Microsoft Security Operations Analyst (SC-200) — Preguntas de práctica y simulacro de examen

Safe Attachments en Microsoft Defender for Office 365 proporciona protección contra zero-day al detonar archivos adjuntos de correo electrónico en un entorno virtual aislado tipo sandbox antes de la entrega. El archivo adjunto se abre en una VM controlada donde se analiza el comportamiento para detectar actividad maliciosa. Las acciones de política incluyen Block (poner en cuarentena archivos adjuntos maliciosos), Replace (entregar el correo sin el archivo adjunto) y Dynamic Delivery (entregar el cuerpo del correo de inmediato y volver a adjuntar después de que finalice el análisis). Esto detecta malware que el análisis basado en firmas no puede detectar. Safe Links es una característica separada que protege contra URLs maliciosas, no archivos adjuntos. El filtrado anti-spam y las políticas de DLP no proporcionan detonación en sandbox. Dynamic Delivery minimiza la demora para el usuario final mientras mantiene la protección. Ref: learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-about

La tabla EmailEvents del Advanced Hunting de Microsoft Defender XDR es la fuente principal para investigar amenazas basadas en correo electrónico, incluidos el phishing, el malware y el spam. Contiene información de remitente y destinatario, asuntos, acciones de entrega (delivered, blocked, junked) y los métodos de detección de amenazas. Otras tablas relacionadas aportan detalle adicional: EmailAttachmentInfo para los metadatos de los archivos adjuntos, EmailUrlInfo para las URL incrustadas en los correos y EmailPostDeliveryEvents para acciones posteriores a la entrega, como ZAP (Zero-hour Auto Purge). IdentityLogonEvents cubre eventos de autenticación, CloudAppEvents cubre la actividad SaaS y DeviceProcessEvents cubre la ejecución de procesos en los endpoints — ninguna es específica del correo electrónico. Ref: learn.microsoft.com/defender-xdr/advanced-hunting-emailevents-table

Threat analytics en el portal de Microsoft Defender XDR es una solución de inteligencia de amenazas integrada en el propio producto y elaborada por investigadores de seguridad expertos de Microsoft. Cada informe cubre campañas activas, amenazas emergentes y vulnerabilidades, con descripciones de las campañas, TTP (tácticas, técnicas y procedimientos), indicadores de compromiso (IoC), mitigaciones recomendadas y evaluaciones de la exposición de la organización. Accede a ella desde la sección Threat analytics del portal de Defender. Ayuda a los equipos del SOC a entender su exposición a las amenazas actuales y a priorizar la respuesta. Esto es distinto de la cola de Incidents o de Secure Score, que cumplen funciones diferentes. Ref: learn.microsoft.com/defender-xdr/threat-analytics

Microsoft Sentinel divide sus permisos entre dos sistemas. El lado SIEM usa roles de Azure RBAC como Microsoft Sentinel Reader, Responder y Contributor. El lado del data lake usa roles de Microsoft Entra ID para el acceso amplio. Crear y administrar trabajos KQL en el data lake está vinculado a los roles de Entra Security Operator, Security Administrator y Global Administrator. Los roles de Azure como Log Analytics Contributor o Microsoft Sentinel Contributor pueden otorgar permisos sobre tablas o sobre el espacio de trabajo, pero no son los roles indicados para administrar trabajos. Security Reader da acceso de lectura y no de escritura. Consejo para el examen: la administración de trabajos del data lake corresponde a roles de Entra, y Security Operator es la opción con menos privilegios.