Microsoft AZ-500: İşlem, Konteyner ve Uç Nokta Güvenliği — Çalışma kılavuzu

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Şunun bir parçası: Microsoft Azure Security Engineer Associate AZ-500 — Çalışma kılavuzu. Doğrulanmış cevaplarla şurada pratik yapın: Microsoft sınav merkezi, veya şurada süreli deneme sınavları çözün: ExamRoll.io.

Genel Bakış

Bu bölüm, IaaS ve PaaS genelinde Azure işlem, container ve uç nokta kaynaklarının güvenliğini sağlamak için operasyonel bir referans sunar. Bu bölümde, korumaların nasıl yapılandırılacağı, neden önemli oldukları ve Azure’a özgü denetimlerle tutarlı bir şekilde nasıl uygulanacağı üzerinde durulmaktadır.

İşlem ve Uç Nokta Güvenliği

Azure VM platform korumaları ve şifreleme seçenekleri temel niteliktedir.

• Secure Boot, vTPM ve Trusted Launch: Trusted Launch, UEFI Secure Boot ve sanal bir TPM (vTPM) etkinleştirerek Gen2 VM’leri daha dayanıklı hale getirir. Secure Boot, imzasız önyükleyicileri/rootkit’leri engeller. vTPM, anahtarlar (örneğin BitLocker) için kurcalamaya karşı dayanıklı bir depolama alanı sağlar ve platformun işletim sistemi önyükleme zincirini onaylayabilmesi (attest) için ölçümlü önyüklemeyi (measured boot) destekler. Operasyonel olarak, dağıtım sırasında trusted launch’ı etkinleştirin ve tüm yeni VM’lerin, yöneticilerin statik BIOS/UEFI ayarlarıyla uğraşmasına gerek kalmadan donanım tabanlı bütünlük denetimlerinden faydalanmasını sağlamak için bunu ilke (policy) ile zorunlu kılın.

• Confidential VM’ler: VM belleğini şifrelemek ve kanıtlama (attestation) sağlamak için AMD SEV-SNP veya Intel TDX destekli confidential VM serilerini (örneğin DCasv5/DCadsv5) kullanın. Bu, iş yüklerini kötü niyetli bir ana makine/hipervizörden (host/hypervisor) ve yan kanal saldırılarından korur. Operasyonel olarak, kullanımda olan çok hassas verilerin (data-in-use) bulunduğu senaryolar için confidential SKU’ları seçin, kanıtlamayı (attestation) dağıtım ardışık düzeninize (deployment pipeline) entegre edin ve veri kalıcılığı olmadan hızlı yeniden dağıtımlara ihtiyaç duyduğunuzda geçici (ephemeral) işletim sistemi disklerini tercih edin.

• Disk Şifreleme seçenekleri:

  • Azure Disk Encryption (ADE): Konuk (guest) işletim sistemi içinde BitLocker (Windows) veya DM-Crypt (Linux), anahtarlar Key Vault’ta (BEK/KEK). Konuk tabanlı şifreleme alanlarına, işletim sistemi içi uyumluluk denetimlerine veya vTPM’e bağlı BitLocker’dan yararlanmaya ihtiyaç duyduğunuzda kullanışlıdır. Uzantı (extension) sağlığı için bir aracı (agent) ve yaşam döngüsü operasyonları gerektirir.
  • Müşteri Tarafından Yönetilen Anahtarlarla (CMK) Sunucu Tarafı Şifreleme (SSE): Key Vault veya Managed HSM’deki anahtarları kullanarak yönetilen diskler için depolama düzeyinde şifreleme. Konuk aracıları (guest agents) yoktur, tam platform kapsamı (diskler, anlık görüntüler, imajlar) sunar ve operasyonel yükü minimumdur. Çoğu kullanım durumu için önerilen varsayılan yöntemdir; daha güçlü bir derinlemesine savunma (defense-in-depth) için Trusted Launch veya Confidential VM’ler ile birlikte kullanın.

• Microsoft Defender for Servers:

  • Plan 1: Sunucularda EDR/uç nokta koruması için Microsoft Defender for Endpoint (MDE). Halihazırda gelişmiş güvenlik açığı ve yapılandırma yönetimi araçlarınız varsa ve öncelikli olarak EDR’a ihtiyacınız varsa bunu seçin.
  • Plan 2: Aracı tabanlı/aracısız güvenlik açığı değerlendirmesi, tam zamanında (just-in-time - JIT) VM erişimi, uyarlamalı uygulama denetimleri, uyarlamalı ağ sağlamlaştırması ve dosya bütünlüğü izleme (FIM) ekler. Birden fazla aracı bir araya getirmek zorunda kalmadan, platform odaklı risk azaltma ve uygulamada yönetişim (governance-in-action) istediğinizde bunu seçin.
  • Uç nokta koruması: Hibrit ortamlarda telemetriyi, kurcalamaya karşı korumayı ve müdahale playbook’larını standartlaştırmak için Azure dışı sunuculara MDE’yi VM uzantıları veya Arc aracılığıyla dağıtın.
  • Güvenlik açığı değerlendirmesi: CVE’leri envanterlemek, sömürülebilirliklerine (exploitability) göre önceliklendirmek ve yama yönetimini düzenlemek için MDE Tehdit ve Güvenlik Açığı Yönetimi sinyalini veya entegre tarayıcıyı (ör. Qualys) kullanın. Operasyonel olarak, önce internete açık kritik sunucuları temel alın; düzeltme çalışmalarını değişiklik pencerelerine (change windows) bağlayın.
  • Dosya Bütünlüğü İzleme: Şüpheli kurcalamaları tespit etmek ve uyumluluk gereksinimlerini karşılamak için hassas dosyalardaki/kayıt defteri anahtarlarındaki değişiklikleri izleyin. Gürültüyü önlemek için kapsamı belirlenmiş izleme yolları (watch paths) yapılandırın ve uyarıları SIEM’inize iletin.

• Defender for Cloud ile risk yüzeyini azaltma:

  • Tam Zamanında (Just-in-Time) VM Erişimi: Gelen RDP/SSH bağlantılarını kapatır. Yöneticiler zaman sınırlı erişim talep eder; Defender, NSG veya Azure Firewall kuralını açar ve etkinliği günlüğe kaydeder. Sonuç, denetlenebilir istisnalarla birlikte saldırı yüzeyinin büyük ölçüde azaltılmasıdır.
  • Uyarlamalı Uygulama Denetimleri: Normal süreçleri öğrenir ve izin listeleri (Windows’ta AppLocker, Linux için denetim kuralları) oluşturur. Bu, onaylanmamış ikili dosyaları (binaries) ve betikleri (scripts) engeller — özellikle dosyasız (fileless) veya LOLBin saldırılarına karşı etkilidir.
  • Uyarlamalı Ağ Sağlamlaştırması: NSG kuralı sıkılaştırma önerileri sunmak için trafik analitiğini ve tehdit istihbaratını kullanır. Kesintilerden kaçınırken riski yinelemeli olarak kısıtlamak için bir gözden geçirme ve uygulama döngüsü benimseyin.
  • Konuk Yapılandırması (Guest Configuration): Bir aracı veya Azure Arc aracılığıyla konuk işletim sistemi içinde denetim/düzeltme (Windows ve Linux) için Azure Policy. Yalnızca platform duruşuna değil, kanıtlanabilir bir yapılandırma durumuna ihtiyaç duyduğunuzda işletim sistemi temel yapılandırmalarını (baselines), parola ilkelerini ve CIS uyumlu ayarları zorunlu kılmak için kullanın.

PaaS Bilişim: App Service ve Functions

Varsayılan olarak güvenli desenler, PaaS saldırı yüzeyini azaltır.

• Azure App Service:

  • Kimlik Doğrulama/Yetkilendirme: Kimlik doğrulama (auth) yükünü Microsoft Entra ID’ye veya diğer sağlayıcılara devretmek için App Service Authentication’ı etkinleştirin. Standart OIDC/OAuth2 akışları için Easy Auth kullanın, ardından kimliği doğrulanmamış erişimi ortadan kaldırmak için tüm rotalarda oturum açmayı zorunlu kılın.
  • Erişim Kısıtlamaları: IP/CIDR, hizmet etiketleri (service tags) veya özel uç noktalar (private endpoints) aracılığıyla sanal ağ trafiğine göre trafiğe izin verin veya reddedin. Dağıtım düzleminizi (deployment plane) bağımsız olarak korumak için scm uç noktası ve uygulama uç noktası için ayrı kurallar bulundurun.
  • Özel Uç Noktalar (Private Endpoints): Uygulamayı VNet’inizdeki özel bir IP üzerinden kullanıma sunun ve isteğe bağlı olarak genel erişimi devre dışı bırakın. Özel DNS bölgeleri (private DNS zones) kullanın ve VNet Entegrasyonu ile merkezi bir çıkış güvenlik duvarı (egress firewall) kullanarak giden bağımlılıkları kısıtlayın.
  • Yönetilen Kimlikler (Managed Identities): Key Vault, Storage ve diğer hizmetlere erişmek için sistem tarafından atanan veya kullanıcı tarafından atanan kimlikleri tercih edin. Bu, gömülü gizli anahtarları (secrets) ortadan kaldırır ve merkezi rol ataması ile anahtar rotasyonunu mümkün kılar.

