Microsoft AZ-500: Ağ Güvenliği Mimarisi — Çalışma kılavuzu

By Laurynas Brazys · 11 August 2026 · #microsoft #az-500 #certification #exam-prep #study-guide

Şunun bir parçası: Microsoft Azure Security Engineer Associate AZ-500 — Çalışma kılavuzu. Doğrulanmış cevaplarla şurada pratik yapın: Microsoft sınav merkezi, veya şurada süreli deneme sınavları çözün: ExamRoll.io.

Genel Bakış

Azure ağ güvenliği mimarisi, en az ayrıcalıklı bağlantıyı zorunlu kılar, ihlalin varsayıldığı bir yaklaşımla çalışır ve sürekli izlemeyi araçsallaştırır. Sanal ağlar içinde mikro segmentasyonu, doğu-batı ve çıkış trafiği için durum bilgili kontrol düzlemlerini, internete yönelik uç noktalar için sınır korumalarını ve PaaS’a özel erişimi birleştirir. Sağlam tasarımlar, güçlü ağ sınırlarını, açık yönlendirmeyi ve doğrulanabilir telemetriyi korurken uygulama katmanında kimlik tabanlı erişime öncelik verir.

Sanal Ağ Kontrolleri ve Segmentasyon

Alt ağlar (subnet) ilk segmentasyon sınırıdır. Benzer güven, yaşam döngüsü ve politikaya sahip iş yüklerini aynı alt ağa yerleştirin; katmanları (web, uygulama, veri) ayırarak bağımsız politikalar ve rotalar uygulayabilmenizi sağlayın. Yönetim araçlarını, atlama sunucularını (jump host) ve iş yüklerini karıştıran düz “paylaşılan” alt ağlardan kaçının; bunlar politikayı karmaşıklaştırır ve etki alanını (blast radius) genişletir.

Network Security Groups (NSG’ler), alt ağ veya NIC başına durum bilgili L3–L4 filtrelemesi uygular. Gelen ve giden kurallar önceliğe göre (düşük sayı önce) değerlendirilir ve sonunda örtük bir DenyAll (Tümünü Reddet) bulunur. NSG’ler durum bilgilidir: izin verilen akışlara verilen yanıtlar otomatik olarak kabul edilir, bu nedenle geçici (ephemeral) port kurallarına nadiren ihtiyaç duyarsınız. Operasyonel olarak, geniş kapsamlı kontroller için NSG’leri alt ağlara bağlayın, ardından kritik NIC’ler üzerinde ince ayar yapın. Herhangi bir “geçici” izin için sahibini, amacını ve son kullanma tarihini daima belgeleyin.

Application Security Groups (ASG’ler), VM gruplarına IP yerine adla referans vermenizi sağlar, böylece kurallar ölçeklendirme ve IP değişimlerinden etkilenmez. VM’leri rol tabanlı ASG’lere (ör. asg-web, asg-app) etiketleyin ve “asg-web → asg-app TCP 443” gibi politikaları ifade edin. Bu, kural karmaşasını ve operasyonel sapmayı azaltır.

Etkin güvenlik kuralları, hem bir NIC’e hem de onun alt ağına uygulanan NSG’lerin birleştirilmesinden kaynaklanır. En spesifik eşleşen izin/reddetme (önceliğe göre) kazanır. Dağıtım pencerelerinden önce çakışan girişleri yakalamak için portaldaki “Etkin güvenlik kuralları” (Effective security rules) ile veya Network Watcher IP akış doğrulaması (IP flow verify) aracılığıyla doğrulama yapın.

Hizmet etiketleri (Service tags) (ör. AzureLoadBalancer, Storage, Sql, Internet, VirtualNetwork) Microsoft tarafından korunur ve büyük, dinamik IP alanlarını kararlı kural hedeflerine indirger. Hizmet IP’lerinin rotasyonu sırasında kesintileri önlemek için manuel IP listeleri yerine hizmet etiketlerini tercih edin. Örneğin, geniş İnternet erişimini reddederken çıkış trafiğini Storage ve Sql ile kısıtlayın.

Mikro segmentasyon ve Sıfır Güven (Zero Trust) şu şekilde gerçekleştirilir:

• Varsayılan olarak reddet (deny-by-default) NSG’leri uygulayarak ve yalnızca açık, minimal yolları açarak.
• İş yükü amacını kodlamak için ASG’leri kullanarak.
• Azure Firewall aracılığıyla hizmet etiketleri veya FQDN tabanlı filtreleme ile çıkış trafiğini kısıtlayarak.
• “Sunucularda genel IP olmaması” kuralını uygulayarak ve tüm çıkış trafiğini kontrollü bir denetim noktasından yönlendirerek.

Örnek: ASG’ler ile web’den uygulamaya TLS üzerinden izin veren bir NSG kuralı oluşturun ve niyeti belgelemek için diğer her şeyi örtük reddetmeden daha yüksek bir öncelikle açıkça reddedin.

az network nsg rule create \
  --resource-group rg-sec \
  --nsg-name nsg-app \
  --name allow-web-to-app-443 \
  --priority 200 \
  --direction Inbound \
  --access Allow \
  --protocol Tcp \
  --source-asgs asg-web \
  --destination-asgs asg-app \
  --destination-port-ranges 443

Ağ Güvenliği Hizmetleri ve Sınır Koruması

Azure Firewall, merkezi politikaya sahip, tamamen durum bilgili, yüksek erişilebilirliğe sahip bir güvenlik duvarıdır. Şu amaçlarla kullanın:

• NSG’lerin yetersiz kaldığı durumlarda (alan adları, TLS denetimi) doğu-batı ve çıkış trafiği kontrolü.
• Application Gateway’in uygun olmadığı durumlarda sınırlı gelen maruziyet için DNAT.
• Merkezi loglama ve tehdit istihbaratı.

Kural koleksiyonu grupları, değerlendirme sırasını tanımlayan önceliklere sahip kural koleksiyonları (Ağ, Uygulama, NAT) içerir. Bir grup içinde, daha düşük öncelikli koleksiyonlar önce değerlendirilir; kurallar en spesifik kritere göre eşleştirilir. Gelen trafiği deterministik olarak yakalamak için DNAT kurallarını en yüksek değerlendirme önceliğine sahip kendi gruplarında tutun.

• Ağ kuralları 5’li (IP/port/protokol) bilgiye göre filtreleme yapar.
• Uygulama kuralları FQDN, URL kategorileri (Premium) ile filtreleme yapar ve FQDN etiketlerini kullanabilir.
• NAT kuralları, gelen senaryolar için genel adresleri/portları özel adreslere/portlara çevirir.

Tehdit istihbaratı tabanlı filtreleme, bilinen kötü IP’leri/alan adlarını engeller. İlk temel yapılandırma sırasında Uyarı (Alert) modunda çalıştırın, ardından yanlış pozitifler giderildikten sonra Reddet (Deny) moduna geçin.

Premium özellikler şunları ekler:

• Giden ve gelen şifre çözme ile TLS denetimi, L7 görünürlüğü ve IDPS’yi etkinleştirir.
• İmza ve güvenlik açığı önceliklendirmesi ile Saldırı Tespit ve Önleme Sistemi (IDPS).
• Ayrıntılı çıkış trafiği kontrolü için URL filtreleme ve web kategorileri.
• Gelişmiş sertifika ve TLS politika kontrolleri.

Operasyonel olarak, güvenlik duvarını özel bir alt ağda (AzureFirewallSubnet) izole edin, internete giden tüm trafiği UDR’ler ile ona yönlendirin ve Availability Zones’u etkinleştirin. Ölçeklenebilir yönetim, kalıtım ve paylaşılan bir temel politika ile Geliştirme/Test ayrışması için Firewall Policy’yi (klasik kurallar yerine) kullanın.

