Microsoft AZ-801: Microsoft Defender for Cloud i bezpieczeństwo punktów końcowych — Przewodnik do nauki

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Część Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Microsoft Defender for Cloud i Microsoft Defender for Endpoint tworzą spójny stos do wzmacniania (hardening) hybrydowych środowisk Windows Server, wykrywania zagrożeń i egzekwowania dostępu z najniższymi uprawnieniami. W Azure i środowiskach lokalnych (za pośrednictwem Azure Arc) zapewniają zarządzanie stanem bezpieczeństwa (posture management), zautomatyzowaną naprawę (remediation) oraz wykrywanie i reagowanie na punktach końcowych (EDR). Zrozumienie planów Defender for Servers, automatyzacji przepływów pracy, kontroli dostępu, monitorowania integralności i ochrony kontenerów jest kluczowe do zbudowania spójnego bazowego poziomu bezpieczeństwa i operacjonalizacji reakcji na incydenty.

Stan bezpieczeństwa w chmurze i plany dla serwerów

Secure Score w Defender for Cloud określa ilościowo, jak dobrze Twoje zasoby są zgodne z najlepszymi praktykami bezpieczeństwa i standardami regulacyjnymi mapowanymi za pomocą Azure Policy. Każda kontrola bezpieczeństwa ma ważony udział w wyniku i jest wspierana przez jedną lub więcej rekomendacji. Secure Score poprawia się poprzez adresowanie rekomendacji w obszarach zasobów obliczeniowych, sieci, tożsamości i danych. Przepływ pracy związany z naprawą (remediation) rozpoczyna się od szczegółowej analizy rekomendacji, przeglądu zasobów, których dotyczy, i kroków naprawczych, a także od użycia szybkich poprawek (quick fixes), jeśli są dostępne. Na przykład, włączenie ochrony punktów końcowych to wdrożenie jednym kliknięciem powiązane z polityką, która może automatycznie aprowizować agentów. Do rekomendacji można przypisywać właścicieli, ustalać terminy wykonania i śledzić zadania naprawcze. Gdy rekomendacja nie ma zastosowania, można utworzyć wyłączenie (exemption) z uzasadnieniem i opcjonalną datą wygaśnięcia, co aktualizuje Secure Score bez maskowania niepowiązanego ryzyka. Widoki zgodności z regulacjami (np. Azure Security Benchmark, CIS) rzutują te same kontrole na oceny specyficzne dla danego standardu, przeznaczone dla audytorów i ciągłego monitorowania.

Defender for Servers zapewnia warstwową ochronę poprzez dwa plany:

Plan 1 (około 5 USD/serwer/miesiąc, obowiązują różnice regionalne) koncentruje się na ochronie na poziomie punktów końcowych, włączając w to Microsoft Defender for Endpoint Plan 2 dla serwerów. Dostarcza EDR z detekcją behawioralną, podstawowe możliwości zarządzania zagrożeniami i podatnościami, rekomendacje dotyczące redukcji powierzchni ataku oraz bazowe konfiguracje bezpieczeństwa udostępniane przez MDE. Plan 1 jest idealny, gdy potrzebujesz potężnego EDR z minimalną liczbą natywnych funkcji wzmacniania (hardening) w Azure.
Plan 2 (około 15 USD/serwer/miesiąc, zależnie od regionu) zawiera wszystko, co w Planie 1, i dodaje natywne dla Azure funkcje wzmacniania (hardening) i monitorowania: dostęp do maszyn wirtualnych just-in-time (JIT), adaptacyjne kontrole aplikacji, adaptacyjne wzmacnianie sieci, monitorowanie integralności plików (FIM), ocenę podatności serwerów (za pośrednictwem zintegrowanego Qualys lub opartego na MDE Defender Vulnerability Management), integracje z wykrywaniem danych wrażliwych oraz głębsze wykrywanie zagrożeń pochodzących zarówno z kontekstu hosta, jak i chmury. Plan 2 to kompleksowa opcja dla przedsiębiorstw standaryzujących swoje rozwiązania na Defender for Cloud zarówno w zakresie prewencji, jak i detekcji.

