Microsoft Security Operations Analyst (SC-200) — Questões de prática e simulado

Safe Attachments no Microsoft Defender for Office 365 fornece proteção contra zero-day detonando anexos de email em um ambiente virtual em sandbox antes da entrega. O anexo é aberto em uma VM controlada, onde o comportamento é analisado em busca de atividade maliciosa. As ações de política incluem Block (colocar anexos maliciosos em quarentena), Replace (entregar o email sem o anexo) e Dynamic Delivery (entregar o corpo do email imediatamente e reanexar após a conclusão da verificação). Isso captura malware que a verificação baseada em assinaturas não consegue detectar. Safe Links é um recurso separado que protege contra URLs maliciosas, não anexos. Filtragem anti-spam e políticas DLP não fornecem detonação em sandbox. Dynamic Delivery minimiza o atraso para o usuário final mantendo a proteção. Ref: learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-about

A tabela EmailEvents no Advanced Hunting do Microsoft Defender XDR é a principal fonte para investigar ameaças baseadas em e-mail, incluindo phishing, malware e spam. Ela contém informações de remetente e destinatário, linhas de assunto, ações de entrega (delivered, blocked, junked) e os métodos de detecção de ameaças. Tabelas relacionadas fornecem detalhes adicionais: EmailAttachmentInfo para metadados de anexos, EmailUrlInfo para URLs incorporadas nos e-mails e EmailPostDeliveryEvents para ações pós-entrega, como o ZAP (Zero-hour Auto Purge). IdentityLogonEvents cobre eventos de autenticação, CloudAppEvents cobre a atividade de SaaS e DeviceProcessEvents cobre a execução de processos nos endpoints — nenhuma delas é específica de e-mail. Ref: learn.microsoft.com/defender-xdr/advanced-hunting-emailevents-table

O Threat analytics no portal do Microsoft Defender XDR é uma solução de inteligência de ameaças integrada ao próprio produto, produzida por pesquisadores de segurança especialistas da Microsoft. Cada relatório cobre campanhas ativas, ameaças emergentes e vulnerabilidades, com descrições das campanhas, TTPs (táticas, técnicas e procedimentos), indicadores de comprometimento (IoCs), mitigações recomendadas e avaliações da exposição da organização. Você acessa esse conteúdo pela seção Threat analytics do portal do Defender. Ele ajuda as equipes de SOC a entender sua exposição às ameaças atuais e a priorizar a resposta. Isso é diferente da fila de Incidents ou do Secure Score, que têm funções distintas. Ref: learn.microsoft.com/defender-xdr/threat-analytics

O Microsoft Sentinel divide suas permissões entre dois sistemas. O lado do SIEM usa funções do Azure RBAC como Microsoft Sentinel Reader, Responder e Contributor. O lado do data lake usa funções do Microsoft Entra ID para acesso amplo. Criar e gerenciar jobs KQL no data lake está vinculado às funções do Entra Security Operator, Security Administrator e Global Administrator. Funções do Azure como Log Analytics Contributor ou Microsoft Sentinel Contributor podem conceder permissões de tabela ou de espaço de trabalho, mas não são as funções listadas para gerenciar jobs. Security Reader concede acesso de leitura, sem acesso de gravação. Dica para o exame: o gerenciamento de jobs do data lake corresponde às funções do Entra, e Security Operator é a opção de menor privilégio.