Web Application Firewall (WAF), L7 saldırılarını (SQLi, XSS) azaltır.

• Application Gateway üzerinde WAF, bölgesel uygulamaları uçtan uca TLS ve site başına politikalarla korur; istemci TLS’ini sonlandırır ve isteğe bağlı olarak arka uca (backend) yeniden şifreler.
• Azure Front Door üzerinde WAF, entegre CDN, bot korumaları ve coğrafi kontrollerle küresel olarak dağıtılmış uygulamaları sınırda (edge) korur.

WAF politikaları oluşturun ve bunları ağ geçitlerine, dinleyicilere (listener) veya rotalara ilişkilendirin. İnce ayar yapmak için başlangıçta Algılama (Detection) modunu, ardından engellemek için Önleme (Prevention) modunu seçin. Yönetilen kural setlerini (OWASP 3.x) kullanın ve hız limitleri veya IP aralıkları için özel kurallar ekleyin. Genel korumayı zayıflatmadan yanlış pozitifleri azaltmak için istisnaları (ör. belirli JSON alanları veya başlıklar) yapılandırın.

Distributed Denial of Service (DDoS):

• Basic, her zaman açık bir platform korumasıdır ancak kaynak başına telemetri veya azaltma ayarı sunmaz.
• DDoS Protection: Network Protection, genel IP başına uyarlanabilir ayarlama, otomatik azaltma, saldırı analizi, uyarı, maliyet koruma kredisi ve DDoS Hızlı Yanıt (DDoS Rapid Response) ekibine erişim ekler.

Genel IP’leri (Standard SKU) barındıran VNet’lerde Network Protection’ı etkinleştirin. Saldırı vektörlerini, azaltma yaşam döngüsünü ve etkinliği gözlemlemek için telemetriyi (Metrikler, Tanılama günlükleri) kullanın. Hacimsel yükü absorbe etmek için korunan kaynakları yük dengeleyicilerin veya Application Gateway’in arkasında mimari olarak konumlandırın ve doğrudan genel maruziyeti en aza indirin. Katmanlı savunma için WAF ve DDoS’u birleştirin.

Özel Erişim, Hibrit Bağlantı ve Yönlendirme

Private Link ve özel uç noktalar (private endpoints), VNet’inizden PaaS hizmetlerine özel IP erişimi sağlar. Özel uç nokta, alt ağınızda (subnet) bulunan ve PaaS kaynağına eşlenmiş bir NIC’dir; trafik Microsoft’un omurga ağında (backbone) kalır. Operasyonel adımlar:

• Atlamaları (bypass) önlemek için PaaS kaynağında genel ağ erişimini devre dışı bırakın.
• Sorunsuz ad çözümlemesi (name resolution) için özel DNS bölgeleri (örneğin, privatelink.blob.core.windows.net) dağıtın ve bunları VNet’lere bağlayın.
• Onayları merkezi olarak yönetin; manuel onay iş akışıyla abonelik/kiracı (subscription/tenant) izolasyonunu göz önünde bulundurun.

Hizmet uç noktaları (Service endpoints), alt ağ kimliğinizi PaaS kaynaklarına genel IP’leri üzerinden genişletir ve PaaS güvenlik duvarının erişimi belirli alt ağlarla kısıtlamasına olanak tanır. Özel IP’ler oluşturmazlar, bu nedenle giden trafik (egress) genel uçtan (public edge) geçer ancak Microsoft ağı içinde kalır. Yalnızca onaylanmış depolama hesaplarına izin vermek için hizmet uç noktası ilkelerini (service endpoint policies) kullanın. IaaS VM’ler üzerindeki konteynerleştirilmiş iş yükleri için, pod/konteyner IP’lerinin alt ağdan gelmesi amacıyla Azure CNI kullanıldığından emin olun; aksi takdirde hizmet uç noktası kaynağı tanımaz ve erişim başarısız olabilir.

DNS çözümleme stratejisi:

• Private Link için, DNS yolunuzun PaaS FQDN’ini özel uç noktaya çözümlediğinden emin olun. Hibrit yönlendirme (hybrid forwarding) için Azure Özel DNS bölgelerini (Azure Private DNS zones), şirket içi (on-prem) DNS üzerinde koşullu ileticileri (conditional forwarders) veya Azure DNS Private Resolver’ı kullanın.
• Aralıklı genel çözümlemeyi (intermittent public resolution) önlemek için yetkili (authoritative) split-horizon eşlemelerini net tutun.

Hibrit bağlantı:

• VPN Gateway: Siteden siteye (site-to-site) bağlantılar için IKEv2 ve güçlü şifreleme algoritmaları (strong ciphers) ile rota tabanlı (route-based) VPN kullanın. Rotaları dinamik olarak değiş tokuş etmek, büyümeyi ve yük devretmeyi (failover) basitleştirmek için BGP kullanın. Çakışan adres alanları (overlapping address spaces) olduğunda VPN NAT uygulayın. Zorunlu tünelleme (forced tunneling) için, şirket içinden BGP aracılığıyla 0.0.0.0/0 rotasını anons edin veya 0/0 trafiğini sanal bir cihaza (virtual appliance) gönderen UDR’ler uygulayın; gerektiğinde PaaS özel aralıkları için bir istisna rotası (exception route) olduğundan emin olun.
• ExpressRoute: Özel bağlantı sağlar; şifreleme doğal olarak mevcut değildir. Gizlilik için MACsec (ExpressRoute Direct için) kullanın veya ER üzerinden IPsec çalıştırın. Microsoft peering için BGP community’lerini ve rota filtrelerini (route filters) kullanın. Dayanıklılık (resiliency) için devreler arasında ECMP ile aktif-aktif (active-active) yapıyı destekleyin. Zorunlu tünelleme için, şirket içinden gelen varsayılan rotaları (default routes) kabul edin ve çakışan UDR’lerin internet yollarını kara deliğe (blackhole) çevirmediğinden emin olun.

Kullanıcı tanımlı rotalar (UDR’ler), NVA’lar ve öncelik:

• Rota seçimi en uzun ön ek eşleşmesini (longest prefix match), ardından kaynağı kullanır: UDR > BGP > sistem. Yanlış uygulanmış 0/0 UDR’leri geri dönüş yollarını kara deliğe çevirebilir; Network Watcher’ın sonraki atlama (next-hop) özelliği ile doğrulayın.
• NVA’lar için, NIC’lerde IP iletmeyi (IP forwarding) etkinleştirin ve şeffaf, ölçeklenebilir bir şekilde araya eklemek (insertion) için bir yük dengeleyicinin (load balancer) veya Gateway Load Balancer’ın arkasına yerleştirin. Yönetilen senaryolar için Azure Firewall’u tercih edin; satıcıya özgü özellikler gerektiğinde, birden çok kullanılabilirlik alanı (availability zones) ve sağlık denetimli (health-probed) yük dengeleme ile yüksek kullanılabilirlik (HA) tasarlayın.

Güvenli Yönetim, İzleme ve Telemetri

Güvenli yönetimsel bağlantı:

• Azure Bastion, VM genel IP’lerini ifşa etmeden portal veya yerel istemci üzerinden TLS ile RDP/SSH sağlar. Ölçeklendirme, IP tabanlı bağlantılar ve paylaşılabilir bağlantılar için Standard SKU’yu kullanın. Bastion erişimini RBAC ve Just-in-Time ile kısıtlayın.
• Just-in-Time VM erişimi (Defender for Cloud), NSG’lerdeki yönetim portlarını kapatır ve onay ile kaynak IP limitleri dahilinde, zaman kısıtlı bir istekle açar. Genel IP’siz bir duruş ve hassas bir denetim izi için Bastion ile birleştirin.