Oba plany wspierają serwery w Azure oraz serwery z włączonym Azure Arc. Wdrożenie (onboarding) na poziomie subskrypcji lub obszaru roboczego (workspace) pozwala Defender for Cloud na automatyczne aprowizowanie wymaganych agentów i rozszerzeń przy użyciu tożsamości zarządzanych i Azure Policy, zapewniając spójne wdrożenie na dużą skalę.

Mechanizmy ochrony i automatyzacja

Automatyzacja przepływów pracy operacjonalizuje rekomendacje i alerty. Playbooki to aplikacje Azure Logic Apps powiązane z wyzwalaczami Defender for Cloud:

Wyzwalacz alertu: Gdy alert bezpieczeństwa jest tworzony lub aktualizowany, playbook może wzbogacić dane, wysłać powiadomienie (Teams/Email) lub podjąć działanie (izolacja hosta, zatrzymanie maszyny wirtualnej).
Wyzwalacz rekomendacji: Gdy dla rekomendacji pojawi się nowy zasób w złym stanie (unhealthy), playbook może otworzyć zgłoszenie, przypisać właściciela lub wywołać interfejsy API do naprawy.
Wyzwalacz zgodności z przepisami: W przypadku zmian w ocenie, playbook może eksportować wyniki do narzędzi GRC.

Implementuj playbooki, używając tożsamości zarządzanej przypisanej przez system, której nadano role o najniższych uprawnieniach (na przykład Virtual Machine Contributor do zatrzymywania maszyn wirtualnych). Użyj warunków filtrowania, aby celować w konkretne alerty, takie jak „Oprogramowanie antimalware wyłączone na maszynie wirtualnej”, a następnie wywołaj operację Compute PowerOff dla danej maszyny wirtualnej. Ten wzorzec skraca średni czas do naprawy (MTTR), zachowując jednocześnie możliwość audytu i spójność.

Dostęp do maszyn wirtualnych typu just-in-time (JIT) zmniejsza powierzchnię ataku poprzez zamykanie portów zarządzania (SSH, RDP, niestandardowe) na poziomie NSG lub Azure Firewall, dopóki nie zostanie jawnie zażądany. Wymagania wstępne obejmują zastosowanie NSG lub Azure Firewall do interfejsu sieciowego maszyny wirtualnej lub podsieci; jeśli żaden z nich nie istnieje, najpierw utwórz NSG. Skonfiguruj JIT, aby określić dozwolone porty, zakresy źródłowe (preferuj ograniczenie do preferowanego źródłowego adresu IP), protokół i maksymalny czas dostępu dla każdego portu. Gdy operator żąda dostępu, Defender for Cloud weryfikuje uprawnienia RBAC i automatycznie zatwierdza żądanie lub kieruje je do zatwierdzenia zgodnie z Twoją polityką. Następnie wstawia tymczasową regułę zezwalającą, ograniczoną do publicznego adresu IP osoby żądającej, i automatycznie usuwa ją po wygaśnięciu. Wszystkie żądania, zatwierdzenia i zmiany reguł NSG są audytowane w logach Defender for Cloud i Azure Activity, i mogą być przesyłane strumieniowo do Log Analytics lub Microsoft Sentinel.

Adaptacyjne mechanizmy kontroli aplikacji wykorzystują uczenie maszynowe do grupowania podobnych maszyn (według obciążenia i obserwowanych procesów) i proponowania list dozwolonych (allowlists). Doprecyzowujesz i publikujesz reguły, używając:

Reguł zezwalających opartych na wydawcy i sygnatariuszu dla podpisanych plików binarnych
Reguł opartych na ścieżce pliku dla lokalizacji instalacji
Reguł opartych na hashu dla określonych plików binarnych Najpierw działaj w trybie audytu, aby obserwować potencjalne blokady, a następnie przejdź do trybu egzekwowania, aby blokować uruchamianie procesów spoza listy dozwolonych. W przypadku systemu Windows mechanizmy kontroli są implementowane wewnętrznie przez Windows Defender Application Control; w przypadku systemu Linux listy dozwolonych obserwowanych procesów są egzekwowane za pomocą obsługiwanych mechanizmów. Upewnij się, że procesy operacyjne, takie jak aktualizacje oprogramowania i agenci zarządzania, są dozwolone, aby uniknąć fałszywych alarmów (false positives) związanych z dryfem konfiguracji.

