SC-200: O Exame do Analista, Desde o Log para Cima

SC-200 (Microsoft Security Operations Analyst) certifica que você consegue executar um workflow de operações de segurança dentro do stack da Microsoft: detectar, investigar, responder e caçar usando Microsoft Sentinel, Microsoft Defender XDR, e a suite Defender para cloud, identity, endpoint e Office 365. Não é um exame teórico sobre conceitos de segurança de forma abstrata. É construído em torno do loop diário de um analista Tier 1/Tier 2 trabalhando dentro dos consoles do Defender e Sentinel.

O que o exame realmente cobre

O blueprint do exame é dividido em três partes: mitigar ameaças com Defender XDR, mitigar ameaças com Sentinel, e configurar proteções/detecções no ecossistema Defender. Na prática, isso significa que você precisa de conhecimento prático em:

• Microsoft Defender for Endpoint — onboarding de dispositivos, regras de redução de superfície de ataque, automated investigation and remediation (AIR), e leitura de process trees na visualização de incidente.
• Microsoft Defender for Identity — entender caminhos de movimento lateral, alertas Pass-the-Hash/Pass-the-Ticket, e como ele se correlaciona com sinais de AD local.
• Microsoft Defender for Cloud Apps — governança de apps OAuth, políticas de detecção de anomalias, e noções básicas de session control.
• Microsoft Sentinel — data connectors, regras de analytics baseadas em KQL, workbooks, playbooks (Logic Apps), e o grafo de investigação de incidentes.
• Microsoft Defender for Cloud — dashboards de conformidade regulatória e alertas de proteção de workload para VMs, storage e containers.

KQL não é opcional

Se você não conseguir escrever Kusto Query Language com facilidade, você vai se ver com dificuldade em uma parte significativa deste exame e, mais importante ainda, com o trabalho em si. Você deve conseguir escrever queries como essa de memória, não apenas reconhecê-las:

DeviceProcessEvents
| where FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "-EncodedCommand", "IEX")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine
| order by Timestamp desc

Espere questões de cenário onde você recebe um fragmento de uma query KQL e é solicitado a corrigir um erro de sintaxe ou prever a saída. Pratique summarize, join, mv-expand, e funções de janela de tempo como bin() — as regras de analytics do Sentinel dependem muito delas.

Ler um incidente como um analista, não como quem faz teste

Muitas questões do SC-200 apresentam um incidente do Sentinel com múltiplos alertas correlacionados e pedem para você identificar a entidade, a técnica MITRE ATT&CK, ou o próximo passo investigativo correto. Isso espelha a triagem real: você está pivotando entre a timeline do alerta, a página da entidade (usuário, host, IP), e incidentes relacionados para montar uma história. Dedique tempo em um workspace de trial do Sentinel clicando em incidentes reais em vez de apenas memorizar nomes de alertas — o exame recompensa reconhecimento de padrões construído pela repetição prática.

Automação e playbooks aparecem mais do que as pessoas esperam

Candidatos muitas vezes se subpreparam para a parte de Logic Apps / playbook. Você deve saber como um playbook dispara a partir de um incidente do Sentinel, como passar entidades de incidentes (como um usuário ou IP) para uma ação automatizada como desabilitar uma conta via Azure AD ou isolar um dispositivo via Defender for Endpoint, e a diferença entre automation rules e playbooks — automation rules lidam com lógica de roteamento/tagging/assignment, playbooks executam os passos reais de remediação.

Um caminho de estudo prático

1. Crie uma assinatura Azure gratuita e implante um workspace do Sentinel com pelo menos um data connector (logs de sign-in do Azure AD é fácil de ativar).
2. Trabalhe através do caminho de aprendizado SC-200 do Microsoft Learn — é gratuito e mapeia diretamente para os objetivos do exame.
3. Construa cinco ou seis regras de analytics do zero usando KQL, não templates, para que você entenda a lógica de query subjacente.
4. Use a avaliação prática oficial da Microsoft (através de Pearson VUE/MeasureUp) quando você se sentir pronto — é mais próximo do estilo de pergunta real do que a maioria dos dumps de terceiros.
5. Revise nomes de táticas MITRE ATT&CK frio. As questões frequentemente pedem que você classifique um comportamento observado em uma tática (Initial Access, Persistence, Lateral Movement, etc.) em vez de nomear a tática de forma direta.

Para quem esta certificação realmente ajuda

SC-200 é um sinal forte para funções de analista de SOC, engenheiro de segurança, ou incident responder em organizações já comprometidas com o stack de segurança da Microsoft — que, dada a presença no mercado do Defender e Sentinel, é uma grande fatia de ambientes enterprise. Não vai te ensinar teoria geral de SOC da forma que um GCIH ou Security+ poderia, mas prova que você consegue operar as ferramentas que um SOC centrado em Microsoft realmente funciona.

Se detection engineering e KQL despertaram seu interesse aqui, a Korra Studio tem segmentos relacionados sobre construir regras de analytics do Sentinel e sobre mapeamento MITRE ATT&CK que valem a pena conferir em seguida.