Microsoft Security Operations Analyst (SC-200) — Preguntas de práctica y simulacro de examen

La certificación SC-200 valida las habilidades en detección, investigación y respuesta a amenazas utilizando tecnologías de seguridad de Microsoft. Abarca Microsoft Sentinel (SIEM), Microsoft Defender XDR (detección y respuesta extendidas), Microsoft Defender for Endpoint, Microsoft Defender for Cloud, búsqueda de amenazas con KQL, gestión de incidentes y automatización de seguridad utilizando playbooks y workbooks.

Esta certificación está diseñada para analistas de operaciones de seguridad que trabajan en Centros de Operaciones de Seguridad (SOC) monitoreando, identificando, investigando y respondiendo a amenazas. Los candidatos deben tener experiencia con Microsoft Sentinel, productos Defender, KQL para la búsqueda de amenazas y la implementación de flujos de trabajo de respuesta automatizada a incidentes de seguridad en entornos híbridos.

Administrar un entorno de operaciones de seguridad y responder a incidentes suman juntos cerca del 80% del examen: 40–45% y 35–40% respectivamente. La configuración de Sentinel y Defender XDR, la ingesta de datos, las reglas de detección y la investigación y respuesta a incidentes se llevan casi todo el temario. El threat hunting cierra con un 20–25%.

Esa concentración significa que el SC-200 es sobre todo un examen de respuesta a incidentes con una sección de hunting encima, no tres especialidades en partes iguales. Si te sientes cómodo escribiendo KQL para hunting pero nunca configuraste desde cero los data connectors, las analytics rules y los playbooks de automatización de Sentinel, llegas mal preparado al dominio de más del 40% que sostiene el examen.

El examen toma entre 40 y 60 preguntas de una mezcla de formatos: opción múltiple, selección múltiple, arrastrar y soltar, hot area y casos de estudio, todo dentro de una ventana de 100 minutos. La mayoría de las preguntas te plantea un incidente de seguridad y te pide investigarlo y responder con las herramientas de Sentinel y Defender, incluidas consultas KQL escritas sobre datos de log reales. La creación de reglas de detección y la configuración de playbooks de automatización aparecen con la misma frecuencia que los escenarios de investigación.

Cada dominio del examen SC-200 tiene suficientes preguntas en el banco para practicarlo a fondo. El simulacro te plantea 50 preguntas seguidas, con el mismo cronómetro de 100 minutos que el día del examen.

Cuánto tiempo necesitas depende de la experiencia práctica que ya tienes. El resto lo define el proveedor: cómo se hace el examen, cuándo puedes repetirlo y cuánto dura la certificación.

El examen se rinde a través de Pearson VUE, en línea con supervisión remota o en un centro de evaluación autorizado, y está disponible en inglés, japonés, chino, coreano, francés, alemán, español y varios idiomas más. La certificación tiene validez de un año, y Microsoft habilita una evaluación de renovación gratuita en Learn desde seis meses antes de que venza.

Las preguntas de threat hunting esperan KQL que funcione, no que reconozcas consultas: escribir una consulta sobre datos de log que no conoces y con el reloj corriendo es una habilidad muy distinta de leer la que escribió alguien más. Los data connectors, las analytics rules, las automation rules y los playbooks de Logic Apps de Sentinel configuran cada uno una etapa diferente del pipeline de detección, y confundir a qué etapa pertenece una opción es una forma clásica de marcar la respuesta equivocada. Defender for Endpoint, Defender for Identity, Defender for Office 365 y Defender for Cloud Apps cubren superficies de ataque distintas, y las preguntas de investigación de incidentes dan por hecho que sabes cuál te muestra qué evidencia durante un ataque de varias etapas.