آموزش [جدید] متخصص امنیت مایکروسافت Azure (Azure Security Engineer Associate) - آخرین آپدیت

پوشش دقیق دامنه آزمون

آزمون‌های تمرینی این دوره به طور سیستماتیک با نقشه راه رسمی مایکروسافت AZ-500 همسو شده‌اند. هر سؤال مستقیماً به یکی از چهار حوزه عملیاتی اصلی متصل است:

• امنیت هویت و دسترسی (۲۵٪)

  • پیکربندی تنظیمات امنیتی Microsoft Entra ID (سابقاً Azure AD).

  • پیاده‌سازی سیاست‌های دسترسی مشروط (Conditional Access) و احراز هویت چندعاملی (MFA).

  • مدیریت مدیریت هویت‌های دارای امتیاز (PIM) برای نقش‌های چرخه عمر Just-in-time.

  • ایمن‌سازی معماری‌های احراز هویت ترکیبی (Hybrid) و حاکمیت هویت.

• شبکه‌سازی امن (۲۵٪)

  • استقرار و مدیریت Azure Firewall، فایروال اپلیکیشن وب (WAF) و گروه‌های امنیتی شبکه (NSGs).

  • پیکربندی محافظت Azure DDoS و ایمن‌سازی Peering شبکه مجازی (VNet).

  • پیاده‌سازی اتصال امن از طریق VPNها، ExpressRoute و نقاط انتهایی خصوصی (Private Endpoints).

• امنیت محاسبات، ذخیره‌سازی و پایگاه داده (۲۵٪)

  • اعمال رمزگذاری دیسک Azure (ADE)، کلیدهای مدیریت شده توسط مشتری (CMK) و افزونه‌های امنیتی VM.

  • پیکربندی کنترل‌های دسترسی حساب ذخیره‌سازی، امضاهای دسترسی مشترک (SAS) و ایزولاسیون شبکه.

  • فعال‌سازی Microsoft Defender for SQL، حسابرسی پایگاه داده و ماسک کردن دینامیک داده‌ها.

  • تقویت امنیت زیرساخت به عنوان کد (IaC) و حجم‌های کاری کلاستر Azure Kubernetes Service (AKS).

• مدیریت امنیت با استفاده از Microsoft Defender for Cloud و Microsoft Sentinel (۲۵٪)

  • تعریف خطوط پایه امنیتی، سیاست‌های انطباق مقررات و توصیه‌ها در Defender for Cloud.

  • مانیتورینگ، اولویت‌بندی و بررسی هشارهای امنیتی پیشرفته و حوادث.

  • پیکربندی محیط‌های کاری Microsoft Sentinel، کانکتورهای داده، قوانین تحلیلی و پرس‌وجوهای شکار تهدید.

  • اتوماسیون رفع حوادث با استفاده از Playbookهای Sentinel و Azure Logic Apps.

توضیحات دوره

کسب مدرک Microsoft Certified: Azure Security Engineer Associate نیازمند چیزی فراتر از حفظ مفاهیم تئوری است. آزمون واقعی AZ-500 سوالات پیچیده و سناریو-محوری را ارائه می‌دهد که قضاوت فنی و توانایی شما در طراحی معماری‌های ابری امن تحت فشار را می‌سنجد.

من این بانک سوالات تمرینی را برای پر کردن شکاف بین تئوری معماری و مهندسی عملی طراحی کرده‌ام. به جای سوالات سطحی، این تست‌ها شما را با سناریوهای واقعی تولید (Production) شامل محیط‌های چند مستأجری، مهاجرت زیرساخت‌های قدیمی، چارچوب‌های سختگیرانه انطباق و نقض‌های امنیتی لحظه‌ای مواجه می‌کند. با تعامل با این سوالات با کیفیت بالا، شما یاد می‌گیرید که عوامل گمراه‌کننده را شناسایی کرده، نقاط ضعف معماری را بیابید و دقیق‌ترین ترکیب ابزارهای Azure را مطابق با بهترین روش‌های مایکروسافت انتخاب کنید.

