Defender for Servers: Plan 1 biedt vulnerability assessment en basis-hardening; Plan 2 voegt Microsoft Defender for Endpoint (MDE), just-in-time (JIT) VM-toegang, dreigings- en gedragsanalyse, en file integrity monitoring toe. Gebruik Plan 2 voor hosts die aan het internet zijn blootgesteld of geprivilegieerde rechten hebben; Plan 1 voor serverpools met lage blootstelling.
Defender for Storage: Detecteert afwijkende toegang en malware op blobs, files en ADLS Gen2. Schakel dit per account in, met scans gericht op hoog-risico containers (bijv. publieke ingest) om de kosten te beheersen en tegelijkertijd de toegangspunten (ingress points) te dekken.
Defender for SQL: Voor Azure SQL maakt het threat detection en vulnerability assessment met baseline-afwijkingen mogelijk; voor SQL op machines (inclusief Arc-enabled) voegt het agent-gebaseerde bescherming toe. Schakel dit breed in op productiedatabases; baseline normale patronen om ruis te verminderen.
Defender for Containers: Beschermt AKS en Arc-enabled Kubernetes met image vulnerability scanning (ACR en runtime), Kubernetes audit-analyse en runtime threat detection. Dwing Kubernetes-policy (Gatekeeper/OPA) af via de Azure Policy add-on. Integreer CI/CD-scanning om kritieke CVE’s te blokkeren vóór de implementatie (pre-deploy).
Defender for Key Vault: Detecteert afwijkende toegang tot secrets en exfiltratiepatronen. Gebruik Azure RBAC voor het beheer van de vault en data-plane access policies (of RBAC data actions) voor least-privilege operaties met secrets.
Defender for DNS: Detecteert DNS-gebaseerde exfiltratie en command-and-control. Geef prioriteit aan spoke VNets met uitgaand verkeer (egress) naar het internet; er is geen agent vereist.
Defender for DevOps: Verbind Azure DevOps en GitHub-organisaties om repo’s, secrets, IaC-misconfiguraties en de hardening van pipelines te beoordelen. Gebruik blokkerende policies op pull requests voor misconfiguraties met een hoge ernstgraad om risicoreductie naar links te verschuiven (shift-left).

Beveiligingsaanbevelingen verenigen de bevindingen van de plannen en de beoordelingen van Azure Policy. Maak ze operationeel door:

Auto-provisioning van plannen in te schakelen op MG-niveau.
Aanbevelingen van het type “hoge ernstgraad, blootgesteld aan internet” te behandelen als werkitems onder change control met SLO’s.
Governance-uitzonderingen te documenteren als policy-vrijstellingen (exemptions) met een vervaldatum en een rechtvaardiging.

Secure Score, Compliance en Workflowautomatisering

Secure Score aggregeert “controls” (groepen van gerelateerde beveiligingseisen) tot een genormaliseerd percentage. Elke control is punten waard die worden verdeeld over de bijbehorende “improvement actions”. De impact op de score weerspiegelt het potentieel voor risicoreductie en de omvang van de betreffende resources. Prioriteer op basis van:

De hoogste potentiële score-impact per inspanningseenheid (Quick Wins: bijv. MFA inschakelen voor owners, publieke toegang tot storage beperken).
Blootstelling van het aanvalsoppervlak (publieke endpoints, geprivilegieerde identiteiten, zwakke netwerkgrenzen).
Regelgevende verplichtingen die overeenkomen met dezelfde acties (maximaliseert de compliance-winst).

Gebruik improvement actions met herstelbegeleiding, quick-fixes en Logic App-automatiseringen. Volg het restrisico via vrijstellingen van het type “kan niet worden hersteld” of “afgedekt door ontwerp” met een vervaldatum om periodieke herbeoordeling af te dwingen.

Regulatory compliance in MDC koppelt configuraties en aanbevelingen aan standaarden (bijv. Azure Security Benchmark, CIS, NIST). Selecteer de vereiste standaarden op MG-niveau; vermijd afwijkingen per subscription. Behandel het compliance-dashboard als een policy-as-code-rapport: elke groene control moet herleidbaar zijn tot een policy, initiative of geautomatiseerde configuratie. Voor control-families die procesbewijs vereisen (bijv. incident response), koppel workbook-visualisaties en ticket-ID’s voor auditondersteuning.

Workflowautomatisering koppelt de security posture aan actie. Typische patronen zijn:

Trigger: Een aanbeveling wordt ‘unhealthy’ op een bedrijfskritische subscription → Actie: open een P1-ticket, breng SecOps op de hoogte en maak automatisch een hersteltaak aan.
Trigger: Een nieuwe alert met hoge ernstgraad op een productieresource → Actie: isoleer het endpoint (MDE), plaats het storage-object in quarantaine, of schakel publieke toegang uit via policy-herstel (remediation).

Policy-gedreven governance en landingzones

Azure Policy is het preventieve en correctieve guardrail-systeem voor cloud-drift. Kernelementen:

Definitie: Een regel met voorwaarden en een effect. Veelvoorkomende effecten zijn Deny, Audit, Append, Modify, DeployIfNotExists, AuditIfNotExists en Disabled. Gebruik Deny voor niet-onderhandelbare guardrails (bv. geen publiek IP-adres op NIC’s toestaan). Gebruik DeployIfNotExists om automatisch vereiste agents of extensies te installeren (bv. antimalware of MDE).
Initiatief: Een samengestelde set van beleidsdefinities, geparameteriseerd voor consistente toewijzing (bv. het Azure Security Benchmark-initiatief).
Toewijzing: Scope eerst op managementgroepen, daarna op abonnementen of resourcegroepen voor gerichte overrides. Schakel “enforcement-modus” in voor strikt verplichte beleidsregels zodra deze gemonitord zijn.
Uitzonderingen: Gebruik de categorieën Waiver (geaccepteerd risico) of Mitigated (compenserende maatregel). Stel altijd een vervaldatum in om herbeoordeling te garanderen.
Hersteltaken: Vereist voor DeployIfNotExists en Modify om bestaande resources te configureren. Geef de managed identity van de beleidstoewijzing de rol Contributor (en datavlak-rechten waar nodig) op de doel-scopes.

Voorbeeld van een beleidsskelet om een antimalware-extensie op Windows VM’s af te dwingen:

{
  "properties": {
    "displayName": "Deploy antimalware on Windows VMs",
    "policyType": "Custom",
    "mode": "Indexed",
    "parameters": {},
    "policyRule": {
      "if": {
        "allOf": [
          { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
          { "field": "Microsoft.Compute/virtualMachines/osProfile.windowsConfiguration", "exists": "true" }
        ]
      },
      "then": {
        "effect": "DeployIfNotExists",
        "details": {
          "type": "Microsoft.Compute/virtualMachines/extensions",
          "name": "IaaSAntimalware",
          "roleDefinitionIds": ["/providers/Microsoft.Authorization/roleDefinitions/b24988ac-6180-42a0-ab88-20f7382dd24c"],
          "deploymentScope": "resourceGroup",
          "existenceCondition": { "field": "name", "equals": "IaaSAntimalware" },
          "deployment": { "properties": { "mode": "incremental", "template": { "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#", "resources": [] } } }
        }
      }
    }
  }
}

Landingzone-governance organiseert overerving en scheiding van verantwoordelijkheden:

Managementgroepen: Bouw een duidelijke hiërarchie (Tenant Root → Platform → Corp/Online → Omgevingen zoals Prod/NonProd). Wijs initiatieven en RBAC toe op MG-niveaus om overerving te maximaliseren en drift per abonnement te minimaliseren. Ontdek en onboard geprivilegieerde rollen in PIM; het configureren van PIM vereist een Global Administrator.
Abonnementsorganisatie: Scheid op basis van omgeving en de criticaliteit van de workload om de ‘blast radius’ en budgetten te isoleren. Gebruik archetypes (bv. “Mission-Critical AKS”, “Data Platform”) met vooraf toegewezen initiatieven en RBAC.
Tags: Standaardiseer vereiste tags (Owner, CostCenter, DataSensitivity, Environment) en dwing deze af via Modify/Append voor normalisatie; weiger het aanmaken van resources in productie als vereiste tags ontbreken.
Resource-vergrendelingen: CanNotDelete beschermt kritieke gedeelde services; ReadOnly voorkomt alle PUT-operaties. Gebruik dit spaarzaam en alleen na het verharden van het beleid. Let op: een ReadOnly-vergrendeling op een VM of de bijbehorende resourcegroep voorkomt het starten van gedealloceerde VM’s en blokkeert configuratiewijzigingen.

