Security Operations Analyst

Microsoft Security Operations Analyst (SC-200) – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Mã kỳ thi: SC-200
• Điểm đậu: 700/1000 (chung cho mọi kỳ thi Microsoft)
• Thời gian và số câu: Microsoft không công bố số câu cố định trên study guide; con số thay đổi theo từng lượt thi.
• Gia hạn: hết hạn hằng năm, gia hạn bằng bài đánh giá trực tuyến miễn phí trên Microsoft Learn.
• Lệ phí tham khảo: 165 USD
• Kinh nghiệm khuyến nghị: làm phân tích vận hành bảo mật — triage, phản ứng sự cố, truy tìm mối đe doạ, viết detection. Cần biết KQL (Kusto Query Language).

Mục tiêu: dùng Defender XDR, Sentinel, Entra ID, Purview và Defender for Cloud để giám sát, điều tra và phản ứng với mối đe doạ trên môi trường multicloud và on-premises.

2. NỘI DUNG ÔN TẬP THEO 3 NHÓM KỸ NĂNG

Nhóm 1: Quản lý môi trường vận hành bảo mật (40–45%) — nhóm nặng nhất

• Tự động hoá cho Defender XDR và Sentinel: email notification và alert notification trong Defender XDR (tuning, suppression, correlation); advanced feature và rule setting của Defender for Endpoint; custom data collection; security policy gồm attack surface reduction (ASR) rule; automated investigation and response; automatic attack disruption; device group, permission và automation level; automation rule và playbook trong Sentinel.
• Cấu hình nền tảng Sentinel: Sentinel role; quản lý data retention cho bảng XDR và Sentinel (Analytics, Data lake, XDR tier); workbook; tối ưu nền tảng theo SOC optimization recommendation.
• Thu nạp dữ liệu: chọn data connector theo nguồn; thu Windows Security event qua AMA và data collection rule; Windows Event Forwarding (WEF); Syslog và CEF qua AMA; Azure activity log qua Azure Policy và diagnostic setting; thu threat indicator; tạo custom log table.
• Cấu hình detection: custom detection rule bằng Advanced Hunting trong Defender XDR; analytics rule trong Sentinel (scheduled, near-real time, threat intelligence, machine learning); phân tích độ phủ theo MITRE ATT&CK matrix; cấu hình anomaly.

Nhóm 2: Phản ứng sự cố (35–40%)

• Trong Defender XDR: điều tra và xử lý mối đe doạ từ Defender for Office 365 (gồm automatic attack disruption), từ Purview, từ Defender for Cloud workload protection, từ Defender for Cloud Apps, danh tính bị xâm nhập từ Entra ID, alert từ Defender for Identity, sự cố từ Sentinel; điều tra bằng agentic AI và Security Copilot nhúng; tấn công phức hợp (nhiều tầng, nhiều miền, lateral movement); quản lý sự cố bằng case management.
• Trong Defender for Endpoint: đọc device timeline; hành động trên thiết bị gồm live response và thu investigation package; điều tra evidence và entity; xử lý sự cố do automatic attack disruption phát hiện.
• Điều tra hoạt động Microsoft 365: Purview Audit, Content search trong Purview eDiscovery, Microsoft Graph activity log.

Nhóm 3: Truy tìm mối đe doạ (20–25%)

• Defender XDR: chọn đúng bảng cho câu truy vấn KQL; viết KQL để tìm mối đe doạ; tạo Advanced Hunting query; đọc threat analytics; tạo hunting graph gồm blast radius; phân tích quan hệ thực thể bằng Sentinel Graph.
• Nền tảng Sentinel: tạo và theo dõi hunting query; KQL job trong Data lake; Summary rule table; truy tìm bằng Notebook, kể cả nối tới Sentinel MCP Server.

3. HAI CHỖ ĐỀ HAY HỎI

Về thu nạp log Windows: AMA (Azure Monitor Agent) + data collection rule là cách hiện hành; WEF dùng khi cần gom log từ nhiều máy không cài agent trực tiếp. Đề hay cho tình huống rồi hỏi chọn cách nào.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các nhóm kỹ năng ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Study guide SC-200: https://learn.microsoft.com/en-us/credentials/certifications/resources/study-guides/sc-200
• Trang kỳ thi: https://learn.microsoft.com/en-us/credentials/certifications/exams/sc-200/
• Tài liệu Microsoft Sentinel: https://learn.microsoft.com/en-us/azure/sentinel/
• Tài liệu Defender XDR: https://learn.microsoft.com/en-us/defender-xdr/
• Hướng dẫn KQL: https://learn.microsoft.com/en-us/kusto/query/

Lưu ý: Tