難易度は Level 1（やさしめ）〜Level 5（難関） の5段階です。
SC-200のサンプル問題（本番形式・解説付き）
SC-200（Microsoft・Cloud and AI Security Engineer Associate）の出題形式を、実際の問題で確かめられます。ここに掲載する5問は、無料の会員登録で解ける模試 第1回（50問）の冒頭から抜粋したオリジナル問題です。当サイトは全600問を本番CBT準拠の形式で収録しており、この5問はそのごく一部にあたります。
設問1
製造業の SOC で、当番担当の配布リストに対して、新しいインシデントの発生と既存インシデントの更新をメールで知らせたい。Defender ポータルの設定 > Microsoft Defender XDR > メール通知で作成すべき通知ルールの種類はどれか。
- Actions の通知ルールを作成し、自動対応の実行と承認待ちのアクションの発生を当番担当の配布リストへ送るように構成する
- Threat analytics の通知ルールを作成し、新しい脅威分析レポートの公開を当番担当の配布リストへ送るように構成する
- Incidents の通知ルールを作成し、新しいインシデントの発生を当番担当の配布リストへ送るように構成する（正解）
- Vulnerabilities の通知ルールを作成し、新しい脆弱性の検出とエクスプロイトの確認を当番担当の配布リストへ送るように構成する
解説
email notifications は対象ごとに別々のルールとして作る構造で、Incidents の通知が知らせるのは新しいインシデントの発生、または既存インシデントの更新です。Actions は自動対応が実行された、または承認待ちのアクションが発生したことを知らせるもので、インシデントの発生は対象外です。Threat analytics は新しい脅威分析レポートの公開と自組織への影響の検出を知らせるもので、受け手も脅威インテリジェンス担当です。Vulnerabilities は新しい脆弱性の検出とエクスプロイトの確認を知らせるもので、脆弱性管理担当向けです。
設問2
小売企業の SOC には2つの要件がある。夜間当番には重大度が High のアラートだけをメールで知らせ、大阪拠点の担当者には大阪の device group の端末で起きたイベントだけを知らせたい。Defender XDR の email notifications での構成として適切なものはどれか。
- 1つの通知ルールの中で条件を分岐させ、受信者ごとに重大度と device group の組み合わせを個別に指定する
- 重大度フィルターを Informational まで広げた通知ルールを1つ作成し、受信側のメールソフトで振り分ける
- Microsoft Sentinel の playbook を1つ作成し、その中の条件分岐で重大度と device group ごとに宛先を変えて送信する
- 重大度と device group の条件がそれぞれ異なる通知ルールを、要件ごとに2つ作成する（正解）
解説
1つの通知ルールでは「High かつ拠点A」「Medium かつ拠点B」のような分岐は表現できないため、条件の組み合わせが異なる要件が2つあるなら通知ルールを2つ作るのが正解です。1ルール内での受信者ごとの分岐は、通知ルールの構成要素(重大度フィルター・スコープ・テナント固有情報・受信者)では表現できません。重大度を広げて受信側で振り分ける案は、High だけを鳴らしたいという要件を Defender XDR 側で満たしていません。playbook は Logic Apps リソースの作成・権限付与・接続の認証が必要で管理オーバーヘッドが大きく、組み込みの email notifications で足りる要件には過剰です。
設問3
金融機関の SOC で、不要になった device group を1つ削除したところ、その直後から特定のメール通知が届かなくなった。通知ルール自体も一覧から消えている。この現象の説明として適切なものはどれか。
- 削除した device group が、その通知ルールに構成された唯一のグループだったため、通知ルールも一緒に削除された（正解）
- device group を削除すると、そのテナントのメール通知ルールが受信者ごと初期化される仕様である
- device group の削除はメール通知に影響しないため、重大度フィルターが Informational だけに変更されたと考えられる
- device group を削除しても通知ルールは残るため、受信者に指定した配布リスト側の設定が変更されたと考えられる
解説
Microsoft は、device group を削除するとその device group がメール通知ルールに構成されていた場合はルールから除去され、唯一のグループだった場合は通知ルール自体が device group と一緒に削除されると明記しています。すべての通知ルールが初期化されるわけではなく、影響を受けるのはその device group が構成されていたルールだけです。「通知ルールは残る」という説明は、ルールが一覧から消えているという観測と矛盾します。device group の削除がメール通知に影響しないという説明も、上記の仕様に反します。
設問4
MSSP のアナリストが複数の顧客テナントのメール通知を1つの受信箱で受けており、どのテナントのどのデバイスの通知かをメール本文だけで判別したい。Defender XDR の通知ルールで構成すべき要素はどれか。
- スコープの設定で対象の device group を選び直し、テナントごとに異なる device group を割り当てる
- テナント固有情報を含める設定を有効にし、組織名やデバイス名を本文に載せる（正解）
- 重大度フィルターの設定でテナントごとに異なる severity を選び、通知の重大度で送信元を見分ける
- 受信者の設定でテナントごとに異なる宛先メールアドレスを登録し、宛先アドレスで送信元を見分ける
解説
通知ルールの構成要素のうち、組織名やデバイス名などをメール本文に載せるかを決めるのがテナント固有情報を含めるかどうかの設定で、MSSP が複数テナントを見る場合に有効化します。スコープ(device group)はどの device group のイベントで送るかを決めるもので、本文に組織名を載せる働きはありません。重大度フィルターはどの severity で送るかを決めるものです。受信者は宛先を決める要素で、1つの受信箱で受けたいという前提そのものに反します。
設問5
物流企業の SOC が、Defender XDR で発生したインシデントを SOC の配布リストへメールで知らせたい。追加の構成と管理オーバーヘッドを最小にすることが条件である。実装として適切なものはどれか。
- Logic Apps で playbook を作成し、インシデント作成時にメールを送信するアクションを組んで自動化ルールから呼び出す
- Microsoft Sentinel の自動化ルールを作成し、インシデント作成時にコメントを追加してからメールを送る playbook を実行する
- Defender XDR の組み込みの email notifications で Incidents の通知ルールを作成する（正解）
- Defender for Endpoint の advanced features で Skype for Business integration を有効にし、担当者へ連絡できるようにする
解説
追加の構成を最小にして Defender XDR のインシデントを SOC に知らせたいなら、組み込みの email notifications が正解です。playbook でも技術的にはメールを送れますが、Logic Apps リソースの作成・権限付与・接続の認証が必要で管理オーバーヘッドが大きくなります。自動化ルールから playbook を呼ぶ構成も同じ理由で過剰です。Skype for Business integration はメールや電話でユーザーと連絡できるようにする高度な機能で、隔離モードのときだけ適用されるものであり、インシデント通知の仕組みではありません。
続きは、会員登録なしでそのまま50問解けます。採点と解説つきで、上と同じ本物の問題です。
登録なしで50問解く