Adaptacyjne wzmacnianie zabezpieczeń sieci analizuje rzeczywiste wzorce ruchu i proponuje zaostrzenie reguł przychodzących NSG. Na przykład, jeśli ruch RDP jest obserwowany tylko ze znanej sieci zarządzania, rekomendacja ograniczy port 3389/TCP do tego zakresu zamiast do ‘Any’. Przeglądaj i stosuj rekomendacje dla każdej grupy NSG; Defender for Cloud zapisuje zaktualizowane reguły z opisowymi nazwami, zachowując kontekst zmian. Oceniaj ponownie okresowo, ponieważ nowe, uprawnione źródła mogą prowadzić do zaktualizowanych propozycji.

Monitorowanie integralności plików (FIM) dodaje mechanizmy kontroli detekcyjnej dla zmian w krytycznych plikach i rejestrach. Skonfiguruj FIM, kojarząc obszar roboczy Log Analytics i włączając zbieranie danych FIM dla docelowych maszyn (obsługiwane jest automatyczne aprowizowanie). Zdefiniuj monitorowane ścieżki i klucze rejestru, w tym wzorce włączania/wykluczania oraz czułość na zmiany zawartości w porównaniu ze zmianami samych atrybutów. Defender for Cloud generuje alerty o nieautoryzowanych lub podejrzanych zmianach, podając szczegóły kto, co i kiedy; zdarzenia są przechowywane w Twoim obszarze roboczym w celu poszukiwania zagrożeń (hunting) i korelacji. Użyj ustawień retencji i eksportu danych, aby historia zmian była zgodna z wymaganiami dotyczącymi zgodności.

Zarządzanie punktami końcowymi i podatnościami

Wdrażanie serwerów Windows Server do usługi Microsoft Defender for Endpoint jest usprawnione dzięki Defender for Cloud. Dla maszyn wirtualnych Azure włącz automatyczne aprowizowanie; w przypadku środowisk on-premises lub innych chmur połącz maszyny za pomocą Azure Arc (agent Azure Connected Machine), a następnie włącz Defender for Servers, aby automatycznie zainstalować zunifikowanego agenta MDE na obsługiwanych wersjach Windows Server. Zweryfikuj wdrożenie, potwierdzając łączność czujnika i generowanie alertów na podstawie detekcji testowych.

EDR w trybie blokowania wzmacnia ochronę, pozwalając MDE na blokowanie złośliwych artefaktów i zachowań, nawet gdy głównym oprogramowaniem antywirusowym jest produkt innej firmy lub gdy Microsoft Defender Antivirus działa w trybie pasywnym. Upewnij się, że silnik i platforma Microsoft Defender Antivirus są obecne i aktualne; włącz EDR w trybie blokowania za pomocą ustawień bezpieczeństwa MDE (GPO, Intune lub portal MDE). Tryb ten jest szczególnie cenny na serwerach, gdzie antywirus oparty na sygnaturach może przeoczyć użycie narzędzi poeksploatacyjnych, ponieważ pozwala on na bloki oparte na zachowaniu.

Live response zapewnia bezpieczny, audytowany zdalny dostęp do powłoki z portalu Microsoft Defender do wdrożonego serwera w celu wstępnej analizy (triage) i powstrzymania ataku. Posiadając odpowiednie role, analitycy mogą zbierać artefakty, sprawdzać procesy i mechanizmy przetrwania (persistence), zatrzymywać złośliwe procesy, usuwać pliki i stosować skrypty mitygujące. Sesje live response są rejestrowane i mogą być zintegrowane z procedurami reagowania na incydenty (runbooks).

Ocena podatności dla serwerów jest dostępna poprzez dwie integracje:

