Microsoft AZ-801: Microsoft Defender for Cloud en Endpointbeveiliging — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Microsoft Defender for Cloud en Microsoft Defender for Endpoint vormen een samenhangende stack voor het versterken van hybride Windows Server-omgevingen, het detecteren van bedreigingen en het afdwingen van toegang met minimale rechten (least-privilege). In Azure en on-premises (via Azure Arc) bieden ze postuurbeheer, geautomatiseerde herstelacties en endpoint detectie en respons (EDR). Inzicht in de Defender for Servers-plannen, workflowautomatisering, toegangsbeheer, integriteitsbewaking en containerbeveiliging is essentieel om een consistente beveiligingsbaseline op te bouwen en de respons te operationaliseren.

Cloud Security Posture en Serverplannen

De Secure Score van Defender for Cloud kwantificeert hoe goed uw resources voldoen aan best practices voor beveiliging en regelgevingsstandaarden die via Azure Policy worden toegepast. Elke beveiligingsmaatregel draagt een gewogen deel bij aan de score en wordt ondersteund door een of meer aanbevelingen. U verbetert de Secure Score door aanbevelingen aan te pakken voor compute, netwerken, identiteiten en data. De herstelworkflow begint met het inzoomen op een aanbeveling, het beoordelen van de betreffende resources en herstelstappen, en het gebruiken van snelle oplossingen waar beschikbaar. Het inschakelen van endpointbeveiliging is bijvoorbeeld een implementatie met één klik, gekoppeld aan een policy, die agents automatisch kan provisioneren. Aanbevelingen kunnen worden toegewezen aan eigenaren, einddatums kunnen worden ingesteld en hersteltaken kunnen worden gevolgd. Waar een aanbeveling niet van toepassing is, kunt u een vrijstelling aanmaken met een rechtvaardiging en een optionele vervaldatum, wat de Secure Score bijwerkt zonder ongerelateerde risico’s te maskeren. Weergaven voor naleving van regelgeving (bijv. Azure Security Benchmark, CIS) projecteren dezelfde maatregelen in standaardspecifieke beoordelingen voor auditors en continue monitoring.

Defender for Servers biedt gelaagde beveiliging via twee plannen:

Plan 1 (ongeveer $5/server/maand, regionale verschillen zijn van toepassing) richt zich op beveiliging op endpointniveau door Microsoft Defender for Endpoint Plan 2 voor servers te omvatten. Het levert EDR met gedragsdetecties, kernmogelijkheden voor beheer van bedreigingen en kwetsbaarheden, aanbevelingen voor reductie van het aanvalsoppervlak en beveiligingsbaselines die via MDE worden aangeboden. Plan 1 is ideaal als u krachtige EDR wilt met minimale Azure-native versterkingsfuncties.
Plan 2 (ongeveer $15/server/maand, afhankelijk van de regio) omvat alles van Plan 1 en voegt Azure-native versterkings- en monitoringmogelijkheden toe: just-in-time (JIT) VM-toegang, adaptieve applicatiebeheermaatregelen, adaptieve netwerkversterking, bestandsintegriteitsbewaking (FIM), kwetsbaarheidsbeoordeling van servers (via geïntegreerde Qualys of MDE-gebaseerde Defender Vulnerability Management), integraties voor detectie van gevoelige gegevens, en diepere bedreigingsdetecties afkomstig van zowel host- als cloudcontext. Plan 2 is de uitgebreide optie voor ondernemingen die standaardiseren op Defender for Cloud voor zowel preventie als detectie.

Beide plannen ondersteunen Azure- en Arc-enabled servers. Onboarding op abonnements- of werkruimteniveau stelt Defender for Cloud in staat om de benodigde agents en extensies automatisch te provisioneren met behulp van beheerde identiteiten en Azure Policy, wat een consistente implementatie op grote schaal garandeert.

Beveiligingscontroles en Automatisering

Workflowautomatisering operationaliseert aanbevelingen en waarschuwingen. Playbooks zijn Azure Logic Apps die gekoppeld zijn aan triggers van Defender for Cloud:

Waarschuwingstrigger: Wanneer een beveiligingswaarschuwing wordt gemaakt of bijgewerkt, kan een playbook de informatie verrijken, meldingen sturen (Teams/E-mail) of actie ondernemen (host isoleren, VM stoppen).
Aanbevelingstrigger: Wanneer een nieuwe ‘unhealthy’ resource verschijnt voor een aanbeveling, kan een playbook een ticket openen, eigenaarschap toewijzen of herstel-API’s aanroepen.
Trigger voor naleving van regelgeving: Bij wijzigingen in de beoordeling kan een playbook bevindingen exporteren naar GRC-tooling.

