O conteúdo oficial do domínio 3 do SC-900 tem dois itens próprios sobre o Microsoft Defender for Cloud: "como as políticas de segurança, os padrões e as recomendações melhoram a postura de segurança na nuvem" e "os recursos de segurança aprimorados oferecidos pela proteção de cargas de trabalho na nuvem". Não basta saber que o Defender for Cloud mostra uma classificação de segurança: é preciso explicar como uma política vira recomendação e como as recomendações se transformam na pontuação.
Este artigo primeiro separa o Defender for Cloud nos seus dois pilares, CSPM e CWP, e depois passa pela relação entre políticas de segurança, iniciativas, padrões e recomendações; pelo padrão inicial, o parâmetro de segurança de nuvem da Microsoft (MCSB); por como a classificação de segurança é calculada; pela diferença entre o CSPM básico gratuito e o plano pago Defender CSPM; e pelos planos do Defender para cada tipo de recurso.
---
Os Dois Pilares do Defender for Cloud: CSPM e CWP
Há duas formas de manter um prédio seguro. Uma é a inspeção periódica, que encontra janelas quebradas e portas que não trancam e as conserta antes. A outra são os seguranças, que pegam quem de fato invade. O Defender for Cloud faz as duas coisas.
| Aspecto | CSPM (gerenciamento da postura de segurança na nuvem) | CWP (proteção de cargas de trabalho na nuvem) | |------|------|------| | Pergunta | Onde estão os pontos fracos antes de um ataque? | Há um ataque acontecendo agora? | | O que faz | Encontra configurações incorretas e as mostra como recomendações e classificação de segurança | Detecta ameaças e gera alertas com planos do Defender para cada tipo de recurso | | Exemplo típico | "Uma conta de armazenamento está com acesso público aberto" | "Processo suspeito detectado em uma VM" |
O alcance não se limita ao Azure. Contas da AWS e do GCP se conectam por conectores, e servidores locais pelo Azure Arc, então tudo é avaliado na mesma visão.
Dica de prova: "encontrar configurações incorretas e oferecer orientações de proteção" é CSPM, e "detectar ataques a servidores, armazenamento e bancos de dados" é CWP.
---
Como Políticas, Iniciativas, Padrões e Recomendações se Ligam
Pense em um código de obras. Ele tem artigos individuais como "as saídas de emergência devem ficar sempre destrancadas", um código que reúne esses artigos e um fiscal que compara o código com o prédio real e anota as irregularidades. As políticas de segurança do Defender for Cloud se baseiam no Azure Policy e funcionam exatamente com essa estrutura.
| Conceito | Significado | Exemplo | |------|------|------| | Definição do Azure Policy | Uma regra sobre uma condição de segurança a exigir | "Contas de armazenamento devem permitir só transferência segura" | | Iniciativa de segurança | Um conjunto de definições de política com o mesmo objetivo | Um grupo de políticas de proteção de dados | | Padrão de segurança | Uma iniciativa alinhada aos requisitos de um regulamento ou parâmetro | O padrão inicial MCSB, ISO 27001, PCI DSS | | Recomendação | Os recursos que não cumprem uma política, mais como corrigi-los | "Instale proteção de ponto de extremidade nas suas VMs" |
Políticas e iniciativas são atribuídas a um escopo, como um grupo de gerenciamento, uma assinatura, um grupo de recursos ou um recurso específico. O Defender for Cloud avalia os recursos continuamente, mostra como recomendação qualquer recurso que não cumpra uma política e, quanto mais recomendações você resolve, mais a classificação de segurança sobe.
!Como as políticas de segurança levam a recomendações e à classificação de segurança
Dica de prova: "várias definições de política agrupadas para um objetivo" é uma iniciativa. Lembre também que ninguém escreve recomendações à mão: elas são geradas automaticamente a partir dos resultados da avaliação das políticas.
---
Parâmetro de Segurança de Nuvem da Microsoft (MCSB)
Quando você ativa o Defender for Cloud pela primeira vez, o parâmetro de segurança de nuvem da Microsoft (MCSB) é atribuído automaticamente como iniciativa de segurança padrão. O MCSB é um conjunto de diretrizes de segurança voltadas para a nuvem, escrito pela Microsoft com base nos controles do CIS (Center for Internet Security) e do NIST (National Institute of Standards and Technology).
Organizado em domínios de controle como segurança de rede, gerenciamento de identidades, acesso privilegiado, proteção de dados, recuperação de dados, resposta a incidentes e segurança de pontos de extremidade Relaciona cada item a estruturas do setor como CIS, NIST e PCI DSS Traz orientações de implementação não só para o Azure, mas também para a AWS e o GCP
O painel de conformidade regulatória mostra o quanto você cumpre o MCSB e os demais padrões aplicados. Padrões como ISO 27001, SOC 2, NIST SP 800-53 e PCI DSS podem ser adicionados ao ativar os recursos de segurança aprimorados de um plano pago do Defender.
Dica de prova: o painel de conformidade regulatória do Defender for Cloud avalia automaticamente se a configuração dos recursos na nuvem atende a um padrão. O escopo é diferente do Microsoft Purview Compliance Manager, que gerencia as ações de melhoria de conformidade da organização inteira.
---
Recomendações e Classificação de Segurança
Cada recomendação traz as seguintes informações.
Uma breve descrição do problema de segurança As etapas para corrigi-lo Os recursos afetados A gravidade (alta, média ou baixa) e os fatores de risco O contexto do caminho de ataque (quando disponível)
A classificação de segurança reúne todos os resultados da avaliação em um único número para que você veja de relance a sua postura de segurança atual; quanto maior, menor o risco identificado. Recomendações relacionadas são agrupadas em controles de segurança, e a pontuação de um recurso só sobe quando você corrige todas as recomendações daquele recurso dentro de um controle.
Dica de prova: a classificação de segurança do Defender for Cloud avalia recursos na nuvem, enquanto a Classificação de Segurança da Microsoft (Microsoft Secure Score) no portal do Defender avalia o Microsoft 365 como um todo. Confira primeiro se a questão trata de recursos do Azure ou do Microsoft 365.
Artigo relacionado: Serviços do SC-900 que se Confundem: Comparação Completa
---
CSPM Básico vs Defender CSPM
| Aspecto | CSPM básico | Defender CSPM | |------|------|------| | Custo | Gratuito; ativado automaticamente ao ligar o Defender for Cloud | Plano pago | | Inclui | Descoberta de ativos, avaliação contínua e recomendações, conformidade com o MCSB, classificação de segurança | Tudo do CSPM básico mais os recursos avançados abaixo | | Análise de caminho de ataque | Não | Modela como um atacante poderia encadear vulnerabilidades até recursos críticos | | Gerenciador de segurança na nuvem | Não | Explora diretamente o estado de segurança com consultas em grafo | | Governança | Não | Atribui um responsável e um prazo a cada recomendação | | Postura de segurança de dados e IA | Não | Encontra e avalia repositórios com dados confidenciais e cargas de trabalho de IA generativa | | Priorização por risco | Pela gravidade | Considera também a exposição à internet e a presença de dados confidenciais |
Dica de prova: "classificação de segurança e recomendações sem custo adicional" é o CSPM básico. Se aparecer "análise de caminho de ataque" ou "gerenciador de segurança na nuvem", é o Defender CSPM.
---
Proteção de Cargas de Trabalho na Nuvem: Planos do Defender
A CWP vem como planos do Defender para cada tipo de recurso. Você ativa só os planos de que precisa, e vários podem funcionar ao mesmo tempo.
| Plano do Defender | O que protege | |------|------| | Defender for Servers | Máquinas Windows e Linux (inclui o EDR do Defender for Endpoint e a verificação de vulnerabilidades) | | Defender for App Service | Ataques a aplicativos executados no App Service | | Defender for Storage | Atividade prejudicial em contas do Azure Storage | | Defender for Databases | Azure SQL, bancos de dados relacionais de código aberto, Azure Cosmos DB | | Defender for Containers | Ambientes Kubernetes, registros de contêiner, ameaças em tempo de execução | | Defender for Key Vault | Acessos incomuns ao Key Vault | | Defender for Resource Manager | Monitoramento das operações de gerenciamento de recursos | | Defender for AI Services | Ameaças a serviços de IA, como ataques de injeção de prompt | | Defender for APIs | Postura de segurança e ameaças em tempo real para APIs críticas |
Ativar um plano libera recursos de segurança aprimorados como alertas de proteção contra ameaças; verificação de vulnerabilidades para VMs, registros de contêiner e SQL; listas de aplicativos permitidos baseadas em aprendizado de máquina; e o acesso à VM just-in-time (JIT), que abre as portas de gerenciamento das VMs só quando necessário. O Defender for Cloud também inclui a segurança de DevOps, que conecta GitHub, Azure DevOps e GitLab para encontrar problemas de segurança no código e na infraestrutura como código (IaC).
Dica de prova: assim como "detectar acessos incomuns a contas do Azure Storage" aponta para o Defender for Storage, o nome do recurso protegido é o nome do plano.
Artigo relacionado: Serviços de Segurança do Azure
---
Referência Rápida do Exame
Estes são os pontos principais para revisar uma última vez antes da prova.
| Tema | O que lembrar | |------|------| | CSPM vs CWP | Encontra pontos fracos antes vs detecta ameaças reais | | Definição de política | Uma regra do Azure Policy sobre uma condição de segurança | | Iniciativa | Um grupo de definições de política com o mesmo objetivo | | Padrão de segurança | Uma iniciativa alinhada a um regulamento ou parâmetro (padrão inicial: MCSB) | | Recomendação | Recursos que violam uma política, como corrigi-los e a gravidade | | MCSB | Baseado em CIS e NIST, com orientações para Azure, AWS e GCP, atribuído automaticamente | | Classificação de segurança | Maior