AZ-500 : Guide d'étude sur les technologies de sécurité Microsoft Azure

Vue d'ensemble de l'examen

• Certification : Associé en Ingénierie de Sécurité Microsoft Azure
• Code d'examen : AZ-500
• Public cible : Ingénieurs de sécurité mettant en œuvre, gérant et surveillant la sécurité des ressources Azure
• Expérience requise : Expérience pratique en administration Azure, bonne connaissance de Microsoft Entra ID, du calcul, du réseau et du stockage

Compétences évaluées (à compter du 31 janvier 2025)

1. Sécuriser l'identité et l'accès (15-20%)

Gérer les contrôles de sécurité pour l'identité et l'accès

• Gérer les attributions de rôles intégrés d'Azure
• Gérer les rôles personnalisés (rôles Azure et rôles Microsoft Entra)
• Mettre en œuvre et gérer la gestion des autorisations Microsoft Entra
• Planifier et gérer les ressources Azure dans la gestion des identités privilégiées Microsoft Entra
• Mettre en œuvre l'authentification multifactorielle (MFA) pour les ressources Azure
• Mettre en œuvre des politiques d'Accès Conditionnel pour les ressources cloud
• Gérer l'accès aux applications Microsoft Entra

Gérer l'accès aux applications Microsoft Entra

• Gérer l'accès aux applications d'entreprise (y compris les octrois d'autorisations OAuth)
• Gérer les inscriptions d'applications Microsoft Entra
• Configurer les étendues d'autorisation des inscriptions d'applications
• Gérer le consentement aux autorisations des inscriptions d'applications
• Gérer et utiliser les principaux de service
• Gérer les identités gérées

2. Sécuriser le réseau (20-25%)

Planifier et mettre en œuvre la sécurité des réseaux virtuels

• Planifier et mettre en œuvre des groupes de sécurité réseau (NSG) et des groupes de sécurité d'application (ASG)
• Gérer des réseaux virtuels à l'aide du gestionnaire de réseau virtuel Azure
• Planifier et mettre en œuvre des routes définies par l'utilisateur (UDR)
• Planifier et mettre en œuvre le peering de réseau virtuel ou la passerelle VPN
• Planifier et mettre en œuvre le réseau étendu virtuel (y compris le hub virtuel sécurisé)
• Sécuriser la connectivité VPN (point à site et site à site)
• Mettre en œuvre le chiffrement sur ExpressRoute
• Configurer les paramètres de pare-feu sur les ressources Azure
• Surveiller la sécurité réseau à l'aide de Network Watcher

Planifier et mettre en œuvre la sécurité pour l'accès privé aux ressources Azure

• Planifier et mettre en œuvre les points de terminaison de service de réseau virtuel
• Planifier et mettre en œuvre les points de terminaison privés
• Planifier et mettre en œuvre les services de liaison privée
• Planifier et mettre en œuvre l'intégration réseau pour App Service et Functions
• Configurations de sécurité réseau pour l'environnement App Service (ASE)
• Configurations de sécurité réseau pour l'instance managée Azure SQL

Planifier et mettre en œuvre la sécurité pour l'accès public aux ressources Azure

• Planifier et mettre en œuvre le TLS pour les applications (App Service, API Management)
• Planifier, mettre en œuvre et gérer Azure Firewall (y compris Firewall Manager)
• Planifier et mettre en œuvre Azure Application Gateway
• Planifier et mettre en œuvre Azure Front Door (y compris CDN)
• Planifier et mettre en œuvre le pare-feu d'applications web (WAF)
• Recommander quand utiliser la protection DDoS Azure Standard

3. Sécuriser le calcul, le stockage et les bases de données (20-25%)

Planifier et mettre en œuvre une sécurité avancée pour le calcul

• Planifier et mettre en œuvre l'accès à distance aux machines virtuelles (Azure Bastion, accès juste-à-temps)
• Configurer l'isolation réseau pour Azure Kubernetes Service (AKS)
• Sécuriser et surveiller AKS
• Configurer l'authentification pour AKS
• Configurer la surveillance de la sécurité pour Azure Container Instances
• Configurer la surveillance de la sécurité pour Azure Container Apps
• Gérer l'accès au Registre de conteneurs Azure
• Configurer le chiffrement de disque (ADE, chiffrement sur l'hôte, chiffrement de disque confidentiel)
• Recommander les configurations de sécurité pour Azure API Management

Planifier et mettre en œuvre la sécurité du stockage

• Configurer le contrôle d'accès pour les comptes de stockage
• Gérer les clés d'accès aux comptes de stockage
• Sélectionner et configurer l'accès aux fichiers Azure
• Sélectionner et configurer l'accès au stockage d'objets blob Azure
• Se protéger contre les menaces de sécurité des données (suppression réversible, sauvegardes, contrôle des versions, stockage immuable)
• Configurer Bring Your Own Key (BYOK)
• Activer le double chiffrement au niveau de l'infrastructure de stockage Azure

Planifier et mettre en œuvre la sécurité pour Azure SQL Database et SQL Managed Instance

• Activer l'authentification de base de données Microsoft Entra
• Activer l'audit de base de données
• Planifier et mettre en œuvre le masquage dynamique
• Mettre en œuvre le chiffrement de données transparente (TDE)
• Recommander quand utiliser le chiffrement toujours actif d'Azure SQL Database

4. Sécuriser Azure à l'aide de Microsoft Defender pour le cloud et de Microsoft Sentinel (30-35%)

Mettre en œuvre et gérer l'application des politiques de gouvernance cloud

• Créer, attribuer et interpréter les politiques et initiatives dans Azure Policy
• Configurer les paramètres réseau de Key Vault
• Configurer l'accès à Key Vault (politiques d'accès au coffre et RBAC Azure)
• Gérer les certificats, secrets et clés
• Configurer la rotation des clés
• Sauvegarder et récupérer des certificats, secrets et clés
• Mettre en œuvre des contrôles de sécurité pour protéger les sauvegardes
• Mettre en œuvre des contrôles de sécurité pour la gestion des actifs

Gérer le niveau de sécurité à l'aide de Microsoft Defender pour le cloud

• Identifier et remédier aux risques de sécurité à l'aide du score de sécurité et de l'inventaire
• Évaluer la conformité aux référentiels de sécurité
• Gérer les normes de conformité
• Ajouter des normes personnalisées
• Connecter les environnements cloud hybrides et multi-cloud (AWS, GCP)
• Mettre en œuvre et utiliser la gestion de la surface d'attaque externe Microsoft Defender

Configurer et gérer la protection contre les menaces à l'aide de Microsoft Defender pour le cloud

• Activer les services de protection des charges de travail
• Configurer Microsoft Defender pour les serveurs, les bases de données et le stockage
• Mettre en œuvre et gérer l'analyse sans agent pour les machines virtuelles
• Mettre en œuvre et gérer la gestion des vulnérabilités Microsoft Defender
• Connecter et configurer Defender for Cloud DevOps Security (GitHub, Azure DevOps, GitLab)

Configurer et gérer les solutions de surveillance et d'automatisation de la sécurité

• Gérer et répondre aux alertes de sécurité dans Microsoft Defender pour le cloud
• Configurer l'automatisation des flux de travaux
• Surveiller les événements de sécurité réseau et les données de performance à l'aide de DCR dans Azure Monitor
• Configurer les connecteurs de données dans Microsoft Sentinel
• Activer les règles d'analyse dans Microsoft Sentinel
• Configurer l'automatisation dans Microsoft Sentinel

Principales ressources d'étude

Parcours d'apprentissage officiels Microsoft Learn

• Gérer l'identité et l'accès
• Mettre en œuvre la protection de la plateforme
• Sécuriser les données et les applications
• Gérer les opérations de sécurité

Documentation sur la sécurité

• Sécurité de l'identité Microsoft Entra
• Sécurité réseau Azure
• Sécurité du stockage Azure
• Microsoft Defender pour le cloud
• Microsoft Sentinel
• Azure Policy

Ressources de pratique

• Évaluation de pratique gratuite sur Microsoft Learn
• Laboratoires du Centre de sécurité Azure
• Laboratoire de formation Microsoft Sentinel
• Laboratoires pratiques sur la sécurité Azure

Détails de l'examen

• Score de passage : 700
• Format des questions : choix multiple, études de cas, glisser-déposer
• Durée de l'examen : 120 minutes (150 minutes pour les non-anglophones)
• Langues disponibles : Plusieurs langues, dont l'anglais, le japonais, le chinois, le coréen, l'allemand, le français, l'espagnol, le portugais
• Coût de l'examen : 165 $ USD (varie selon la région)

Principaux concepts de sécurité

Modèle Zero Trust

• Vérifier explicitement
• Accès avec privilèges minimaux
• Supposer une violation
• Microsegmentation
• L'identité comme périmètre de sécurité

Défense en profondeur

• Sécurité physique
• Identité et accès
• Sécurité périmétrique
• Sécurité réseau
• Couche de calcul
• Couche d'application
• Couche de données

Sécurité de l'identité

• Gestion des identités privilégiées (PIM)
• Accès conditionnel
• Protection des identités
• Examens d'accès
• Gestion des droits

Sécurité réseau

• Segmentation du réseau
• Mise en œuvre du réseau DMZ
• Points de terminaison de service vs points de terminaison privés
• Groupes de sécurité réseau
• Groupes de sécurité d'application

Protection des données

• Chiffrement au repos
• Chiffrement en transit
• Gestion des clés
• Classification des données
• Prévention des pertes de données

Principaux services de sécurité Azure

Microsoft Entra ID (anciennement Azure AD)

• Méthodes d'authentification
• Politiques d'accès conditionnel
• Protection des identités
• Gestion des identités privilégiées
• Gestion des applications

Azure Firewall

• Filtrage FQDN
• Règles réseau
• Règles d'application
• Renseignements sur les menaces
• Gestionnaire de pare-feu

Microsoft Defender pour le cloud

• Score de sécurité
• Conformité réglementaire
• Protection des charges de travail
• Gestion de la posture de sécurité cloud (CSPM)
• Plateforme de protection des charges de travail cloud (CWPP)

Microsoft Sentinel

• Connecteurs de données
• Règles d'analyse
• Playbooks (Logic Apps)
• Classeurs
• Chasse aux menaces

Azure Key Vault

• Gestion des secrets
• Gestion des clés
• Gestion des certificats
• Clés sauvegardées par HSM
• RBAC vs politiques d'accès au coffre

Meilleures pratiques de sécurité

Gestion des identités

• Activer la MFA pour tous les utilisateurs
• Utiliser PIM pour les rôles privilégiés
• Examens d'accès réguliers
• Mettre en œuvre l'accès conditionnel
• Utiliser des identités gérées

Sécurité réseau

• Mettre en œuvre une topologie hub-spoke
• Utiliser des NSG au niveau du sous-réseau
• Activer la protection DDoS
• Mettre en œuvre un WAF pour les applications web
• Utiliser des points de terminaison privés

Sécurité des données

• Activer le chiffrement par défaut
• Utiliser des clés gérées par le client
• Mettre en œuvre la classification des données
• Sauvegardes régulières et tests de restauration
• Activer la suppression réversible

Surveillance et réponse

• Activer la journalisation des diagnostics
• Configurer les alertes de sécurité
• Automatiser la réponse aux incidents
• Évaluations de sécurité régulières
• Activités de chasse aux menaces

Parcours de certification

• Prérequis : Azure Fundamentals (AZ-900) recommandé
• Renouvellement : Obligatoire tous les 12 mois via Microsoft Learn
• Certifications connexes :
  • Associé en administration Azure (AZ-104)
  • Expert en architecture de solutions Azure (AZ-305)
  • Analyste des opérations de sécurité (SC-200)

Conformité et gouvernance

• Azure Policy vs RBAC
• Tableau de bord de conformité réglementaire
• Azure Blueprints
• Verrous de ressources
• Groupes d'administration
• Gestion des coûts et étiquettes