Zintegrowany Qualys: Defender for Cloud wdraża lekkie rozszerzenie agenta Qualys, które wykonuje uwierzytelnione skany i raportuje podatności oprogramowania do Defender for Cloud. Nie jest wymagana osobna subskrypcja Qualys, a wyniki zasilają Secure Score i rekomendacje. Ta ścieżka jest powszechnie stosowana, gdy preferujesz natywne aprowizowanie w Azure z minimalną zależnością od MDE.
Microsoft Defender Vulnerability Management (przez MDE): Wykorzystuje czujnik MDE do dostarczania spisu oprogramowania, oceny CVE, rekomendacji dotyczących redukcji powierzchni ataku oraz oceny ekspozycji (exposure scoring) bez dodatkowych agentów. Konsoliduje podatności z detekcjami na punktach końcowych, umożliwiając zunifikowane przepływy pracy związane z usuwaniem zagrożeń (remediation). Wybierz ocenę podatności (VA) opartą na MDE, gdy standaryzujesz swoje środowisko na MDE i chcesz mieć głęboką analitykę postawy urządzeń; wybierz zintegrowany Qualys, gdy MDE nie jest wdrożony na określonych serwerach lub gdy wymagasz spójności między systemami Windows i Linux bez dodatkowych kroków wdrożeniowych. W planie Defender for Servers Plan 2 można wybrać dowolne źródło danych na poziomie zakresu (scope); upewnij się, że tylko jedno jest włączone, aby uniknąć duplikacji.

Kontenery i rejestry

Usługa Defender for Containers w ramach Defender for Cloud zabezpiecza zarówno obrazy, jak i środowisko uruchomieniowe. W przypadku Azure Container Registry włącz skanowanie obrazów, aby każde wypchnięcie obrazu (push) oraz regularne ponowne skanowanie identyfikowały luki CVE, ujawnione klucze tajne i problemy z konfiguracją (np. uruchamianie jako root). Wyniki są prezentowane jako rekomendacje w Defender for Cloud i mogą blokować wdrożenia za pomocą bramek w potokach (pipeline gates). W przypadku rejestrów wielochmurowych lub systemów CI zintegruj skaner Defender z procesem budowania, aby przesunąć zabezpieczenia w lewo (shift-left).

W środowisku uruchomieniowym włącz agenta Defender dla Kubernetes (dodatek do AKS lub DaemonSet dla innych klastrów), aby wykrywać podejrzane zachowania, takie jak eskalacja uprawnień w kontenerach, nietypowa aktywność procesów, kopanie kryptowalut czy próby ruchu bocznego (lateral movement). Czujnik środowiska uruchomieniowego koreluje sygnały z hosta, dzienniki audytu Kubernetes i zdarzenia kontenerów, generując alerty wzbogacone o metadane poda, przestrzeni nazw i węzła. Wzmacniaj klastry, stosując zalecane kontrole zasad Kubernetes, wymuszając minimalne uprawnienia i kontrolując ruch przychodzący/wychodzący za pomocą zasad sieciowych; dostosuj się do rekomendacji Secure Score zmapowanych na Azure Security Benchmark.

Praktyczny scenariusz problemowy

Siemens AG zarządza hybrydowym środowiskiem serwerów Windows Server, obejmującym maszyny wirtualne na Azure i serwery on-premises. Kierownictwo chce zmniejszyć ryzyko związane z otwartymi portami zarządczymi, zautomatyzować reakcję na krytyczne alerty i uzyskać stały wgląd w nieautoryzowane zmiany plików, jednocześnie poprawiając zgodność z regulacjami.

Wdrażanie serwerów i wybór planu

Działanie: Włącz Microsoft Defender for Servers Plan 2 dla subskrypcji produkcyjnej i centralnego obszaru roboczego Log Analytics. Połącz serwery on-premises za pomocą Azure Arc i włącz automatyczne aprowizowanie.
Dlaczego: Plan 2 zapewnia JIT, kontrolę adaptacyjną, FIM i ocenę luk w zabezpieczeniach oprócz MDE, co jest zgodne z celami Siemens w zakresie prewencji i wykrywania, zapewniając spójne wdrażanie agentów w Azure i on-premises.

Poprawa stanu zabezpieczeń i Secure Score

Działanie: Przejrzyj Secure Score i priorytetyzuj rekomendacje powiązane z kontrolami wysokiego ryzyka (np. brak zainstalowanej ochrony punktów końcowych, otwarte porty zarządcze). Przypisz właścicieli i terminy wykonania; twórz wyjątki z uzasadnieniem, gdy kontrola faktycznie nie ma zastosowania (np. laboratorium odizolowane od sieci).
Dlaczego: Secure Score prowadzi do mierzalnej redukcji ryzyka i mapuje się bezpośrednio na kontrole regulacyjne, z których Siemens musi się raportować.

