Microsoft Security Operations Analyst (SC-200日本語版) - SC-200日本語 FREE EXAM DUMPS QUESTIONS & ANSWERS
以下のKQLクエリを含むカスタム検出ルールがあります。
以下の各項目について、該当する場合は「はい」を選択してください。該当しない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
以下の各項目について、該当する場合は「はい」を選択してください。該当しない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
User1 という名前のユーザーを含む Azure サブスクリプションがあります。
User1 には Azure Active Directory Premium Plan 2 ライセンスが割り当てられています
過去 90 日間に User1 の ID が侵害されたかどうかを特定する必要があります。
何を使えばいいのでしょうか？
User1 には Azure Active Directory Premium Plan 2 ライセンスが割り当てられています
過去 90 日間に User1 の ID が侵害されたかどうかを特定する必要があります。
何を使えばいいのでしょうか？
Correct Answer: B
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
User1 という名前のユーザーと WS1 という名前の Microsoft Sentinel ワークスペースを含む Azure サブスクリプションがあります。WS1 は Microsoft Defender for Cloud を使用します。
次の表に示す Microsoft セキュリティ分析ルールがあります。
ユーザー 1 が、ルール 1、ルール 2、ルール 3、およびルール 4 に一致するアクションを実行します。WS1 に作成されるインシデントの数はいくつですか。
次の表に示す Microsoft セキュリティ分析ルールがあります。
ユーザー 1 が、ルール 1、ルール 2、ルール 3、およびルール 4 に一致するアクションを実行します。WS1 に作成されるインシデントの数はいくつですか。
Correct Answer: C
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
Microsoft 365 Defender を使用する Microsoft 365 E5 サブスクリプションがあります。
Microsoft が発見した新しい攻撃手法を確認し、サブスクリプション内の脆弱なリソースを特定する必要があります。ソリューションでは、管理労力を最小限に抑える必要があります。 Microsoft 365 Defender ポータルではどのブレードを使用する必要がありますか?
Microsoft が発見した新しい攻撃手法を確認し、サブスクリプション内の脆弱なリソースを特定する必要があります。ソリューションでは、管理労力を最小限に抑える必要があります。 Microsoft 365 Defender ポータルではどのブレードを使用する必要がありますか?
Correct Answer: A
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
ゲストユーザー「User1」とMicrosoft Sentinelワークスペース「workspace1」を含むAzureサブスクリプションをお持ちです。
User1がworkspace1でMicrosoft Sentinelのインシデントをトリアージできるようにする必要があります。このソリューションは、最小権限の原則に基づいている必要があります。
User1にはどの役割を割り当てるべきですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
User1がworkspace1でMicrosoft Sentinelのインシデントをトリアージできるようにする必要があります。このソリューションは、最小権限の原則に基づいている必要があります。
User1にはどの役割を割り当てるべきですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
In Microsoft Sentinel, incident management and investigation permissions are controlled through Sentinel- specific Azure roles . To allow a user (including a guest user) to triage incidents - meaning they can view, assign, and update incident statuses , but not modify analytics rules or automation logic - the correct Azure role is Microsoft Sentinel Responder .
Here's the breakdown:
1# # Azure role # Microsoft Sentinel Responder
* The Sentinel Responder role grants permissions to view incidents, update incident status, assign incidents, and run playbooks on incidents.
* It follows the principle of least privilege by limiting access to only incident response and not allowing rule creation, workbook management, or data connector configuration.
* The Sentinel Contributor role, on the other hand, provides broader permissions (including modifying analytic rules), which exceeds the requirement of "triaging incidents."
* Therefore, Microsoft Sentinel Responder is the correct and least-privilege Azure role.
2# # Azure AD role # Directory readers
* To investigate and triage incidents effectively, Sentinel users must be able to resolve user identities (such as usernames, group membership, and object IDs) within Microsoft Entra ID (Azure AD).
* The Directory Readers role provides read-only access to directory data, allowing the user to view identities but not modify them.
* This minimal permission satisfies Sentinel's identity lookup needs without elevating the user to a global administrative or global reader role.
# Final Answers:
* Azure role: Microsoft Sentinel Responder
* Azure AD role: Directory readers
HuntingQuery1 の構成が Microsoft Sentinel の要件を満たしていることを確認する必要があります。
あなたはどうすべきでしょうか？
あなたはどうすべきでしょうか？
Correct Answer: B
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
サポートされているすべてのリソースの種類に対して Azure Defender が有効になっている Azure サブスクリプションがある。
サードパーティのセキュリティ情報およびイベント管理 (SIEM) ソリューションから高重大度アラートを取得できるようにするには、高重大度アラートの継続的なエクスポートを構成する必要があります。
アラートをどのサービスにエクスポートする必要がありますか?
サードパーティのセキュリティ情報およびイベント管理 (SIEM) ソリューションから高重大度アラートを取得できるようにするには、高重大度アラートの継続的なエクスポートを構成する必要があります。
アラートをどのサービスにエクスポートする必要がありますか?
Correct Answer: D
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
指定された緊急時対応アカウントを監視するには、Microsoft Sentinel NRTルールを実装する必要があります。
ソリューションは、Microsoft Sentinelの要件を満たす必要があります。
質問にはどのように回答すればよいですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
ソリューションは、Microsoft Sentinelの要件を満たす必要があります。
質問にはどのように回答すればよいですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
For a near-real-time (NRT) analytics rule that detects sign-ins by a designated break-glass account, the most direct and performant pattern is to filter SigninLogs by joining to a Microsoft Sentinel watchlist that contains the protected account(s). Sentinel exposes watchlists to KQL through the helper function
_GetWatchlist( ' < watchlist-name > ' ) , which returns a table with standard columns (including SearchKey ) plus any custom columns you imported. Using join kind=inner ensures the result set includes only those SigninLogs rows whose UserPrincipalName matches an entry in the watchlist-ideal for alerting on a high- value account without post-filtering.
The completed query is:
SigninLogs | join kind=inner (_GetWatchlist( ' breakglass_account ' )) on $left.UserPrincipalName == $right.
SearchKey
This approach satisfies the requirement to implement an NRT rule for the break-glass account because:
* NRT rules support KQL with joins and watchlists and are optimized for rapid evaluation over fresh data.
* Using a watchlist lets SecOps adjust monitored accounts without editing the rule-minimizing administrative effort and aligning with least-privilege operations (no extra permissions beyond watchlist management).
* The inner join pattern reduces noise by returning only matched events, which are then turned into alerts
/incidents by the NRT rule.
Thus, select join and GetWatchlist , and join UserPrincipalName to the watchlist's SearchKey .
Microsoft Defender for Cloudを使用するAzureサブスクリプションがあり、RG1という名前のリソースグループが含まれています。RG1内の仮想マシンに対して、ジャストインタイム(JIT)VMアクセスを構成する必要があります。ソリューションは、以下の要件を満たす必要があります。
* リクエストの最大時間を2時間に制限してください。
* プロトコルアクセスをリモートデスクトッププロトコル(RDP)のみに制限します。
管理業務の手間を最小限に抑える。
何を使うべきでしょうか？
* リクエストの最大時間を2時間に制限してください。
* プロトコルアクセスをリモートデスクトッププロトコル(RDP)のみに制限します。
管理業務の手間を最小限に抑える。
何を使うべきでしょうか？
Correct Answer: C
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
お客様はMicrosoft 365サブスクリプションをご利用中です。このサブスクリプションには、Microsoft Defender for Endpointに登録済みのWindows 11デバイスが500台含まれています。
Defender for Endpointを以下の要件を満たすように構成する必要があります。
* セキュリティ運用アナリストがクライアントコンピュータ上でPowerShellスクリプトを実行できることを確認してください。
* クライアントコンピュータ上の脅威を自動的に修復する
Microsoft Defender ポータルで、どのエンドポイント設定を構成する必要がありますか？回答するには、回答領域で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
Defender for Endpointを以下の要件を満たすように構成する必要があります。
* セキュリティ運用アナリストがクライアントコンピュータ上でPowerShellスクリプトを実行できることを確認してください。
* クライアントコンピュータ上の脅威を自動的に修復する
Microsoft Defender ポータルで、どのエンドポイント設定を構成する必要がありますか？回答するには、回答領域で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
お客様は、Microsoft Defender XDR および Microsoft Defender for Endpoint を使用する Microsoft 365 サブスクリプションをご利用中です。このサブスクリプションには、次の表に示すデバイスが含まれています。
あなたは以下の鑑識データを発見しました。
* Device1の起動中に、ポート5555を介してDevice2との接続が確立されます。
* Device2はポート5555を使用してDevice3に接続します。
* Device4 はポート 5555 を使用して Device! に接続します。
あなたは以下の操作を実行します。
* Device1でライブレスポンスセッションを開始し、processsコマンドを実行します。
* Microsoft Defender ポータルの [デバイス] から、Device1 と Device2 を隔離します。
以下の各項目について、該当する場合は「はい」を選択してください。該当しない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
あなたは以下の鑑識データを発見しました。
* Device1の起動中に、ポート5555を介してDevice2との接続が確立されます。
* Device2はポート5555を使用してDevice3に接続します。
* Device4 はポート 5555 を使用して Device! に接続します。
あなたは以下の操作を実行します。
* Device1でライブレスポンスセッションを開始し、processsコマンドを実行します。
* Microsoft Defender ポータルの [デバイス] から、Device1 と Device2 を隔離します。
以下の各項目について、該当する場合は「はい」を選択してください。該当しない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
注: この質問は、同じシナリオを示す一連の質問の一部です。このシリーズの各質問には、指定された目標を達成できる可能性のある独自の解決策が含まれています。一部の質問セットには複数の正しい解決策が含まれる場合がありますが、他の質問セットには正しい解決策がない場合があります。
このセクションの質問に回答すると、その質問に戻ることはできません。そのため、これらの質問はレビュー画面には表示されません。
Active Directory との ID 統合のために Microsoft Defender を構成しています。
Microsoft Defender for ID ポータルから、攻撃者が悪用できるようにいくつかのアカウントを構成する必要があります。
解決策: Azure Identity Protection から、サインイン リスク ポリシーを構成します。
これは目標を達成していますか?
このセクションの質問に回答すると、その質問に戻ることはできません。そのため、これらの質問はレビュー画面には表示されません。
Active Directory との ID 統合のために Microsoft Defender を構成しています。
Microsoft Defender for ID ポータルから、攻撃者が悪用できるようにいくつかのアカウントを構成する必要があります。
解決策: Azure Identity Protection から、サインイン リスク ポリシーを構成します。
これは目標を達成していますか?
Correct Answer: B
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).
カスタムワークブックを含むMicrosoft Sentinelワークスペースがあります。
セキュリティイベントの概要を照会する必要があります。ソリューションは以下の要件を満たす必要があります。
* 過去1週間に取り込まれたセキュリティイベントの数を特定します。
* 日ごとのイベント数をグラフで表示する。
質問にはどのように回答すればよいですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
セキュリティイベントの概要を照会する必要があります。ソリューションは以下の要件を満たす必要があります。
* 過去1週間に取り込まれたセキュリティイベントの数を特定します。
* 日ごとのイベント数をグラフで表示する。
質問にはどのように回答すればよいですか？回答するには、回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。
Correct Answer:
Explanation:
To summarize security events over the last week and chart them by day , use KQL time binning on the event timestamp. In Sentinel/Log Analytics, bin() groups records into fixed time buckets on a datetime column- here, TimeGenerated . Pair that with a time filter for the past 7 days and render as a timechart. The key pattern is:
SecurityEvent
| where TimeGenerated > = ago(7d)
| summarize Count = count() by bin(TimeGenerated, 1d)
| render timechart
* bin is the correct aggregator for time-based bucketing.
* TimeGenerated is the standard timestamp column used across Sentinel tables for ingestion time.
* Using a 1-day bin shows the daily counts; the where TimeGenerated > = ago(7d) limits results to the past week .
* render timechart visualizes the grouped counts over time.
In the answer area shown, you select bin and TimeGenerated ; (the full query would also include the where line and a 1d bin size to meet the "by day" requirement).
報告された問題を解決するには、異常検出ポリシーの設定を変更して、Microsoft Defender for Cloud Apps の要件を満たす必要があります。
どのポリシーを変更すべきでしょうか？
どのポリシーを変更すべきでしょうか？
Correct Answer: B
Vote an answer
Explanation: Only visible for FreeCram members. You can sign-up / login (it's free).