SC-200: Microsoft Security Operations Analyst

Analysieren Sie Bedrohungsdaten domänenübergreifend und beheben Sie Bedrohungen schnell mit integrierter Orchestrierung und Automatisierung in Microsoft 365 Defender. Erfahren Sie mehr über Cyberbedrohungen und wie die neuen Bedrohungsschutz-Tools von Microsoft die Benutzer, Geräte und Daten Ihrer Organisation schützen. Nutzen Sie die erweiterte Erkennung und Behebung identitätsbasierter Bedrohungen, um Ihre Azure-Active-Directory-Identitäten und -Anwendungen vor Kompromittierung zu schützen.

Lektionen

1. Einführung in den Bedrohungsschutz mit Microsoft 365
2. Vorfälle mit Microsoft 365 Defender eindämmen
3. Risiken mit Microsoft Defender for Office 365 beheben
4. Microsoft Defender for Identity
5. Ihre Identitäten mit Azure AD Identity Protection schützen
6. Microsoft Defender for Cloud Apps
7. Auf Data-Loss-Prevention-Warnungen mit Microsoft 365 reagieren
8. Insider-Risiken in Microsoft 365 verwalten

Lab : Bedrohungen mit Microsoft 365 Defender eindämmen

1. Microsoft 365 Defender erkunden

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Erklären, wie sich die Bedrohungslandschaft entwickelt
2. Vorfälle in Microsoft 365 Defender verwalten
3. Erweiterte Bedrohungsjagd in Microsoft 365 Defender durchführen
4. Warnungen in Microsoft 365 Defender untersuchen
5. Die Untersuchungs- und Behebungsfunktionen von Azure Active Directory Identity Protection beschreiben
6. Erklären, wie Cloud Discovery Ihnen hilft zu sehen, was in Ihrer Organisation geschieht

Setzen Sie die Plattform Microsoft Defender for Endpoint ein, um fortgeschrittene Bedrohungen zu erkennen, zu untersuchen und darauf zu reagieren. Erfahren Sie, wie Microsoft Defender for Endpoint Ihre Organisation schützt. Lernen Sie, die Umgebung von Microsoft Defender for Endpoint bereitzustellen, einschliesslich Onboarding von Geräten und Konfiguration der Sicherheit. Lernen Sie, Vorfälle und Warnungen mit Microsoft Defender for Endpoint zu untersuchen. Führen Sie erweiterte Bedrohungsjagd durch und konsultieren Sie Bedrohungsexperten. Ausserdem lernen Sie, die Automatisierung in Microsoft Defender for Endpoint durch die Verwaltung von Umgebungseinstellungen zu konfigurieren. Schliesslich lernen Sie die Schwachstellen Ihrer Umgebung mithilfe von Threat and Vulnerability Management in Microsoft Defender for Endpoint kennen.

Lektionen

1. Mit Microsoft Defender for Endpoint vor Bedrohungen schützen
2. Die Umgebung von Microsoft Defender for Endpoint bereitstellen
3. Windows-Sicherheitsverbesserungen implementieren
4. Geräteuntersuchungen durchführen
5. Aktionen auf einem Gerät ausführen
6. Untersuchungen von Beweisen und Entitäten durchführen
7. Automatisierung konfigurieren und verwalten
8. Für Warnungen und Erkennungen konfigurieren
9. Threat and Vulnerability Management nutzen

Lab : Bedrohungen mit Microsoft 365 Defender for Endpoint eindämmen

1. Microsoft Defender for Endpoint bereitstellen
2. Angriffe mit Defender for Endpoint eindämmen

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Die Funktionen von Microsoft Defender for Endpoint definieren
2. Umgebungseinstellungen von Microsoft Defender for Endpoint konfigurieren
3. Attack-Surface-Reduction-Regeln auf Windows-Geräten konfigurieren
4. Die von Microsoft Defender for Endpoint gesammelten Geräteforensik-Informationen beschreiben
5. Forensische Datenerfassung mit Microsoft Defender for Endpoint durchführen
6. Benutzerkonten in Microsoft Defender for Endpoint untersuchen
7. Automatisierungseinstellungen in Microsoft Defender for Endpoint verwalten
8. Indikatoren in Microsoft Defender for Endpoint verwalten
9. Threat and Vulnerability Management in Microsoft Defender for Endpoint beschreiben

Nutzen Sie Microsoft Defender for Cloud für den Schutz und die Sicherheit von Azure-, Hybrid-Cloud- und On-Premises-Workloads. Erfahren Sie den Zweck von Microsoft Defender for Cloud und wie Sie es aktivieren. Sie erfahren zudem, welche Schutzmassnahmen und Erkennungen Microsoft Defender for Cloud für jeden Cloud-Workload bereitstellt. Lernen Sie, wie Sie die Funktionen von Microsoft Defender for Cloud in Ihre Hybridumgebung einbinden.

Lektionen

1. Cloud-Workload-Schutz mit Microsoft Defender for Cloud planen
2. Workload-Schutz in Microsoft Defender for Cloud
3. Azure-Ressourcen mit Microsoft Defender for Cloud verbinden
4. Nicht-Azure-Ressourcen mit Microsoft Defender for Cloud verbinden
5. Sicherheitswarnungen mit Microsoft Defender for Cloud beheben

Lab : Bedrohungen mit Microsoft Defender for Cloud eindämmen

1. Microsoft Defender for Cloud bereitstellen
2. Angriffe mit Microsoft Defender for Cloud eindämmen

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Die Funktionen von Microsoft Defender for Cloud beschreiben
2. Erklären, welche Workloads durch Microsoft Defender for Cloud geschützt werden
3. Erklären, wie die Schutzmassnahmen von Microsoft Defender for Cloud funktionieren
4. Auto-Provisioning in Microsoft Defender for Cloud konfigurieren
5. Manuelles Provisioning in Microsoft Defender for Cloud beschreiben
6. Nicht-Azure-Maschinen mit Microsoft Defender for Cloud verbinden
7. Warnungen in Microsoft Defender for Cloud beschreiben
8. Warnungen in Microsoft Defender for Cloud beheben
9. Reaktionen in Microsoft Defender for Cloud automatisieren

Schreiben Sie Anweisungen in Kusto Query Language (KQL), um Protokolldaten abzufragen und in Microsoft Sentinel Erkennungen, Analysen und Berichte durchzuführen. Dieses Modul konzentriert sich auf die am häufigsten verwendeten Operatoren. Die Beispiel-KQL-Anweisungen zeigen sicherheitsbezogene Tabellenabfragen. KQL ist die Abfragesprache, mit der Daten analysiert werden, um in Microsoft Sentinel Analysen und Workbooks zu erstellen sowie die Bedrohungsjagd durchzuführen. Erfahren Sie, wie die grundlegende Struktur einer KQL-Anweisung die Basis für komplexere Anweisungen bildet. Erfahren Sie, wie das Zusammenfassen und Visualisieren von Daten mit einer KQL-Anweisung die Grundlage für Erkennungen in Microsoft Sentinel bildet. Erfahren Sie, wie Sie mit der Kusto Query Language (KQL) aus Protokollquellen aufgenommene Zeichenfolgendaten bearbeiten.

Lektionen

1. KQL-Anweisungen für Microsoft Sentinel erstellen
2. Abfrageergebnisse mit KQL analysieren
3. Tabellenübergreifende Anweisungen mit KQL erstellen
4. Mit Zeichenfolgendaten in KQL-Anweisungen arbeiten

Lab : Abfragen für Microsoft Sentinel mit Kusto Query Language (KQL) erstellen

1. Abfragen für Microsoft Sentinel mit Kusto Query Language (KQL) erstellen

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. KQL-Anweisungen erstellen
2. Protokolldateien mit KQL nach Sicherheitsereignissen durchsuchen
3. Suchen anhand von Ereigniszeit, Schweregrad, Domäne und anderen relevanten Daten mit KQL filtern
4. Daten mit KQL-Anweisungen zusammenfassen
5. Visualisierungen mit KQL-Anweisungen rendern
6. Daten aus unstrukturierten Zeichenfolgenfeldern mit KQL extrahieren
7. Daten aus strukturierten Zeichenfolgendaten mit KQL extrahieren
8. Funktionen mit KQL erstellen