Wdrożenie dostępu JIT do maszyn wirtualnych

Działanie: Upewnij się, że każda karta sieciowa/podsieć maszyny wirtualnej ma przypisaną grupę NSG; dla tych bez NSG, utwórz je i przypisz odpowiednio. Skonfiguruj JIT dla portów RDP/SSH i niestandardowych portów administracyjnych z maksymalnym oknem czasowym 3 godziny i ograniczeniami źródłowego adresu IP do serwerów przesiadkowych (jump hosts) firmy Siemens. Wymagaj zatwierdzenia dla środowiska produkcyjnego.
Dlaczego: JIT eliminuje stałą ekspozycję portów zarządczych i spełnia zasadę najmniejszych uprawnień poprzez ograniczenie czasowe i zakresu źródłowego dostępu, z pełnymi ścieżkami audytu.

Automatyzacja odpowiedzi za pomocą Logic Apps

Działanie: Utwórz playbook (księgę procedur) wyzwalany przez alerty bezpieczeństwa pasujące do „Antimalware disabled in the virtual machine”. Użyj tożsamości zarządzanej z rolą Virtual Machine Contributor, aby wywołać API PowerOff na maszynie wirtualnej, której dotyczy problem, i powiadom zespół SecOps przez Teams.
Dlaczego: Automatyczne wyłączenie niezgodnych hostów zapobiega szybkiej eksploatacji, jednocześnie powiadamiając interesariuszy; użycie tożsamości zarządzanej wymusza zasadę najmniejszych uprawnień z możliwością audytu działań.

Wymuszanie adaptacyjnych kontroli aplikacji i sieci

Działanie: Włącz adaptacyjne kontrole aplikacji w trybie audytu dla grup serwerów IIS i SQL; dopracuj listy dozwolonych (allowlists) dla podpisanych plików binarnych i standardowych ścieżek, a następnie przejdź do trybu wymuszania. Zastosuj rekomendacje adaptacyjnego wzmacniania sieci, aby zacieśnić reguły NSG dla portów przychodzących do znanych adresów IP zarządzających firmy Siemens.
Dlaczego: Tworzenie list dozwolonych aplikacji i wzmocnione reguły NSG zmniejszają powierzchnię ataku i blokują nieznane pliki wykonywalne, co jest zgodne ze standardami bazowymi firmy Siemens.

Konfiguracja monitorowania integralności plików

Działanie: Przypisz centralny obszar roboczy Log Analytics, zdefiniuj monitorowane katalogi systemu operacyjnego i aplikacji oraz gałęzie rejestru, wyklucz znane, generujące szum ścieżki i włącz alerty o nieautoryzowanych zmianach. Przesyłaj strumieniowo alerty FIM do Microsoft Sentinel w celu korelacji.
Dlaczego: FIM zapewnia wczesne wykrywanie manipulacji i nieautoryzowanego dryfu konfiguracji, spełniając wymagania audytowe i poprawiając wykrywanie incydentów.

Standaryzacja oceny luk w zabezpieczeniach

Działanie: Używaj opartego na MDE rozwiązania Defender Vulnerability Management dla wszystkich serwerów wdrożonych w MDE; wyłącz Qualys tam, gdzie MDE jest obecny. Dla starszych serwerów bez MDE włącz zintegrowane rozszerzenie Qualys.
Dlaczego: Konsolidacja na ocenie podatności (VA) opartej na MDE upraszcza operacje i pogłębia analitykę; Qualys wypełnia luki tam, gdzie MDE nie jest możliwe do wdrożenia, zapobiegając duplikacji danych.

Zabezpieczanie kontenerów i rejestrów

Działanie: Włącz skanowanie obrazów w ACR i agenta Defender dla AKS. Skonfiguruj bramki CI, aby blokować obrazy z krytycznymi lukami CVE i wymuszaj wykrywanie w czasie rzeczywistym z przekierowaniem alertów do SecOps.
Dlaczego: Zapewnia to usuwanie luk przed wdrożeniem i szybkie wykrywanie anomalii w środowisku uruchomieniowym z kontekstem Kubernetes, co uzupełnia strategię obrony w głąb (defense-in-depth) firmy Siemens.

← Bezpieczeństwo i utwardzanie Windows Server · Wszystkie domeny · Microsoft Sentinel i monitorowanie bezpieczeństwa →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →