Consulta de Apuntes de Estudio

La solución propuesta implica crear grupos de Microsoft Entra para cada aplicación, agregar usuarios a estos grupos y asignarles roles a nivel de grupo de recursos. Esta solución cumple con el objetivo, ya que proporciona una gestión centralizada de permisos.

Crear grupos de seguridad en AD DS, agregar usuarios a estos grupos y asignar roles a los grupos a nivel de grupo de recursos. Esta solución también cumple con el objetivo, ya que se basa en la sincronización de estos grupos a Microsoft Entra.

La solución propuesta implica asignar permisos a los usuarios a nivel de suscripción. Esta solución no cumple con el objetivo, ya que los permisos deben gestionarse a nivel de grupo de recursos.

Azure Storage admite el acceso a recursos de almacenamiento de archivos utilizando credenciales de Microsoft Entra. Para autorizar a los usuarios, debe asignar a su cuenta uno de los siguientes roles de control de acceso basado en roles (RBAC).

Para automatizar la rotación de contraseñas a través de Key Vault, se debe crear una función personalizada que cree una nueva clave en Key Vault y luego actualice la contraseña de SQL. Esta solución cumple con el objetivo.

Una puerta de enlace de datos local facilita la transferencia de datos entre los datos locales y los servicios en la nube de Microsoft. No es la solución adecuada para permitir que los usuarios se autentiquen en Azure Storage utilizando credenciales de Microsoft Entra.

Microsoft Entra Application Proxy no es adecuado para permitir la autenticación en recursos compartidos de archivos de Azure Storage utilizando credenciales de Microsoft Entra.

Asignar el rol de Colaborador de recursos compartidos de archivos SMB de datos de almacenamiento a los usuarios cumple con el objetivo, ya que Azure Storage admite el acceso a recursos de almacenamiento de archivos utilizando credenciales de Microsoft Entra.

Para automatizar la rotación de contraseñas, se debe crear una función personalizada. El uso de un runbook de PowerShell configurado para ejecutarse cada 90 días no cumple con el objetivo, ya que la contraseña debe rotarse tres días antes de la fecha de vencimiento.

Para permitir que una aplicación móvil acceda a los atributos de usuario dentro del inquilino de Microsoft Entra, se debe configurar Permisos de aplicación. Este ajuste permite que la aplicación acceda a esta información en nombre del usuario.

Para poder gestionar y acceder a los datos dentro de la cuenta de almacenamiento, se debe permitir el acceso al firewall. Esto implica cambiar la configuración de la cuenta de almacenamiento a Todas las redes o agregar la dirección IP del cliente.

Una iniciativa de seguridad de Azure es una colección de definiciones o reglas de políticas que se organizan juntas para lograr un objetivo específico. Esto permite una gestión simplificada de las políticas.

Para resolver el error de creación de VM de User1, es necesario agregar el permiso Microsoft.Network//write a la sección de acciones del rol personalizado Role1. Esto permitirá que User1 cree una LAN virtual (VLAN) y una tarjeta de interfaz de red (NIC).

Para registrar los cambios en las cuentas de usuario de Microsoft Entra durante 180 días, se debe crear un espacio de trabajo de Log Analytics con una retención de 180 días y configurar la exportación de datos para que Microsoft Entra envíe registros de auditoría al espacio de trabajo de Log Analytics.

Para restringir el acceso a Internet para las máquinas virtuales (VM) dentro de una red virtual (VNet), se debe configurar un grupo de seguridad de red (NSG) para la subred que bloquee todo el tráfico saliente, excepto el tráfico saliente a www.mycorp.com.

Se debe configurar la política de red para AKS01 para que coincida con la configuración actual del grupo de seguridad de red (NSG) para VM01. Esto implica permitir el tráfico TCP 443 desde la red 192.168.1.0/24.

Una omisión única se puede usar para acceder a una cuenta de usuario que está bloqueada por la autenticación multifactor (MFA) en una situación temporal. Permite la autenticación sin MFA, se aplica un límite de tiempo y permite una sola omisión.

Para resolver el problema de la visualización de valores de tarjeta de crédito, se debe implementar el enmascaramiento dinámico de datos (DDM) con un formato de campo de enmascaramiento personalizado. Este método permite enmascarar solo la parte requerida de la tarjeta de crédito, permitiendo conservar la información crucial.

Al crear un registro de contenedores de Azure, se debe deshabilitar la cuenta de administrador por defecto. Se debe configurar el acceso a la red utilizando un firewall de ACR para permitir el acceso solo desde la ubicación de San Francisco.

Se debe usar una conexión de red virtual global para conectar las redes virtuales en diferentes regiones de Azure. Esto permite que las oficinas de Leeds, Londres, París y Nueva York se conecten a los recursos de Azure IaaS.

El cifrado de infraestructura se debe habilitar durante la creación de una cuenta de almacenamiento. Para solucionar el problema de la auditoría de seguridad, se debe volver a crear todas las cuentas de almacenamiento y habilitar el cifrado de infraestructura durante este proceso.

Se debe configurar un conector para Microsoft Defender for Cloud en tu entorno de AWS. Esto permitirá que Microsoft Defender for Cloud proteja los servidores existentes y nuevos. Esto minimiza los esfuerzos administrativos.

Para permitir que el contratista descargue la actualización de seguridad, se debe configurar una regla de firewall que permita el tráfico saliente al dominio update.myapp.com desde JumpHost01.

Se debe usar la autenticación integrada de Active Directory para conectar SQL Server Management Studio (SSMS) a SQL Server1 y SQLDB1. Esto se logra implementando Microsoft Entra Seamless Single Sign-On (SSO).

Azure Backup no admite la recuperación de archivos y carpetas desde discos cifrados con Azure Disk Encryption (ADE). Se debe restaurar toda la máquina virtual para recuperar los archivos.

Se debe asignar el rol de Colaborador de Cuenta de Almacenamiento a nivel de grupo de recursos. Esto permite al equipo de ingeniería acceder a las tablas relevantes de Azure y minimiza el esfuerzo administrativo, minimizando el alcance de los permisos asignados.

Para crear una revisión de acceso para los usuarios del grupo de marketing, se debe asignar una licencia de Microsoft Entra ID P2 al propietario del grupo. A continuación, se debe configurar la revisión de acceso seleccionando el grupo de marketing, especificando la revisión a todos los usuarios y definiendo la recurrencia.

Se debe usar el cmdlet Set-AzWebAppFirewallPolicy para configurar la protección contra bots para Azure Web Application Firewall (WAF) utilizando PowerShell. Se debe crear una directiva de WAF y activar la directiva de protección contra bots dentro de ella.

Para automatizar la investigación y respuesta a amenazas de seguridad específicas bien conocidas, se deben crear flujos de trabajo automatizados en Microsoft Defender for Cloud. Estos flujos de trabajo se pueden configurar para responder a las amenazas conocidas y evitar que se propaguen los ataques.

Se debe recomendar el Catálogo de Datos de Microsoft Purview para mitigar los problemas de cumplimiento y gobernanza. Este servicio permite encontrar fuentes de datos confiables, alinear los datos con activos comerciales y buscar y filtrar fácilmente los datos descubiertos.

Para crear una revisión de acceso, se debe asignar una licencia de Microsoft Entra ID P2 al propietario del grupo de marketing. Luego, se debe configurar una revisión de acceso seleccionando el grupo, definiendo el alcance y estableciendo la recurrencia.

Para habilitar Azure Disk Encryption (ADE) en discos de máquinas virtuales (VM) existentes, se debe volver a desplegar cada VM con ADE habilitado. Esta es la única manera de habilitar ADE en discos existentes.

Se debe configurar una política de control de acceso en Azure para mitigar este problema. Se recomienda utilizar controles de aplicaciones adaptativos. Estos controles usan aprendizaje automático e inteligencia artificial para crear políticas. Esto mitiga el problema con el menor esfuerzo administrativo.

Para habilitar la autenticación de Microsoft Entra en Azure SQL Database, se debe crear un administrador de Microsoft Entra para el servidor Azure SQL. Luego, se debe implementar ADALSQL.DLL en el cliente y crear usuarios de base de datos. Este enfoque permite a los usuarios acceder a la base de datos usando credenciales de Microsoft Entra.

Se debe crear un firewall para el registro de contenedores y restringir el acceso desde la oficina de San Francisco utilizando 192.168.1.0/24. La cuenta de administrador debe permanecer desactivada debido a la implementación de MFA.

Se debe usar una conexión VPN de sitio a sitio para conectar las oficinas en el Reino Unido con las oficinas en Francia y los Estados Unidos. Esta es la solución ideal ya que minimiza el esfuerzo administrativo.

Un grupo de recursos es una colección de recursos de Azure. Cada grupo de recursos puede ser administrado de manera independiente de otros grupos de recursos. Esta es una forma sencilla de manejar los recursos en la nube.

Para automatizar la rotación de las contraseñas, se necesita crear una función personalizada que cree una nueva contraseña en Key Vault y luego actualice la contraseña del servidor SQL. Es importante recalcar que la contraseña antigua debe seguir funcionando temporalmente mientras las aplicaciones se actualizan a la nueva contraseña.

Se debe crear un espacio de trabajo para Microsoft Defender for Cloud en AWS y configurar los ajustes necesarios. Esto permitirá que Microsoft Defender for Cloud proteja los servidores existentes y nuevos.

Los grupos de Microsoft Entra proporcionan una gestión centralizada de permisos para usuarios en grupos en lugar de usuarios individuales. Al otorgar permisos al grupo a nivel de grupo de recursos, todos los usuarios del grupo heredan los permisos.

Los grupos de seguridad de AD DS se sincronizan con Microsoft Entra Connect, lo que permite su uso para asignar permisos en Microsoft Entra. Similar a los grupos de Microsoft Entra, proporcionan gestión centralizada de permisos.

Asignar permisos a nivel de suscripción no es una práctica recomendada. Los permisos deben gestionarse a nivel de grupo de recursos para que cada usuario solo tenga acceso a los recursos que necesita.

Se debe implementar el enmascaramiento dinámico de datos (DDM) con un formato de campo personalizado para resolver el problema del acceso a valores de tarjeta de crédito. Esto permite enmascarar solo la parte requerida, manteniendo a salvo la información sensible.