Rede Virtual, sub-redes, NSGs, Firewall do Azure, Firewall de Aplicativo Web, Proteção contra DDoS do Azure, Azure Bastion, Cofre de Chaves e defesa em profundidade
Tempo de estudo sugerido: 36 minutos • Nível iniciante • Alinhado ao plano de estudos SC-900 e à documentação oficial do Microsoft Learn
Por João Ricardo Dutra••Material integral
1. Introdução: do perímetro físico à infraestrutura definida por software
A segurança de redes nasceu em ambientes nos quais servidores, usuários e equipamentos estavam concentrados dentro de prédios e datacenters. Roteadores, listas de controle de acesso e firewalls formavam um perímetro relativamente estável entre a rede interna e a internet. Com virtualização, aplicações web, dispositivos móveis e computação em nuvem, esse perímetro tornou-se distribuído. Redes, regras de tráfego, balanceadores e cofres de segredos passaram a ser configurados por software e consumidos como serviços.
Essa transformação contribui diretamente para organizações e para a sociedade porque serviços essenciais - bancos, hospitais, escolas, governos e plataformas de comunicação - dependem de disponibilidade, confidencialidade e integridade. Uma arquitetura bem protegida reduz interrupções, vazamentos e fraudes, além de permitir inovação com riscos controlados. O desafio é compreender que “estar na nuvem” não torna um sistema automaticamente seguro: a Microsoft protege a plataforma, enquanto o cliente deve configurar adequadamente redes, identidades, aplicações e dados.
Ao longo deste capítulo, pense em uma aplicação de três camadas: uma interface web exposta ao público, uma interna e um banco de dados. Cada serviço estudado responde a uma pergunta diferente. Um ataque volumétrico exige mitigação DDoS; uma exploração exige ; o tráfego entre sub-redes exige e, em cenários centralizados, ; a administração de VMs exige Bastion; senhas, chaves e certificados exigem . Entender essas fronteiras é mais importante do que memorizar nomes.
Pergunta-guia
Se uma aplicação usa , ela ainda precisa de ,, Prote??o contra DDoS do e ? Sim. Cada controle atua em uma superfície, camada ou objetivo distinto.
1.1 Segurança como arquitetura, não como produto isolado
Defesa em profundidade significa combinar controles preventivos, detectivos e responsivos. Um controle pode falhar, ser contornado ou não enxergar determinado tipo de tráfego. A segmentação limita o ; um firewall central controla rotas e destinos; o entende protocolos web; o reduz a exposição de credenciais. O resultado é uma sequência de barreiras complementares, e não uma promessa de invulnerabilidade.
Figura 1 - Serviços complementares de segurança de infraestrutura no .
2. Fundamentos técnicos: camadas, fluxos e estado
2.1 Camadas de rede e aplicação
Para o SC-900, não é necessário memorizar todo o modelo OSI, mas é essencial diferenciar controles de rede e de aplicação. Camadas 3 e 4 lidam principalmente com endereços , protocolos de transporte e portas, como 443 ou 53. A camada 7 interpreta o protocolo da aplicação, por exemplo métodos, cabeçalhos, caminhos e conteúdo . Prote??o contra DDoS do atua principalmente contra ataques de rede L3/L4; filtram fluxos por , porta e protocolo; o analisa / em L7. combina inspeção , e regras orientadas a aplicações e destinos.
2.2 Tráfego e
Tráfego entra ou sai do ambiente, como usuários acessando um site ou servidores consultando a internet. Tráfego circula entre componentes internos, como uma acessando um banco de dados ou duas redes virtuais trocando informações. Uma arquitetura segura controla ambos: a borda não deve ser a única barreira, pois um invasor que compromete um componente pode tentar movimentar-se internamente.
2.3 Filtragem e
Um controle acompanha o estado de uma conexão. Quando um fluxo de saída permitido inicia uma sessão, o tráfego de resposta correspondente pode ser reconhecido sem uma regra espelhada manual. e são . Isso não significa que “todo retorno é permitido”; significa que o serviço relaciona os pacotes à conexão autorizada. Controles avaliam pacotes de forma independente e normalmente exigem regras explícitas para cada direção.
2.4 Cinco elementos de um fluxo
Elemento
Pergunta
Origem
De qual endereço, subnet, serviço ou grupo o tráfego parte?
Porta de origem
Qual porta efêmera ou definida inicia a comunicação?
Destino
Qual endereço, subnet, serviço ou grupo receberá o tráfego?
Porta de destino
Qual serviço está sendo solicitado, como 443, 22 ou 3389?
Protocolo
,, ICMP ou outro protocolo permitido?
Conceito-chave para prova
Porta 443 não significa automaticamente “tráfego seguro”. protege a comunicação, mas uma requisição ainda pode carregar uma tentativa de SQL injection. Por isso o continua relevante.
3. , sub-redes e segmentação
, ou VNet, é a base da rede privada no . Ela fornece um espaço lógico e isolado no qual recursos podem comunicar-se usando endereços privados. Uma VNet existe em uma região, pode abranger zonas de disponibilidade dessa região e pode conectar-se a outras redes por peering, ou ExpressRoute. O isolamento entre VNets é uma propriedade importante: redes diferentes não se comunicam automaticamente, a menos que uma conexão seja criada.
3.1 Espaço de endereçamento e
Ao criar uma VNet, define-se um ou mais blocos de endereços, normalmente privados conforme 1918, como 10.20.0.0/16. A notação informa quantos bits identificam a rede. Um bloco /16 contém mais endereços que um /24. O planejamento evita sobreposição com redes locais e com outras VNets, pois intervalos sobrepostos dificultam peering, e roteamento.
3.2 Sub-redes como limites funcionais e de segurança
Uma subnet divide o espaço da VNet. Em vez de colocar todos os recursos no mesmo segmento, a organização separa componentes por função, sensibilidade ou necessidade de comunicação. Uma camada web pode aceitar tráfego do balanceador; a camada de aplicação aceita somente chamadas da web; a camada de dados aceita somente a porta do banco proveniente da aplicação. Essa organização reduz a superfície de ataque e facilita a aplicação de e rotas.
Figura 2 - Exemplo de segmentação em sub-redes por função e nível de exposição.
3.3 Conectividade não equivale a autorização
VNet e peering criam caminhos de rede; eles não substituem autenticação, autorização ou controles da aplicação. Da mesma forma, bloquear uma porta não substitui o princípio do menor privilégio em identidades. Segurança de rede limita “quem consegue alcançar o serviço”; identidade e autorização definem “quem pode usar o serviço e o que pode fazer”.
3.4 Recursos de conectividade de uma
Os recursos podem iniciar comunicação de saída com a internet; a publicação de entrada exige um mecanismo explícito, como endereço público ou balanceador de carga.
Recursos na mesma comunicam-se de forma privada, e o emparelhamento conecta redes separadas — inclusive entre regiões — pela rede de backbone da Microsoft, sem passar pela internet pública.
site a site, ponto a site e estendem a conectividade privada até ambientes locais.
e filtram o tráfego, enquanto rotas do sistema e rotas personalizadas definem o caminho de cada fluxo.
4. ()
Um filtra tráfego de entrada e saída associado a sub-redes ou interfaces de rede. Ele contém regras que permitem ou negam fluxos com base em prioridade, direção, protocolo, origem, destino e portas. são controles distribuídos e : ficam próximos dos recursos e são adequados para restringir comunicação entre camadas.
4.1 Componentes de uma regra
Propriedade
Função
Prioridade
Número que determina a ordem de avaliação. Prioridades menores são avaliadas primeiro.
Direção
Entrada ou saída.
Ação
Permitir ou negar.
Protocolo
,, ICMP, ESP, AH ou qualquer, conforme suporte.
Origem e destino
Endereço, faixa , service tag ou application security group.
Portas
Uma porta, intervalo ou conjunto de portas.
4.2 Regras padrão
Um pode ser associado a uma sub-rede e a uma interface de rede em cada ponto de vinculação, enquanto o mesmo pode ser reutilizado por muitas sub-redes e interfaces. As regras são processadas do menor número de prioridade para o maior, e a avaliação termina na primeira correspondência. As seis regras padrão não podem ser removidas, mas uma regra personalizada com número de prioridade menor pode substituí-las.
Permite destinos na e na internet e, depois, nega qualquer outro fluxo de saída.
4.3 Service tags e Application Security Groups
Service tags representam conjuntos de prefixos mantidos pelo , como Internet, VirtualNetwork ou serviços específicos. Application Security Groups permitem agrupar interfaces de máquinas virtuais por função lógica, como WebServers ou DatabaseServers, reduzindo dependência de endereços individuais. Esses recursos tornam regras mais legíveis e adaptáveis.
Exemplo
A subnet de aplicação pode aceitar 443 somente do grupo WebServers e negar outras origens. A subnet de banco pode aceitar 1433 somente do grupo AppServers. Assim, mesmo que um host web seja comprometido, o caminho até outros recursos permanece limitado.
4.4 O que um não faz
Não analisa SQL injection, ou semântica .
Não é um de aplicação nem um serviço de publicação web.
Não substitui uma solução central de firewall quando são necessários controle de egress, , inspeção avançada ou políticas entre muitas redes.
Não armazena segredos e não autentica usuários finais.
5.
é um firewall como serviço, nativo da nuvem, totalmente e com alta disponibilidade integrada. Ele pode inspecionar tráfego e , funcionando como ponto central de controle em arquiteturas hub-and-spoke. Em vez de administrar appliances virtuais individualmente, a organização usa um serviço gerenciado que escala com a plataforma.
5.1 Tipos de regras
Regra
Finalidade
Exemplo
Filtrar tráfego por , porta e protocolo.
Permitir ou conexão entre redes específicas.
Controlar destinos por nomes de domínio e protocolos suportados.
Permitir que servidores acessem repositórios aprovados.
Traduzir endereço e porta para publicar ou redirecionar fluxos.
de um público para um serviço interno.
Alertar ou negar tráfego para domínios e IPs maliciosos conhecidos.
Bloquear comunicação com infraestrutura de comando e controle.
5.2 versus
é um filtro distribuído aplicado a subnets e interfaces. é um serviço centralizado pelo qual o tráfego pode ser roteado. Em ambientes pequenos, podem atender a vários requisitos básicos. Em arquiteturas corporativas, o firewall centraliza egress, inspeção, , e políticas entre múltiplas redes. Frequentemente ambos são usados: o firewall controla caminhos centrais e os impõem microssegmentação local.
5.3 SKUs e profundidade
O possui as camadas Basic, Standard e Premium. Basic atende ambientes menores, usa capacidade fixa com duas instâncias de back-end, oferece apenas no modo de alerta e é indicado para aproximadamente 250 Mbps. Standard acrescenta filtragem das camadas 3 a 7 e alertas ou bloqueios em tempo real baseados na . Premium adiciona inspeção e um sistema de detecção e prevenção de intrusões (IDPS) baseado em dezenas de milhares de assinaturas atualizadas continuamente para cargas reguladas ou altamente sensíveis.
Armadilha de prova
e não são sinônimos. O Firewall protege fluxos de rede e destinos de forma ampla; o é especializado em ataques contra aplicações web e interpreta /.
5.4 Rotas definidas pelo usuário
Para garantir que o tráfego passe pelo , subnets podem utilizar tabelas de rotas e rotas definidas pelo usuário, conhecidas como UDRs. Esse padrão é chamado forced tunneling quando a organização força determinado tráfego por um ponto de inspeção. Sem planejamento de rotas, criar um firewall não garante que todos os fluxos o atravessem.
5.5 Gerenciamento central, telemetria e
Um desenho comum posiciona o em uma central para que redes do e locais, inclusive em assinaturas diferentes, encaminhem o tráfego por um único ponto de controle. O serviço gerenciado escala com a demanda, inclui alta disponibilidade e pode abranger zonas de disponibilidade. O Gerenciador do aplica políticas compartilhadas a firewalls em Redes Virtuais e hubs virtuais seguros da . podem ser enviados ao , Analytics ou ; o serviço também se integra à e ao .
Organizações integradas ao podem investigar, em linguagem natural, tráfego mal-intencionado interceptado pela e pelo IDPS. É necessário ativar o plugin do , conceder as permissões do e as funções apropriadas do , além de enviar os estruturados específicos do recurso para um do Analytics. Há prompts internos e também é possível formular solicitações compatíveis com a integração.
6. ()
O fornece proteção centralizada para aplicações web contra explorações e vulnerabilidades comuns. Ele opera na camada de aplicação, entendendo requisições e . Pode ser implantado com o para entrada regional, o de Aplicativo para Contêineres para cargas conteinerizadas, o para entrada global na borda e a do . O reduz a necessidade de implementar a mesma proteção em cada aplicação, embora não elimine a correção do código.
6.1 Ataques e anomalias observados
SQL injection: tentativa de manipular consultas ao banco por entradas maliciosas.
Cross-site scripting (): inserção de scripts em páginas consumidas por outros usuários.
Inclusão de arquivos, command injection e violações de protocolo .
Bots, scanners, padrões de reputação de e volume excessivo, conforme recursos e regras disponíveis.
Cabeçalhos, caminhos, métodos e parâmetros incompatíveis com políticas definidas.
6.2 Regras gerenciadas e regras personalizadas
Conjuntos de regras gerenciadas são mantidos para detectar classes conhecidas de ataques, frequentemente alinhadas às categorias . Regras personalizadas permitem bloquear ou permitir com base em endereço, país/região, cabeçalho, caminho, tamanho, taxa e outras condições. Em modo de detecção, o registra correspondências; em modo de prevenção, pode bloquear solicitações. A implantação deve começar com observação e ajuste para reduzir falsos positivos.
6.3 não substitui desenvolvimento seguro
Um é uma camada compensatória. Ele pode bloquear uma carga conhecida, mas não corrige falhas de autorização, lógica de negócio, exposição indevida de ou segredos no código. Aplicações continuam precisando de validação de entrada, autenticação, autorização, correção de dependências e testes de segurança.
6.4 Disponibilidade na camada 7 e
O conjunto de regras principais da dá ao uma linha de base contra injeção de SQL, script entre sites, inclusão remota de arquivo e outras explorações comuns. Ele também complementa a ao detectar padrões de negação de serviço na camada de aplicação, como inundações , que a mitigação das camadas de rede e transporte não cobre sozinha.
Com o plugin do do habilitado e configurado no , analistas podem investigar eventos e em linguagem natural, identificar as regras mais acionadas e os endereços mais problemáticos e compreender vetores de ataque relacionados. A experiência autônoma oferece prompts internos e aceita solicitações personalizadas compatíveis.
Firewall de rede
Interpreta / e conteúdo de requisições.
Controla protocolos, portas, endereços, rotas e destinos.
Protege aplicações contra ataques web.
Protege redes e workloads contra tráfego não autorizado.
Normalmente posicionado diante de aplicações web.
Normalmente centralizado entre redes, subnets e internet.
Exemplos: SQL injection, e bots.
Exemplos: egress, segmentação, e inteligência de ameaças.
7.
Um ataque distribuído de negação de serviço, ou DDoS, tenta esgotar largura de banda, conexões, CPU, memória ou outros recursos para tornar um serviço indisponível. Ele é distribuído porque utiliza muitas origens, frequentemente dispositivos comprometidos. Qualquer publicamente acessível pode ser alvo.
Ataques volumétricos saturam a largura de banda disponível com tráfego aparentemente legítimo.
Ataques de protocolo esgotam servidores ou equipamentos de rede ao explorar o comportamento das camadas 3 ou 4.
Ataques à camada de recurso ou aplicação atingem o processamento de requisições web e a troca de dados da aplicação.
7.1 Proteção de infraestrutura e proteção aprimorada
A plataforma possui proteção de infraestrutura contra ataques comuns. adiciona recursos aprimorados e adaptados aos recursos protegidos. A documentação atual diferencia DDoS Network Protection, associado a redes virtuais por meio de um plano, e DDoS Protection, habilitado por público. Ambos compartilham recursos centrais de engenharia, mas diferem em modelo comercial e serviços adicionais.
7.2 Como o serviço atua
O monitoramento permanente analisa o tráfego e, quando detecta um ataque, desvia o fluxo para verificações de mitigação, descarta o que é malicioso e encaminha o tráfego legítimo.
O ajuste adaptativo em tempo real aprende o perfil esperado e recalibra os limites conforme a aplicação muda.
O expõe métricas e alertas em poucos minutos; os podem integrar-se aos , aos do e ao do .
Proteção de vetores de camada 3 e 4, como floods , e .
7.3 Camadas, análises e resposta rápida
DDoS Network Protection é habilitado em uma e ajusta automaticamente a mitigação aos recursos protegidos. DDoS Protection segue um modelo de pagamento por público protegido e mantém a mesma engenharia central, mas não inclui serviços adicionais como DDoS Rapid , proteção de custos e descontos de . A proteção padrão da plataforma usa limites mais amplos e não oferece telemetria nem alertas ao cliente, por isso não equivale a uma camada dedicada.
Durante um ataque, os relatórios analíticos são atualizados a cada cinco minutos e, ao final, é produzido um relatório completo. O fornece métricas resumidas e alertas de início, andamento e término; os do fluxo de mitigação podem seguir para o ou outro SIEM. Clientes de DDoS Network Protection podem acionar a equipe DDoS Rapid durante o incidente e receber investigação e análise posterior.
7.4 e são complementares
A é especializada em disponibilidade e ataques volumétricos de rede. O protege a lógica /S e pode aplicar ou regras contra bots e explorações. Uma aplicação web crítica frequentemente usa ambos: DDoS para L3/L4 e para L7. também oferece proteção de borda e integração com , mas o conceito examinável permanece o uso de camadas complementares.
Não confunda
DDoS não significa invasão bem-sucedida nem roubo de dados. O objetivo principal é indisponibilidade. Contudo, ataques podem ser combinados com outras técnicas ou usados como distração, por isso monitoramento e resposta continuam necessários.
7.5 Resiliência é parte da defesa
Mitigação não substitui arquitetura resiliente. Distribuição regional, zonas de disponibilidade, balanceamento, , e planos de resposta reduzem impacto. Segurança de disponibilidade depende de serviço de proteção e de desenho capaz de continuar operando durante falhas ou picos.
8. Comparando ,, e
Figura 3 - Perguntas distintas respondidas pelos principais controles de infraestrutura.
Serviço
Camada/foco
Decisão principal
Caso típico
L3/L4 e disponibilidade
Mitigar tráfego volumétrico malicioso contra IPs públicos.
Manter um serviço público disponível durante floods.
L3/L4 e segmentação
Permitir ou negar fluxo por origem, destino, porta, protocolo e direção.
Restringir web -> app -> dados dentro de uma VNet.
Firewall central
Controlar tráfego entre redes e internet, /aplicação e .
Centralizar egress e inspeção em hub-and-spoke.
L7 /
Detectar ou bloquear ataques e anomalias de aplicação web.
Proteger site ou contra SQL injection e .
Administração segura
Fornecer caminho gerenciado para / usando privado.
Administrar VM sem público e sem abrir portas diretamente.
8.1 Como resolver questões por eliminação
1. Identifique o ativo: público, subnet, fluxo entre redes, aplicação ou máquina virtual. 2. Identifique a ameaça: inundação, porta indevida, destino não autorizado, exploração web ou exposição administrativa. 3. Observe a camada: L3/L4 favorece DDoS, ou Firewall; L7 favorece . 4. Procure palavras-chave: “sem público para /” aponta para Bastion; “segredos, chaves e certificados” aponta para .
Regra mental
Disponibilidade volumétrica = DDoS. Filtragem distribuída = . Controle central de rede = . Ataque = . Administração privada = Bastion. Material secreto = .
9.
é um serviço gerenciado para conexão e a máquinas virtuais por na porta 443. Ele é implantado por — e não por assinatura ou VM — e alcança máquinas nessa rede e em redes emparelhadas por endereços privados. O benefício central é dispensar público, agente, software cliente especial e a exposição direta das portas administrativas 3389 e 22 nas VMs.
Figura 4 - Administração de máquina virtual por meio do .
9.1 Por que abrir / para a internet é arriscado
Serviços administrativos expostos recebem varreduras, tentativas de senha, exploração de vulnerabilidades e ataques automatizados. Mesmo com restrito a determinados endereços, mudanças de origem e erros de regra podem ampliar a exposição. Bastion cria um ponto gerenciado de entrada, enquanto as VMs permanecem privadas.
9.2 O que o Bastion oferece
Sessões ou protegidas por .
Sessões no navegador com um clique pelo portal do e, conforme a camada, clientes nativos ou links compartilháveis.
Ausência de agente especial dentro da VM para o cenário principal.
Redução de IPs públicos e de portas administrativas expostas.
Proteção contra varredura de portas na internet e fortalecimento central da plataforma contra vulnerabilidades de dia zero.
O caminho gerenciado do serviço não exige que o cliente mantenha um na sub-rede do .
9.3 Camadas e métodos de conexão
Camadas do
Camada
Uso indicado e recursos relevantes
Developer
Infraestrutura compartilhada sem custo para desenvolvimento e teste em regiões selecionadas; uma conexão de VM por vez.
Basic
Implantação dedicada de capacidade fixa, com / pelo navegador para produção de demanda moderada.
Standard
Acrescenta escala de hosts, conexões por e porta personalizada, links compartilháveis, clientes nativos e transferência de arquivos.
Premium
Acrescenta gravação de sessão e implantação somente privada para requisitos mais rigorosos de conformidade e isolamento.
Conexões HTML5 pelo navegador estão disponíveis nas camadas. Clientes / nativos e links compartilháveis aparecem em Standard e Premium. Todos os métodos transportam a sessão por na porta 443, atravessando firewalls que permitem padrão sem abrir portas de gerenciamento em cada VM.
9.4 O que o Bastion não resolve sozinho
Bastion não substitui autenticação forte, , atualização do sistema operacional, proteção de , e princípio do menor privilégio. Um administrador excessivamente privilegiado continua sendo um risco. O serviço protege o caminho de rede; a identidade e o sistema operacional ainda precisam de controles próprios.
Detalhe de arquitetura
Implantações dedicadas utilizam uma subnet reservada chamada AzureBastionSubnet. Essa subnet deve ser planejada conforme requisitos atuais do serviço e não deve hospedar workloads comuns.
10. : segredos, chaves e certificados
é um serviço de nuvem para armazenar e acessar material sensível com controle rigoroso. Ele reduz a prática insegura de inserir senhas, ou chaves em código-fonte, variáveis compartilhadas, arquivos de configuração, ou imagens de contêiner. O serviço separa a aplicação do ciclo de vida das credenciais e fornece autorização, auditoria e integração com identidades do .
10.1 Três tipos principais de objetos
Objeto
O que representa
Exemplos
Segredo
Valor protegido que a aplicação precisa recuperar.
Senha, connection string, , chave de ou SAS .
Chave criptográfica
Material usado em operações como criptografar, descriptografar, assinar ou verificar.
, EC e chaves protegidas por software ou .
Certificado
Objeto com política e ciclo de vida, apoiado por chave e segredo relacionados.
Certificado para aplicação ou autenticação mútua.
10.2 Vault e Managed
Os cofres do armazenam segredos, chaves e certificados. A camada Standard protege chaves por software; a Premium oferece chaves protegidas por para requisitos de conformidade mais rígidos. As duas mantêm as mesmas funções centrais de segredos, chaves e certificados. O Managed é um serviço dedicado separado para chaves protegidas por hardware e maior controle criptográfico.
10.3 Plano de controle e plano de dados
O plano de controle administra o recurso : criar o cofre, configurar rede, diagnósticos e políticas. O plano de dados acessa os objetos: ler um segredo, assinar com uma chave ou obter um certificado. Uma identidade pode ter permissão para administrar o recurso sem ter permissão para ler os segredos, e o inverso. Essa separação aplica menor privilégio.
Segredo versus chave
Uma senha precisa ser revelada à aplicação para uso e normalmente é armazenada como segredo. Uma chave criptográfica pode permanecer dentro do serviço: a aplicação solicita uma operação de assinatura ou descriptografia sem receber o material privado.
10.4 Disponibilidade, segregação e integrações do
O replica o conteúdo dentro da região e para uma região secundária, oferecendo alta disponibilidade e conduzido pela plataforma sem o administrador iniciar a replicação. As equipes podem criar um cofre por aplicação e conceder a cada identidade somente as operações e os segredos necessários. O serviço é projetado para que a Microsoft não veja nem extraia segredos, chaves ou certificados do cliente.
Integrações comuns incluem a Criptografia de Disco do para chaves de discos de VM, o e o SQL Server para chaves de banco de dados, o para recuperar cadeias de conexão e chaves de em tempo de execução e autoridades de certificação para emissão e renovação automática de certificados / públicos ou privados. de acesso podem ser enviados para monitoramento ou armazenamento, apoiando retenção, auditoria de conformidade e investigação de incidentes.
11. Acesso seguro e ciclo de vida no
11.1 Autenticação e autorização
O autentica usuários, aplicações e identidades gerenciadas. Depois, o autoriza a operação por ou, em ambientes legados, políticas de acesso. permite atribuir funções em escopos como assinatura, grupo de recursos ou cofre. A recomendação moderna é aplicar papéis mínimos e separar administradores de infraestrutura de consumidores de segredos.
Figura 5 - Aplicação acessando o com .
11.2 Identidades gerenciadas
Uma elimina a necessidade de uma credencial fixa para a aplicação autenticar-se no Entra. O recurso recebe uma identidade e obtém automaticamente. A aplicação usa o para solicitar somente o objeto ou a operação autorizada. Assim, não é necessário guardar uma “senha do ” no próprio código.
11.3 Proteção de rede
Além de autorização, o cofre pode restringir caminhos de rede. Firewall do , redes selecionadas e permitem acesso privado a partir de uma VNet. Essa combinação reduz exposição pública, mas não substitui : estar na rede correta não concede direito de ler um segredo.
11.4 Versionamento, rotação e recuperação
Objetos possuem versões, permitindo atualização sem reutilizar o mesmo valor indefinidamente.
Rotação reduz o período em que uma credencial comprometida permanece válida.
Expiração e alertas ajudam a evitar certificados vencidos e segredos esquecidos.
Soft mantém objetos excluídos por um período de retenção.
Purge protection impede exclusão definitiva durante o período configurado, protegendo contra destruição maliciosa ou acidental.
e diagnósticos registram solicitações para auditoria e investigação.
Boa prática
Use cofres separados por aplicação, ambiente e região quando isso reduzir impacto e simplificar
12. Arquitetura integrada: como os serviços trabalham juntos
Figura 6 - Exemplo integrado de proteção de uma aplicação em três camadas.
Considere uma aplicação de comércio eletrônico. Usuários chegam pela internet. A camada de borda absorve e distribui tráfego; Prote??o contra DDoS do ajuda contra ataques de rede volumétricos; o bloqueia requisições maliciosas. O front-end está em uma subnet própria, a em outra e o banco em uma terceira. permitem somente os fluxos necessários entre essas camadas.
O no hub controla saídas para a internet, acesso a destinos aprovados e comunicação entre redes. Administradores alcançam máquinas virtuais por Bastion, sem público nas VMs. A aplicação usa uma para recuperar no a connection string ou para executar uma operação com chave. de ,, Firewall, Bastion e são encaminhados para monitoramento e investigação.
12.1 Fluxo normal de uma requisição
5. O usuário envia para o ponto de entrada público. 6. A proteção DDoS monitora o volume e mitiga padrões de ataque L3/L4. 7. O inspeciona a requisição /S e aplica regras gerenciadas e personalizadas. 8. O front-end chama a somente pela porta autorizada no . 9. A autentica-se com e obtém o segredo necessário no . 10. A acessa o banco apenas pelo fluxo permitido entre subnets.
12.2 Fluxo durante um incidente
Se uma origem tenta explorar SQL injection, o pode detectar e bloquear. Se o volume cresce de forma anormal, Prote??o contra DDoS do atua na disponibilidade. Se um servidor comprometido tenta acessar um destino malicioso, pode alertar ou negar com inteligência de ameaças. Se alguém tenta ler um segredo sem função adequada, o nega e registra a solicitação. A arquitetura converte um incidente amplo em eventos observáveis e limites de contenção.
13. Decisões de projeto, monitoramento e erros comuns
13.1 Começar por requisitos, não por produtos
A seleção de controles deve partir de ativos, ameaças, caminhos de dados e requisitos regulatórios. Uma aplicação interna sem público pode não precisar do mesmo desenho de borda que um portal global. Um ambiente com poucas redes pode começar com ; uma organização com dezenas de assinaturas pode precisar de hub-and-spoke, e políticas centralizadas. é útil sempre que há segredos, mas a forma de isolamento e depende do risco.
13.2 Observabilidade
Controles sem limitam detecção e investigação. Diagnósticos podem ser enviados para Analytics, , e soluções como , conforme o serviço. Métricas DDoS mostram mitigação; do registram regras acionadas; flow ou recursos equivalentes ajudam a entender fluxos; Firewall registra decisões; registra operações; Bastion pode oferecer auditoria de sessão em ofertas compatíveis.
Erro comum
Correção conceitual
“ protege qualquer tráfego.”
é especializado em / e camada 7.
“ e são o mesmo serviço.”
é filtro distribuído; Firewall é controle central gerenciado.
“Prote??o contra DDoS do impede SQL injection.”
DDoS foca disponibilidade L3/L4; SQL injection é domínio de e código seguro.
“Bastion torna a VM segura por completo.”
Bastion protege o caminho administrativo; ainda são necessários identidade, patches e protection.
“ criptografa automaticamente todo dado da aplicação.”
gerencia material secreto e operações criptográficas; a aplicação e os serviços devem integrar-se corretamente.
“ concede acesso ao segredo.”
Rede privada reduz exposição, mas autorização Entra/ continua obrigatória.
13.3 Princípio do menor privilégio em todas as camadas
Menor privilégio não se limita a funções de identidade. Em rede, significa permitir somente origens, destinos, portas e protocolos necessários. Em , significa publicar apenas caminhos e métodos esperados. Em administração, significa reduzir pessoas e máquinas que podem iniciar sessões. Em , significa conceder apenas ações específicas sobre objetos necessários.
Estratégia de implantação
Planeje, implemente em modo de observação quando aplicável, valide , ajuste falsos positivos, automatize por infraestrutura como código e revise periodicamente regras e permissões.
14. Cenário prático integrado
Uma empresa migra seu portal de atendimento para o . O portal é público, possui internas, banco de dados e duas máquinas virtuais de suporte. A organização quer reduzir indisponibilidade, impedir exposição administrativa, limitar comunicação entre camadas e remover senhas do código.
14.1 Solução proposta
Requisito
Serviço/controle
Justificativa
Mitigar ataques volumétricos contra público
Proteção adaptativa de disponibilidade em L3/L4.
Bloquear SQL injection e
Inspeção de conteúdo /S em camada 7.
Separar web, e banco
VNet, subnets e
Segmentação e regras de fluxo mínimo.
Centralizar saída para a internet
Egress controlado, regras e centralizados.
Administrar VMs sem público
/ por caminho gerenciado e privado.
Remover senhas e certificados do repositório
+
central e autenticação sem credencial fixa.
14.2 Sequência de implantação
11. Planejar blocos sem sobreposição e criar subnets por função. 12. Aplicar com regras explícitas para web, aplicação, dados e administração. 13. Criar o ponto de entrada com e validar regras em modo de detecção antes de bloquear. 14. Habilitar proteção DDoS adequada aos IPs públicos críticos. 15. Implantar e rotas quando houver requisito de inspeção central e egress controlado. 16. Implantar Bastion e remover IPs públicos desnecessários das VMs. 17. Criar , habilitar recuperação, configurar rede, atribuir mínimo e usar . 18. Enviar para uma plataforma de monitoramento e testar cenários de falha e resposta.
14.3 Resultado
O ambiente não se torna invulnerável, mas ganha limites claros. Ataques volumétricos encontram mitigação; ataques web encontram inspeção; comprometimentos internos encontram segmentação; administração não depende de portas públicas; credenciais deixam de circular em código. Cada evento gera evidências para operação e auditoria. Essa é a essência da defesa em profundidade aplicada à infraestrutura .
Ponto de prova
A melhor resposta costuma ser o serviço mais específico para o requisito apresentado, não o produto “mais avançado”. Leia o verbo: mitigar DDoS, filtrar fluxo, inspecionar , administrar VM ou armazenar segredo.
15. Revisão rápida para o exame SC-900
VNet é a rede privada lógica no ; subnets dividem seu espaço de endereçamento e organizam workloads.
é e filtra entrada/saída por prioridade, direção, protocolo, origem, destino e porta.
é um firewall como serviço central, , com , aplicação, e recursos de ameaça.
protege aplicações web contra ataques e anomalias / na camada 7.
mitiga ataques distribuídos de negação de serviço, principalmente nas camadas 3 e 4.
Bastion permite / a VMs por privado sem exposição direta de público na máquina.
armazena segredos, chaves e certificados e integra-se ao Entra, e identidades gerenciadas.
restringe o caminho de rede, mas não substitui autorização.
Os serviços são complementares e implementam defesa em profundidade.
16. Conclusão
Proteger infraestrutura em nuvem exige compreender fluxos, camadas e responsabilidades. Redes virtuais e sub-redes criam isolamento; restringem comunicação local; centraliza políticas de rede; interpreta tráfego web; Prote??o contra DDoS do preserva disponibilidade; Bastion reduz exposição administrativa; protege segredos e material criptográfico. A segurança emerge da combinação coerente desses serviços com identidades, monitoramento e processos humanos.
Na minha avaliação, o conceito mais valioso deste capítulo é a especialização de controles. Projetos inseguros frequentemente tentam fazer um produto resolver todos os riscos. Projetos maduros perguntam qual ativo está exposto, qual camada está sendo atacada, qual fluxo precisa existir e qual evidência será gerada. Essa forma de pensar prepara o aluno não apenas para o SC-900, mas para decisões reais de arquitetura.
17. Questões de revisão
1. Uma empresa precisa bloquear tentativas de SQL injection em um portal . Qual serviço é o mais diretamente indicado?
A) B) C) D)
Resposta comentada
Resposta correta: B. O interpreta / em camada 7 e possui regras para ataques web, incluindo SQL injection.
2. Qual serviço permite conectar-se por ou a uma VM usando privado, sem expor diretamente um público na VM?
A) B) C) D)
Resposta comentada
Resposta correta: A. fornece um caminho gerenciado para / sobre até VMs privadas.
3. Qual afirmação descreve melhor a diferença entre e ?
A) protege somente e Firewall somente bancos. B) armazena segredos e Firewall emite certificados. C) é filtro distribuído em subnets/interfaces; é controle central para tráfego entre redes e internet. D) Não existe diferença funcional.
Resposta comentada
Resposta correta: C. Eles podem ser usados juntos: para segmentação local e para políticas e inspeção centralizadas.
4. Uma aplicação precisa acessar uma senha de banco sem manter credenciais fixas no código. Qual combinação é mais adequada?
A) e B) e C) Bastion e D) e público
Resposta comentada
Resposta correta: B. A autentica a aplicação, e o entrega somente o segredo autorizado.
5. As regras padrão de entrada de um negam vindo da internet. Como liberar de uma origem aprovada?
A) Excluir DenyAllInBound B) Adicionar uma regra personalizada de permissão com número de prioridade menor que o da negação padrão C) Desativar o D) Usar uma regra de saída
Resposta comentada
Resposta correta: B. As regras padrão não podem ser excluídas, mas uma regra de entrada personalizada com prioridade maior pode reconhecer o fluxo aprovado antes de DenyAllInBound.
6. Qual opção fornece monitoramento DDoS dedicado, métricas, alertas e telemetria de ataques para recursos de uma ?
A) Proteção padrão da plataforma B) DDoS Network Protection C) D) Um Application Security Group
Resposta comentada
Resposta correta: B. DDoS Network Protection oferece mitigação e visibilidade específicas para os recursos; a camada padrão da plataforma não expõe telemetria nem alertas ao cliente.
7. Qual é o escopo de implantação que deve ser lembrado para o ?
A) Uma implantação por VM B) Uma por assinatura C) Uma por , atendendo essa rede e redes emparelhadas D) Uma por usuário
Resposta comentada
Resposta correta: C. O é provisionado em uma e pode atender conexões por privado às VMs dela e de redes emparelhadas.
18. Glossário essencial
Termo
Definição
Notação para representar um bloco de endereços e o tamanho de sua rede.
Controle que acompanha o estado de conexões e reconhece tráfego de resposta.
Tráfego que entra ou sai do ambiente.
Tráfego entre componentes e redes internas.
Firewall especializado em aplicações web e /.
Grupo de regras de segurança para filtrar fluxos em VNets.
Módulo de segurança de hardware usado para proteger chaves criptográficas.
Interface de rede privada que conecta uma VNet a um serviço por Private Link.
Protocolo de área de trabalho remota, normalmente associado à porta 3389.
Protocolo de acesso seguro a sistemas, normalmente associado à porta 22.
19. Referências oficiais para aprofundamento
Microsoft Learn - Study guide for Exam SC-900: Microsoft Security, Compliance, and Identity Fundamentals. Atualizado em 26 de junho de 2026.
Microsoft Learn - overview.
Microsoft Learn - What is ?
Microsoft Learn - Introduction to .
Microsoft Learn - overview.
Microsoft Learn - virtual networks and subnets.
Microsoft Learn - What is ?
Microsoft Learn - basic concepts.
Microsoft Learn - keys, secrets, and certificates overview.
Microsoft Learn - Secure your .
Observação sobre atualização
Serviços de nuvem evoluem continuamente. Para preços, SKUs, regiões, limites e recursos em disponibilidade, consulte sempre a documentação oficial mais recente. O foco deste capítulo é a finalidade e a diferenciação conceitual exigidas no SC-900.
