SC-200: Die Prüfung des Analysten, von der Log bis zur Spitze

SC-200 (Microsoft Security Operations Analyst) bescheinigt, dass du einen Security-Operations-Workflow im Microsoft-Stack durchführen kannst: erkennen, untersuchen, reagieren und suchen mit Microsoft Sentinel, Microsoft Defender XDR und der Defender-Suite für Cloud, Identity, Endpoint und Office 365. Es ist keine theoretische Prüfung über Sicherheitskonzepte im Abstrakten. Sie ist um die tägliche Schleife eines Tier-1/Tier-2-Analysten aufgebaut, der in den Defender- und Sentinel-Konsolen arbeitet.

Was die Prüfung tatsächlich abdeckt

Das Prüfungskonzept ist grob in drei Teile aufgeteilt: Bedrohungen mit Defender XDR abwehren, Bedrohungen mit Sentinel abwehren und Schutzmaßnahmen/Erkennungen im Defender-Ökosystem konfigurieren. In der Praxis bedeutet das, dass du praktisches Wissen über folgende Bereiche benötigst:

• Microsoft Defender for Endpoint — Device-Onboarding, Attack-Surface-Reduction-Regeln, automatische Untersuchung und Behebung (AIR) und Lesen von Prozesstrees in der Incident-Ansicht.
• Microsoft Defender for Identity — Verständnis von Lateral-Movement-Pfaden, Pass-the-Hash/Pass-the-Ticket-Warnungen und deren Korrelation mit lokalen AD-Signalen.
• Microsoft Defender for Cloud Apps — OAuth-App-Governance, Anomalieerkennung-Richtlinien und Sitzungskontrolle-Grundlagen.
• Microsoft Sentinel — Daten-Connectors, KQL-basierte Analyserregeln, Workbooks, Playbooks (Logic Apps) und der Incident-Investigation-Graph.
• Microsoft Defender for Cloud — Compliance-Dashboards und Workload-Schutz-Warnungen für VMs, Storage und Container.

KQL ist nicht optional

Wenn du Kusto Query Language nicht fließend schreiben kannst, wirst du mit einem großen Teil dieser Prüfung kämpfen und noch wichtiger — mit der Arbeit selbst. Du solltest in der Lage sein, Abfragen wie diese aus dem Gedächtnis zu schreiben, nicht nur sie wiederzuerkennen:

DeviceProcessEvents
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "-EncodedCommand", "IEX")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine
| order by Timestamp desc

Erwarte Szenario-Fragen, bei denen dir ein Fragment einer KQL-Abfrage gegeben wird und du einen Syntaxfehler beheben oder die Ausgabe vorhersagen sollst. Übe summarize, join, mv-expand und Time-Window-Funktionen wie bin() — Die Analytics-Regeln von Sentinel stützen sich stark darauf.

Ein Incident wie ein Analyst lesen, nicht wie ein Prüfungsteilnehmer

Viele SC-200-Fragen präsentieren einen Sentinel-Incident mit mehreren korrelierten Warnungen und bitten dich, die Entität, die MITRE-ATT&CK-Technik oder den richtigen nächsten Untersuchungsschritt zu identifizieren. Das spiegelt echte Triage wider: Du schaust dir zwischen der Warnzeitlinie, der Entitätsseite (Benutzer, Host, IP) und verwandten Incidents an und erstellst eine Geschichte. Verbringe Zeit in einem Sentinel-Testarbeitsbereich damit, durch echte Incidents zu klicken, anstatt nur Warnungsnamen auswendig zu lernen — die Prüfung belohnt Mustererkennung, die aus praktischer Wiederholung aufgebaut ist.

Automation und Playbooks tauchen häufiger auf als erwartet

Kandidaten sind oft untervorbereitet auf den Logic-Apps-/Playbook-Teil. Du solltest wissen, wie ein Playbook durch einen Sentinel-Incident ausgelöst wird, wie du Incident-Entitäten (wie ein Benutzer oder IP) in eine automatisierte Aktion wie das Deaktivieren eines Kontos über Azure AD oder die Isolierung eines Geräts über Defender for Endpoint übergibst, und den Unterschied zwischen Automatisierungsregeln und Playbooks — Automatisierungsregeln behandeln Routing-/Tagging-/Zuweisungslogik, Playbooks führen die tatsächlichen Behebungsschritte aus.

Ein praktischer Lernweg

1. Starten Sie ein kostenloses Azure-Abonnement und stellen Sie einen Sentinel-Workspace mit mindestens einem Daten-Connector bereit (Azure AD-Anmeldungsprotokolle sind einfach zu aktivieren).
2. Arbeite dich durch Microsofts SC-200-Lernpfad — kostenlos und ordnet sich direkt den Prüfungszielen unter.
3. Erstelle fünf oder sechs Analyserregeln von Grund auf mit KQL, nicht mit Vorlagen, damit du die Abfragelogik darunter verstehst.
4. Verwende Microsofts offizielle Übungsbewertung (über Pearson VUE/MeasureUp), wenn du dich bereit fühlst — sie kommt dem tatsächlichen Fragestil näher als die meisten Third-Party-Dumps.
5. Überprüfe MITRE-ATT&CK-Taktiknamen auswendig. Fragen bitten dich häufig, ein beobachtetes Verhalten in eine Taktik zu klassifizieren (Initial Access, Persistence, Lateral Movement, etc.), anstatt die Taktik direkt zu nennen.

Wem diese Zertifizierung tatsächlich hilft

SC-200 ist ein starkes Signal für SOC-Analyst-, Security-Engineer- oder Incident-Responder-Rollen bei Organisationen, die bereits an Microsofts Security-Stack gebunden sind — was angesichts der Marktpräsenz von Defender und Sentinel ein großer Teil von Enterprise-Umgebungen ist. Es wird dir keine allgemeine SOC-Theorie beibringen wie GCIH oder Security+, aber es beweist, dass du die Tools betreiben kannst, die ein Microsoft-zentrierter SOC tatsächlich nutzt.

Wenn Detection Engineering und KQL dein Interesse hier geweckt haben, hat Korra Studio verwandte Segmente zum Erstellen von Sentinel-Analyserregeln und zur MITRE-ATT&CK-Zuordnung, die du dir als Nächstes ansehen solltest.