Microsoft AZ-801: Bezpieczeństwo i utwardzanie Windows Server — Przewodnik do nauki

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Część Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Wzmacnianie systemu Windows Server to wielowarstwowe działanie, które priorytetowo traktuje izolację tożsamości, kontrolę aplikacji, łagodzenie skutków exploitów i złośliwego oprogramowania oraz rygorystyczne granice sieciowe – egzekwowane w spójny sposób za pomocą powtarzalnych konfiguracji bazowych (baselines). Celem jest zapobieganie kradzieży poświadczeń, zmniejszenie powierzchni ataku za pomocą domyślnie blokujących mechanizmów kontroli, wykrywanie i powstrzymywanie złośliwych zachowań oraz weryfikacja skuteczności konfiguracji poprzez raportowanie. Opisane poniżej funkcje są natywnie wbudowane w nowoczesne wersje systemu Windows Server i integrują się z zarządzaniem na dużą skalę za pośrednictwem Group Policy, PowerShell i usług bezpieczeństwa Microsoft.

Ochrona tożsamości i poświadczeń

Windows Defender Credential Guard wykorzystuje zabezpieczenia oparte na wirtualizacji (VBS), aby izolować poufne dane (sekrety) od systemu operacyjnego, dzięki czemu zawartość procesu LSASS nie może zostać odczytana przez złośliwe oprogramowanie. Wymagania VBS obejmują UEFI 2.3.1 z włączonym Secure Boot, sprzętowe wspomaganie wirtualizacji (Intel VT-x/AMD-V z SLAT) oraz TPM 2.0 (zdecydowanie zalecany do ochrony kluczy). W przypadku maszyn wirtualnych należy używać maszyn generacji 2 z włączonym Secure Boot i wirtualnym modułem TPM (vTPM); VBS działa w oparciu o hypervisor systemu Windows i nie wymaga instalacji roli Hyper-V.

Włącz Credential Guard za pomocą Group Policy: Computer Configuration > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security. Ustaw opcję „Virtualization Based Protection of Code Integrity” na „Enabled”, a następnie wybierz dla „Credential Guard Configuration” ustawienie „Enabled with Secure Boot” (lub „with Secure Boot and DMA Protection”, jeśli jest obsługiwane). Wymagane jest ponowne uruchomienie komputera. Sprawdź w msinfo32: Virtualization-based security: Running; Credential Guard: On. Zdarzenia pojawiają się w dziennikach Microsoft-Windows-CodeIntegrity/Operational oraz DeviceGuard.

Ochrona Local Security Authority (LSA) uzupełnia działanie Credential Guard. Skonfiguruj LSASS, aby działał jako proces chroniony (PPL), co zablokuje wstrzykiwanie niepodpisanego kodu, nawet przez administratorów. Użyj Group Policy: Computer Configuration > Administrative Templates > System > Local Security Authority > Configure LSASS to run as a protected process. Ustawia to flagę RunAsPPL, wymuszając ładowanie wyłącznie podpisanych, zaufanych sterowników. Credential Guard izoluje poufne dane w procesie LSAISO zabezpieczonym przez VSM; LSASS PPL wzmacnia granice samego procesu LSASS. Włącz obie funkcje, aby uzyskać ochronę w głąb (defense-in-depth).

Stacje robocze o podwyższonych uprawnieniach (Privileged Access Workstations, PAW) służą do operacjonalizacji izolacji poświadczeń. Zastosuj warstwowy model administracji:

Poziom 0 (Tier 0): AD DS, ADFS, PKI, główne źródła zaufania dla tożsamości i bezpieczeństwa
Poziom 1 (Tier 1): serwery aplikacji i infrastruktury
Poziom 2 (Tier 2): stacje robocze użytkowników Każdy poziom wykorzystuje oddzielne konta administracyjne i dedykowane stacje PAW. Stacje PAW są wzmacniane za pomocą Credential Guard, WDAC, HVCI (Memory Integrity), SmartScreen, ograniczonego przeglądania internetu i rygorystycznych reguł wychodzących zapory sieciowej. Blokuj ścieżki logowania między poziomami (administrator z Poziomu 0 nie loguje się na urządzeniach z Poziomu 1 lub 2). Model ten znacząco zmniejsza promień rażenia w przypadku kradzieży poświadczeń.

