Muitas das questões que se erram no SC-900 não vêm de conceitos desconhecidos, mas de escolher um serviço de nome parecido no lugar do certo. Há mais de sete produtos com Defender no nome, e três recursos diferentes mostram o estado de segurança como uma pontuação. Quando duas alternativas vêm em par, como Defender for Cloud e Defender for Cloud Apps, não basta conhecer cada definição: é preciso conseguir dizer em uma frase o que separa os dois.
Este artigo é o capítulo de revisão da série de estudo do SC-900. Dos serviços explicados nos artigos por domínio, ele escolhe só os grupos que costumam aparecer como resposta errada um do outro e os reorganiza pelo critério que os separa e pelas pistas que aparecem nas questões.
---
Três Perguntas que Separam Serviços Parecidos
Quando você encontra dois serviços parecidos, fazer estas três perguntas em ordem resolve a maioria dos casos.
| Pergunta | O que separa | Exemplo | |------|------|------| | O que protege? | Alvo (pessoas e identidades; dispositivos, e-mail e apps; infraestrutura na nuvem; dados) | Entra ID Protection cobre entradas na nuvem; Defender for Identity, o AD local | | Quando age? | Momento (prevenção, detecção e resposta, investigação posterior) | A DLP impede um vazamento; a auditoria registra o que aconteceu | | Onde fica? | Ambiente (recursos do Azure, Microsoft 365, ambiente local) | Defender for Cloud cobre recursos do Azure; Defender for Cloud Apps, apps SaaS |
Separar primeiro por família de produtos facilita ainda mais. Os produtos de segurança e conformidade da Microsoft se dividem em quatro grandes famílias, e cada uma responde a uma pergunta diferente e usa um portal diferente.
!Cada família de produtos responde a uma pergunta diferente
---
Domínio 1: Pares Confusos nos Conceitos
Autenticação vs Autorização
| Aspecto | Autenticação (AuthN) | Autorização (AuthZ) | |------|------|------| | Pergunta | Quem é você? | O que você pode fazer? | | Ordem | Primeiro | Depois da autenticação | | Pista na questão | "Provar a identidade com senha e MFA" | "Permitir só leitura", "atribuir uma função de administrador" |
Confiança Zero vs Defesa em Profundidade
| Aspecto | Confiança Zero (Zero Trust) | Defesa em profundidade | |------|------|------| | Natureza | Um modelo de segurança (um jeito de pensar) | Uma estratégia de segurança (um jeito de empilhar defesas) | | Essência | Verificar explicitamente, acesso com privilégio mínimo, presumir violação | Sete camadas empilhadas da segurança física até os dados | | Pista na questão | "Não confiar nem dentro da rede" | "Se uma camada cair, a próxima barra o ataque" |
Criptografia vs Hash
| Aspecto | Criptografia | Hash | |------|------|------| | É reversível? | Sim, descriptografa com uma chave | Não, é unidirecional | | Usado para | Esconder dados para que não possam ser lidos | Guardar senhas, verificar adulteração |
Artigos relacionados: Conceitos fundamentais de segurança, conformidade e identidade, Criptografia, Hash, Provedores de Identidade e Serviços de Diretório
---
Domínio 2: Pares Confusos no Microsoft Entra
Entra ID vs Active Directory Domain Services vs Entra Domain Services
| Aspecto | Microsoft Entra ID | AD DS (local) | Microsoft Entra Domain Services | |------|------|------|------| | Natureza | Serviço de identidade na nuvem | Diretório que você executa nos seus próprios servidores | Serviços de domínio gerenciados pela Microsoft | | Protocolos principais | OAuth 2.0, OpenID Connect, SAML | Kerberos, NTLM, LDAP | Kerberos, NTLM, LDAP | | Pista na questão | "SSO para apps SaaS" | "Controladores de domínio", "Política de Grupo" | "Levar apps legados para a nuvem sem administrar controladores de domínio" |
Padrões de Segurança vs Acesso Condicional vs ID Protection
| Aspecto | Padrões de segurança | Acesso condicional | Microsoft Entra ID Protection | |------|------|------|------| | O que faz | Ativa de uma vez uma proteção básica predefinida (MFA e mais) para todos os usuários | Usa sinais como usuário, dispositivo e local para permitir, bloquear ou exigir MFA em detalhe | Detecta o risco de entrada e o risco do usuário | | Licença | Gratuito | Entra ID P1 | Políticas baseadas em risco exigem Entra ID P2 | | Pista na questão | "Proteção básica sem custo adicional" | "Exigir MFA ao conectar de fora do escritório" | "Credenciais vazadas", "entrada de um IP anônimo" |
PIM vs Revisões de Acesso vs Gerenciamento de Direitos
| Aspecto | PIM | Revisões de acesso | Gerenciamento de direitos | |------|------|------|------| | Essência | Ativa permissões de administrador só pelo tempo necessário (just-in-time) | Verifica periodicamente se o acesso existente ainda é necessário | Permite solicitar e aprovar pacotes de acesso que reúnem o necessário | | Pista na questão | "Administrador Global por duas horas, com aprovação" | "Reconferir o acesso de convidados a cada trimestre" | "Um parceiro externo solicita de uma vez todos os recursos do projeto" |
Funções do Entra vs Azure RBAC
| Aspecto | Funções do Microsoft Entra | Azure RBAC | |------|------|------| | O que gerencia | O próprio Entra ID (usuários, grupos, registros de aplicativo) | Recursos do Azure (VMs, armazenamento etc.) | | Funções típicas | Administrador Global, Administrador de Usuários | Proprietário, Colaborador, Leitor |
Entra ID Protection vs Defender for Identity
O ID Protection detecta risco nas entradas na nuvem, enquanto o Defender for Identity usa sensores nos controladores de domínio para detectar ataques ao Active Directory local (movimento lateral, roubo de credenciais). Se a questão menciona "local" ou "controladores de domínio", a resposta é o Defender for Identity.
Artigos relacionados: Métodos de Autenticação, Proteção de Senhas e Identidade Híbrida no Entra, Gerenciamento de acesso e governança de identidades
---
Domínio 3: Pares Confusos nas Soluções de Segurança
NSG vs Azure Firewall vs WAF vs DDoS Protection
| Aspecto | NSG | Azure Firewall | WAF | DDoS Protection | |------|------|------|------|------| | O que bloqueia | Tráfego por endereço IP e porta | Tráfego de várias VNets de forma central (filtragem de FQDN, inteligência contra ameaças) | Ataques web como injeção de SQL e cross-site scripting | Ataques que inundam um serviço com tráfego | | Onde se aplica | Sub-redes, interfaces de rede | Firewall gerenciado em uma VNet central (hub) | Application Gateway, Front Door | IPs públicos de uma rede virtual | | Pista na questão | "Bloquear a porta 3389 para uma sub-rede" | "Controlar todo o tráfego de saída de forma central" | "Ameaças OWASP contra um app web" | "Enxurrada massiva de tráfego" |
Defender for Cloud vs Defender for Cloud Apps vs Defender XDR
| Aspecto | Defender for Cloud | Defender for Cloud Apps | Defender XDR | |------|------|------|------| | O que protege | Recursos de infraestrutura no Azure, AWS, GCP e ambiente local | Apps SaaS usados pelos funcionários | E-mail, dispositivos, identidades e apps como um todo | | Recurso principal | Gerenciamento da postura de segurança (CSPM) e proteção de cargas de trabalho (CWP) | CASB, descoberta de shadow IT | Agrupa alertas em incidentes para detectar e responder | | Pista na questão | "VMs e armazenamento mal configurados" | "Apps na nuvem não aprovados" | "Um ataque do phishing até o sequestro da conta" |
Microsoft Sentinel vs Defender XDR
O Sentinel é um SIEM e SOAR que coleta logs até de firewalls, servidores e nuvens que não são da Microsoft, enquanto o Defender XDR é um XDR que correlaciona a fundo os sinais dos produtos Microsoft Defender. Se aparecer "coletar também dados de fontes de terceiros", a resposta é o Sentinel.
Três Tipos de Pontuação
| Pontuação | Onde | O que mede | |------|------|------| | Classificação de Segurança da Microsoft (Microsoft Secure Score) | Portal do Defender | Postura de segurança de identidades, dispositivos e apps do Microsoft 365 | | Classificação de segurança (Defender for Cloud) | Defender for Cloud | Postura de segurança de recursos na nuvem como os do Azure | | Pontuação de conformidade | Compliance Manager | Andamento das ações de melhoria para regulamentos e padrões |
Artigos relacionados: Serviços do Microsoft Defender XDR em Detalhe, Defender for Cloud: Políticas de Segurança, Padrões e Classificação de Segurança, Serviços de Segurança do Azure
---
Domínio 4: Pares Confusos nas Soluções de Conformidade
Service Trust Portal vs Compliance Manager
| Aspecto | Service Trust Portal | Compliance Manager | |------|------|------| | De quem fala | Evidências de que a Microsoft cumpre os regulamentos | Se a sua organização os cumpre | | O que oferece | Relatórios de auditoria (SOC, ISO), documentos de confiança | Avaliações, ações de melhoria, pontuação de conformidade |
O Microsoft Priva, que trata de risco de privacidade e de solicitações de titulares de dados, também pode aparecer entre as alternativas. O conteúdo do exame de outubro de 2026 não cita o Priva nos itens detalhados, mas lembre-se de que ele é o produto para os riscos no tratamento de dados pessoais da organização.
Rótulos de Confidencialidade vs Rótulos de Retenção
| Aspecto | Rótulo de confidencialidade | Rótulo de retenção | |------|------|------| | O que decide | Quem pode abrir (criptografia, marcas d'água) | Por quanto tempo guardar e quando excluir | | Pista na questão | "Impedir que documentos confidenciais sejam abertos fora da empresa" | "Guardar por sete anos e depois excluir", "declarar como registro" |
DLP vs Gerenciamento de Risco Interno vs Conformidade de Comunicações vs Barreiras de Informações
| Recurso | O que faz | Pista na questão | |------|------|------| | DLP | Bloqueia ou alerta sobre compartilhamentos e envios com informações confidenciais | "Bloquear e-mail com números de cartão enviado para fora" | | Gerenciamento de risco interno | Detecta padrões de risco de vazamento ou roubo na atividade dos usuários | "Um funcionário de saída baixa arquivo