Microsoft Security Operations Analyst (SC-200) — Übungsfragen und Probeprüfung

Safe Attachments in Microsoft Defender for Office 365 bietet Zero-Day-Schutz, indem E-Mail-Anhänge vor der Zustellung in einer sandboxed virtual environment detoniert werden. Der Anhang wird in einer kontrollierten VM geöffnet, in der das Verhalten auf schädliche Aktivitäten analysiert wird. Policy-Aktionen umfassen Block (schädliche Anhänge in Quarantäne verschieben), Replace (E-Mail ohne den Anhang zustellen) und Dynamic Delivery (E-Mail-Text sofort zustellen, Anhang nach Abschluss des Scans wieder anhängen). Dadurch wird Malware erkannt, die signaturbasiertes Scanning nicht erkennen kann. Safe Links ist eine separate Funktion, die vor schädlichen URLs schützt, nicht vor Anhängen. Anti-spam filtering und DLP policies bieten keine Sandbox-Detonation. Dynamic Delivery minimiert Verzögerungen für Endbenutzer und erhält gleichzeitig den Schutz aufrecht. Ref: learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-about

Die Tabelle EmailEvents im Advanced Hunting von Microsoft Defender XDR ist die wichtigste Quelle, um E-Mail-basierte Bedrohungen wie Phishing, Malware und Spam zu untersuchen. Sie enthält Absender- und Empfängerangaben, Betreffzeilen, Zustellaktionen (delivered, blocked, junked) und die Methoden der Bedrohungserkennung. Verwandte Tabellen liefern zusätzliche Details: EmailAttachmentInfo für Metadaten zu Anhängen, EmailUrlInfo für URLs in E-Mails und EmailPostDeliveryEvents für Aktionen nach der Zustellung wie ZAP (Zero-hour Auto Purge). IdentityLogonEvents deckt Authentifizierungsereignisse ab, CloudAppEvents die SaaS-Aktivität und DeviceProcessEvents die Prozessausführung auf Endpunkten — keine davon ist E-Mail-spezifisch. Ref: learn.microsoft.com/defender-xdr/advanced-hunting-emailevents-table

Threat analytics im Microsoft Defender XDR-Portal ist eine direkt im Produkt integrierte Threat-Intelligence-Lösung erfahrener Sicherheitsforscher von Microsoft. Jeder Bericht behandelt aktive Kampagnen, aufkommende Bedrohungen und Schwachstellen und liefert dazu Kampagnenbeschreibungen, TTPs (Taktiken, Techniken, Prozeduren), Indicators of Compromise (IoCs), empfohlene Gegenmaßnahmen und Einschätzungen zur Betroffenheit der eigenen Organisation. Rufe sie über den Bereich Threat analytics im Defender-Portal auf. Sie hilft SOC-Teams zu verstehen, wie stark sie aktuellen Bedrohungen ausgesetzt sind, und die Reaktion zu priorisieren. Das unterscheidet sich von der Incidents-Warteschlange oder von Secure Score, die andere Funktionen erfüllen. Ref: learn.microsoft.com/defender-xdr/threat-analytics

Microsoft Sentinel verteilt seine Berechtigungen auf zwei Systeme. Die SIEM-Seite nutzt Azure RBAC-Rollen wie Microsoft Sentinel Reader, Responder und Contributor. Die Data-Lake-Seite nutzt für umfassenden Zugriff Rollen aus Microsoft Entra ID. Das Erstellen und Verwalten von KQL-Jobs im Data Lake ist an die Entra-Rollen Security Operator, Security Administrator und Global Administrator gebunden. Azure-Rollen wie Log Analytics Contributor oder Microsoft Sentinel Contributor können Berechtigungen für Tabellen oder Arbeitsbereiche erteilen, sie gehören aber nicht zu den Rollen, die für die Verwaltung von Jobs aufgeführt sind. Security Reader gewährt Lesezugriff und keinen Schreibzugriff. Prüfungstipp: Die Verwaltung von Data-Lake-Jobs gehört zu Entra-Rollen, und Security Operator ist dabei die Option mit den geringsten Rechten.