Microsoft Security Operations Analyst (SC-200) — Questions d'entraînement et examen blanc

La certification SC-200 valide les compétences en matière de détection, d’investigation et de réponse aux menaces à l’aide des technologies de sécurité Microsoft. Elle couvre Microsoft Sentinel (SIEM), Microsoft Defender XDR (détection et réponse étendues), Microsoft Defender for Endpoint, Microsoft Defender for Cloud, la recherche de menaces avec KQL, la gestion des incidents et l’automatisation de la sécurité à l’aide de playbooks et de workbooks.

Cette certification est destinée aux analystes d’opérations de sécurité travaillant dans des centres d’opérations de sécurité (SOC) qui surveillent, identifient, investiguent et répondent aux menaces. Les candidats doivent avoir de l’expérience avec Microsoft Sentinel, les produits Defender, KQL pour la recherche de menaces, et la mise en œuvre de workflows de réponse automatisés aux incidents de sécurité dans des environnements hybrides.

La gestion d’un environnement d’opérations de sécurité et la réponse aux incidents pèsent à elles deux environ 80 % de l’examen : 40 à 45 % pour la première, 35 à 40 % pour la seconde. Autrement dit, la configuration de Sentinel et de Defender XDR, l’ingestion de données, les règles de détection, l’investigation et la réponse aux incidents portent presque tout le programme. Le threat hunting ferme la marche avec 20 à 25 %.

Cette concentration fait du SC-200 un examen de réponse à incident avant tout, auquel on a greffé une section de hunting, et non trois spécialités de poids égal. Si tu es à l’aise pour écrire du KQL de hunting mais que tu n’as jamais configuré de zéro les data connectors, les analytics rules et les playbooks d’automatisation de Sentinel, tu abordes mal préparé le domaine à plus de 40 % sur lequel repose l’épreuve.

L’examen compte 40 à 60 questions en 100 minutes, réparties entre QCM à réponse unique, questions à réponses multiples, glisser-déposer, hot area et études de cas. La plupart des items décrivent un incident de sécurité et te demandent de mener l’investigation puis d’y répondre avec les outils Sentinel et Defender, requêtes KQL sur des données de logs réelles comprises. La création de règles de détection et la configuration de playbooks d’automatisation reviennent aussi souvent que les scénarios d’investigation eux-mêmes.

Chaque domaine de l’examen SC-200 a assez de questions dans la banque pour être travaillé en profondeur. Un examen blanc te pose 50 questions d’affilée, sur le même chrono de 100 minutes que le jour de l’examen.

Le temps qu’il te faut dépend de ton expérience pratique. Le reste est fixé par l’éditeur : comment l’examen se déroule, quand tu peux le repasser et combien de temps la certification reste valable.

L’examen se passe chez Pearson VUE, en ligne avec un surveillant à distance ou dans un centre agréé, et il est proposé en anglais, japonais, chinois, coréen, français, allemand, espagnol et plusieurs autres langues. La certification reste valable un an, et Microsoft ouvre une évaluation de renouvellement gratuite sur Learn six mois avant son expiration.

Les questions de threat hunting attendent du KQL qui fonctionne, pas une simple reconnaissance de requête : écrire une requête sur des logs que tu ne connais pas, sous pression, n’a rien à voir avec relire celle d’un autre. Les data connectors, les analytics rules, les automation rules et les playbooks Logic Apps de Sentinel configurent chacun une étape différente du pipeline de détection, et confondre l’étape à laquelle appartient un paramètre est une façon classique de se tromper de réponse. Defender for Endpoint, Defender for Identity, Defender for Office 365 et Defender for Cloud Apps couvrent des surfaces d’attaque différentes, et les questions d’investigation d’incident supposent que tu saches lequel remonte quelle preuve au cours d’une attaque en plusieurs étapes.