AZ-500: Microsoft Azure 보안 기술 학습 가이드

시험 개요

• 자격증: Microsoft Azure 보안 엔지니어 준전문가
• 시험 코드: AZ-500
• 대상 사용자: Azure 리소스의 보안을 구현, 관리 및 모니터링하는 보안 엔지니어
• 필요 경험: Azure 관리 실무 경험, Microsoft Entra ID, 컴퓨팅, 네트워크 및 스토리지에 대한 깊이 있는 이해

측정 기술 (2025년 1월 31일 기준)

1. 신원 및 액세스 보안 (15-20%)

신원 및 액세스 보안 제어 관리

• Azure 기본 제공 역할 할당 관리
• 사용자 정의 역할(Azure 역할 및 Microsoft Entra 역할) 관리
• Microsoft Entra 권한 관리 구현 및 관리
• Microsoft Entra 특권 ID 관리를 통한 Azure 리소스 계획 및 관리
• Azure 리소스에 대한 다단계 인증(MFA) 구현
• 클라우드 리소스에 대한 조건부 액세스 정책 구현
• Microsoft Entra 애플리케이션 액세스 관리

Microsoft Entra 애플리케이션 액세스 관리

• 기업용 애플리케이션에 대한 액세스 관리(OAuth 권한 부여 포함)
• Microsoft Entra 앱 등록 관리
• 앱 등록 권한 범위 구성
• 앱 등록 권한 동의 관리
• 서비스 주체 관리 및 사용
• 관리 ID 관리

2. 네트워크 보안 (20-25%)

가상 네트워크 보안 계획 및 구현

• 네트워크 보안 그룹(NSG) 및 애플리케이션 보안 그룹(ASG) 계획 및 구현
• Azure Virtual Network Manager를 통한 가상 네트워크 관리
• 사용자 정의 경로(UDR) 계획 및 구현
• 가상 네트워크 피어링 또는 VPN 게이트웨이 계획 및 구현
• Virtual WAN(보안 가상 허브 포함) 계획 및 구현
• VPN 연결 보안(지점 간 및 사이트 간)
• ExpressRoute의 암호화 구현
• Azure 리소스의 방화벽 설정 구성
• Network Watcher를 통한 네트워크 보안 모니터링

Azure 리소스에 대한 프라이빗 액세스 보안 계획 및 구현

• 가상 네트워크 서비스 엔드포인트 계획 및 구현
• 프라이빗 엔드포인트 계획 및 구현
• 프라이빗 링크 서비스 계획 및 구현
• App Service 및 Functions에 대한 네트워크 통합 계획 및 구현
• App Service 환경(ASE)에 대한 네트워크 보안 구성
• Azure SQL Managed Instance에 대한 네트워크 보안 구성

Azure 리소스에 대한 공용 액세스 보안 계획 및 구현

• 애플리케이션에 대한 TLS 계획, 구현 및 관리(App Service, API Management)
• Azure Firewall(Firewall Manager 포함) 계획, 구현 및 관리
• Azure Application Gateway 계획 및 구현
• Azure Front Door(CDN 포함) 계획 및 구현
• 웹 애플리케이션 방화벽(WAF) 계획 및 구현
• Azure DDoS Protection Standard 사용 시기 권장

3. 컴퓨팅, 스토리지 및 데이터베이스 고급 보안 (20-25%)

컴퓨팅에 대한 고급 보안 계획 및 구현

• VM에 대한 원격 액세스 계획 및 구현(Azure Bastion, JIT)
• Azure Kubernetes Service(AKS)에 대한 네트워크 격리 구성
• AKS 보안 및 모니터링 구성
• AKS 인증 구성
• Azure Container Instances에 대한 보안 모니터링 구성
• Azure Container Apps에 대한 보안 모니터링 구성
• Azure Container Registry 액세스 관리
• 디스크 암호화(ADE, 호스트 암호화, 기밀 디스크 암호화) 구성
• Azure API Management에 대한 보안 구성 권장

스토리지 보안 계획 및 구현

• 스토리지 계정에 대한 액세스 제어 구성
• 스토리지 계정 액세스 키 관리
• Azure Files 액세스 선택 및 구성
• Azure Blob Storage 액세스 선택 및 구성
• 데이터 보안 위협으로부터 보호(일시 삭제, 백업, 버전 관리, 불변 스토리지)
• Bring Your Own Key(BYOK) 구성
• Azure Storage 인프라 수준에서의 이중 암호화 활성화

Azure SQL Database 및 SQL Managed Instance 보안 계획 및 구현

• Microsoft Entra 데이터베이스 인증 활성화
• 데이터베이스 감사 활성화
• 동적 마스킹 계획 및 구현
• 투명한 데이터 암호화(TDE) 구현
• Azure SQL Database Always Encrypted 사용 시기 권장

4. Microsoft Defender for Cloud 및 Microsoft Sentinel을 사용한 Azure 보안 (30-35%)

클라우드 거버넌스 정책 시행 및 관리

• Azure Policy에서 정책 및 이니셔티브 만들기, 할당 및 해석
• Azure Key Vault 네트워크 설정 구성
• Key Vault에 대한 액세스 구성(Key Vault 액세스 정책 및 Azure RBAC)
• 인증서, 비밀 및 키 관리
• 키 교체 구성
• 인증서, 비밀 및 키의 백업 및 복구 수행
• 백업을 보호하기 위한 보안 제어 구현
• 자산 관리를 위한 보안 제어 구현

Microsoft Defender for Cloud를 사용한 보안 태세 관리

• Secure Score 및 인벤토리를 사용하여 보안 위험 식별 및 시정
• 보안 프레임워크에 대한 준수 평가
• 규정 준수 표준 관리
• 사용자 지정 표준 추가
• 하이브리드 클라우드 및 멀티 클라우드 환경(AWS, GCP) 연결
• Microsoft Defender External Attack Surface Management 구현 및 사용

Microsoft Defender for Cloud를 사용한 위협 보호 구성 및 관리

• 워크로드 보호 서비스 활성화
• Microsoft Defender for Servers, Databases 및 Storage 구성
• VM에 대한 에이전트 없는 검사 구현 및 관리
• Microsoft Defender Vulnerability Management 구현 및 관리
• Defender for Cloud DevOps Security(GitHub, Azure DevOps, GitLab) 연결 및 구성

보안 모니터링 및 자동화 솔루션 구성 및 관리

• Microsoft Defender for Cloud의 보안 경고 관리 및 대응
• 워크플로 자동화 구성
• Azure Monitor의 DCR(Diagnostic Configurations Rules)을 사용한 네트워크 보안 이벤트 및 성능 데이터 모니터링
• Microsoft Sentinel의 데이터 커넥터 구성
• Microsoft Sentinel의 분석 규칙 활성화
• Microsoft Sentinel의 자동화 구성

주요 학습 자료

공식 Microsoft Learn 학습 경로

• 신원 및 액세스 관리
• 플랫폼 보호 구현
• 데이터 및 애플리케이션 보안
• 보안 운영 관리

보안 문서

• Microsoft Entra ID 보안
• Azure 네트워크 보안
• Azure 스토리지 보안
• Microsoft Defender for Cloud
• Microsoft Sentinel
• Azure Policy

실습 자료

• Microsoft Learn의 무료 연습 평가
• Azure Security Center 실습
• Microsoft Sentinel 교육 실험실
• Azure 보안 실습

시험 세부 정보

• 합격 점수: 700
• 문항 형식: 선다형, 사례 연구, 끌어놓기
• 시험 시간: 120분(비영어권 응시자 150분)
• 지원 언어: 영어, 일본어, 중국어, 한국어, 독일어, 프랑스어, 스페인어, 포르투갈어 등 다국어
• 시험 비용: $165 USD(지역별 상이)

주요 보안 개념

제로 트러스트 모델

• 명시적 검증
• 최소 권한 액세스
• 침해 가정
• 마이크로 세그멘테이션
• 보안 경계로서의 ID

다중 방어 접근법

• 물리적 보안
• ID 및 액세스
• 경계 보안
• 네트워크 보안
• 컴퓨팅 계층
• 애플리케이션 계층
• 데이터 계층

ID 보안

• 특권 ID 관리(PIM)
• 조건부 액세스
• ID 보호
• 액세스 검토
• 권한 관리

네트워크 보안

• 네트워크 세그멘테이션
• DMZ 구현
• 서비스 엔드포인트 vs 프라이빗 엔드포인트
• 네트워크 보안 그룹
• 애플리케이션 보안 그룹

데이터 보호

• 저장 시 암호화
• 전송 시 암호화
• 키 관리
• 데이터 분류
• 데이터 유출 방지

중요 Azure 보안 서비스

Microsoft Entra ID(이전 Azure AD)

• 인증 방법
• 조건부 액세스 정책
• ID 보호
• 특권 ID 관리
• 애플리케이션 관리

Azure Firewall

• FQDN 필터링
• 네트워크 규칙
• 애플리케이션 규칙
• 위협 정보
• Firewall Manager

Microsoft Defender for Cloud

• Secure Score
• 규제 준수
• 워크로드 보호
• 클라우드 보안 태세 관리(CSPM)
• 클라우드 워크로드 보호 플랫폼(CWPP)

Microsoft Sentinel

• 데이터 커넥터
• 분석 규칙
• Playbooks(Logic Apps)
• 워크북
• 위협 헌팅

Azure Key Vault

• 비밀 관리
• 키 관리
• 인증서 관리
• HSM 지원 키
• RBAC vs 금고 액세스 정책

보안 모범 사례

ID 관리

• 모든 사용자에 대한 MFA 활성화
• 특권 역할에 PIM 사용
• 정기적인 액세스 검토
• 조건부 액세스 구현
• 관리 ID 사용

네트워크 보안

• 허브-스포크 토폴로지 구현
• 서브넷 수준에서 NSG 사용
• DDoS 보호 활성화
• 웹 앱에 WAF 구현
• 프라이빗 엔드포인트 사용

데이터 보안

• 기본 암호화 활성화
• 고객 관리 키 사용
• 데이터 분류 구현
• 정기적인 백업 및 복구 테스트
• 일시 삭제 활성화

모니터링 및 대응

• 진단 로깅 활성화
• 보안 경고 구성
• 인시던트 대응 자동화
• 정기적 보안 평가
• 위협 헌팅 활동

자격증 경로

• 선수 과목: Azure 기본(AZ-900) 권장
• 갱신: Microsoft Learn을 통해 매 12개월마다 필요
• 관련 자격증:
  • Azure 관리자 준전문가(AZ-104)
  • Azure 솔루션 설계사 전문가(AZ-305)
  • 보안 운영 분석가(SC-200)

규정 준수 및 거버넌스

• Azure Policy vs RBAC
• 규제 준수 대시보드
• Azure Blueprints
• 리소스 잠금
• 관리 그룹
• 비용 관리 및 태그