Mục tiêu
Sau khi hoàn thành Capstone, học viên có thể tự mình thiết kế và triển khai một môi trường Azure Security hoàn chỉnh — không chỉ thực hành từng lab riêng lẻ mà còn hiểu cách các thành phần kết hợp với nhau trong thực tế.
Identity tổng hợp
MFA, CA, RBAC, PIM kết hợp theo mô hình Zero Trust
Network private
Không expose trực tiếp ra Internet — tất cả qua Bastion, Private Endpoint
Data bảo vệ nhiều lớp
Encryption, Soft Delete, Key Vault, TDE, Auditing
Governance tập trung
Azure Policy, Resource Lock, Secure Score — quản trị chủ động
SIEM/SOAR cơ bản
Sentinel thu thập log, analytics rule, điều tra incident
Sẵn sàng AZ-500
Bao phủ toàn bộ 4 nhóm kỹ năng blueprint 2026
Kịch bản doanh nghiệp
Doanh nghiệp vừa (SME) cần triển khai hạ tầng Azure theo chuẩn bảo mật. Môi trường bao gồm:
1 Azure Subscription
1 VNet ứng dụng (subnet web + db)
1 VM quản trị (không public IP)
1 Storage Account
1 Azure SQL Database
1 Key Vault
1 App Service
Microsoft Defender for Cloud
Microsoft Sentinel
Sơ đồ kiến trúc
┌─────────────────────────────────────────────────────────────────────────────┐ │ AZURE SUBSCRIPTION │ │ │ │ ┌─── Microsoft Entra ID ────────────────────────────────────────────────┐ │ │ │ Users: admin / secops / dev / helpdesk / auditor │ │ │ │ Groups: GRP-Admins · GRP-SecOps · GRP-Devs · GRP-Auditors │ │ │ │ MFA ✓ Conditional Access ✓ PIM Eligible ✓ Access Review ✓ │ │ │ └───────────────────────────────────────────────────────────────────────┘ │ │ │ │ ┌─── VNet: 10.0.0.0/16 ──────────────────────────────────────────────┐ │ │ │ │ │ │ │ ┌─ AzureBastionSubnet ─┐ ┌─ web-subnet ──┐ ┌─ db-subnet ──┐ │ │ │ │ │ Azure Bastion │ │ App Service │ │ VM (no PIP) │ │ │ │ │ │ (quản trị an toàn) │ │ managed id │ │ NSG ✓ │ │ │ │ │ └─────────────────────┘ └───────────────┘ └──────────────┘ │ │ │ │ │ │ │ │ ┌─ AzureFirewallSubnet ┐ ┌─ route-table ─────────────────────┐ │ │ │ │ │ Azure Firewall │ │ 0.0.0.0/0 → Firewall next hop │ │ │ │ │ │ Threat Intel: Deny │ └───────────────────────────────────┘ │ │ │ │ └─────────────────────┘ │ │ │ └─────────────────────────────────────────────────────────────────────┘ │ │ │ │ ┌─── PaaS (Private Endpoint) ──────────────────────────────────────────┐ │ │ │ Storage Account ──► PE (blob.core.windows.net → private IP) │ │ │ │ Azure SQL ────────► PE (database.windows.net → private IP) │ │ │ │ Key Vault ────────► PE (vault.azure.net → private IP) │ │ │ │ Private DNS Zone: privatelink.* linked to VNet │ │ │ └──────────────────────────────────────────────────────────────────────┘ │ │ │ │ ┌─── Governance & Monitoring ──────────────────────────────────────────┐ │ │ │ Azure Policy: require-tag · allowed-location │ │ │ │ Resource Lock: CanNotDelete on Vault + SQL │ │ │ │ Defender for Cloud: Secure Score · Regulatory Compliance · Plans │ │ │ │ Sentinel: Azure Activity → Analytics Rule → Incident → Workbook │ │ │ └──────────────────────────────────────────────────────────────────────┘ │ └─────────────────────────────────────────────────────────────────────────────┘
Yêu cầu triển khai
Nhóm 1
Lab 01–18
Identity & Access
-
Tạo bộ danh tính đầy đủ: nhóm admin, dev, auditor, helpdesk — dùng naming convention nhất quán.
-
Bật MFA cho admin: Conditional Access policy yêu cầu MFA, exclude break-glass account.
-
Cấu hình Conditional Access: chặn legacy auth, Named Location, device compliance — theo nguyên tắc Zero Trust.
-
Gán RBAC theo least privilege: đúng scope, đúng role — không gán Owner trừ khi thực sự cần.
-
Bật PIM cho quyền cao: eligible assignment, MFA on activation, justification, approval workflow cho role nhạy cảm.
Nhóm 2
Lab 19–32
Network Security
-
VM không có public IP: tất cả VM chỉ dùng private IP, không expose RDP/SSH trực tiếp ra Internet.
-
Truy cập VM qua Azure Bastion: AzureBastionSubnet, Deploy Bastion, kết nối RDP/SSH qua portal.
-
NSG giới hạn traffic: inbound rule tối thiểu, sử dụng ASG theo vai trò web/db, bật NSG Flow Logs.
-
Storage, SQL, Key Vault qua Private Endpoint: private IP, Private DNS Zone, tắt public network access.
-
Azure Firewall hoặc WAF bảo vệ public access: nếu có web app public — WAF policy OWASP, Application Gateway phía trước.
Nhóm 3
Lab 33–42
Data & Application Security
-
Storage bật soft delete và versioning: bảo vệ dữ liệu blob khỏi xóa nhầm và ransomware, thêm immutable policy cho container quan trọng.
-
SQL bật auditing và TDE: Entra admin, Transparent Data Encryption, Dynamic Data Masking, kiểm tra Defender for SQL.
-
Key Vault bật purge protection: soft delete + purge protection, không thể xóa secret/key trong retention period.
-
App Service dùng managed identity: không lưu connection string tĩnh — đọc secret từ Key Vault qua managed identity.
Nhóm 4
Lab 43–47
Governance & Compliance
-
Azure Policy yêu cầu tag: policy enforce tag Environment và Owner trên mọi tài nguyên, remediation task cho resource thiếu tag.
-
Azure Policy giới hạn location: chỉ cho phép deploy tại Southeast Asia / East Asia — kiểm soát data residency.
-
Resource Lock cho tài nguyên quan trọng: CanNotDelete Lock trên Key Vault, Recovery Services Vault và SQL Server.
-
Defender for Cloud — Secure Score: bật plans phù hợp, phân tích top recommendations, thực hiện ít nhất 3 remediation, xem Regulatory Compliance.
Nhóm 5
Lab 49–50
Security Operations (SIEM/SOAR)
-
Sentinel kết nối Azure Activity: Log Analytics Workspace, enable Sentinel, kết nối Azure Activity data connector.
-
Analytics rule phát hiện delete operation: scheduled KQL rule query AzureActivity lọc delete trong 24h, tạo incident.
-
Workbook giám sát: visualize hoạt động nhạy cảm theo user và theo thời gian, tổng hợp từ AzureActivity log.
-
Điều tra incident giả lập: triage, gán owner, xem entity, thêm comment, chạy hunting query, đóng incident với close reason.
KQL mẫu — Analytics Rule
AzureActivity | where TimeGenerated > ago(24h) | where OperationNameValue has "delete" | project TimeGenerated, Caller, OperationNameValue, ResourceGroup, ActivityStatusValue | order by TimeGenerated desc
KQL mẫu — Workbook
AzureActivity | where TimeGenerated > ago(7d) | summarize TotalEvents=count() by Caller, OperationNameValue | order by TotalEvents desc
Kết quả cuối cùng
Sau khi hoàn thành Capstone, học viên có một môi trường Azure bảo mật hoàn chỉnh theo 6 nguyên tắc:
Least Privilege
Mọi quyền đều tối thiểu, đúng scope, có thời hạn khi cần thiết.
Zero Trust
Không tin tưởng mặc định — xác thực mọi yêu cầu truy cập theo danh tính, thiết bị, vị trí.
Private Access
PaaS chỉ truy cập qua private endpoint — không expose public ngoài ý muốn.
Centralized Monitoring
Mọi log tập trung Sentinel — visibility toàn diện, phát hiện bất thường kịp thời.
Policy-driven Governance
Azure Policy tự động phát hiện và xử lý vi phạm — không phụ thuộc kiểm tra thủ công.
SIEM/SOAR cơ bản
Sentinel phát hiện threat, tạo incident, workbook — cơ sở để mở rộng SecOps.
Checklist xác nhận hoàn thành
Tất cả VM không có public IP
Azure Bastion hoạt động
Storage/SQL/KV qua Private Endpoint
MFA bật cho nhóm admin
PIM eligible cho role nhạy cảm
Azure Policy enforce tag
Resource Lock trên vault/sql
Defender for Cloud Secure Score > 60
Sentinel thu thập Azure Activity
Analytics rule tạo được incident
Workbook hiển thị đúng dữ liệu
Incident được đóng đúng quy trình