• Azure Functions:

  • Anahtar Yönetimi: Functions, işlev anahtarları (function keys), ana bilgisayar anahtarları (host keys) ve ana anahtarı (master key) kullanır. Anahtarları düzenli olarak döndürün ve harici olarak tüketilen anahtarları Key Vault’ta saklayın veya mümkünse anahtarları uygun OAuth akışlarıyla değiştirin.
  • Ağ Entegrasyonu: Function uygulamasına gelen erişim için özel uç noktaları (private endpoints) ve giden denetimler için bölgesel VNet Entegrasyonunu kullanın. Functions tarafından kullanılan Storage hesabını yalnızca seçili ağlarla kısıtlayın ve Function’ın özel uç noktasını izin verilen ağlara ekleyin.
  • Kimlikler: Hizmetten hizmete kimlik doğrulama (auth) için anahtarlar veya bağlantı dizeleri (connection strings) yerine yönetilen kimlikleri (managed identities) kullanın. Dar kapsamlı RBAC atamalarıyla en az ayrıcalık ilkesini (least privilege) uygulayın.
  • Dağıtım Kontrolleri: Yalnızca FTPS’yi zorunlu kılın, scm sitesi için temel kimlik doğrulamayı (basic auth) devre dışı bırakın, scm IP’lerini kısıtlayın ve değişmez (immutable) dağıtımlar sağlamak için Run From Package kullanın. Uzun ömürlü gizli anahtarları ortadan kaldırmak için CI/CD’yi iş yükü kimlik federasyonu (workload identity federation) ile entegre edin.

Kubernetes ve Konteyner Güvenliği

Kümeleri ve tedarik zincirlerini uçtan uca sağlamlaştırın.

• AKS kimliği ve yetkilendirme:

  • Microsoft Entra entegrasyonu: kubectl’yi Entra token’ları ve gruplarını kullanarak doğrulamak için AKS için yönetilen AAD’yi etkinleştirin. Bu, kullanıcı yaşam döngüsünü ve MFA/Koşullu Erişimi (Conditional Access) merkezileştirir.
  • Kubernetes RBAC: Ad alanı (namespace) kapsamında en az ayrıcalık ilkesi için Entra kullanıcılarını/gruplarını Kubernetes rollerine ve rol bağlamalarına (role bindings) eşleyin.
  • Kubernetes için Azure RBAC: Azure RBAC’nin Kubernetes API eylemlerini doğrudan yetkilendirmesini istediğinizde yerleşik rolleri (ör. Azure Kubernetes Service RBAC Görüntüleyici/Yönetici) kullanın. Bu, yetkilendirme ve denetimi Azure kontrol düzlemi (control plane) ile birleştirir.

• AKS ağ ve gizlilik:

  • Ağ ilkeleri (Network policies): Azure NPM veya Calico ile pod’dan pod’a ve pod’dan hizmete trafiği zorunlu kılın. Varsayılan olarak reddedin ve gerekli çıkış (egress) trafiğine açıkça izin verin; kod olarak ilke (policy-as-code), yanal hareketi (lateral movement) önler.
  • Özel kümeler (Private clusters): API sunucusunu özel yapın ve yalnızca özel uç noktalar (private endpoints) aracılığıyla erişilebilir kılın. Yönetim düzlemini (management plane) internetten uzak tutmak için Azure Bastion/Private Link ve bir güvenlik duvarı çıkış stratejisi (NAT Gateway + UDR’ler) ile eşleştirin.

• Container Registry (ACR) güvenliği:

  • RBAC: Yalnızca imaj çekmesi gereken iş yüklerine AcrPull ve derleme işlem hatlarına (build pipelines) AcrPush atayın; aşırı ayrıcalıklı Owner rolünden kaçının. AcrPull ve AcrPush, en az ayrıcalık ilkesiyle uyumludur.
  • İçerik güveni ve imzalama: Pod’lar başlamadan önce imajları cosign ile imzalayın ve giriş denetimi (admission control) (Gatekeeper + Ratify) ile doğrulamayı zorunlu kılın. Bu, kurcalanmış imajlara karşı koruma sağlar.
  • İmaj tarama: ACR’yi push/import sırasında ve belirli bir program dahilinde taramak için Microsoft Defender for Cloud’u etkinleştirin. Giriş ilkelerini (admission policies) kullanarak kritik, yamalanmamış CVE’lere sahip imajların dağıtımını engelleyin.
  • Karantina deseni: Yeni imajları karantinaya alınmış bir depoya veya etikete yönlendirin, tarama ve ilke kontrollerini çalıştırın, ardından onaydan sonra yeniden etiketleyerek terfi ettirin.
  • Özel erişim: Genel ağ erişimini devre dışı bırakın ve özel uç noktalar (private endpoints) ile kayıt defteri güvenlik duvarı kurallarını kullanın. Bir dizin rolü yerine kaynak düzeyinde bir rol ataması kullanarak AKS’yi ACR’ye bağlayın.

Kümenin yönetilen kimliğini kullanarak ACR’yi AKS’ye bağlamak için kısa bir örnek:

az aks update -g rg-aks -n myAKS --attach-acr myAcrName

• Microsoft Defender for Containers: AKS’e bir veri düzlemi sensörü dağıtır, Kubernetes denetim günlüklerini ve çalışma zamanı sinyallerini izler ve imaj tarama sonuçlarıyla ilişkilendirir. Pod’lara şüpheli ’exec’ komutları, kripto madenciliği, dışa açık panolar ve riskli kontrol düzlemi operasyonlarını tespit eder. Otomatik provizyonu etkinleştirin ve önceliklendirme (triage) için uyarıları SIEM/SOAR’ınıza bağlayın.

Yönetişim, İlke ve Zorlama

Tutarlı kontrol, hem dağıtım sırasında hem de çalışma zamanında ilke gerektirir.

• İşlem ve diskler için Azure Policy:
  • Trusted launch veya CMK ile SSE olmadan VM oluşturulmasını engelleme.
  • Gerekli aracıları otomatik olarak yüklemek için DeployIfNotExists kullanarak uç nokta koruması için VM uzantılarını zorunlu kılma.
  • Konuk yapılandırma uyumluluğunu denetleme; sapmaları belirli bir programa göre düzeltme.

Eksik olan gerekli bir VM uzantısını dağıtmak için kısa ilke parçacığı:

"policyRule": {
  "if": { "field": "type", "equals": "Microsoft.Compute/virtualMachines" },
  "then": {
    "effect": "DeployIfNotExists",
    "details": {
      "type": "Microsoft.Compute/virtualMachines/extensions",
      "name": "MDE.Windows"
    }
  }
}

• Kubernetes kabul denetimleri:
  • AKS için Azure Policy eklentisi, kabul sırasında pod özelliklerini değerlendirmek için Gatekeeper (OPA) kullanır. “Yalnızca ACR’den çek”, “ayrıcalıklı container yok” ve “imaj imzaları gerekli” gibi kuralları zorunlu kılma.
  • Aşamalı sıkılaştırmaya olanak tanımak için temel (olmazsa olmaz) ve güçlendirilmiş (hassas ad alanları) için ayrı girişimleri sürdürme.

Kayıt defterlerini kısıtlamak için kısa Gatekeeper kısıtlaması:

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sAllowedRepos
metadata:
  name: allowed-acr-only
spec:
  parameters:
    repos:
    - myacr.azurecr.io/

• Operasyonel işleyiş:
  • Tespit Et: Sapma ve tehdit sinyalleriniz olarak Defender for Cloud önerilerini ve iş yükü uyarılarını kullanın.
  • Karar Ver: İş etkisine ve istismar edilebilirliğe göre önceliklendirin; etiketler aracılığıyla sahipler atayın.
  • Zorla: Başarılı pilot uygulamaları engelleme ilkelerine/kabul kısıtlamalarına dönüştürün; gölge BT’yi tespit etmek için engellenen denemeleri ölçün.

Pratik Problem Senaryosu

Adobe Inc., bir ödeme mikro hizmetini Azure’a taşıyor. Güvenlik gereksinimleri, sıfır genel erişim, yalnızca imzalı imajlar ve geçiş sırasında eski VM’lere zaman sınırlı yönetici erişimi zorunlu kılıyor.

