SC-200: アナリストの試験、ログから全て

SC-200（Microsoft Security Operations Analyst）は、Microsoft のスタック内でセキュリティ運用ワークフロー（検出、調査、対応、ハント）を実行できることを認定します。Microsoft Sentinel、Microsoft Defender XDR、そしてクラウド、アイデンティティ、エンドポイント、Office 365向けの Defender スイートを使用します。これは抽象的なセキュリティ概念についての理論試験ではありません。DefenderとSentinelコンソール内で働くTier 1/Tier 2アナリストの日々のループを中心に構築されています。

試験が実際にカバーする内容

試験の範囲は大きく3つに分かれています：Defender XDRによる脅威の軽減、Sentinelによる脅威の軽減、そしてDefenderエコシステム全体での保護/検出の構成です。実際には以下の実践的な知識が必要です：

• Microsoft Defender for Endpoint — デバイスのオンボーディング、攻撃面削減ルール、自動調査と修復（AIR）、インシデントビューでのプロセスツリーの読み取り。
• Microsoft Defender for Identity — ラテラルムーブメントパス、Pass-the-Hash/Pass-the-Ticketアラート、オンプレミスADシグナルとの相関の理解。
• Microsoft Defender for Cloud Apps — OAuthアプリガバナンス、異常検知ポリシー、セッション制御の基本。
• Microsoft Sentinel — データコネクタ、KQLベースの分析ルール、ワークブック、プレイブック（Logic Apps）、インシデント調査グラフ。
• Microsoft Defender for Cloud — 規制コンプライアンスダッシュボード、VM、ストレージ、コンテナ向けのワークロード保護アラート。

KQLはオプションではない

Kusto Query Languageを快適に書けなければ、この試験の大きな部分で苦労するでしょう。さらに重要なことに、仕事そのものでも苦労します。次のようなクエリを暗記から書けるようになるべきです。単に認識するだけではなく：

DeviceProcessEvents
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "-EncodedCommand", "IEX")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine
| order by Timestamp desc

KQLクエリの断片を与えられ、構文エラーを修正するか出力を予測するよう求められるシナリオ問題が出ます。summarize、join、mv-expand、bin()のような時間ウィンドウ関数を練習してください — Sentinelの分析ルールはこれらを多用しています。

テスト受験者ではなく、アナリストのようにインシデントを読む

SC-200の多くの問題は、複数の相関アラートを含むSentinelインシデントを提示し、エンティティ、MITRE ATT&CKテクニック、または次の調査ステップを特定するよう求めます。これは実際のトリアージを反映しています：アラートのタイムライン、エンティティページ（ユーザー、ホスト、IP）、関連インシデント間をピボットして物語を構築しています。単にアラート名を暗記するのではなく、Sentinelの試用ワークスペースで実際のインシデントをクリックして時間を費やしてください — 試験は実践的な反復から構築されたパターン認識に報酬を与えます。

オートメーションとプレイブックは予想以上に出現する

受験者はしばしばLogic Apps/プレイブック部分に対する準備不足です。プレイブックがSentinelインシデントからどのようにトリガーされるか、インシデントエンティティ（ユーザーやIPなど）を自動アクション（Azure ADでのアカウント無効化やDefender for Endpointでのデバイス隔離など）にどのように渡すか、そしてオートメーションルールとプレイブックの違い（オートメーションルールはルーティング/タグ付け/割り当てロジックを処理し、プレイブックは実際の修復ステップを実行する）を知る必要があります。

実践的な学習パス

1. 無料のAzureサブスクリプションをセットアップし、少なくとも1つのデータコネクタ（Azure ADサインインログは簡単に有効化できます）を使ってSentinelワークスペースをデプロイします。
2. Microsoft LearnのSC-200学習パスを進めてください — 無料で試験目的に直接マップされています。
3. テンプレートではなくKQLから5～6個の分析ルールをスクラッチで構築し、下にあるクエリロジックを理解します。
4. 準備ができたらMicrosoftの公式練習評価（Pearson VUE/MeasureUP経由）を使用してください — ほとんどのサードパーティダンプより実際の問題スタイルに近いです。
5. MITRE ATT&CKタクティック名を確実に見直してください。質問は頻繁にタクティック名を直接述べるのではなく、観察された動作をタクティック（Initial Access、Persistence、Lateral Movementなど）に分類するよう求めます。

この認定が実際に役立つ人

SC-200は、Microsoft のセキュリティスタックにすでにコミットしている組織でのSOCアナリスト、セキュリティエンジニア、またはインシデント対応者職の強いシグナルです — DefenderとSentinelの市場シェアを考えると、これはエンタープライズ環境の大きなスライスです。GCIH や Security+ のような一般的なSOC理論を教えるわけではありませんが、Microsoft中心のSOCが実際に運用するツールを操作できることを証明します。

検知エンジニアリングとKQLがここで興味をひいた場合、Korra StudioはSentinel分析ルール構築とMITRE ATT&CKマッピングに関する関連セグメントを持っており、次に確認する価値があります。