Microsoft Cybersecurity Architect Expert (SC-100)
Published: 2022-07-16 04:18:12

A **Microsoft** anunciou, em março deste ano (2022!), a certificação [SC100](https://docs.microsoft.com/pt-br/certifications/cybersecurity-architect-expert/): **Microsoft Cybersecurity Architect Expert** como a "certificação definitiva" na área de segurança, dando continuidade à série de certificações SC-* anunciadas no Microsoft Ignite de março de 2021:

* [SC-900](https://docs.microsoft.com/pt-br/certifications/security-compliance-and-identity-fundamentals/): Security, Compliance, and Identity Fundamentals
* [SC-200](https://docs.microsoft.com/pt-br/certifications/security-operations-analyst/): Microsoft Certified: Security Operations Analyst Associate
* [SC-300](https://docs.microsoft.com/pt-br/certifications/identity-and-access-administrator/): Administrador de acesso e identidade da Microsoft
* [SC-400](https://docs.microsoft.com/pt-br/certifications/exams/sc-400): Administrador da Proteção de Informações da Microsoft

A título de completude, elas se juntam às outras duas certificações disponíveis de segurança - uma focada em Azure e a outra em Microsoft 365:

* [AZ-500](https://docs.microsoft.com/pt-br/certifications/azure-security-engineer/): Azure Security Engineer Associate
* [MS-500](https://docs.microsoft.com/pt-br/certifications/m365-security-administrator/): Microsoft 365 Security Administration

Esta semana tive a oportunidade de fazer a prova (e ser aprovado):

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/ymrp4eizp10ngf59rtlv.png)

Há pouquíssimo material (em inglês ou português a respeito) que seja não-genérico ou simples repetição de announcements da própria Microsoft (aliás, se você conhecer alguma boa fonte, não esqueça de recomendar para mim nos comentários!).

Pessoas que me seguem [no Instagram](https://www.instagram.com/marcelo_devsres/) - pode seguir se quiser conteúdo técnico! - me pediram para falar mais sobre a prova. 

Como o Instagram é tipo o pior lugar possível para descrever certas coisas, vou aproveitar e fazer um "cross-posting" aqui.

---

Como uma palhinha do tipo de assunto que é importante para esta prova, aqui vai um pouco sobre minha especialidade: **Containers**!

---

O [**Microsoft Defender for Containers**](https://docs.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction) substituiu dois outros subsistemas da família Defender:
* [**Defender for Kubernetes**](https://docs.microsoft.com/en-us/azure/defender-for-cloud/defender-for-kubernetes-introduction)
* [**Defender for Container Registries**](https://docs.microsoft.com/en-us/azure/defender-for-cloud/defender-for-container-registries-introduction)

O **Defender for Containers** trabalha em três frentes:
* **Environment Hardening**
* **Vulnerability assessment** - tanto em imagens de containers do Azure Container Registry quanto em execução em clusters AKS.
* **Run-time threat protection** - para clusters Kubernetes e seus nodes.

Pela descrição das funcionalidades acima, já é possível entender que, em vez de uma única solução, o que temos é um combinado de vários softwares de terceiro combinados.

Para operar em clusters Kubernetes, alguns objetos (daemonsets e deployments) são instalados nos clusters - e olha lá: há até suporte a clusters *on-premises* com **Azure ARC**, **AWS EKS** e **GCP GKE**.

Com relação a análise de vulnerabilidades em containers, a Microsoft é um pouco mais explícita com relação as tecnologias usadas: 

* Para o **Azure Container Registry**, usa-se algo integrado com a [Qualys Container Security](https://www.qualys.com/apps/container-security/). A referência está [aqui](https://docs.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-usage).

* Em **CI/CD**, usa-se o [Aqua Trivy](https://www.aquasec.com/products/trivy/) - referência [aqui](https://docs.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-cicd).

Até aqui, leitura interessante. Mas, para a prova, é importante saber a diferença entre a "brochura do produto" e o que realmente está disponível para uso.

Como softwares são dinâmicos, não adianta listar aqui o que temos;    mais importante é o [link para a documentação](https://docs.microsoft.com/en-us/azure/defender-for-cloud/supported-machines-endpoint-solutions-clouds-containers?tabs=azure-aks) que descreve o que é GA (*general availability*), o que é *Preview* e o que não está disponível ainda.

Mas podemos citar alguns exemplos, certo?

Agora em **junho de 2022**, este é o status para **análise de vulnerabilidades para containers**:

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/utc3qddocen3u68xstum.png)

Aparentemente a análise de vulnerabilidades é considerada GA apenas para **Containers Linux**. 

> [Registries and images](https://docs.microsoft.com/en-us/azure/defender-for-cloud/supported-machines-endpoint-solutions-clouds-containers?tabs=azure-aks#additional-information): Windows images using Windows OS version 1709 and above (Preview). This is free while it's in preview, and will incur charges (based on the Defender for Containers plan) when it becomes generally available.
 
E a tal da **Runtime Protection** para nós Kubernetes?

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/i0qa57nsmiaefpvyzwl7.png)

Essa só temos para nós **Linux** no momento.

Por último, selecionei a função de análise de vulnerabilidade de imagens em execução em clusters Kubernetes:

![Image description](https://dev-to-uploads.s3.amazonaws.com/uploads/articles/ezdbms4syz7zf91txw3d.png)

Essa só está disponível em **Preview**.

---

E sim, você pode ser cobrado, no exame, neste nível de detalhe sobre os serviços! Para provar que você é um "arquiteto de segurança", você precisa ser capaz de indicar se há produtos capazes de atender aos requisitos dos clientes.

**Não é uma prova simples**. Mas é necessário entender que esta prova é basicamente uma grande "união" dos conteúdos de **todas as outras provas de segurança da Microsoft**, envolvendo tanto **Azure** quanto **Microsoft 365**.

Passar nela não será um grande desafio se você seguir o caminho "longo", passando por SC-200, SC-300, SC-400, AZ-500 e MS-500 antes. 

Levando em consideração que você precisa passar em pelo menos uma das anteriores (salvo engano SC-400 não conta) para poder tirar a SC-100, talvez seja a decisão inteligente "pecar por excesso" na escolha das provas.