Kontrola aplikacji i zarządzanie powierzchnią ataku

Windows Defender Application Control (WDAC) wymusza politykę domyślnego blokowania (default-deny) dla kodu. Typy polityk obejmują pojedynczą politykę bazową (SiPolicy) oraz opcjonalne polityki uzupełniające, które rozszerzają reguły zezwalające bez zmiany bazy. Nowoczesny Windows Server obsługuje wiele polityk jednocześnie. WDAC zarządza zarówno plikami binarnymi/skryptami trybu użytkownika, jak i sterownikami trybu jądra. Zaufanie można zdefiniować na podstawie podpisów Microsoft, WHQL, Windows Store, certyfikatu do podpisywania kodu przedsiębiorstwa, hasza pliku, atrybutów wydawcy/pliku lub za pomocą Managed Installer, który oznacza wdrożony kod jako zaufany. Najpierw wdróż w trybie audytu (Audit mode), aby zebrać zdarzenia, a następnie przełącz na tryb wymuszania (Enforced), aby blokować. Twórz polityki za pomocą modułu PowerShell ConfigCI: New-CIPolicy -Level Publisher -FilePath .\Base.xml -UserPEs 1; Merge-CIPolicy do konsolidacji; Set-CIPolicyIdInfo do oznaczania ID polityk; ConvertFrom-CIPolicy do wygenerowania podpisanego pliku .p7b; wdrażaj do %SystemRoot%\System32\CodeIntegrity\SiPolicy.p7b lub przez Group Policy. WDAC może również ograniczać użycie i rejestrację klas COM, aby zapobiegać złośliwemu nadużywaniu COM.

Ochrona przed exploitami (Exploit protection) dostarcza mechanizmów łagodzących (mitigations) dla procesów, globalnie i dla poszczególnych aplikacji. Mechanizmy na poziomie systemu obejmują DEP, ASLR (wymuszona relokacja, randomizacja bottom-up, wysoka entropia), CFG, SEHOP oraz rygorystyczne polityki ładowania obrazów i obsługi dojść (handles). Nadpisania na poziomie aplikacji pozwalają na szczegółowe dostosowanie, takie jak włączanie/wyłączanie tworzenia procesów podrzędnych (Child Process Creation), filtrowania adresów eksportu (Export Address Filtering) lub ochrony przed dowolnym kodem (Arbitrary Code Guard) dla konkretnego pliku wykonywalnego. Zarządzaj za pomocą aplikacji Zabezpieczenia Windows (Kontrola aplikacji i przeglądarki > Ochrona przed exploitami) lub przez PowerShell: `Get-Process

Sieć i egzekwowanie zasad

Zapora Windows Defender z zabezpieczeniami zaawansowanymi jest stanowa i świadoma profili. Wymuszaj zasadę najmniejszych uprawnień poprzez domyślne blokowanie ruchu przychodzącego (default-deny) i jawne zezwolenia (explicit allows) dla niezbędnych usług, ograniczając zakres do zdalnych adresów, interfejsów i identyfikatorów SID użytkowników/usług. W miarę możliwości używaj reguł wzmacniających usługi (service-hardening), aby powiązać ruch z właściwą usługą, a nie tylko z portem. Reguły dla ruchu wychodzącego powinny być zdefiniowane dla serwerów, które inicjują połączenia do ograniczonych miejsc docelowych, zapobiegając ruchowi bocznemu (lateral movement) i nieautoryzowanemu ruchowi wychodzącemu (egress). Reguły zabezpieczeń połączeń dodają do ruchu IPsec (uwierzytelnianie, integralność i opcjonalnie szyfrowanie); pamiętaj, że nie otwierają one portów — należy je stosować w parze z regułami zapory. Aby uzyskać silne, interoperacyjne uwierzytelnianie między domenami i grupami roboczymi, używaj uwierzytelniania za pomocą certyfikatów komputera. Konfiguruj wyjątki IPsec, gdy narzędzia diagnostyczne, takie jak tracert, muszą działać bez szyfrowania (WFAS > Właściwości > Ustawienia IPsec > Wyjątki IPsec). Stosuj odpowiednio profile domenowy, prywatny i publiczny; interfejsy serwerów podłączone do niezaufanych segmentów powinny używać profilu publicznego. Włączaj scenariusze zdalnego zarządzania tylko za pomocą dedykowanych grup reguł (na przykład COM+ Network Access (DCOM-In) i Remote Event Log Management dla dostępu do Zarządzania komputerem przez DCOM i dzienników zdarzeń).