Implementeer playbooks met een door het systeem toegewezen beheerde identiteit waaraan rollen met de minste privileges zijn toegekend (bijvoorbeeld Virtual Machine Contributor om VM’s te stoppen). Gebruik filtervoorwaarden om specifieke waarschuwingen te targeten, zoals “Antimalware uitgeschakeld op de virtuele machine”, en roep vervolgens de Compute PowerOff-operatie aan voor de betreffende VM. Dit patroon vermindert de gemiddelde hersteltijd (mean time to remediate) en waarborgt tegelijkertijd de auditeerbaarheid en consistentie.

Just-in-time (JIT) VM-toegang verkleint het aanvalsoppervlak door beheerpoorten (SSH, RDP, aangepast) op de NSG of Azure Firewall te sluiten totdat er expliciet om wordt gevraagd. Vereisten zijn onder meer een NSG of Azure Firewall die is toegepast op de netwerkinterface of het subnet van de VM; als er geen bestaat, maak dan eerst een NSG aan. Configureer JIT om toegestane poorten, bronbereiken (geef de voorkeur aan ‘preferred source IP restriction’), protocol en maximale toegangsduur per poort te specificeren. Wanneer een operator toegang aanvraagt, valideert Defender for Cloud de RBAC-permissies en keurt de aanvraag automatisch goed of stuurt deze door voor goedkeuring, afhankelijk van uw beleid. Vervolgens wordt er een tijdelijke ‘allow’-regel ingevoegd die is gericht op het openbare IP-adres van de aanvrager en die automatisch wordt verwijderd wanneer deze verloopt. Alle aanvragen, goedkeuringen en wijzigingen in NSG-regels worden geauditeerd in de logs van Defender for Cloud en Azure Activity, en kunnen worden gestreamd naar Log Analytics of Microsoft Sentinel.

Adaptieve applicatiecontroles maken gebruik van machine learning om vergelijkbare machines te groeperen (op basis van workload en waargenomen processen) en ‘allowlists’ voor te stellen. U verfijnt en publiceert regels met behulp van:

‘Allow’-regels op basis van uitgever en ondertekenaar voor ondertekende binaries
Bestandspadregels voor geïnstalleerde locaties
Hash-regels voor specifieke binaries Werk eerst in de ‘audit’-modus om potentiële blokkades te observeren en schakel vervolgens over naar de ’enforce’-modus om uitvoering buiten de ‘allowlist’ te blokkeren. Voor Windows worden de controles ‘onder de motorkap’ geïmplementeerd via Windows Defender Application Control; voor Linux worden ‘allowlists’ van waargenomen processen afgedwongen via ondersteunde mechanismen. Zorg ervoor dat operationele processen zoals software-updates en beheeragents zijn toegestaan om ‘drift’-gerelateerde false positives te voorkomen.

Adaptieve netwerkverharding analyseert actuele verkeerspatronen en stelt strengere inkomende NSG-regels voor. Als RDP bijvoorbeeld alleen wordt waargenomen vanaf een bekend beheernetwerk, zal de aanbeveling 3389/TCP beperken tot dat bereik in plaats van ‘Any’. Controleer en pas aanbevelingen per NSG toe; Defender for Cloud schrijft bijgewerkte regels met beschrijvende namen, waarbij de context van de wijziging behouden blijft. Evalueer periodiek opnieuw, aangezien nieuwe legitieme bronnen kunnen leiden tot bijgewerkte voorstellen.

Bestandsintegriteitsmonitoring (File Integrity Monitoring, FIM) voegt detectieve controles toe voor wijzigingen in kritieke bestanden en registers. Configureer FIM door een Log Analytics-workspace te koppelen en de FIM-gegevensverzameling in te schakelen voor de beoogde machines (automatische provisioning wordt ondersteund). Definieer gemonitorde paden en registersleutels, inclusief patronen voor opnemen/uitsluiten en de gevoeligheid voor inhoudswijzigingen versus wijzigingen die alleen attributen betreffen. Defender for Cloud genereert waarschuwingen bij ongeautoriseerde of verdachte wijzigingen met details over wie, wat en wanneer; gebeurtenissen worden opgeslagen in uw workspace voor ‘hunting’ en correlatie. Gebruik de instellingen voor retentie en gegevensexport om de wijzigingsgeschiedenis in lijn te houden met de compliance-vereisten.

Eindpunt- en Kwetsbaarhedenbeheer

Het onboarden van Windows Server naar Microsoft Defender for Endpoint wordt gestroomlijnd via Defender for Cloud. Voor Azure VM’s, schakel auto-provisioning in; voor on-premises of andere clouds, verbind machines met Azure Arc (Azure Connected Machine agent) en schakel vervolgens Defender for Servers in om de MDE unified agent automatisch te installeren op ondersteunde Windows Server-versies. Valideer het onboarden door de connectiviteit van de sensor en het genereren van waarschuwingen van testdetecties te bevestigen.

EDR in blokkeermodus versterkt de bescherming door MDE in staat te stellen kwaadaardige artefacten en gedragingen te blokkeren, zelfs wanneer een antivirus van een derde partij primair is of wanneer Microsoft Defender Antivirus in passieve modus draait. Zorg ervoor dat de engine en het platform van Microsoft Defender Antivirus aanwezig en up-to-date zijn; schakel EDR in blokkeermodus in via de MDE-beveiligingsinstellingen (GPO, Intune of de MDE-portal). Deze modus is met name waardevol op servers waar op handtekeningen gebaseerde AV het gebruik van post-exploitatie tools kan missen, omdat het op gedrag gebaseerde blokkades mogelijk maakt.

Live response biedt veilige, gecontroleerde externe shell-toegang vanaf de Microsoft Defender-portal naar een geonboarde server voor triage en indamming. Met de juiste rollen kunnen responders artefacten verzamelen, processen en persistentie inspecteren, kwaadaardige processen beëindigen, bestanden verwijderen en mitigatiescripts toepassen. Live response-sessies worden gelogd en kunnen worden geïntegreerd in runbooks voor incidentrespons.

Kwetsbaarheidsbeoordeling voor servers is beschikbaar via twee integraties:

Geïntegreerde Qualys: Defender for Cloud implementeert een lichtgewicht Qualys agent-extensie die geauthenticeerde scans uitvoert en softwarekwetsbaarheden rapporteert aan Defender for Cloud. Er is geen apart Qualys-abonnement vereist en de resultaten voeden de Secure Score en aanbevelingen. Dit pad wordt vaak gebruikt wanneer u de voorkeur geeft aan Azure-native provisioning met minimale afhankelijkheid van MDE.
Microsoft Defender Vulnerability Management (via MDE): Gebruikt de MDE-sensor om software-inventaris, CVE-beoordeling, aanbevelingen voor het verkleinen van het aanvalsoppervlak en exposure-scores te bieden zonder extra agents. Het consolideert kwetsbaarheden met eindpuntdetecties, wat uniforme herstelworkflows mogelijk maakt. Kies voor op MDE gebaseerde VA wanneer u standaardiseert op MDE en diepgaande analyses van de apparaatstatus wilt; kies voor de geïntegreerde Qualys wanneer MDE niet is geïmplementeerd op specifieke servers of wanneer u pariteit tussen Windows en Linux vereist zonder extra onboardingstappen. In Defender for Servers Plan 2 kan een van beide gegevensbronnen op scopeniveau worden geselecteerd; zorg ervoor dat er slechts één is ingeschakeld om duplicatie te voorkomen.

Containers en Registers

Defender for Containers van Defender for Cloud beveiligt zowel images als de runtime. Schakel voor Azure Container Registry het scannen van images in, zodat bij elke image-push en bij regelmatige herscans CVE’s, blootgestelde geheimen en configuratieproblemen (bijv. uitvoeren als root) worden geïdentificeerd. Bevindingen worden weergegeven als aanbevelingen van Defender for Cloud en kunnen implementaties blokkeren via pipeline gates. Integreer voor multi-cloud-registers of CI-systemen de Defender-scanner in uw build-proces om ‘shift-left’ toe te passen.

Schakel tijdens runtime de Defender-agent voor Kubernetes in (AKS add-on of DaemonSet voor andere clusters) om verdacht gedrag te detecteren, zoals privilege-escalatie binnen containers, afwijkende procesactiviteit, cryptomining of pogingen tot laterale verplaatsing. De runtime-sensor correleert host-signalen, Kubernetes-auditlogs en container-events, en genereert waarschuwingen die zijn verrijkt met metadata van pods, namespaces en nodes. Verhard clusters door aanbevolen Kubernetes-beleidscontroles toe te passen, minimale privileges af te dwingen en ingress/egress te beheren met netwerkbeleid; stem dit af op de Secure Score-aanbevelingen die zijn gekoppeld aan de Azure Security Benchmark.

Praktijkscenario

Siemens AG beheert een hybride Windows Server-omgeving met Azure VM’s en on-premises servers. Het management wil de blootstelling door open beheerpoorten verminderen, de reactie op kritieke waarschuwingen automatiseren en continu inzicht krijgen in ongeautoriseerde bestandswijzigingen, terwijl tegelijkertijd de naleving van regelgeving wordt verbeterd.

Servers onboarden en abonnement kiezen

Actie: Schakel Microsoft Defender for Servers Plan 2 in op de productie-subscription en de centrale Log Analytics-workspace. Verbind on-premises servers met Azure Arc en schakel automatische provisioning in.
Waarom: Plan 2 biedt JIT, adaptieve controles, FIM en kwetsbaarheidsbeoordeling naast MDE, wat aansluit bij de preventie- en detectiedoelen van Siemens en zorgt voor een consistente agent-implementatie in Azure en on-premises.

Postuur en Secure Score verbeteren

Actie: Beoordeel de Secure Score en geef prioriteit aan aanbevelingen die verband houden met risicovolle controles (bijv. eindpuntbeveiliging niet geïnstalleerd, openstaande beheerpoorten). Wijs eigenaren en einddatums toe; maak uitzonderingen met een rechtvaardiging waar een controle echt niet van toepassing is (bijv. een ‘air-gapped’ lab).
Waarom: Secure Score zorgt voor een meetbare risicovermindering en sluit direct aan op de wettelijke controles waarover Siemens moet rapporteren.

JIT VM-toegang implementeren

Actie: Zorg ervoor dat elke VM NIC/subnet een NSG heeft; maak voor degenen zonder een NSG aan en koppel deze op de juiste manier. Configureer JIT voor RDP/SSH en aangepaste beheerpoorten met een maximale duur van 3 uur en bron-IP-beperkingen tot de jump hosts van Siemens. Vereis goedkeuring voor productie.
Waarom: JIT elimineert de permanente blootstelling van beheerpoorten en voldoet aan het ’least privilege’-principe door de toegang in tijd en op bron te beperken, met volledige audittrails.

Reactie automatiseren met Logic Apps

Actie: Maak een playbook dat wordt geactiveerd door beveiligingswaarschuwingen die overeenkomen met ‘Antimalware uitgeschakeld op de virtuele machine’. Gebruik een managed identity met de rol ‘Virtual Machine Contributor’ om de PowerOff API aan te roepen op de betreffende VM en SecOps via Teams op de hoogte te stellen.
Waarom: Het automatisch uitschakelen van niet-conforme hosts voorkomt snelle exploitatie en informeert tegelijkertijd belanghebbenden; het gebruik van een managed identity dwingt ’least privilege’ af met auditeerbare acties.

Adaptieve applicatie- en netwerkcontroles afdwingen

Actie: Schakel adaptieve applicatiecontroles in de auditmodus in voor IIS- en SQL-servergroepen; verfijn de allowlists voor ondertekende binaries en standaardpaden en schakel vervolgens over naar de afdwingmodus. Pas aanbevelingen voor adaptieve netwerkverharding toe om de NSG-regels voor inkomende poorten aan te scherpen tot bekende management-IP’s van Siemens.
Waarom: Application allowlisting en verharde NSG’s verkleinen het aanvalsoppervlak en blokkeren onbekende uitvoerbare bestanden, wat aansluit bij de basisstandaarden van Siemens.

Bestandsintegriteitsmonitoring (FIM) configureren

Actie: Wijs een centrale Log Analytics-workspace toe, definieer de te monitoren OS- en applicatiemappen en registry hives, sluit bekende ’noisy’ paden uit en schakel waarschuwingen in voor ongeautoriseerde wijzigingen. Stream FIM-waarschuwingen naar Microsoft Sentinel voor correlatie.
Waarom: FIM biedt vroege detectie van manipulatie en ongeautoriseerde configuratie-afwijkingen, voldoet aan auditvereisten en verbetert de detectie van incidenten.

Kwetsbaarheidsbeoordeling standaardiseren

Actie: Gebruik het op MDE gebaseerde Defender Vulnerability Management voor alle servers die met MDE zijn geonboard; schakel Qualys uit waar MDE aanwezig is. Schakel voor legacy servers zonder MDE de geïntegreerde Qualys-extensie in.
Waarom: Het consolideren op MDE-gebaseerde VA vereenvoudigt de operaties en verdiept de analyses; Qualys vult de gaten waar MDE niet haalbaar is en voorkomt datagegevensduplicatie.

Containers en registers beveiligen

Actie: Schakel het scannen van ACR-images en de AKS Defender-agent in. Configureer CI-gates om images met kritieke CVE’s te blokkeren en dwing runtime-detecties af met alert-routering naar SecOps.
Waarom: Dit zorgt ervoor dat kwetsbaarheden worden verholpen vóór de implementatie en dat runtime-afwijkingen snel worden gedetecteerd met Kubernetes-context, wat de ‘defense-in-depth’-strategie van Siemens voltooit.

← Windows Server Beveiliging en Hardening · Alle domeinen · Microsoft Sentinel en Beveiligingsmonitoring →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →