Microsoft Security Operations Analyst Associate (SC-200) + MS Teams

SC-200 (Microsoft Security Operations Analyst) ist die Microsoft-Cert für SOC-Analysten in Microsoft-Sicherheitslandschaften. Themen: 1. Microsoft Defender XDR (Extended Detection and Response): Microsoft Defender for Endpoint (EDR mit Threat & Vulnerability Management, Attack Surface Reduction Rules, Next-Gen Protection mit ML-basiertem AV, Endpoint Detection and Response mit Live Response Shells, Automated Investigation and Response AIR), Microsoft Defender for Identity (ehemals Azure ATP für On-Premises AD Threat Detection mit Lateral Movement, Pass-the-Hash, Golden Ticket), Microsoft Defender for Office 365 (Safe Attachments mit Sandboxing, Safe Links mit Time-of-Click-Protection, Anti-Phishing mit Mailbox Intelligence, Attack Simulation Training), Microsoft Defender for Cloud Apps (CASB Cloud Access Security Broker mit Shadow IT Discovery, Conditional Access App Control, Information Protection für SaaS-Apps). 2. Microsoft Defender for Cloud — Multi-Cloud (AWS, GCP) Cloud Security Posture Management CSPM, Cloud Workload Protection Platform CWPP für VMs/Containers/Databases/Storage/AppService, Secure Score und Regulatory Compliance Dashboard mit ISO 27001/NIST/PCI-DSS/CIS-Benchmarks-Mapping. 3. Microsoft Sentinel (Cloud-Native SIEM/SOAR): Data Connectors für 100+ Quellen (Azure, M365, AWS, syslog, CEF, Custom REST), Analytics Rules (Scheduled, Microsoft Security, NRT Near-Real-Time, Fusion Rules mit ML, Anomaly), Incidents-Workflow mit Investigation Graph, Hunting Queries mit KQL (Kusto Query Language), Notebooks für Advanced Hunting mit Jupyter, Workbooks für Dashboards, Watchlists für Custom Threat Lists, Threat Intelligence-Integration (MISP, TAXII), Playbooks (Logic Apps für SOAR-Automation — Auto-Containment, Ticket-Creation, Enrichment), UEBA User and Entity Behavior Analytics. 4. KQL für Sicherheitsabfragen — where für Filter, summarize für Aggregations, join für Multi-Table-Queries, project für Column Selection, mv-expand für Array Expansion, parse für String-Parsing, render für Visualisierungen. Häufige Hunting-Queries und MITRE ATT&CK-Mapping. 5. Threat Hunting proaktiv mit Notebooks und Advanced Hunting Queries. 6. Incident Response Lifecycle nach NIST SP 800-61 (Preparation, Detection, Analysis, Containment, Eradication, Recovery, Lessons Learned). Examen SC-200: ~50 Fragen, 100 Min, 700/1000 Pass. MS Teams (1 Tag): SOC-Workflow mit Teams (Alerts in Channel, Loop für Investigations).