Microsoft SC-200 の頻出用語をフラッシュ暗記で。Sentinel・Defender XDR・KQL・脅威対応まで横断。
SC-200 用語ドリルに収録している語をレベル別に掲載します。ドリルでは以下の語を4択形式で出題し、正解後に意味・補足を表示します。全35語のうち代表的なものを抜粋しました。
Microsoft Sentinel・Defender XDR・脅威対応・KQL・自動化のSC-200頻出用語。 ※ 収録35語のうち24語を抜粋して掲載しています。
| QUESTION | 意味 | ポイント |
|---|---|---|
| Microsoft SentinelMicrosoft SentinelSENTINEL | クラウドネイティブSIEM/SOAR | ログを集約し脅威を検知・自動対応する。SC-200の中核サービス。 |
| データコネクタData ConnectorSENTINEL | ログ取り込みの接続 | 各種ソースのログをSentinelへ取り込む。検知の前提となる。 |
| アナリティクスルールAnalytics RuleSENTINEL | 検知ルール | 条件に一致するとアラート/インシデントを生成する。検知ロジックの中核。 |
| ウォッチリストWatchlistSENTINEL | 参照用のリスト | VIP端末や許可IP等を登録し検知や調査で参照する。 |
| Defender XDRMicrosoft Defender XDRDEFENDER | 横断的な脅威防御 | 端末・メール・ID・アプリを横断して検知・対応する統合防御。 |
| Defender for IdentityDefender for IdentityDEFENDER | ID基盤の脅威検知 | オンプレADの不審な認証や横展開を検知する。 |
| Defender for Office 365Defender for Office 365DEFENDER | メールの防御 | フィッシングや悪性添付からメール等を守る。攻撃の入口を塞ぐ。 |
| インシデント（SC200）IncidentRESPONSE | 関連アラートの束 | 複数の関連アラートを1件にまとめ調査する単位。対応の起点になる。 |
| アラートAlertRESPONSE | 検知の通知 | ルールに一致した検知。インシデントへ集約して対応する。 |
| 封じ込め（SC200）ContainmentRESPONSE | 被害拡大を止める | 端末隔離やアカウント無効化で影響を限定する。迅速さが重要。 |
| KQLKusto Query LanguageKQL | ログを検索・集計する言語 | SentinelやAdvanced Huntingで分析に使う。SC-200の必須スキル。 |
| summarize 演算子summarizeKQL | グループ単位で件数・合計などを集計する | 件数や合計などを集計する。傾向把握や検知に使う。 |
| join 演算子joinKQL | テーブルを結合する | 複数ログを突き合わせて相関分析する。横断調査に使う。 |
| オートメーションルールAutomation RuleAUTO | インシデントの割当・タグ付け等を条件で自動処理する規則 | 割当やタグ付け、プレイブック起動を自動化する。運用を効率化する。 |
| Logic AppsLogic AppsAUTO | ノーコードの連携基盤 | プレイブックの実体。外部サービスと連携し処理を自動化する。 |
| 通知（SC200）NotificationAUTO | 関係者へ通知する | 検知や対応状況を担当へ知らせる。即応性を高める。 |
| UEBAUEBASENTINEL | 異常な振る舞いの分析 | ユーザーやエンティティの行動から逸脱を検知する。内部脅威に有効。 |
| 脅威インテリジェンス（Sentinel）Threat IntelligenceSENTINEL | 脅威情報の取り込み | IoC等を取り込み検知や照合に活かす。STIX/TAXIIで連携する。 |
| セキュアスコア（SC200）Secure ScoreDEFENDER | 態勢の点数化 | 設定の堅牢度を数値化し改善点を示す。優先度判断に使う。 |
| 高度なハンティングAdvanced HuntingDEFENDER | KQLで能動的に探索 | XDRのデータをKQLで横断検索し脅威を探す。脅威ハンティングに使う。 |
| 自動調査と修復AIRRESPONSE | 調査と対処を自動化 | 検知後の調査・修復を自動実行する。対応を高速化する。 |
| エンティティEntityRESPONSE | ユーザー/端末等の対象 | 調査対象となるユーザー・端末・IP等。関連付けて分析する。 |
| 時系列分析make-seriesKQL | 一定間隔の時系列配列を作る（make-series） | 時間ごとに集計しトレンドや異常を見る。検知に活かす。 |
| SOARSOARAUTO | 検知対応の自動化思想 | 検知から対応をオーケストレーションする考え方。Sentinelが体現する。 |
上記は収録内容の抜粋です。全35語はドリルを開始すると順に出題されます。
Microsoft の中級資格 SC-200（Security Operations Analyst Associate） で問われる頻出用語を、Microsoft Sentinel・Defender XDR・脅威対応・KQL・自動化の分野からまとめています。SC-900 の基礎を前提に、セキュリティ運用の用語基盤づくりと、ハンズオンの合間の復習補助を想定しています。
SOCやセキュリティ運用の需要増で、SC-200はセキュリティアナリストの実力証明として評価されます。日本語教材が少ない分、用語の即答化が学習を加速します。
SC-200はアソシエイト（中級）レベルです。Microsoft Sentinel（SIEM/SOAR）、Defender XDR、脅威の検知・調査・対応、KQLによるクエリ、プレイブックによる自動化を問います。SC-900の基礎に「運用で守る力」を重ねる位置づけです。
本ドリルで両者の役割と用語を地固めし、無料試用環境で画面を確認します。
インシデント調査・ハンティング・KQLクエリを手を動かして確認します。
プレイブック・自動化ルールを押さえ、模試で仕上げます。
用語の土台ができたら、SC-200はSentinelの画面を追いながら仕上げる段階です。
KQLクエリやインシデント調査は、実際の操作画面を追える動画講座が理解を早めます。日本語の書籍がほとんどない領域なので、講座と模試で補うのが現実的です。Udemyは年に何度もセールを開催しており、セール中は多くの講座が数千円台になります。
Udemyで講座・模試を見る →Security Operations Analyst（SC-200）は、Microsoft SentinelとDefenderを使った脅威検知・調査・対応を問います。SIEMとXDRの役割分担、そしてアラートとインシデントの粒度の違いを取り違えないことが要点です。
Sentinel（SIEM/SOAR）とDefender XDR、アラートとインシデント、KQLのwhereとsummarize、プレイブックと自動化ルール、ハンティングと分析ルール。
SC-200は、SOC（セキュリティオペレーションセンター）でアラートの検知・調査・対応を担うセキュリティ運用アナリスト向けの資格です。設計者向けのAZ-305や基礎のSC-900と違い、「攻撃の兆候をどのツールで見つけ、どう対処するか」という運用の実践知が問われます。Microsoft 365とAzureの両方を守備範囲にするため、扱う製品の幅が広いのが特徴です。
セキュリティ未経験でも、SC-900で基礎用語を固めてからSC-200に進む2段構えなら、学習は無理なく接続できます。
この試験の最初の壁は技術ではなく製品名です。Microsoft Defenderの名を冠する製品はエンドポイント向け、Office 365向け、クラウドアプリ向け、ID向けと複数あり、さらにSIEMのMicrosoft Sentinelが加わります。「どの脅威をどのDefenderが検知するか」の対応表が頭に入っていないと、問題文を読むたびに迷子になります。
このドリルは製品名と役割の対応を4択で反復する設計です。紛らわしい製品名が誤答に並ぶため、本番と同じ「名前の判別」を毎回練習できます。
SentinelのハンティングやカスタムルールにはKQL（Kusto Query Language）が登場します。ただしSC-200で問われるのは高度なクエリ作成ではなく、基本的な演算子の役割（where・summarize・projectなど）を読めるレベルです。クエリを書けることより、提示されたクエリが何をしているかを用語として説明できることが得点につながります。演算子も用語カードとして暗記してしまうのが最短です。