Voor verouderde blueprint-behoeften, adopteer “policy-as-code” met ARM/Bicep, Template Specs en initiatieftoewijzingen om blueprint-achtige, consistente implementaties op schaal te realiseren.

Beveiligingsinventaris, Cloud-apps, Data Governance en Audit

Inventarisatie en compliance op schaal maken gebruik van Azure Resource Graph (ARG) en Policy compliance-rapporten. ARG-query’s bieden bijna real-time overzichten van de status van miljoenen resources:

securityresources
| where type =~ 'microsoft.security/assessments'
| where properties.status.code == 'Unhealthy'
| summarize unhealthy=count() by tostring(properties.displayName)
| order by unhealthy desc

Combineer de resourcestatus met tags om te triëren op basis van datagevoeligheid:

resources
| where type == 'microsoft.compute/virtualmachines'
| project id, name, resourceGroup, subscriptionId, dataSensitivity = tostring(tags['DataSensitivity'])
| join kind=leftouter (
  securityresources
  | where type =~ 'microsoft.security/assessments'
  | where properties.status.code == 'Unhealthy'
  | summarize issues=count() by tolower(tostring(properties.resourceDetails.Id))
) on $left.id == $right['tolower_tostring_properties_resourceDetails_Id']
| project name, dataSensitivity, issues = coalesce(issues, 0)
| order by issues desc

Defender for Cloud Apps (MDCA) beheert SaaS-risico’s:

App-detectie: Verwerk firewall-/proxylogs via Cloud Discovery of integreer met Defender for Endpoint voor endpoint-gebaseerde detectie. Classificeer apps op basis van risicoscore en gebruik; markeer als goedgekeurd/niet-goedgekeurd (sanctioned/unsanctioned) om conditional access en proxy-blokkades aan te sturen.
Sessiecontroles: Gebruik Conditional Access App Control om sessies voor gevoelige acties te proxyen. Pas real-time beleidsregels toe om downloads te blokkeren, uploads te monitoren, content te redigeren of watermerken toe te passen voor risicovolle sessies of onbeheerde apparaten.
Governance-acties: Plaats bestanden in quarantaine of label ze in Microsoft 365, trek OAuth-app-toestemming in, verwijder externe deelmogelijkheden, schors risicovolle gebruikers en informeer app-eigenaren. Automatiseer terugkerende handhaving om afwijkingen (drift) te voorkomen.

Microsoft Purview breidt governance uit naar data:

Data Map en scannen: Registreer en scan Azure Storage, SQL, Synapse en multicloud-opslag om assets en herkomst (lineage) te ontdekken. Classificeer met ingebouwde en aangepaste classifiers.
Gevoeligheidslabels en bescherming: Pas labels toe met versleuteling en gebruiksrechten; label automatisch op basis van content en context. Dwing op labels gebaseerde toegang af in Microsoft 365 en integreer met DLP om exfiltratie te voorkomen.
Beleidsafstemming: Koppel de gevoeligheid in Purview aan tags (bijv. DataSensitivity) en stuur compenserende maatregelen aan via Azure Policy (bijv. vereis Private Endpoints voor opslag met de classificatie HighlyConfidential).

Audit trails moeten fraudebestendig en volledig zijn:

Azure Activity Log: Registreert control-plane-operaties op abonnementsniveau (subscription scope). Stream naar Log Analytics en archiveer naar Storage via diagnostic settings. Bewaar langetermijnkopieën buiten het abonnement in een centraal ‘Security-Logs’-abonnement om het risico van insiders te minimaliseren.
Resource diagnostic settings: Schakel in voor kritieke providers (Key Vault, Storage, SQL, AKS, Network Security Groups) om data-plane- en servicelogs vast te leggen. Stuur door naar Log Analytics voor detectie en naar Storage voor retentie.
Onveranderlijke opslag (immutable storage) voor logs: Gebruik Blob Storage met op tijd gebaseerde retentie of een legal hold (WORM). Schakel allowProtectedAppendWritesAll in zodat diagnostische gegevens kunnen blijven toevoegen terwijl de onveranderlijkheid wordt gehandhaafd. Configureer lifecycle-beleid voor kostenbeheersing, maar verwijder nooit gegevens binnen de verplichte retentieperiode. Dit ondersteunt bewijsvoering voor regelgeving en forensisch onderzoek bij incidenten.

Praktijkscenario

Contoso, een wereldwijde retailer, neemt twee nieuwe productieabonnementen in gebruik en moet de beveiligingshouding standaardiseren, voldoen aan de Azure Security Benchmark en onveranderlijke logs zeven jaar lang bewaren met minimale operationele frictie.

Governance op management group-niveau instellen

Maak een ‘Prod’ management group aan en plaats beide abonnementen eronder.
Rationale: Overerving zorgt voor consistent beleid, Defender-plannen en RBAC zonder afwijkingen per abonnement en vermindert configuratieschuld.

Beveiligingsinitiatieven en Defender for Cloud-plannen toewijzen

Wijs het Azure Security Benchmark-initiatief toe met ‘Deny’ op openbare IP’s voor storage en SQL; schakel Defender for Servers Plan 2, Storage, SQL, Containers, Key Vault en DNS in op de ‘Prod’ MG.
Rationale: De plannen ontsluiten geavanceerde detecties; het initiatief legt controles vast als vangrails. Toewijzing op MG-niveau garandeert uniforme handhaving en een consistente berekening van de Secure Score.

Beleidsgestuurde automatisering en uitzonderingen implementeren

Voeg ‘DeployIfNotExists’-beleidsregels toe om MDE en de Log Analytics-agent automatisch te installeren waar nodig; maak hersteltaken (remediation tasks) voor bestaande resources. Gebruik uitzonderingen met een vervaldatum voor verouderde VM’s die niet onmiddellijk kunnen worden opgenomen.
Rationale: ‘DeployIfNotExists’ zet richtlijnen om in actie; tijdgebonden uitzonderingen houden de compliancedruk op peil zonder kritieke operaties te blokkeren.

Een op Secure Score gebaseerde herstelworkflow configureren

Maak een Logic App-workflow in Defender for Cloud om P1-tickets te openen voor elke verbeteractie met een score-impact van >3% die ongezond (unhealthy) wordt in ‘Prod’, en stel resource-eigenaren automatisch op de hoogte.
Rationale: De score-impact stemt herstel af op meetbare risicoreductie, en automatisering dwingt SLO’s af zonder handmatige triage.

Auditlogs centraliseren met onveranderlijkheid

Maak vanuit de Activity Log van elk abonnement en van kritieke resources (Key Vault, Storage, SQL, AKS) diagnostic settings aan om gegevens te verzenden naar een centrale Log Analytics-werkruimte en een Storage-account met een op tijd gebaseerd retentiebeleid van zeven jaar en allowProtectedAppendWritesAll.
Rationale: Centralisatie vereenvoudigt detectie en compliance; onveranderlijke opslag biedt de onweerlegbaarheid die vereist is voor audits en forensisch onderzoek.

SaaS-gebruik en egress-risico’s beheren

Verbind Defender for Cloud Apps met Defender for Endpoint voor app-detectie; markeer niet-goedgekeurde (unsanctioned) apps met een hoog risico en dwing Conditional Access App Control af voor onbeheerde apparaten die toegang hebben tot goedgekeurde (sanctioned) apps.
Rationale: Vermindert het risico van schaduw-IT en dwingt real-time sessiecontroles af zonder de beheerde gebruikerservaring te verstoren.

Data governance verankeren met Purview

Registreer de Storage- en SQL-omgevingen van Contoso in Purview, voer scans uit en pas automatisch gevoeligheidslabels toe. Koppel labels aan een ‘Environment’- en ‘DataSensitivity’-tagbeleid dat Private Endpoints vereist voor opslag met de classificatie ‘HighlyConfidential’.
Rationale: Databewust beleid zorgt ervoor dat netwerkverharding automatisch wordt toegepast waar gevoelige data wordt ontdekt, waardoor de cirkel tussen data governance en infrastructuurbeveiliging wordt gesloten.

← Sleutelbeheer · Alle domeinen · Microsoft Sentinel en security-operaties →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →