Security Operations Analyst Associate

Dieser Kurs führt Teilnehmende in zwei aufeinander aufbauenden Stufen zur Qualifikation als Security Operations Analyst Associate nach Microsoft-Standard. Im ersten Abschnitt wird das notwendige Fundamentalwissen aus SC-900 (Security, Compliance and Identity Fundamentals) erarbeitet und zertifiziert. Der zweite, umfangreichere Abschnitt bereitet auf die SC-200-Prüfung (Microsoft Security Operations Analyst) vor und schließt sie ein. Inhaltlicher Kern des SC-200-Teils ist das operative Arbeiten mit Microsoft Defender XDR, Microsoft Sentinel und weiteren Defender-Diensten: Bedrohungen erkennen, untersuchen und darauf reagieren. Der Kurs ist für Personen konzipiert, die eine Berufstätigkeit im Security-Operations-Center (SOC) anstreben oder ihre bestehende IT-Sicherheitspraxis durch eine anerkannte Microsoft-Zertifizierung nachweisen möchten.

Modul 1 – SC-900: Sicherheits- und Compliance-Grundlagen (Microsoft) Der Kurseinstieg schafft das konzeptionelle Fundament für alle folgenden Sicherheitsthemen. Microsofts Identitäts-, Sicherheits- und Compliance-Architektur wird in ihren Grundzügen verstanden, bevor in Modul 2 die operative Tiefe des SC-200 folgt.

• Konzepte von Authentifizierung, Autorisierung und Zero Trust im Microsoft-Ökosystem
• Microsoft Entra ID: Benutzer, Gruppen, Rollen, Multi-Faktor-Authentifizierung, bedingter Zugriff
• Überblick Microsoft Defender XDR, Microsoft Sentinel und Microsoft Purview
• Compliance-Konzepte: Sensitivitätsbeschriftungen, eDiscovery, Audit
• Prüfungsabnahme SC-900 im akkreditierten Testcenter

Modul 2 – Threat Management mit Microsoft Defender XDR (SC-200) Microsoft Defender XDR ist die integrierte Extended Detection and Response-Plattform, die Signale aus Endpoints, Identitäten, E-Mail-Systemen und Cloud-Apps zu einem zusammenhängenden Incident zusammenführt. Dieses Modul bildet den operativen Kern der SC-200-Vorbereitung.

• Microsoft Defender for Endpoint: Onboarding, Konfiguration, Warnungsbearbeitung
• Defender for Office 365: Schutz vor Phishing, Malware und Business Email Compromise
• Defender for Identity: Erkennung von Pass-the-Hash, Kerberoasting und Lateral Movement
• Defender for Cloud Apps: Shadow IT erkennen, Policies einsetzen, Warnungen interpretieren
• Microsoft 365 Defender-Portal: Incident-Ansicht, Angriffspfad-Analyse, Entitätssteckbriefe
• Erweiterte Bedrohungssuche (Advanced Hunting) mit Kusto Query Language (KQL)

Modul 3 – Microsoft Sentinel: SIEM und SOAR (SC-200) Microsoft Sentinel ist die cloudnative SIEM- und SOAR-Plattform für hybride Umgebungen. Dieses Modul vermittelt, wie Datenquellen angebunden, Korrelationsregeln erstellt und automatisierte Reaktionen konfiguriert werden.

• Workspace-Einrichtung und Datenverbinder: Microsoft 365, Azure AD, Drittanbieter
• Analytics-Regeln: geplante Abfragen, Fusion-Regeln, NRT-Regeln erstellen
• Incident-Management in Sentinel: Erstellung, Zuweisung, Kommentierung, Schließung
• Threat Intelligence: IoC importieren, MITRE ATT&CK-Integration nutzen
• Automation Rules und Playbooks (Logic Apps) für automatisierte Reaktionen konfigurieren
• Arbeitsmappen (Workbooks) für Dashboards und Reporting erstellen

Modul 4 – Incident Response und Threat Hunting (SC-200) Die Abschlussphase der SC-200-Vorbereitung widmet sich dem methodischen Vorgehen bei der Untersuchung von Sicherheitsvorfällen und der proaktiven Bedrohungssuche im eigenen Netzwerk.

• Incident-Response-Phasen: Vorbereitung, Erkennung, Eindämmung, Beseitigung, Wiederherstellung
• Forensische Spurensicherung mit Defender for Endpoint: Live Response, Gerätenisolation
• Threat-Hunting-Strategie: Hypothesen aufstellen, KQL-Abfragen entwickeln, Ergebnisse bewerten
• MITRE ATT&CK Framework: Techniken und Taktiken im SOC-Alltag verorten
• Vulnerability Management: Defender Vulnerability Management als Ergänzung zur Incident-Response
• Abschlusssimulation: vollständiger Incident von Alert bis Abschlussbericht

Praxisübungen und SC-200-Vorbereitung In praktischen Laborübungen werden alle gelernten Techniken in simulierten Angriffsszenarien angewendet. Die Übungen orientieren sich am SC-200-Prüfungsformat und dem realen SOC-Arbeitsalltag.

• Onboarding eines Windows-Endgeräts in Defender for Endpoint, Richtlinie konfigurieren
• Alert in Defender for Endpoint untersuchen und als Incident klassifizieren
• Advanced-Hunting-Abfrage für Powershell-Missbrauch in KQL formulieren
• Sentinel-Workspace einrichten, Azure AD-Datenverbinder aktivieren
• Analytics-Regel für fehlgeschlagene Anmeldungen erstellen und testen
• Playbook für automatische Teams-Benachrichtigung bei kritischem Alert konfigurieren
• IoC (IP-Adresse, Domain) in Sentinel-Threat-Intelligence importieren
• Incident in Sentinel von Erstellung bis Schließung vollständig bearbeiten
• MITRE-ATT&CK-Technik einem Alert zuordnen und Maßnahme dokumentieren
• KQL-Workbook für Login-Anomalien erstellen
• Forensische Datenabfrage via Live Response auf simuliertem kompromittierten Gerät
• Mock-Exams SC-900 und SC-200 unter realen Prüfungsbedingungen absolvieren

Dieser Kurs richtet sich an IT-Fachkräfte mit Interesse an operativer Cyber-Security und an Personen, die eine Berufstätigkeit als Security Analyst oder SOC-Analyst anstreben.

• IT-Generalisten und Systemadministratoren, die in Security-Rollen wechseln möchten
• Junior Security Analysts, die ihre Praxis durch eine Microsoft-Zertifizierung formalisieren wollen
• Netzwerk- und Infrastrukturadministratoren, die ihr Profil um Sicherheitskompetenzen erweitern
• Helpdesk-Mitarbeitende mit Entwicklungsinteresse Richtung SOC
• Personen, die eine Laufbahn in der Cloud-Sicherheit mit Microsoft-Stack aufbauen

Der Kurs verbindet theoretische Inhaltsvermittlung, geführte Demos in Microsoft-Laborumgebungen und eigenständige Übungsaufgaben. Der SC-900-Teil wird konzentriert als Grundlagenblock absolviert; der SC-200-Teil nimmt den Großteil der Kurszeit in Anspruch und ist stärker praxis- und laborbasiert. Theorieblöcke wechseln mit Hands-on-Übungen ab, bei denen Teilnehmende in Microsoft-Testumgebungen (Defender Portal, Sentinel Workspace, Azure-Demo-Tenant) arbeiten. In Vollzeit oder teils Teilzeit absolvierbar.

Der Kurs wird meist in Vollzeit, teils in Teilzeit durchgeführt. Die Kombination aus SC-900 und SC-200 erfordert ausreichend Zeit, um beide Zertifizierungsniveaus vollständig abzudecken und die Prüfungen abzulegen. Der genaue Zeitumfang variiert je nach Format; üblich sind mehrere Wochen bis zu einem Monat für beide Module zusammen.

Nach erfolgreichem Abschluss beider Prüfungen erhalten Teilnehmende zwei offizielle Microsoft-Zertifikate: „Microsoft Certified: Security, Compliance, and Identity Fundamentals" (SC-900) und „Microsoft Certified: Security Operations Analyst Associate" (SC-200). Beide Prüfungen werden im akkreditierten Testcenter abgelegt und sind im Kurs eingeschlossen. Ergänzend wird ein Lehrgangszertifikat ausgestellt. Das SC-200-Zertifikat ist zeitlich befristet und muss nach Ablauf durch eine Erneuerungsprüfung verlängert werden.

SC-200 ist eines der praxisnächsten Microsoft-Sicherheitszertifikate auf Associate-Niveau. Es bescheinigt, dass eine Person tatsächlich mit den Werkzeugen eines modernen Microsoft-SOC umgehen kann – nicht nur konzeptionell, sondern operativ. In einer Zeit, in der Unternehmen zunehmend auf Microsoft Defender XDR und Sentinel setzen, ist genau diese Plattformkompetenz gesucht. Die Kombination SC-900 + SC-200 ist strategisch durchdacht: Der SC-900-Teil baut das nötige Kontextwissen auf, das im SC-200-Teil vorausgesetzt wird. Wer beide Prüfungen im Anschluss an einen einzigen Kurs ablegt, spart Zeit gegenüber zwei getrennten Lernpfaden und hat am Ende einen klaren, nachvollziehbaren Kompetenznachweis für Arbeitgeber. Das Security-Operations-Feld wächst branchenübergreifend. SOC-Analysten mit Microsoft-Zertifizierung sind in Unternehmen aller Größen gefragt – von mittelständischen IT-Dienstleistern über Banken und Versicherungen bis hin zu öffentlichen Verwaltungen und Krankenhäusern, die ihre Microsoft-365- und Azure-Infrastruktur absichern müssen.