Network Watcher, operasyonel doğrulama ve adli analiz (forensics) sağlar:

• NSG akış günlükleri (v2), depolama alanına yazar ve en çok konuşanlar (top talkers), izin verilen/reddedilen akışlar ve coğrafya hakkında içgörüler için Log Analytics’teki Traffic Analytics’e gönderilebilir.
• Connection troubleshoot, uçtan uca bağlantıyı aktif olarak test eder ve bir yolun nerede engellendiğini (NSG, UDR, DNS, güvenlik duvarı) raporlar.
• Paket yakalama (Packet capture), isteğe bağlı olarak veya uyarılarla tetiklenebilir; depolamayı azaltmak ve yalnızca ilgili portları yakalamak için halka arabellekler (ring buffers) kullanın.
• Effective routes ve IP flow verify, UDR’ler, BGP ve NSG’ler arasındaki çalışma zamanı kararlarını haritalandırır; bu kontrolleri CI/CD ön kontrollerinde (preflight) otomatikleştirin.

NSG akış günlüklerini ve analitiğini hızla etkinleştirin:

az network watcher flow-log configure \
  --resource-group rg-sec \
  --nsg nsg-app \
  --enabled true \
  --traffic-analytics true \
  --storage-account saflowlogs \
  --workspace /subscriptions/<sub>/resourceGroups/rg-la/providers/Microsoft.OperationalInsights/workspaces/la-workspace

Pratik Problem Senaryosu

Starbucks, bir sipariş yönetim platformunu Azure’a modernize ediyor. Güvenlik hedefleri: uygulama/veri katmanlarında genel IP olmaması, sıkı çıkış (egress) trafiği kontrolü, küresel web koruması ve operasyonel görünürlük.

1. Her bölge için üç alt ağ oluşturun: web, app, data. Her birinin kendi NSG’si ve rol odaklı ASG’leri olsun.

Gerekçe: ASG’ler ile alt ağ tabanlı mikro segmentasyon, en az ayrıcalık ilkesine uygun akışları (web→app 443, app→data 1433) kodlar ve patlama yarıçapını (blast radius) azaltır. Katman başına ayrı NSG’ler, yanlışlıkla ilke eşleşmesini önler.

2. OWASP 3.x ve oran sınırlama (rate limiting) ile coğrafi kısıtlamalar için özel kurallar kullanarak, Önleme (Prevention) modunda bir WAF ilkesiyle Azure Front Door Standard/Premium dağıtın.

Gerekçe: Küresel uç (edge) koruması, hacimsel trafiği emer, yaygın L7 saldırılarını bölgeye ulaşmadan engeller ve anycast aracılığıyla gecikmeyi azaltır. Uç noktadaki WAF ilkeleri, bölgeler arasında tutarlı bir uygulama sağlar.

3. Her bölgede web katmanının önüne WAF v2 içeren bir Application Gateway yerleştirin; TLS’i App Gateway’de sonlandırın ve arka uca (backend) yeniden şifreleyin.

Gerekçe: Bölgesel L7 yönlendirme ve WAF, Front Door’u tamamlayarak arka uçlara uygulama başına mTLS, çerez tabanlı benzeşim (cookie-based affinity) ve mavi/yeşil dağıtımları mümkün kılarken denetim yeteneğini korur.

4. DDoS Korumasını Etkinleştirin: Application Gateway genel IP’lerini içeren VNet’lerde Network Protection’ı etkinleştirin.

Gerekçe: Uyarlanabilir IP başına azaltma, telemetri ve maliyet koruması, bölgesel giriş noktalarını hedefleyen hacimsel saldırılardan kaynaklanan riski azaltır. VNet kapsamlandırması, mevcut ve gelecekteki tüm genel IP’lerin kaynak başına yapılandırma olmadan korunmasını sağlar.

5. Güvenli bir hub’da Azure Firewall Premium dağıtın; uygulama ve veri alt ağlarından gelen tüm çıkış (egress) trafiğini UDR’ler ile ona yönlendirin. Giden trafik için TLS denetimini ve IDPS’yi etkinleştirin ve yalnızca gerekli FQDN’lere izin verecek şekilde uygulama kurallarını yapılandırın.

Gerekçe: Şifre çözme ve imza tabanlı tespit ile merkezi çıkış kontrolü, komuta-kontrol (command-and-control) ve veri sızdırmayı önler. Uygulama kuralları, IP tabanlı kurallara göre bakımı azaltır ve Sıfır Güven (Zero Trust) çıkış trafiği ilkesiyle uyumludur.

6. Azure SQL ve Storage için Private Link kullanın; genel ağ erişimini devre dışı bırakın ve tüm VNet’lere bağlı özel DNS bölgeleri (private DNS zones) yapılandırın. Konteynerleştirilmiş iş yükleri için Azure CNI kullanın.

Gerekçe: Özel uç noktalar (Private endpoints), veri yollarını omurga ağında (backbone) tutar ve genel erişimi ortadan kaldırır. Özel DNS, sorunsuz ad çözümlemesi sağlar. Azure CNI, pod IP’lerinin alt ağdan kaynaklanmasını garanti eder, böylece Private Link ve hizmet uç noktaları (service endpoints) doğru şekilde çalışır.

7. Aktif-aktif modda çift devre ile ExpressRoute kurun ve şirket içi (on-prem) rotaları BGP ile anons edin; hassas trafik için ER üzerinden IPsec’i etkinleştirin. Başlangıçta 0/0 anons etmeyin; önce bir hazırlık (staging) alt ağında zorunlu tünellemeyi (forced tunneling) pilot olarak deneyin.

Gerekçe: ER, öngörülebilir, özel bağlantı sağlar; katmanlı şifreleme, yüksek hassasiyetli akışları korur. Zorunlu tünellemenin kontrollü bir şekilde devreye alınması, yanlışlıkla internet karadelikleri (internet blackholing) oluşmasını önler ve istisna rotalarını doğrular.

8. Azure Bastion aracılığıyla yönetimsel erişim sağlayın ve tüm VM’lerde Just-in-Time’ı zorunlu kılın; sunuculardan tüm genel IP’leri kaldırın.

Gerekçe: En az ayrıcalık ilkesiyle uyumlu, denetlenebilir, zaman kısıtlı erişimi korurken, açıkta kalan yönetim yüzeylerini ortadan kaldırır.

9. NSG akış günlüklerini ve Traffic Analytics’i açın, Firewall ve WAF tanılama verilerini Log Analytics’e gönderecek şekilde yapılandırın ve DDoS azaltmaları ile WAF engelleme artışları için uyarılar ayarlayın.

Gerekçe: Birleşik telemetri, proaktif tespit, kapasite planlaması ve hızlı olay müdahalesi sağlar. Anomali desenleri üzerine uyarı ayarlamak, saldırıları ve yanlış yapılandırmaları erken yakalar.

10. NIC’lerde genel IP’leri reddetmek, tüm alt ağlarda NSG’leri zorunlu kılmak ve DDoS etkinleştirilmemiş VNet’leri denetlemek için Azure Policy uygulayın; ilke kontrollerini CI/CD’ye entegre edin.

Gerekçe: Yapılandırma kaymasını (drift) önler, ölçekte koruma bariyerlerini (guardrails) uygular ve güvenli varsayılanları gelecekteki iş yükleri için tekrarlanabilir hale getirir.

← Kimlik ve Erişim Yönetimi · Tüm alanlar · İşlem →

Bu soruları çözün → · ExamRoll.io’da süreli pratik →

Microsoft'a göz atın →