Microsoft Security Operations Analyst (SC-200) — Übungsfragen und Probeprüfung

Die SC-200-Zertifizierung bestätigt Kenntnisse in der Bedrohungserkennung, -untersuchung und -reaktion mithilfe von Microsoft-Sicherheitstechnologien. Sie umfasst Microsoft Sentinel (SIEM), Microsoft Defender XDR (Extended Detection and Response), Microsoft Defender for Endpoint, Microsoft Defender for Cloud, Threat Hunting mit KQL, Incident Management sowie Sicherheitsautomatisierung mittels Playbooks und Workbooks.

Diese Zertifizierung richtet sich an Security Operations Analysts, die in Security Operations Centers (SOCs) arbeiten und Bedrohungen überwachen, identifizieren, untersuchen und darauf reagieren. Kandidaten sollten Erfahrung mit Microsoft Sentinel, Defender-Produkten, KQL für Threat Hunting und der Implementierung automatisierter Reaktionsworkflows auf Sicherheitsvorfälle in hybriden Umgebungen haben.

Das Verwalten einer Security-Operations-Umgebung und das Reagieren auf Incidents machen zusammen rund 80 % der Prüfung aus, nämlich 40–45 % beziehungsweise 35–40 %. Konfiguration von Sentinel und Defender XDR, Data Ingestion, Erkennungsregeln sowie Untersuchung und Response bei Incidents tragen damit fast den gesamten Blueprint. Threat Hunting schließt mit 20–25 % ab.

Diese Verteilung bedeutet: SC-200 ist in erster Linie eine Incident-Response-Prüfung mit angehängtem Hunting-Teil, nicht drei gleich gewichtete Spezialgebiete. Wer sicher KQL fürs Hunting schreibt, aber die Data Connectors, Analytics Rules und Automation-Playbooks in Sentinel noch nie von Grund auf konfiguriert hat, ist für die Domain mit über 40 % schlecht vorbereitet, und genau die trägt die Prüfung.

Die Prüfung stellt 40–60 Fragen in 100 Minuten, gemischt aus Single-Choice, Mehrfachauswahl, Drag-and-drop, Hot-Area und Fallstudien. Die meisten Aufgaben schildern einen Security-Incident und verlangen, dass du ihn mit Sentinel- und Defender-Werkzeugen untersuchst und darauf reagierst, inklusive KQL-Abfragen auf echte Logdaten. Das Anlegen von Erkennungsregeln und das Konfigurieren von Automation-Playbooks kommt dabei genauso häufig vor wie die Untersuchungsszenarien selbst.

Jede Domain der SC-200-Prüfung ist im Pool tief genug abgedeckt, um sie gezielt zu üben. Eine Probeprüfung stellt dir 50 Fragen am Stück, mit derselben 100-Minuten-Uhr wie am Prüfungstag.

Wie lange du brauchst, hängt davon ab, wie viel Praxiserfahrung du mitbringst. Den Rest legt der Anbieter fest: wie die Prüfung abläuft, wie schnell du wiederholen darfst und wie lange das Zertifikat gültig bleibt.

Die Prüfung läuft über Pearson VUE, entweder online mit Remote-Proctor oder in einem autorisierten Testcenter, und wird auf Englisch, Japanisch, Chinesisch, Koreanisch, Französisch, Deutsch, Spanisch und in mehreren weiteren Sprachen angeboten. Die Zertifizierung gilt ein Jahr, und Microsoft schaltet sechs Monate vor Ablauf ein kostenloses Renewal-Assessment auf Learn frei.

Fragen zum Threat Hunting erwarten funktionierendes KQL, nicht bloß das Wiedererkennen von Abfragen. Eine Query unter Zeitdruck gegen unbekannte Logdaten zu schreiben ist etwas anderes, als eine fertige von jemand anderem zu lesen. Data Connectors, Analytics Rules, Automation Rules und Logic-Apps-Playbooks in Sentinel konfigurieren jeweils eine andere Stufe der Detection-Pipeline. Wer durcheinanderbringt, zu welcher Stufe eine Einstellung gehört, greift regelmäßig zur falschen Antwort. Defender for Endpoint, Defender for Identity, Defender for Office 365 und Defender for Cloud Apps decken unterschiedliche Angriffsflächen ab, und bei Fragen zur Incident-Untersuchung sollst du wissen, welches davon bei einem mehrstufigen Angriff welche Spuren sichtbar macht.