1. AKS kontrol düzlemini özel yapın ve giden trafiği (egress) kilitleyin.

• Gerekçe: Özel bir AKS API sunucusu, yönetim düzlemini internetten kaldırır. Açık giden kurallara sahip bir NAT Gateway ve Azure Firewall, iş yüklerinin yalnızca onaylanmış uç noktalara (ACR, Key Vault, Microsoft paket depoları) ulaşmasını sağlar.

2. İmzalı imajları zorunlu kılın ve kayıt defterlerini kısıtlayın.

• Gerekçe: Gatekeeper’ı yalnızca myacr.azurecr.io adresinden gelen imajlara izin veren ve Ratify tarafından doğrulanan cosign imzalarını gerektiren kısıtlamalarla yapılandırın. Bu, üzerinde oynanmış veya güvenilmeyen imajların çalışmasını engelleyerek önemli bir tedarik zinciri riskini ortadan kaldırır.

3. ACR’yi özel uç noktalar ve en az ayrıcalık rolleriyle güvence altına alın.

• Gerekçe: Genel ağ erişimini devre dışı bırakın ve ACR’yi AKS VNet’indeki özel bir uç nokta aracılığıyla kullanıma sunun. AKS yönetilen kimliğine yalnızca AcrPull izni verin; derleme işlem hattına AcrPush izni verin. Bu, en az ayrıcalık ilkesine uyar ve internet bağımlılığını ortadan kaldırır.

4. Defender for Containers ve ACR imaj taramasını etkinleştirin.

• Gerekçe: Push sırasında sürekli imaj taraması ve çalışma zamanı tehdit tespiti, katmanlı bir koruma sağlar. Uyarılar, hızlı müdahale için yanlış yapılandırmaları, bilinen güvenlik açıklarını ve şüpheli davranışları birleştirir.

5. App Service tabanlı yönetici araçlarını kimlik doğrulama ve özel erişimle koruyun.

• Gerekçe: MFA ve Koşullu Erişimi zorunlu kılmak için Microsoft Entra ID ile App Service Kimlik Doğrulaması’nı kullanın. Yönetici uygulaması için özel bir uç nokta oluşturun ve scm erişimini ayrı olarak kısıtlayın. Yönetilen kimlikler, Key Vault erişimi için gizli anahtarları ortadan kaldırır.

6. Geçiş sırasında eski ana bilgisayarlar için Tam Zamanında (Just-in-Time) VM erişimi kullanın.

• Gerekçe: JIT, varsayılan olarak RDP/SSH’yi kapatır ve yalnızca onaylanmış istekler üzerine sınırlı süreler için açar. Bu, acil durum erişimini korurken maruz kalma pencerelerini sıkı bir şekilde sınırlar.

7. Şifreleme seçeneklerini standartlaştırın: Diskler için CMK ile SSE; VM’ler için Trusted Launch.

• Gerekçe: CMK ile SSE, operasyonel yükü en aza indirir ve anahtar yaşam döngüsünü Key Vault’ta merkezileştirirken, Trusted Launch/vTPM önyükleme bütünlüğü ve anahtar koruması ekler. ADE, yalnızca konuk tabanlı kripto alanı kanıtının sözleşmeyle zorunlu kılındığı durumlar için ayrılmıştır.

8. Koruma mekanizmaları olarak Azure Policy ve kabul denetimini uygulayın.

• Gerekçe: Azure Policy girişimleri, trusted launch’u, gerekli VM uzantılarını zorunlu kılar ve genel ACR/Function erişimini engeller. Gatekeeper kısıtlamaları, AKS için çalışma zamanı kabul denetimlerini uygular. Birlikte, ekipler yineleme yaptıkça yapılandırmaların uyumlu kalmasını sağlarlar.

9. Sürekli yönetişim ile doğrulayın ve işletin.

• Gerekçe: Defender for Cloud ve MDE uyarılarını Adobe’nin SIEM sistemine bağlayın, ilke etkisini (engelleme vs. denetleme) ölçün ve istisnaları aylık olarak gözden geçirin. Bu, tek seferlik denetimleri kalıcı bir güvenlik operasyon modeline dönüştürür.

← Ağ Güvenliği Mimarisi · Tüm alanlar · Veri →

Bu soruları çözün → · ExamRoll.io’da süreli pratik →

Microsoft'a göz atın →