هر یک از سوالات این برنامه آموزشی دارای تحلیل عملکرد جامع است. من فقط به شما نمی‌گویم کدام پاسخ درست است، بلکه نقص‌های معماری گزینه‌های نادرست را شرح داده و تحلیل می‌کنم که چرا سرویس‌های خاص Azure در محیط‌های عملیاتی به این شکل رفتار می‌کنند. این روش مهارت‌های عیب‌یابی سیستماتیکی را ایجاد می‌کند که بسیار فراتر از مرکز آزمون به شما کمک خواهد کرد.

پیش‌نمایش سوالات تمرینی

نمونه سوال ۱ (دامنه: امنیت هویت و دسترسی)

شرکت شما از Microsoft Entra ID استفاده می‌کند. یک اپلیکیشن مالی حیاتی به نام "FinApp1" حاوی داده‌های شرکتی بسیار حساس است. مدیر ارشد امنیت اطلاعات (CISO) یک دستور امنیتی با شرایط زیر صادر می‌کند:

1. کاربران باید هرگاه از خارج از دفتر مرکزی شرکت به FinApp1 دسترسی پیدا می‌کنند، از چالش احراز هویت چندعاملی (MFA) عبور کنند.

2. دسترسی کاربران به FinApp1 از طریق دستگاه‌های شخصی مدیریت‌نشده، بدون توجه به موقعیت مکانی آن‌ها، باید به طور کامل مسدود شود.

3. کاربرانی که از دستگاه‌های مدیریت‌شده توسط شرکت و مطابق (Compliant) در داخل دفتر مرکزی استفاده می‌کنند، باید بدون درخواست MFA اجازه دسترسی داشته باشند.

شما باید راهکاری را با استفاده از ابزارهای Microsoft Entra ID پیاده‌سازی کنید که حداقل هزینه مدیریتی داشته و این قوانین را به طور دقیق اجرا کند. کدام استراتژی را باید اجرا کنید؟

• الف. ایجاد یک سیاست Conditional Access واحد برای FinApp1. پیکربندی شرایط برای شامل شدن همه مکان‌ها به جز مکان نام‌گذاری شده دفتر مرکزی. تنظیم کنترل Grant برای الزام MFA و الزام اینکه دستگاه به عنوان Compliant علامت‌گذاری شده باشد.

• ب. فعال کردن Security Defaults در سطح Tenant در مرکز مدیریت Microsoft Entra. سپس پیکربندی یک سیاست App Protection برای FinApp1 که دستگاه‌های مدیریت‌نشده را هدف قرار دهد.

• ج. پیکربندی Microsoft Entra ID Privileged Identity Management (PIM). الزام همه کاربران به فعال‌سازی یک نقش واجد شرایط که MFA را قبل از دسترسی به لینک اپلیکیشن سازمانی FinApp1 اجرا کند.

• د. ایجاد دو سیاست Conditional Access مجزا. سیاست ۱ اپلیکیشن FinApp1 را هدف قرار می‌دهد، شامل «همه مکان‌ها» به جز مکان‌های نام‌گذاری شده مورد اعتماد است و MFA را می‌طلبد. سیاست ۲ اپلیکیشن FinApp1 را هدف قرار می‌دهد، شامل «همه دستگاه‌ها» به جز دستگاه‌های Compliant است و کنترل دسترسی را روی Block قرار می‌دهد.

• ه. پیکربندی سیاست ریسک sign-in در Microsoft Entra Identity Protection. تنظیم آستانه ریسک روی Medium و بالاتر، و پیکربندی اقدام اجرایی برای الزام به بازنشانی رمز عبور و دستگاه Compliant.

• و. ایجاد یک سیاست Conditional Access که دسترسی به FinApp1 را از تمام مکان‌ها مسدود می‌کند. ایجاد یک قانون استثنا در تنظیمات تخصیص کاربر اپلیکیشن که صراحتاً به کاربرانی که با محدوده IP دفتر مرکزی مطابقت دارند اجازه دسترسی دهد.

پاسخ و توضیح

• پاسخ صحیح: د

• توضیح:

  • چرا گزینه د صحیح است: سیاست‌های Conditional Access در داخل خود از منطق "AND" برای معیارها استفاده می‌کنند، اما چندین سیاست مجزا با منطق "OR" اجرا می‌شوند که در آن محدودکننده‌ترین سیاست اولویت دارد (و مسدودسازی‌های صریح بر مجوزها اولویت دارند). سیاست ۱ ترافیک خارجی را ایزوله کرده و به درستی MFA را برای خارج از دفتر درخواست می‌کند. سیاست ۲ انطباق دستگاه را به طور مستقل مدیریت می‌کند؛ با هدف قرار دادن همه دستگاه‌ها و استثنا کردن دستگاه‌های Compliant مدیریت شده، تمام اتصالات مدیریت‌نشده را شناسایی و قطع می‌کند. این روش هر سه بخش دستور را با حداقل پیچیدگی اجرا می‌کند.

  • چرا گزینه الف نادرست است: اگر MFA و انطباق دستگاه را در یک سیاست واحد که دفتر مرکزی را استثنا می‌کند قرار دهید، کاربرانی که داخل دفتر هستند و از دستگاه‌های مدیریت‌نشده استفاده می‌کنند، به طور کامل از این سیاست عبور می‌کنند. این یک شکاف امنیتی بزرگ ایجاد کرده و شرط دوم دستور را نقض می‌کند.

  • چرا گزینه ب نادرست است: Security Defaults محافظت‌های امنیتی پایه و باینری برای کل Tenant فراهم می‌کند. این قابلیت را ندارد که برای اپلیکیشن‌های خاصی مانند FinApp1 محدود شود و از استثناهای مکانی دقیق یا قوانین پیچیده انطباق دستگاه پشتیبانی نمی‌کند.

  • چرا گزینه ج نادرست است: PIM نقش‌های مدیریتی دایرکتوری (مانند Global Administrator) را برای مدت زمان محدود مدیریت می‌کند. برای کنترل دسترسی سطح نشست کاربران نهایی یا ارزیابی وضعیت لحظه‌ای شبکه و دستگاه برای اپلیکیشن‌های تجاری طراحی نشده است.

  • چرا گزینه ه نادرست است: سیاست‌های ریسک Identity Protection بر اساس ناهنجاری‌های رفتاری و سیگنال‌های اعتبارنامه‌های لو رفته (مانند سفر غیرممکن) فعال می‌شوند. آن‌ها مکان‌های فیزیکی ایستا را ارزیابی نمی‌کنند و بررسی نمی‌کنند که آیا دستگاه توسط یک راهکار MDM به عنوان Compliant علامت‌گذاری شده است یا خیر.

  • چرا گزینه و نادرست است: منوهای تخصیص کاربر در اپلیکیشن‌های سازمانی می‌توانند دسترسی را بر اساس شناسه شیء کاربر یا گروه فیلتر کنند، اما نمی‌توانند شرایط پویا و لحظه‌ای شبکه مانند محدوده‌های IP یا مکان‌های نام‌گذاری شده را ارزیابی کنند.

نمونه سوال ۲ (دامنه: شبکه‌سازی امن)

شما در حال طراحی توپولوژی شبکه برای یک اپلیکیشن سازمانی مستقر در Azure هستید. پایگاه داده بک-اند روی یک سرور منطقی Azure SQL Database به نام sql-prod-db اجرا می‌شود. لایه اپلیکیشن روی ماشین‌های مجازی Azure در یک ساب‌نت اختصاصی به نام AppSubnet در یک شبکه مجازی به نام VNet1 قرار دارد.

چارچوب انطباق شرکت حکم می‌کند که:

1. هیچ ترافیکی به مقصد sql-prod-db نباید از اینترنت عمومی عبور کند.

2. سرور پایگاه داده نباید دارای IP عمومی یا نقطه انتهایی DNS عمومی باشد.

3. دسترسی از AppSubnet به sql-prod-db باید از یک آدرس IP خصوصی داخلی قابل پیش‌بینی استفاده کند که مستقیماً از VNet1 اختصاص یافته باشد.

کدام پیکربندی این الزامات امنیتی را برآورده می‌کند؟

• الف. پیکربندی یک Azure Virtual Network Service Endpoint برای Microsoft.Sql روی AppSubnet. به‌روزرسانی قوانین فایروال Azure SQL Database برای اجازه دسترسی از Resource ID مربوط به AppSubnet.

• ب. استقرار یک Azure Private Endpoint برای sql-prod-db در یک ساب‌نت اختصاصی در VNet1. متصل کردن نقطه انتهایی به یک Private DNS Zone به نام privatelink.database.windows.net که مستقیماً به VNet1 لینک شده است.

• ج. ایجاد یک اتصال Azure Virtual Network Peering بین VNet1 و زیرساخت شبکه PaaS مدیریت شده مایکروسافت که نمونه SQL Database را میزبانی می‌کند.

• د. استقرار یک نمونه Azure Firewall در VNet1. پیکربندی یک Application Rule با هدف FQDN مطابق با sql-prod-db.database.windows.net و مسیریابی تمام ترافیک AppSubnet از طریق فایروال با استفاده از یک مسیر تعریف شده توسط کاربر (UDR).

• ه. پیکربندی یک قانون NSG ورودی در AppSubnet که ارتباط خروجی به Sql Service Tag را اجازه دهد و محدوده پورت مقصد را دقیقاً روی ۱۴۳۳ تنظیم کند.

• و. استقرار یک سیاست Azure Web Application Firewall (WAF) یکپارچه با یک نمونه Azure Front Door Premium و مسیریابی اتصالات پایگاه داده از طریق زیرساخت Anycast جهانی Front Door.

پاسخ و توضیح

• پاسخ صحیح: ب

• توضیح:

  • چرا گزینه ب صحیح است: Azure Private Endpoints یک آدرس IP خصوصی را مستقیماً از شبکه مجازی محلی شما به یک نمونه از سرویس PaaS اختصاص می‌دهند. با مسیریابی ترافیک از طریق این رابط شبکه خصوصی، نقطه انتهایی عمومی SQL Database را می‌توان به طور کامل غیرفعال کرد. Private DNS Zone تضمین می‌کند که رشته‌های اتصال (Connection Strings) مستقیماً به آن IP داخلی مپ شوند و تمام محدودیت‌های انطباق رعایت گردند.

  • چرا گزینه الف نادرست است: Service Endpoints مسیریابی را بهینه می‌کنند تا ترافیک در شبکه اصلی مایکروسافت بماند، اما سرویس PaaS هدف همچنان IP عمومی و رزولوشن DNS عمومی خود را حفظ می‌کند. این مستقیماً شرط دوم را که نقاط انتهایی عمومی را ممنوع می‌کند، نقض می‌کند.

  • چرا گزینه ج نادرست است: VNet Peering دو شبکه مجازی مجزا که توسط مشتری مدیریت می‌شوند را متصل می‌کند. شما نمی‌توانید یک VNet مدیریت شده توسط مشتری را مستقیماً با شبکه‌های زیرساختی مخفی و مدیریت شده مایکروسافت که لایه‌های SQL Database چند مستأجری را اجرا می‌کنند، Peering کنید.

  • چرا گزینه د نادرست است: اگرچه Azure Firewall می‌تواند ترافیک خروجی به مقصد یک نقطه انتهایی عمومی SQL را با استفاده از تگ‌های FQDN فیلتر کند، اما نمونه پایگاه داده زیرین همچنان برای پذیرش آن ترافیک به فعال بودن نقطه انتهایی عمومی نیاز دارد.

  • چرا گزینه ه نادرست است: NSGها ترافیک را در مرز ساب‌نت فیلتر می‌کنند اما مکانیسم‌های مسیریابی را تغییر نمی‌دهند یا نحوه نمایش نقاط انتهایی را عوض نمی‌کنند. SQL Database همچنان از IPهای عمومی استفاده می‌کند و دستور انطباق را نقض می‌کند.

  • چرا گزینه و نادرست است: Azure WAF و Azure Front Door در لایه ۷ (HTTP/HTTPS) عمل می‌کنند. آن‌ها برای اپلیکیشن‌های وب بهینه شده‌اند و نمی‌توانند اتصالات خام پایگاه داده TDS که روی پورت TCP 1433 اجرا می‌شوند را بپذیرند یا پردازش کنند.

نمونه سوال ۳ (دامنه: مدیریت امنیت با استفاده از Microsoft Defender for Cloud و Microsoft Sentinel)

تیم مرکز عملیات امنیت (SOC) شما از Microsoft Sentinel استفاده می‌کند. شما متوجه هجوم حملات Brute-force احراز هویت به ماشین‌های مجازی لینوکس Azure خود که با اینترنت در ارتباط هستند، می‌شوید. می‌خواهید مکانیزمی بسازید که فرآیند پاسخ را خودکار کند.

زمانی که Microsoft Defender for Cloud یک هشدار با شدت بالا (High-severity) مبنی بر موفقیت حمله Brute-force علیه یک VM خاص تولید می‌کند، Microsoft Sentinel باید به طور خودکار گردش کاری را اجرا کند که NSG متصل به آن VM را تغییر داده و IP مهاجم را به مدت ۲۴ ساعت مسدود کند.

کدام ترکیب از مراحل پیکربندی را باید برای استقرار این گردش کار خودکار اجرا کنید؟

• الف. ایجاد یک Azure Automation Runbook حاوی اسکریپت PowerShell که قوانین NSG را تغییر می‌دهد. تحریک این runbook مستقیماً از طریق آستانه هشدار متریک در Microsoft Sentinel Workbook.

• ب. ساخت یک قانون تحلیلی (Analytics rule) در Microsoft Sentinel با استفاده از KQL برای شناسایی هشدار. پیکربندی یک قانون اتوماسیون (Automation Rule) در Sentinel متصل به یک Playbook که از Azure Logic App برای به‌روزرسانی NSG هدف از طریق کانکتور Azure Resource Manager استفاده می‌کند.

• ج. پیکربندی یک قانون هشدار Log Analytics با هدف جدول لاگ SecurityEvent. تنظیم گروه اکشن برای فراخوانی یک Azure Function app که بلافاصله پس از رسیدن رویداد، ماشین مجازی Azure را ری‌استارت کند.

• د. باز کردن Microsoft Defender for Cloud، رفتن به Environment Settings و فعال کردن ویژگی Continuous Export برای ارسال داده‌های خام مستقیماً به یک Azure Event Hub که یک Webhook سفارشی را برای هدف قرار دادن NSG اجرا می‌کند.

• ه. نوشتن یک پرس‌وجوی KQL سفارشی در بخش Hunting در Microsoft Sentinel، ذخیره آن به عنوان Watchlist و پیکربندی یک تعریف Azure Policy برای اصلاح خودکار تنظیمات شبکه غیرمنطبق.

• و. استقرار یک قانون اتوماسیون گردش کار در Microsoft Defender for Cloud که یک سیاست دسترسی JIT به VM را به یک تعریف Azure Blueprint متصل کرده و تمام پورت‌های مدیریتی ورودی را در سطح Tenant مسدود می‌کند.

پاسخ و توضیح

• پاسخ صحیح: ب

• توضیح:

  • چرا گزینه ب صحیح است: Microsoft Sentinel از قوانین تحلیلی برای تجزیه سیگنال‌های ورودی (مانند هشدارهای ارسالی از Defender for Cloud) استفاده می‌کند و آن‌ها را به عنوان Incidents قابل اقدام علامت‌گذاری می‌کند. سپس Automation Rules هماهنگی وظایف پاسخ را بر عهده می‌گیرند. با متصل کردن Automation Rule به یک Playbook ساخته شده بر پایه Azure Logic Apps، می‌توانید به صورت برنامه‌نویسی‌شده متاداده‌ها (VM هدف و IP مخرب) را استخراج کرده و قوانین NSG را به صورت پویا از طریق کانکتورهای مدیریت شده تغییر دهید.

  • چرا گزینه الف نادرست است: Workbookها داشبوردهای بصری برای تحلیل تعاملی داده‌ها، گزارش‌دهی و ردیابی متریک‌ها هستند. آن‌ها فاقد چارچوب ارکستراسیون بومی برای تحریک اسکریپت‌های اصلاح زیرساخت خودکار مانند Automation Runbooks هستند.

  • چرا گزینه ج نادرست است: ماشین‌های مجازی لینوکس تلاش‌های احراز هویت را در ساختارهای syslog (جداول Syslog یا AALog) ثبت می‌کنند، نه در جدول SecurityEvent که مخصوص ویندوز است. علاوه بر این، ری‌استارت کردن VM مشکل آسیب‌پذیری ریشه‌ای را حل نمی‌کند و IP مهاجم را مسدود نمی‌کند.

  • چرا گزینه د نادرست است: Continuous Export مکانیزم مؤثری برای انتقال جریان‌های لاگ خام به پلتفرم‌های SIEM شخص ثالث یا دریاچه‌های داده (Data Lakes) است. این قابلیت فاقد موتور منطق شرطی داخلی مورد نیاز برای ایزوله کردن پارامترهای خاص حمله و تغییر پویا در منابع شبکه است.

  • چرا گزینه ه نادرست است: بخش Hunting برای تحقیقات امنیتی پیش‌کننده و دستی توسط تحلیلگران انسانی طراحی شده است. این بخش نمی‌تواند به طور خودکار اسکریپت‌های اصلاحی را اجرا کند یا سینتکس KQL را مستقیماً به اقدامات اجرایی Azure Policy تبدیل کند.

  • چرا گزینه و نادرست است: کنترل‌های دسترسی Just-In-Time (JIT) از قرار گرفتن پورت‌های ورودی در معرض دید جلوگیری می‌کنند و مسیرهای مدیریتی را به طور پیش‌فرض می‌بندند تا زمانی که توسط کاربران مجاز درخواست شود. JIT نمی‌تواند داده‌های حمله پویا را از هشدارهای زنده دریافت کرده و لیست‌های مسدودسازی علیه مهاجمان خارجی ایجاد کند.

• به آکادمی آزمون‌های تمرینی Mock Exam خوش آمدید تا شما را برای دریافت گواهینامه Microsoft Certified: Azure Security Engineer Associate (AZ-500) آماده کنیم.

• شما می‌توانید هر تعداد بار که بخواهید در آزمون‌ها شرکت کنید.

• این یک بانک سوالات جامع و اورجینال است.

• در صورت داشتن هرگونه سوال، از پشتیبانی مدرسان بهره‌مند می‌شوید.

• هر سوال دارای توضیحات دقیق است.

• با اپلیکیشن Udemy کاملاً با موبایل سازگار است.

امیدوارم تا الان متقاعد شده باشید! سوالات بسیار بیشتری در داخل دوره وجود دارد.