Microsoft Security Operations Analyst (SC-200) — Übungsfragen und Probeprüfung

Safe Attachments in Microsoft Defender for Office 365 bietet Zero-Day-Schutz, indem E-Mail-Anhänge vor der Zustellung in einer sandboxed virtual environment detoniert werden. Der Anhang wird in einer kontrollierten VM geöffnet, in der das Verhalten auf schädliche Aktivitäten analysiert wird. Policy-Aktionen umfassen Block (schädliche Anhänge in Quarantäne verschieben), Replace (E-Mail ohne den Anhang zustellen) und Dynamic Delivery (E-Mail-Text sofort zustellen, Anhang nach Abschluss des Scans wieder anhängen). Dadurch wird Malware erkannt, die signaturbasiertes Scanning nicht erkennen kann. Safe Links ist eine separate Funktion, die vor schädlichen URLs schützt, nicht vor Anhängen. Anti-spam filtering und DLP policies bieten keine Sandbox-Detonation. Dynamic Delivery minimiert Verzögerungen für Endbenutzer und erhält gleichzeitig den Schutz aufrecht. Ref: learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-about

Die Tabelle EmailEvents im Advanced Hunting von Microsoft Defender XDR ist die wichtigste Quelle, um E-Mail-basierte Bedrohungen wie Phishing, Malware und Spam zu untersuchen. Sie enthält Absender- und Empfängerangaben, Betreffzeilen, Zustellaktionen (delivered, blocked, junked) und die Methoden der Bedrohungserkennung. Verwandte Tabellen liefern zusätzliche Details: EmailAttachmentInfo für Metadaten zu Anhängen, EmailUrlInfo für URLs in E-Mails und EmailPostDeliveryEvents für Aktionen nach der Zustellung wie ZAP (Zero-hour Auto Purge). IdentityLogonEvents deckt Authentifizierungsereignisse ab, CloudAppEvents die SaaS-Aktivität und DeviceProcessEvents die Prozessausführung auf Endpunkten — keine davon ist E-Mail-spezifisch. Ref: learn.microsoft.com/defender-xdr/advanced-hunting-emailevents-table

Threat analytics im Microsoft Defender XDR-Portal ist eine direkt im Produkt integrierte Threat-Intelligence-Lösung erfahrener Sicherheitsforscher von Microsoft. Jeder Bericht behandelt aktive Kampagnen, aufkommende Bedrohungen und Schwachstellen und liefert dazu Kampagnenbeschreibungen, TTPs (Taktiken, Techniken, Prozeduren), Indicators of Compromise (IoCs), empfohlene Gegenmaßnahmen und Einschätzungen zur Betroffenheit der eigenen Organisation. Rufe sie über den Bereich Threat analytics im Defender-Portal auf. Sie hilft SOC-Teams zu verstehen, wie stark sie aktuellen Bedrohungen ausgesetzt sind, und die Reaktion zu priorisieren. Das unterscheidet sich von der Incidents-Warteschlange oder von Secure Score, die andere Funktionen erfüllen. Ref: learn.microsoft.com/defender-xdr/threat-analytics

Alert vs Incident in Defender XDR: Ein Alert ist ein einzelnes Detection-Signal (ein verdächtiges Ereignis, das von einem Produkt erkannt wurde). Ein Incident gruppiert zusammengehörige Alerts zu einer korrelierten Untersuchungseinheit. Ein Incident kann mehrere Alerts aus verschiedenen Defender-Produkten enthalten und so die gesamte Angriffsgeschichte zeigen. Beispiel: Phishing-E-Mail-Alert + Malware-Ausführungs-Alert + Lateral-Movement-Alert = ein Incident. Incidents reduzieren Alert Fatigue, indem sie zusammengehörige Signale korrelieren. Prüfungstipp: Alert = einzelne Detection. Incident = gruppierte zusammengehörige Alerts. Incident = vollständige Angriffsgeschichte. Reduziert Alert Fatigue.