EnglishDeutschFrançaisEspañolPortuguês

EingestelltAktuell: SC-500

Microsoft · AZ-500 · Associate

Microsoft Azure Security Technologies

Bereite dich mit eigens erstellten Übungsfragen und KI-Erklärungen auf Pass-IT auf Microsoft Azure Security Technologies (AZ-500) vor. Probiere Fragen kostenlos aus.

Diese Prüfung wurde eingestellt.

50Fragen der Probeprüfung
100minZeitlimit
700/ 1000Punktzahl zum Bestehen

Überblick

Über die Prüfung

Die AZ-500-Zertifizierung bestätigt Kenntnisse in der Implementierung von Sicherheitskontrollen und Bedrohungsschutz, der Verwaltung von Identität und Zugriff sowie der Absicherung von Daten, Anwendungen und Netzwerken in Azure- und Hybridumgebungen. Sie umfasst Microsoft Entra ID, Azure Defender, Microsoft Sentinel, Azure Key Vault, Network Security Groups, Azure Firewall sowie Funktionen zur Sicherheitsüberwachung und -reaktion.

Diese Zertifizierung richtet sich an Azure Security Engineers, die Sicherheit über Azure-Infrastruktur, Anwendungen und Daten hinweg implementieren, verwalten und überwachen. Kandidaten sollten über fundierte Erfahrung mit Azure-Administration, Scripting und Networking verfügen sowie mit Best Practices für Cloud-Sicherheit und Compliance-Anforderungen vertraut sein.

Übungsfragen ausprobieren

Fünf Fragen zu AZ-500 ausprobieren

Übe mit fünf Fragen aus dem aktuellen Fragenpool für Microsoft Azure Security Technologies in der App, jeweils mit Antwort und Erklärung.

Azure mit Microsoft Defender for Cloud und Microsoft Sentinel absichern1 / 5

Du musst dafür sorgen, dass die Sicherheitsprotokolle von Microsoft Sentinel aus Compliance-Gründen 2 Jahre lang verfügbar bleiben. Der Workspace hält die Sentinel-Analytics-Logs 90 Tage lang interaktiv, und du möchtest ältere Daten kostengünstiger aufbewahren, ohne die Tabelle aus dem Analytics-Tier zu verschieben. Was solltest du für die betreffenden Tabellen konfigurieren?

AlexGanze Erklärung von Alex

Nutze die Total Retention auf Tabellenebene für die langfristige Compliance-Aufbewahrung. In einem Microsoft Sentinel-Workspace hält die Analytics-Aufbewahrung die Daten für Analysen nahezu in Echtzeit, für Alerting, Hunting und Workbooks verfügbar. Die Total Retention verlängert die Aufbewahrung über diesen interaktiven Zeitraum hinaus für den Langzeitzugriff. Konfiguriere die betreffenden Tabellen mit einer Total Retention von 730 Tagen für zwei Jahre. Die Analytics-Aufbewahrung auf 730 Tage zu erhöhen kann die Daten ebenfalls interaktiv halten, ist aber nicht der kostengünstigere Weg, wenn nur gelegentlich auf ältere Compliance-Daten zugegriffen werden muss. Eine Tabelle ausschließlich in den Data-Lake-Tier zu verschieben ist eine andere Entscheidung, die für diese Daten die Echtzeitfunktionen von Sentinel entfernen kann.

Quellelearn.microsoft.com

Identität und Zugriff absichern2 / 5

Du musst Microsoft Entra ID so konfigurieren, dass Ereignisse der Risikoerkennung in Echtzeit an ein SIEM-System gesendet werden. Welche Diagnoseeinstellung solltest du in Microsoft Entra ID aktivieren?

AlexGanze Erklärung von Alex

RICHTIG: RiskyUsers- und UserRiskEvents-Logs. Laut Microsoft-Dokumentation exportieren Organisationen die Daten der Risikoerkennung, indem sie in Microsoft Entra ID Diagnoseeinstellungen für RiskyUsers und UserRiskEvents konfigurieren; damit wird Echtzeit-Streaming an ein SIEM über Event Hubs oder Log Analytics möglich. FALSCHE Antworten: Nur SigninLogs erfasst Authentifizierungsereignisse, aber keine Risikobewertungen oder Risikostufen von Identity Protection. Nur ProvisioningLogs verfolgt den Lebenszyklus der Benutzerbereitstellung, nicht die Risikoereignisse. Nur AuditLogs erfasst Verzeichnisänderungen, enthält aber keine Risikoerkennungen von Identity Protection.

Quellelearn.microsoft.com

Compute, Storage und Datenbanken absichern3 / 5

Du konfigurierst die Sicherheit von Azure Storage. Du musst den Zugriff mithilfe von SAS tokens und Netzwerksteuerungen einschränken. Wähle für jede der folgenden Aussagen Ja aus, wenn die Aussage wahr ist. Wähle andernfalls Nein aus. 1. Eine user delegation SAS wird mit Microsoft Entra-Anmeldeinformationen statt mit dem storage account key abgesichert. 2. Eine account SAS kann gleichzeitig Zugriff auf Ressourcen über mehrere storage services hinweg delegieren. 3. Stored access policies können mit account SAS verwendet werden, um Widerrufsmöglichkeiten bereitzustellen. 4. Wenn ein private endpoint für ein storage account erstellt wird, verbinden sich Clients im VNet mit denselben connection strings wie zuvor.

AlexGanze Erklärung von Alex

KORREKT: Ja, Ja, Nein, Ja. Laut Microsoft-Dokumentation: (1) JA: User delegation SAS wird mit Microsoft Entra-Anmeldeinformationen statt mit dem account key abgesichert und bietet dadurch höhere Sicherheit. (2) JA: Account SAS delegiert gleichzeitig Zugriff auf Ressourcen in einem oder mehreren storage services, anders als service SAS, die auf einen Service beschränkt ist. (3) NEIN: Stored access policies werden für user delegation SAS oder account SAS nicht unterstützt. Nur service SAS unterstützt stored access policies für den Widerruf. (4) JA: Laut Dokumentation zu private endpoints sollten Clients in einem VNet, die den private endpoint verwenden, denselben connection string nutzen. DNS löst den FQDN automatisch zur privaten IP auf.

Quellelearn.microsoft.com

Sicheres Networking4 / 5

Du konfigurierst Azure Bastion, um sicheren RDP-Zugriff auf VMs in einem virtuellen Netzwerk bereitzustellen. Azure Bastion benötigt ein dediziertes Subnetz. Wie muss dieses Subnetz benannt sein?

AlexGanze Erklärung von Alex

Azure Bastion benötigt ein dediziertes Subnetz mit dem exakten Namen 'AzureBastionSubnet' (mindestens /26). Dies ist eine feste Namensanforderung, die von Azure erzwungen wird; kein anderer Name wird akzeptiert. Das Subnetz muss sich im selben VNet wie der Bastion host befinden und darf keine anderen Ressourcen enthalten.

Warum die Ablenkungsoptionen falsch sind: 'BastionSubnet' klingt plausibel, ist aber falsch; Azure erzwingt den exakten Präfix 'AzureBastion.' 'ManagementSubnet' ist ein generischer Name ohne besondere Azure-Bedeutung. 'GatewaySubnet' ist der erforderliche Name für VPN/ExpressRoute gateways, nicht für Bastion.

Ref: learn.microsoft.com/azure/bastion/configuration-settings

Quellelearn.microsoft.com

Azure mit Microsoft Defender for Cloud und Microsoft Sentinel absichern5 / 5

Deine Organisation möchte Microsoft Defender for Cloud nutzen, um die Compliance gegenüber PCI DSS zu bewerten. Wo aktivierst du diesen Compliance-Standard?

AlexGanze Erklärung von Alex

RICHTIG: Defender for Cloud Regulatory compliance-Dashboard. Laut Microsoft-Dokumentation stellt dieses Dashboard integrierte Compliance-Frameworks bereit, darunter PCI DSS, und ordnet die Controls von Azure Policy den regulatorischen Anforderungen zu. Compliance-Standards aktivierst und verwaltest du direkt über dieses Dashboard. FALSCHE Antworten: Azure Policy Definitions definieren einzelne Richtlinien, bieten aber kein integriertes Framework zur Compliance-Bewertung. Azure Monitor Alerts kümmern sich um Metrik- und Log-Alerting, nicht um die Bewertung der Compliance-Posture. Sentinel Analytics rules erkennen Sicherheitsbedrohungen mithilfe von KQL, bewerten aber keine regulatorische Compliance.

Quellelearn.microsoft.com

Die Fragen in der App sind derzeit auf Englisch. Übersetzungen in dieser Vorschau gelten nur für die Vorschau. Welche Sprachen für die offizielle Prüfung verfügbar sind, erfährst du beim Prüfungsanbieter.

Prüfungsbereiche

Inhalte der Prüfung

Am schwersten wiegt mit 30–35 % der Bereich "Azure mit Microsoft Defender for Cloud und Microsoft Sentinel absichern", und er umfasst mehr, als sein Titel vermuten lässt: Azure Policy und die Durchsetzung von Governance, Key Vault samt Rotation von Zertifikaten, Secrets und Keys, Secure Score und Compliance-Standards, Workload Protection Plans sowie Sentinel-Data-Connectors und Analytics Rules gehören alle dazu. Es folgen Networking und Compute/Storage/Datenbanken mit je 20–25 %, Identity und Access mit 15–20 %.

Die Gewichtung ist genau umgekehrt zu dem, was man von einer Security-Prüfung erwartet: Identity, üblicherweise das erste Thema im Unterricht, ist die kleinste Domäne, während Posture Management und Monitoring, also die Arbeit, die erst nach der fertigen Konfiguration beginnt, die größte ist. Die Nachfolgeprüfung SC-500 behält diese Reihenfolge bei und packt noch eine Reihe von Controls für AI-Workloads obendrauf. Zeit, die du hier in Defender for Cloud steckst, ist also nicht verloren.

Prüfungsplan: AZ-500

Secure identity and access15–20%

Verwaltung von Sicherheitskontrollen für Identität und Zugriff (RBAC, benutzerdefinierte Rollen, PIM, MFA, Conditional Access) sowie Verwaltung von Microsoft Entra-Anwendungszugriff und Managed Identities (Enterprise Apps, App-Registrierungen, Service Principals, Managed Identities)

≈ 9 h
Secure networking20–25%

Planung und Implementierung von Sicherheit für virtuelle Netzwerke (NSGs, ASGs, Virtual Network Manager, UDRs, VNet Peering, VPN, Virtual WAN, ExpressRoute, Firewalls, Network Watcher), privaten Zugriff (Service Endpoints, Private Endpoints, Private Link) und öffentlichen Zugriff (TLS, Azure Firewall, Application Gateway, Front Door, WAF, DDoS Protection)

≈ 12 h
Secure compute, storage, and databases20–25%

Planung und Implementierung erweiterter Sicherheit für Compute (Bastion, JIT VM-Zugriff, AKS-Sicherheit, Container-Monitoring, ACR, Disk Encryption, API Management-Sicherheit), Storage-Sicherheit (Zugriffssteuerung, Access Keys, Azure Files/Blob-Zugriff, Datenschutz, BYOK, Double Encryption) und Sicherheit von Azure SQL Database/Managed Instance (Authentifizierung, Auditing, Dynamic Masking, TDE, Always Encrypted)

≈ 12 h
Secure Azure using Microsoft Defender for Cloud and Microsoft Sentinel30–35%

Implementierung und Verwaltung von Cloud-Governance-Richtlinien (Azure Policy, Key Vault, Verwaltung von Zertifikaten/Secrets/Keys, Key Rotation, Backup/Recovery), Verwaltung des Sicherheitsstatus mit Defender for Cloud (Secure Score, Compliance, benutzerdefinierte Standards, Multi-Cloud, EASM), Konfiguration des Bedrohungsschutzes (Workload Protection Plans, Defender for Servers/Databases/Storage, agentenloses Scannen, Vulnerability Management, DevOps Security) sowie Konfiguration von Sicherheitsüberwachung und -automatisierung (Alerts, Workflow-Automatisierung, DCRs, Sentinel Data Connectors/Analytics Rules/Automation)

≈ 17 h

Format

Prüfungsformat und Fragetypen

Die Prüfung umfasst 40–60 Fragen und dauert 100 Minuten. Als Fragetypen kommen Multiple-Choice, Multiple-Select, Drag-and-drop, Hot Area und Fallstudien vor. Die Fragen sind szenariogetrieben: Sie stellen dir Sicherheitsvorfälle oder Compliance-Anforderungen vor und fragen, wie du die richtigen Sicherheitskontrollen konfigurierst. Lab-Fragen können praktische Konfigurationsfähigkeiten prüfen.

Fragetypen: AZ-500

Multiple Choice41%

Wähle die einzelne Antwort aus, die die Anforderungen der Frage am besten erfüllt.

Drag & Drop17%

Ziehe Elemente an die vorgesehenen Stellen, in die passenden Gruppen oder in die geforderte Reihenfolge.

Reihenfolge11%

Bringe die Schritte in die Reihenfolge, die für den Ablauf erforderlich ist.

Mehrfachauswahl11%

Wähle mehrere Antworten aus. Beachte dabei, wie viele Antworten laut Aufgabenstellung gefragt sind.

Dropdown11%

Wähle Einträge aus Dropdown-Menüs aus, um eine Aussage oder Konfiguration zu vervollständigen.

Wahr / Falsch9%

Entscheide, ob eine Aussage richtig oder falsch ist. Achte dabei auf ihre Bedingungen und den genauen Wortlaut.

Lernhinweise

Häufige Fehlerquellen

Themen zum Wiederholen: AZ-500

  1. 01Entra ID-Sicherheit

    Fehlendes Verständnis von Conditional Access-Richtlinien, PIM (Privileged Identity Management) und Identity Protection-Konfigurationen.

  2. 02Netzwerkisolierung

    Verwechslung von Private Endpoints, Service-Endpunkten, NSGs und Azure Firewall für verschiedene Netzwerksicherheitsszenarien.

  3. 03Key Vault-Zugriff

    Schwierigkeiten mit Key-Vault-Zugriffsrichtlinien vs. RBAC-Autorisierungsmodellen und Managed-Identity-Integration.

  4. 04Defender for Cloud

    Übersehen der Workload Protection Plans von Microsoft Defender for Cloud und ihrer spezifischen Funktionen pro Ressourcentyp.

  5. 05Regulatorische Compliance

    Unkenntnis der Implementierung und Bewertung der Einhaltung regulatorischer Standards mit Azure Policy und Defender for Cloud.

Mit Fragen und Erklärungen in Pass-IT üben →

Fragen

Häufig gestellte Fragen

Wie lange dauert die Prüfung Microsoft Azure Security Technologies?

Die Prüfung AZ-500 umfasst 50 Fragen und hat ein Zeitlimit von 100 Minuten.

Welche Punktzahl brauche ich, um Microsoft Azure Security Technologies zu bestehen?

Die erforderliche Punktzahl zum Bestehen der Prüfung AZ-500 beträgt 700 / 1000.

Welche Fehlerquellen sollte ich bei der Vorbereitung auf Microsoft Azure Security Technologies beachten?

Zu den Themen, die du wiederholen solltest, gehören Entra ID-Sicherheit, Netzwerkisolierung, Key Vault-Zugriff, Defender for Cloud, Regulatorische Compliance. Prüfe anhand von Beispielen, ob du die Unterschiede verstehst und deine Antwort begründen kannst.

Was ersetzt AZ-500?

SC-500 übernimmt als Microsofts Prüfung für Azure-Security-Engineering. Die Inhalte überschneiden sich stark mit AZ-500, deshalb ist alles, was du dir zu Identität, Netzwerkisolation und Defender for Cloud schon erarbeitet hast, weiterhin nützlich und nicht umsonst gewesen.

Was passiert nach der Einstellung mit deiner AZ-500-Zertifizierung?

Eine Zertifizierung, die du bereits hast, bleibt für die üblichen zwölf Monate gültig, und Microsofts kostenlose Renewal-Prüfung auf Microsoft Learn öffnet sechs Monate vor Ablauf. Die Einstellung der Prüfung verhindert nur, dass neue Kandidaten sie noch buchen; sie entzieht niemandem das bereits bestandene Zertifikat.

Welche AZ-500-Themen bringen die meisten Punkte?

Defender for Cloud und Microsoft Sentinel bilden zusammen mit rund 34% den schwersten Bereich, sicheres Networking sowie sichere Compute-, Storage- und Datenbankdienste liegen bei jeweils etwa 24% und Identität und Zugriff bei knapp 18%. Microsoft veröffentlicht Bandbreiten statt exakter Werte, lies das also als Größenordnung.