Zrozum, jak współdziałają Zasady zabezpieczeń lokalnych i Zasady grupy. Zasady zabezpieczeń lokalnych (secpol.msc) to warstwa początkowa, ale domenowe obiekty GPO je nadpisują zgodnie z przetwarzaniem LSDOU: Local, Site, Domain, a następnie OU (dla każdego ustawienia wygrywa ostatni zapis — last-writer wins), przy czym niektóre ustawienia zabezpieczeń są scalane (na przykład przypisania praw użytkownika agregują wpisy „odmów” i „zezwalaj” z uwzględnieniem zasad pierwszeństwa). Użyj Wypadkowego zestawu zasad (RSoP) za pomocą gpresult /r (lub gpresult /h report.html) oraz Kreatora wyników zasad grupy, aby zobaczyć efektywną konfigurację, w tym zastosowany obiekt GPO i filtr WMI. Podczas rozwiązywania problemów z ustawieniami zabezpieczeń (Defender, zapora, wdrażanie WDAC, ochrona LSA), zawsze potwierdzaj zastosowany obiekt GPO i jego łańcuch pierwszeństwa, a po zmianach wykonaj gpupdate /force.

Praktyczny scenariusz problemowy

Firma Contoso Ltd. wdraża nową aplikację HR na Windows Server 2022, która zapisuje dane na udziale sieciowym i tworzy procesy pomocnicze do raportowania. Kierownictwo ds. bezpieczeństwa wymaga odporności na ransomware, zapobiegania kradzieży poświadczeń oraz domyślnego blokowania wykonywania (default-deny) na serwerach warstwy 1 (Tier 1) bez zakłócania działania aplikacji HR.

Ustanowienie granicy tożsamości za pomocą Credential Guard i ochrony LSA

Działanie: Skonfiguruj opcję Włącz zabezpieczenia oparte na wirtualizacji (Credential Guard z Secure Boot) oraz Skonfiguruj LSASS do uruchamiania jako proces chroniony za pomocą wzmocnionego GPO „Tier 1 – Server Security” zastosowanego do OU serwerów HR.
Dlaczego: Sekrety nie mogą być wyodrębniane z LSASS, a PPL zapobiega wstrzykiwaniu kodu, zmniejszając skutki naruszenia bezpieczeństwa serwera.

Wymuszenie białej listy aplikacji (allow-listing) za pomocą WDAC w trybie audytu, a następnie w trybie wymuszania

Działanie: Wygeneruj bazową politykę WDAC za pomocą New-CIPolicy z poziomami Publisher i FilePublisher na podstawie wzorcowej kompilacji (gold build) z zainstalowaną aplikacją HR; dodaj Managed Installer, aby ufać korporacyjnej dystrybucji oprogramowania; podpisz i wdróż politykę w trybie audytu (Audit mode), a następnie, po przejrzeniu zdarzeń, przejdź do trybu wymuszania (Enforced).
Dlaczego: WDAC zapewnia domyślne blokowanie (default-deny) dla nieautoryzowanych plików binarnych, skryptów i sterowników, jednocześnie bezpiecznie zezwalając na działanie aplikacji HR i zarządzanych wdrożeń.

Dostosowanie środków zaradczych przeciwko exploitom per aplikacja

Działanie: Zastosuj systemowe CFG/ASLR globalnie; dla pliku wykonywalnego raportowania HR ustaw nadpisanie dla konkretnej aplikacji, aby zezwolić na tworzenie procesów potomnych (Child Process Creation) za pomocą Set-ProcessMitigation -Name hrreport.exe -Disable ChildProcess, pozostawiając włączone inne środki zaradcze.
Dlaczego: Utrzymuje szeroko aktywne wzmocnienia przeciwko exploitom, jednocześnie uwzględniając uzasadnione zachowanie aplikacji, na które wskazują działy operacyjne.

Blokowanie popularnych technik ataku za pomocą reguł ASR i precyzyjnych wykluczeń

Działanie: Włącz kluczowe reguły ASR w trybie blokowania (Block mode) (np. D4F940AB… dla blokowania procesów potomnych pakietu Office, 9E6C4E1F… do blokowania kradzieży poświadczeń z LSASS, 01443614… dla zaufania na podstawie popularności/wieku) i ustaw początkowe reguły o wysokim tarciu (high-friction) w tryb audytu; w razie potrzeby dodaj specyficzne wykluczenie -AttackSurfaceReductionOnlyExclusions dla podpisanego pliku binarnego aplikacji HR.
Dlaczego: ASR ogranicza nadużycia związane z makrami, skryptami i technikami living-off-the-land bez ogólnego osłabiania zabezpieczeń; wykluczenia są precyzyjne i dotyczą tylko ASR.

Ochrona ścieżek danych za pomocą Kontrolowanego dostępu do folderów (CFA)

Działanie: Włącz CFA w trybie blokowania (Block mode); dodaj ścieżkę udziału danych HR i foldery danych aplikacji do chronionych folderów; dodaj pliki binarne aplikacji HR jako dozwolone aplikacje na podstawie podpisanej ścieżki.
Dlaczego: Zapobiega nieautoryzowanemu szyfrowaniu lub modyfikacji krytycznych danych biznesowych przez niezaufane procesy, zapewniając odporność na ransomware.

Potwierdzenie stanu antywirusa i ochrony w chmurze

Działanie: Upewnij się, że ochrona w czasie rzeczywistym, ochrona dostarczana z chmury i przesyłanie próbek są włączone; zaplanuj pełne skanowanie poza godzinami pracy; przejrzyj wyniki Get-MpComputerStatus; ogranicz wykluczenia tylko do procesu aplikacji HR, jeśli jest to absolutnie konieczne.
Dlaczego: Utrzymuje aktualne wykrywanie przy minimalnym zwiększeniu powierzchni ataku.

Zablokowanie płaszczyzny sieciowej

Działanie: Skonfiguruj reguły tylko dla ruchu przychodzącego, wymagane przez usługę HR, z zakresem ograniczonym do SID usługi; zdefiniuj minimalne reguły dla ruchu wychodzącego do baz danych i punktów końcowych aktualizacji; jeśli szyfrujesz ruch między serwerami, dodaj reguły zabezpieczeń połączeń z uwierzytelnianiem certyfikatem; dodaj wyjątki IPsec dla potrzeb diagnostycznych, takich jak tracert.
Dlaczego: Precyzyjna sieć oparta na zasadzie „zezwalaj tylko” (allow-only) i IPsec zapobiegają ruchowi bocznemu i podsłuchiwaniu, jednocześnie zachowując niezbędne operacje.

Ustalenie punktu odniesienia (baseline) i weryfikacja

Działanie: Zaimportuj punkt odniesienia zabezpieczeń systemu Windows Server z Microsoft Security Compliance Toolkit do GPO dla warstwy 1, przeanalizuj za pomocą Policy Analyzer w odniesieniu do istniejących GPO i udokumentuj zatwierdzone odstępstwa dla obciążenia HR.
Dlaczego: Zapewnia kompleksowe wzmocnienie wykraczające poza kontrole punktowe oraz umożliwia mierzalną i raportowalną zgodność.

Ta kombinacja została wybrana, aby izolować poświadczenia (Credential Guard, LSA PPL), domyślnie blokować wykonywanie kodu (WDAC), blokować popularne techniki atakujących (ASR, ochrona przed exploitami), zapobiegać manipulacji danymi (CFA), wymuszać wykrywanie złośliwego oprogramowania (Defender AV z chmurą) oraz zamykać luki w sieci (zapora i IPsec), a punkty odniesienia i raportowanie zapewniają spójność i audytowalność.

Wszystkie domeny · Microsoft Defender for Cloud i bezpieczeństwo punktów końcowych →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →