Microsoft AZ-801: Windows Server Beveiliging en Hardening — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Het ‘hardenen’ van Windows Server is een gelaagde aanpak die prioriteit geeft aan identiteitsisolatie, applicatiebeheer, mitigatie van exploits en malware, en strikte netwerkgrenzen—consistent afgedwongen met herhaalbare baselines. Het doel is om diefstal van credentials te voorkomen, het aanvalsoppervlak te verkleinen met ‘default-deny’-controles, kwaadaardig gedrag te detecteren en in te dammen, en de effectiviteit van de configuratie te verifiëren via rapportage. De hieronder beschreven mogelijkheden zijn standaard aanwezig in moderne Windows Server en integreren met beheer op grote schaal via Group Policy, PowerShell en Microsoft security services.

Bescherming van Identiteit en Credentials

Windows Defender Credential Guard gebruikt virtualization-based security (VBS) om secrets te isoleren van het besturingssysteem, zodat LSASS niet door malware kan worden uitgelezen (‘scraped’). De vereisten voor VBS zijn onder meer UEFI 2.3.1 met Secure Boot, hardware-ondersteunde virtualisatie (Intel VT-x/AMD-V met SLAT) en TPM 2.0 (sterk aanbevolen voor sleutelbescherming). Gebruik voor VM’s Generation 2 met Secure Boot en een vTPM; VBS draait op de Windows hypervisor en vereist niet dat de Hyper-V-rol is geïnstalleerd.

Activeer Credential Guard via Group Policy: Computer Configuration > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security. Stel ‘Virtualization Based Protection of Code Integrity’ in op ‘Enabled’ en kies voor ‘Credential Guard Configuration’ de optie ‘Enabled with Secure Boot’ (of ‘with Secure Boot and DMA Protection’ waar ondersteund). Een herstart is vereist. Verifieer in msinfo32: Virtualization-based security: Running; Credential Guard: On. Events verschijnen onder Microsoft-Windows-CodeIntegrity/Operational en DeviceGuard.

Local Security Authority (LSA) protection is een aanvulling op Credential Guard. Configureer LSASS om als een ‘protected process’ (PPL) te draaien om de injectie van niet-ondertekende code te blokkeren, zelfs door beheerders. Gebruik Group Policy: Computer Configuration > Administrative Templates > System > Local Security Authority > Configure LSASS to run as a protected process. Dit stelt RunAsPPL in, wat alleen ondertekende, vertrouwde drivers toestaat. Credential Guard isoleert secrets in een door VSM beveiligd LSAISO-proces; LSASS PPL versterkt de grens van het LSASS-proces. Activeer beide voor een ‘defense-in-depth’-strategie.

Privileged Access Workstations (PAW) maken de isolatie van credentials operationeel. Hanteer een gelaagd beheermodel (tiered administration model):

Tier 0: AD DS, ADFS, PKI, ‘roots of trust’ voor identiteit en beveiliging
Tier 1: applicatie- en infrastructuurservers
Tier 2: werkstations van gebruikers Elke tier gebruikt afzonderlijke beheerdersaccounts en toegewijde PAW’s. PAW’s worden gehard met Credential Guard, WDAC, HVCI (Memory Integrity), SmartScreen, beperkte browsermogelijkheden en strikte uitgaande firewallregels. Blokkeer aanmeldingspaden tussen tiers (een Tier 0-beheerder mag niet inloggen op Tier 1- of Tier 2-apparaten). Dit model verkleint de ‘blast radius’ van credential-diefstal aanzienlijk.

Applicatiebeheer en Beheer van het Aanvalsoppervlak

Windows Defender Application Control (WDAC) hanteert een ‘default-deny’-beleid voor code. Beleidstypen omvatten een enkel basisbeleid (SiPolicy) en optionele aanvullende beleidsregels (supplemental policies) om ‘allow’-regels uit te breiden zonder het basisbeleid te wijzigen. Modern Windows Server ondersteunt meerdere beleidsregels tegelijkertijd. WDAC reguleert zowel user-mode binaries/scripts als kernel-mode drivers. Vertrouwen kan worden gedefinieerd door Microsoft-handtekeningen, WHQL, Windows Store, uw enterprise code-signing-certificaat, file hash, uitgever/bestandsattributen, of een Managed Installer die geïmplementeerde code als vertrouwd markeert. Implementeer eerst in Audit-modus om gebeurtenissen te verzamelen, en schakel daarna over naar ‘Enforced’-modus om te blokkeren. Maak beleidsregels met de ConfigCI PowerShell-module:

undefined

;

undefined

voor consolidatie;

undefined

om beleids-ID’s in te stellen;

undefined

om de ondertekende .p7b te genereren; implementeer naar

undefined

of via Group Policy. WDAC kan ook het gebruik en de registratie van COM-klassen beperken om misbruik van kwaadaardige COM-objecten te voorkomen.

Exploit protection biedt procesmitigaties, zowel globaal als per applicatie. Mitigaties op systeemniveau omvatten DEP, ASLR (force relocation, bottom-up randomization, high-entropy), CFG, SEHOP, en strikt beleid voor ‘handle’ en het laden van images. Overrides op app-niveau maken granulaire afstemming mogelijk, zoals het in- of uitschakelen van Child Process Creation, Export Address Filtering, of Arbitrary Code Guard voor een specifiek uitvoerbaar bestand. Beheer met de Windows-beveiliging app (App- en browserbeheer > Exploit protection) of PowerShell:

undefined

;

undefined

;

undefined

. Exporteer/Importeer XML voor grootschalige toepassing:

undefined

. Wanneer een line-of-business-app child-processen moet aanmaken, maak dan een override per app die deze mitigatie alleen voor dat uitvoerbare bestand uitschakelt.

Attack Surface Reduction (ASR)-regels blokkeren malwaretechnieken op de gedragslaag. Configureer per regel in de modus Block, Audit of Warn. Veelgebruikte regel-ID’s zijn onder andere:

D4F940AB-401B-4EFC-AADC-AD5F3C50688A: Blokkeer het aanmaken van child-processen door Office-apps
3B576869-A4EC-4529-8536-B80A7769E899: Blokkeer het aanmaken van uitvoerbare content door Office-apps
75668C1F-73B5-4CF0-BB93-3ECF5CB7CC84: Blokkeer het injecteren van code in andere processen door Office-apps
BE9BA2D9-53EA-4CDC-84E5-9B1EEEE46550: Blokkeer uitvoerbare content vanuit e-mail- en webmailclients
D3E037E1-3EB8-44C8-A917-57927947596D: Blokkeer het starten van gedownloade uitvoerbare bestanden door JavaScript/VBScript
5BEB7EFE-FD9A-4556-801D-275E5FFC04CC: Blokkeer de uitvoering van potentieel geobfusceerde scripts
D1E49AAC-8F56-4280-B9BA-993A6D77406C: Blokkeer het aanmaken van processen die afkomstig zijn van PSExec- en WMI-commando’s
01443614-CD74-433A-B99E-2ECDC07BFC25: Blokkeer uitvoerbare bestanden tenzij ze voldoen aan criteria voor prevalentie, leeftijd of een vertrouwde lijst
9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2: Blokkeer het stelen van credentials uit LSASS Beheer met PowerShell:

undefined

. Definieer uitsluitingen voor processen/bestanden die alleen voor ASR gelden met

undefined

. Rapporteer gebeurtenissen in Event Viewer onder Microsoft-Windows-Windows Defender/Operational en, na onboarding naar Microsoft Defender for Endpoint, in ‘advanced hunting’-tabellen (DeviceEvents, DeviceSecurityEvents) met expliciete ASR-regel-ID’s.

Gecontroleerde mappentoegang (Controlled Folder Access, CFA) weert ransomware door niet-vertrouwde processen te beletten naar beschermde mappen te schrijven. Standaard omvat dit de gebruikersprofielmappen Documenten, Afbeeldingen, Bureaublad, Favorieten en meer; u kunt aangepaste paden toevoegen (inclusief datavolumes die applicatie-shares hosten). Sta specifieke line-of-business binaries toe om te schrijven via ’toegestane apps’. Beheer met

undefined

;

undefined

;

undefined

. Monitor blokkades in de Windows Defender-gebeurtenislogboeken en stem de toegestane apps af op basis van bewijs, niet op giswerk.

Endpointbeveiliging en Baselines

Windows Defender Antivirus op servers biedt real-time bescherming en geplande/on-demand scans. Scantypen zijn Quick, Full en Custom; plan updates van definities, de engine en het platform via Group Policy of WSUS. Gebruik

undefined

voor een volledige scan, of PowerShell

undefined

. Configureer uitsluitingen (paden, processen, extensies) met

undefined

, maar minimaliseer uitsluitingen en geef de voorkeur aan precieze, op processen gebaseerde vermeldingen; combineer dit met ASR en WDAC om compenserende risico’s te vermijden. Tamper Protection voorkomt ongeautoriseerde wijzigingen in Defender-instellingen (register en WMI) door malware of lokale beheerders; beheer dit centraal via het beheer van beveiligingsinstellingen van Microsoft Defender for Endpoint voor servers. Schakel cloudbeveiliging (MAPS) en het automatisch indienen van samples in voor snelle blokkering van nieuwe bedreigingen; verifieer met

undefined

(AMServiceEnabled, AntispywareSignatureLastUpdated, IsTamperProtected, CloudProtectionEnabled).

Beveiligingsbaselines implementeren beproefde ‘hardening’ op grote schaal. Gebruik de Microsoft Security Compliance Toolkit (MSCT) om Windows Server-baselines (GPO-back-ups en documentatie) te downloaden. Importeer baseline-GPO’s via Group Policy Management (rechtsklik op Group Policy Objects > Import Settings) of pas ze lokaal toe met

undefined

. Valideer eerst in een test-OU. Gebruik Policy Analyzer (onderdeel van MSCT) om de huidige GPO’s en het lokale beleid te vergelijken met de baseline, conflicten te identificeren en rapporten over afwijkingen te produceren. Documenteer alle opzettelijke afwijkingen met een zakelijke rechtvaardiging en ‘change control’, en voer de vergelijkingen opnieuw uit na patch-cycli om bewust te blijven van ‘drift’.

Netwerk- en beleidshandhaving

Windows Defender Firewall with Advanced Security is stateful en profielbewust. Handhaaf het principe van minimale rechten (least privilege) met een standaard-blokkade (default-deny) voor inkomend verkeer en expliciete toestemmingen voor noodzakelijke services, gespecificeerd per extern adres, interface en gebruiker/service-SID. Gebruik waar mogelijk service-hardening regels om verkeer te koppelen aan de juiste service, en niet alleen aan een poort. Uitgaande regels moeten worden gedefinieerd voor servers die verbindingen initiëren naar beperkte bestemmingen, om laterale verplaatsing (lateral movement) en ongeautoriseerde uitgaande data (egress) te voorkomen. Connection security rules voegen IPsec (authenticatie, integriteit en optioneel encryptie) toe aan het verkeer; onthoud dat deze geen poorten openen — koppel ze aan firewallregels. Gebruik voor sterke, interoperabele authenticatie over domeinen en werkgroepen heen computercertificaatauthenticatie. Configureer IPsec-uitzonderingen wanneer diagnostische tools zoals tracert onversleuteld moeten blijven (WFAS > Properties > IPsec Settings > IPsec exemptions). Pas de domein-, privé- en openbare profielen correct toe; serverinterfaces die verbonden zijn met niet-vertrouwde segmenten moeten het openbare profiel gebruiken. Activeer scenario’s voor beheer op afstand alleen met specifieke regelgroepen (bijvoorbeeld COM+ Network Access (DCOM-In) en Remote Event Log Management voor Computer Management via DCOM en toegang tot event logs).

Begrijp hoe Local Security Policy en Group Policy met elkaar interageren. Local Security Policy (secpol.msc) is de basislaag, maar domein-GPO’s overschrijven deze volgens de LSDOU-verwerkingsvolgorde: Local, Site, Domain, en dan OU (de laatst toegepaste instelling per setting wint), waarbij sommige beveiligingsinstellingen worden samengevoegd (bijvoorbeeld, toewijzingen van gebruikersrechten aggregeren “deny”- en “allow”-vermeldingen met voorrangsregels). Gebruik Resultant Set of Policy (RSoP) via gpresult /r (of gpresult /h report.html) en de Group Policy Results Wizard om de effectieve configuratie te zien, inclusief welke GPO en WMI-filter is toegepast. Bij het troubleshooten van beveiligingsinstellingen (Defender, firewall, WDAC staging, LSA protection), controleer altijd de toegepaste GPO en de bijbehorende voorrangsketen, en voer vervolgens gpupdate /force uit na wijzigingen.

Praktijkscenario

Contoso Ltd. rolt een nieuwe HR-applicatie uit op Windows Server 2022 die naar een data share schrijft en hulpprocessen start voor rapportage. Het security management eist weerbaarheid tegen ransomware, preventie van diefstal van credentials en een default-deny executiebeleid op Tier 1-servers, zonder de werking van de HR-app te verstoren.

De identiteitsgrens vaststellen met Credential Guard en LSA protection

Actie: Configureer Turn On Virtualization Based Security (Credential Guard met Secure Boot) en Configure LSASS to run as a protected process via een geharde “Tier 1 – Server Security” GPO die wordt toegepast op de OU van de HR-servers.
Waarom: Geheimen kunnen niet uit LSASS worden gehaald, en PPL voorkomt code-injectie, wat de impact van een gecompromitteerde server vermindert.

Application allow-listing afdwingen met WDAC, eerst in audit-modus, daarna in enforce-modus

Actie: Genereer een basis WDAC-beleid met New-CIPolicy op Publisher- en FilePublisher-niveau vanaf een ‘gold build’ waarop de HR-app is geïnstalleerd; voeg Managed Installer toe om de enterprise softwaredistributie te vertrouwen; onderteken en implementeer het beleid in Audit-modus, en schakel over naar Enforced-modus na het beoordelen van de events.
Waarom: WDAC biedt een default-deny voor ongeautoriseerde binaries, scripts en drivers, terwijl de HR-app en beheerde implementaties veilig worden toegestaan.

Exploit mitigations per app afstemmen

Actie: Pas CFG/ASLR systeembreed toe; voor het uitvoerbare rapportagebestand van de HR-app, stel een per-app override in om Child Process Creation toe te staan met Set-ProcessMitigation -Name hrreport.exe -Disable ChildProcess, terwijl andere mitigaties ingeschakeld blijven.
Waarom: Dit houdt de exploit hardening breed actief, terwijl het rekening houdt met legitiem app-gedrag dat bekend is bij de operationele teams.

Veelvoorkomende aanvalstechnieken blokkeren met ASR-regels en gerichte uitsluitingen

Actie: Activeer belangrijke ASR-regels in Block-modus (bijvoorbeeld D4F940AB… voor het blokkeren van child-processen van Office, 9E6C4E1F… om diefstal van credentials uit LSASS te blokkeren, 01443614… voor prevalentie/leeftijd-vertrouwen) en zet regels die aanvankelijk veel frictie veroorzaken op Audit; voeg indien nodig een specifieke -AttackSurfaceReductionOnlyExclusions toe voor de ondertekende binary van de HR-app.
Waarom: ASR vermindert misbruik van macro’s, scripts en ’living-off-the-land’-technieken zonder de verdediging in het algemeen te verzwakken; uitsluitingen zijn precies en alleen voor ASR.

Datapaden beschermen met Controlled folder access

Actie: Activeer CFA in Block-modus; voeg het pad van de HR data share en de mappen met applicatiedata toe aan de beschermde mappen; voeg de binaries van de HR-app toe als toegestane apps op basis van het ondertekende pad.
Waarom: Voorkomt ongeautoriseerde versleuteling of manipulatie van bedrijfskritische data door niet-vertrouwde processen, wat weerbaarheid tegen ransomware biedt.

Antivirus-status en cloudbescherming controleren

Actie: Zorg ervoor dat real-time protection, cloud-delivered protection en sample submission zijn ingeschakeld; plan volledige scans buiten kantooruren; controleer Get-MpComputerStatus; beperk uitsluitingen tot alleen het proces van de HR-app als dit strikt noodzakelijk is.
Waarom: Handhaaft up-to-date detectie met een minimale toename van het aanvalsoppervlak.

Het netwerkvlak vergrendelen

Actie: Configureer alleen de inkomende regels die nodig zijn voor de HR-service, met scoping op service-SID; definieer minimale uitgaande regels naar databases en update-eindpunten; voeg, als server-naar-server verkeer versleuteld moet worden, connection security rules toe met certificaatauthenticatie; voeg IPsec-uitzonderingen toe voor diagnostische doeleinden zoals tracert.
Waarom: Nauwkeurig ‘allow-only’ netwerken en IPsec voorkomen laterale verplaatsing en afluisteren, terwijl de noodzakelijke operationele activiteiten behouden blijven.

Een baseline vaststellen en verifiëren

Actie: Importeer de Windows Server security baseline uit de Microsoft Security Compliance Toolkit in de Tier 1 GPO, controleer deze met Policy Analyzer tegen bestaande GPO’s, en documenteer goedgekeurde afwijkingen voor de HR-workload.
Waarom: Zorgt voor een uitgebreide hardening die verder gaat dan losse maatregelen en biedt meetbare, rapporteerbare compliance.

Deze combinatie is gekozen om credentials te isoleren (Credential Guard, LSA PPL), code-uitvoering standaard te weigeren (WDAC), veelgebruikte aanvalstechnieken te blokkeren (ASR, exploit protection), datamanipulatie te voorkomen (CFA), malwaredetectie af te dwingen (Defender AV met cloud), en netwerklekken te dichten (firewall en IPsec), waarbij baselines en rapportages zorgen voor consistentie en auditeerbaarheid.

Alle domeinen · Microsoft Defender for Cloud en Endpointbeveiliging →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →