難易度は Level 1（やさしめ）〜Level 5（難関） の5段階です。
SC-200のサンプル問題（本番形式・解説付き）
SC-200（Microsoft・Security Operations Analyst Associate）の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録で解ける模試 第1回（50問）の冒頭から抜粋したオリジナル問題です。当サイトは全800問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。
設問1
ある企業が Microsoft Sentinel を運用している。SOC は、ファイアウォールのログを取り込むテーブルについて、リアルタイムの分析ルール、アラート、ハンティング、ブックでデータを使う必要がある。担当者は、このテーブルの tier を決めようとしている。選ぶべき tier はどれか。
- Data Lake tier
- XDR 既定 tier
- Analytics tier（正解）
- Basic Logs のテーブルプラン
解説
Analytics tier はログの高性能なクエリとインデックス作成を提供し、リアルタイムの分析ルール、アラート、ハンティング、ブック、すべての Sentinel 機能に最適です。Data Lake tier は低コストのコールド tier で、リアルタイム分析機能と脅威ハンティングでは利用できません。XDR 既定 tier は Defender XDR が脅威ハンティングデータを30日間保持する tier です。Basic Logs はテーブルプランの1つで、Defender ポータルから管理するには Analytics へ変更する必要があります。
設問2
半導体メーカーが Microsoft Defender XDR の automatic attack disruption を使っている。SOC のマネージャーは、自動攻撃中断が働いたインシデントだけを毎朝確認する運用を決めた。アナリストは、多数のインシデントの中からそれらを見つけ出す必要がある。適切な見つけ方はどれか。
- インシデント ページ上部の黄色のバナーを表示したうえで、incident graph 上の資産状態を1件ずつ確認する
- Activities タブで Policy status が Active のものに絞り込み、該当するインシデントを開く
- インシデント キューの Attack Disruption タグ、または API で末尾の (attack disruption) 文字列を探す（正解）
- Action center の History タブで Action source が Automated device action のものを絞り込む
解説
攻撃中断が働いたインシデントは、最初の段階として、インシデント キューの Attack Disruption タグ、または API で末尾の (attack disruption) 文字列で見つけます。黄色のバナーと incident graph は、見つけたあとに何が自動実行されたかを読む段階の道具です。Activities タブと Policy status はアクションの状態を確認する段階のフィルターです。Action center の Action source はアクションの発生元を示す列です。
設問3
自動車メーカーが Microsoft Defender for Endpoint を使い、デバイスのタグで重要資産を管理している。アナリストが、あるデバイスのタグを変更した直後に advanced hunting で DeviceInfo を引いたが、新しいタグが反映されていなかった。SOC は、いつ反映されるかを説明する必要がある。advanced hunting のエンティティ データの更新について正しい説明はどれか。
- エンティティ データは 1 時間ごとに最新のレコードで更新される（正解）
- エンティティ データはセンサーの送信直後にほぼ即時で反映される
- エンティティ データは 30 日ごとの再評価で更新される
- エンティティ データは aggregated reporting を有効にした場合に更新される
解説
エンティティ データはユーザーとデバイスの情報で、1 時間ごとに各エンティティの最新かつ最も網羅的なレコードで更新され、正常性状態やタグを含みます。センサーの送信直後にほぼ即時で反映されるのはイベント データの性質で、エンティティ データではありません。30 日は Defender XDR ネイティブ データをさかのぼれる日付範囲であり、更新サイクルではありません。aggregated reporting はエンドポイントのイベント プロパティを増やす設定であって、エンティティ データの更新条件ではありません。
設問4
ある企業がオンプレミスの Exchange サーバーを Microsoft Defender for Endpoint にオンボードしている。Exchange サーバー上に Web シェルスクリプトが作成される事象が発生した。SOC は、同種の攻撃を防ぐ ASR ルールを Exchange サーバーへ展開する必要がある。有効にすべき ASR ルールはどれか。
- Block persistence through WMI event subscription
- Block Webshell creation for Servers（正解）
- Block process creations originating from PSExec and WMI commands
- Block abuse of exploited vulnerable signed drivers (Device)
解説
Exchange サーバー上に Web シェルスクリプトが作られた事象に対応するのは Block Webshell creation for Servers で、このルールは Exchange サーバーのみが対象です。Block persistence through WMI event subscription は WMI イベントサブスクリプションによる永続化を止めるルールです。Block process creations originating from PSExec and WMI commands は PsExec と WMI によるリモート実行と横展開を止めるルールです。Block abuse of exploited vulnerable signed drivers (Device) は脆弱な署名済みドライバーの悪用を止めるルールです。
設問5
Microsoft Defender for Identity の修復アクション Revoke session（セッションの取り消し）を使って、侵害された ID のアクティブなセッションを切ります。このアクションに対応している ID ソースはどれですか。（2つ選択）
- Microsoft Entra ID（正解）
- Okta（正解）
- SailPoint Identity Security Cloud
- CyberArk Identity
- オンプレミスの Active Directory
解説
Revoke session に対応している ID ソースは Microsoft Entra ID と Okta です。Disable は Active Directory・Microsoft Entra ID・Okta・CyberArk Identity・SailPoint などに対応しますが、セッションの取り消しは 2 つだけです。
他の選択肢が誤りである理由
- 「SailPoint Identity Security Cloud」SailPoint Identity Security Cloud は Disable と Enable に対応しますが、Revoke session には対応していません。
- 「CyberArk Identity」CyberArk Identity は Disable と Enable に対応しますが、Revoke session には対応していません。
- 「オンプレミスの Active Directory」Active Directory のアカウントには Disable・Enable・Force password change を使えますが、Revoke session は使えません。
続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。
登録なしで50問解く