Starten Sie mit Microsoft Sentinel, indem Sie den Microsoft-Sentinel-Workspace richtig konfigurieren. Herkömmliche SIEM-Systeme (Security Information and Event Management) benötigen in der Regel viel Zeit für Einrichtung und Konfiguration. Sie sind zudem nicht unbedingt für Cloud-Workloads konzipiert. Mit Microsoft Sentinel erhalten Sie schnell wertvolle Sicherheitserkenntnisse aus Ihren Cloud- und On-Premises-Daten. Dieses Modul hilft Ihnen beim Einstieg. Lernen Sie die Architektur von Microsoft-Sentinel-Workspaces kennen, um Ihr System auf die Security-Operations-Anforderungen Ihrer Organisation abzustimmen. Als Security Operations Analyst müssen Sie die Tabellen, Felder und aufgenommenen Daten in Ihrem Workspace verstehen. Lernen Sie, die am häufigsten genutzten Datentabellen in Microsoft Sentinel abzufragen.

Lektionen

1. Einführung in Microsoft Sentinel
2. Microsoft-Sentinel-Workspaces erstellen und verwalten
3. Protokolle in Microsoft Sentinel abfragen
4. Watchlists in Microsoft Sentinel verwenden
5. Threat Intelligence in Microsoft Sentinel nutzen

Lab : Ihre Microsoft-Sentinel-Umgebung konfigurieren

1. Ihre Microsoft-Sentinel-Umgebung konfigurieren

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Die verschiedenen Komponenten und Funktionen von Microsoft Sentinel identifizieren.
2. Anwendungsfälle identifizieren, in denen Microsoft Sentinel eine gute Lösung wäre.
3. Die Workspace-Architektur von Microsoft Sentinel beschreiben
4. Einen Microsoft-Sentinel-Workspace installieren
5. Einen Microsoft-Sentinel-Workspace verwalten
6. Eine Watchlist in Microsoft Sentinel erstellen
7. Mit KQL auf die Watchlist in Microsoft Sentinel zugreifen
8. Bedrohungsindikatoren in Microsoft Sentinel verwalten
9. Mit KQL auf Bedrohungsindikatoren in Microsoft Sentinel zugreifen

Verbinden Sie Daten in Cloud-Grössenordnung über alle Benutzer, Geräte, Anwendungen und Infrastrukturen hinweg, sowohl on-premises als auch in mehreren Clouds, mit Microsoft Sentinel. Der primäre Ansatz zum Verbinden von Protokolldaten sind die von Microsoft Sentinel bereitgestellten Datenconnectors. Dieses Modul gibt einen Überblick über die verfügbaren Datenconnectors. Sie lernen die Konfigurationsoptionen und die von den Microsoft-Sentinel-Connectors für Microsoft 365 Defender bereitgestellten Daten kennen.

Lektionen

1. Daten mit Microsoft Sentinel über Datenconnectors verbinden
2. Microsoft-Dienste mit Microsoft Sentinel verbinden
3. Microsoft 365 Defender mit Microsoft Sentinel verbinden
4. Windows-Hosts mit Microsoft Sentinel verbinden
5. Common-Event-Format-Protokolle mit Microsoft Sentinel verbinden
6. Syslog-Datenquellen mit Microsoft Sentinel verbinden
7. Bedrohungsindikatoren mit Microsoft Sentinel verbinden

Lab : Protokolle mit Microsoft Sentinel verbinden

1. Daten mit Microsoft Sentinel über Datenconnectors verbinden
2. Windows-Geräte mit Microsoft Sentinel über Datenconnectors verbinden
3. Linux-Hosts mit Microsoft Sentinel über Datenconnectors verbinden
4. Threat Intelligence mit Microsoft Sentinel über Datenconnectors verbinden

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Die Nutzung von Datenconnectors in Microsoft Sentinel erklären
2. Die Unterschiede zwischen Common-Event-Format- und Syslog-Connectors in Microsoft Sentinel erklären
3. Microsoft-Dienstconnectors verbinden
4. Erklären, wie Connectors in Microsoft Sentinel automatisch Vorfälle erstellen
5. Den Microsoft-365-Defender-Connector in Microsoft Sentinel aktivieren
6. Azure-Windows-VMs mit Microsoft Sentinel verbinden
7. Nicht-Azure-Windows-Hosts mit Microsoft Sentinel verbinden
8. Den Log-Analytics-Agent zur Erfassung von Sysmon-Ereignissen konfigurieren
9. Die Bereitstellungsoptionen des Common-Event-Format-Connectors in Microsoft Sentinel erklären
10. Den TAXII-Connector in Microsoft Sentinel konfigurieren
11. Bedrohungsindikatoren in Microsoft Sentinel anzeigen

Erkennen Sie zuvor unentdeckte Bedrohungen und beheben Sie Bedrohungen schnell mit integrierter Orchestrierung und Automatisierung in Microsoft Sentinel. Sie lernen, Microsoft-Sentinel-Playbooks zu erstellen, um auf Sicherheitsbedrohungen zu reagieren. Sie befassen sich mit dem Vorfallmanagement in Microsoft Sentinel, lernen die Ereignisse und Entitäten in Microsoft Sentinel kennen und entdecken Möglichkeiten, Vorfälle zu lösen. Ausserdem lernen Sie, Daten in Microsoft Sentinel abzufragen, zu visualisieren und zu überwachen.

Lektionen

1. Bedrohungserkennung mit Microsoft Sentinel Analytics
2. Management von Sicherheitsvorfällen in Microsoft Sentinel
3. Bedrohungsreaktion mit Microsoft-Sentinel-Playbooks
4. User and Entity Behavior Analytics in Microsoft Sentinel
5. Daten in Microsoft Sentinel abfragen, visualisieren und überwachen

Lab : Erkennungen erstellen und Untersuchungen mit Microsoft Sentinel durchführen

1. Eine Microsoft-Sicherheitsregel aktivieren
2. Ein Playbook erstellen
3. Eine geplante Abfrage erstellen
4. Erkennungsmodellierung verstehen
5. Angriffe durchführen
6. Erkennungen erstellen
7. Vorfälle untersuchen
8. Workbooks erstellen

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Die Bedeutung von Microsoft Sentinel Analytics erklären.
2. Regeln aus Vorlagen erstellen.
3. Regeln mit Anpassungen verwalten.
4. Die SOAR-Funktionen von Microsoft Sentinel erklären.
5. Ein Playbook erstellen, um eine Vorfallreaktion zu automatisieren.
6. Vorfälle untersuchen und die Vorfalllösung verwalten.
7. User and Entity Behavior Analytics in Microsoft Sentinel erklären
8. Entitäten in Microsoft Sentinel erkunden
9. Sicherheitsdaten mit Microsoft-Sentinel-Workbooks visualisieren.

In diesem Modul lernen Sie, Bedrohungsverhalten proaktiv mithilfe von Azure-Sentinel-Abfragen zu identifizieren. Sie lernen zudem, Bookmarks und Livestream zur Bedrohungsjagd zu nutzen. Ausserdem lernen Sie, Notebooks in Azure Sentinel für die erweiterte Bedrohungsjagd zu verwenden.

Lektionen

1. Konzepte der Bedrohungsjagd in Microsoft Sentinel
2. Bedrohungsjagd mit Microsoft Sentinel
3. Mit Notebooks in Microsoft Sentinel nach Bedrohungen jagen

Lab : Bedrohungsjagd in Microsoft Sentinel

1. Bedrohungsjagd in Microsoft Sentinel durchführen
2. Bedrohungsjagd mit Notebooks in Microsoft Sentinel

Nach Abschluss dieses Moduls können die Teilnehmenden:

1. Konzepte der Bedrohungsjagd für Microsoft Sentinel beschreiben
2. Eine Hypothese für die Bedrohungsjagd in Microsoft Sentinel definieren
3. Abfragen für die Bedrohungsjagd nutzen.
4. Bedrohungen im Zeitverlauf mit Livestream beobachten.
5. API-Bibliotheken für die erweiterte Bedrohungsjagd in Microsoft Sentinel erkunden
6. Notebooks in Microsoft Sentinel erstellen und nutzen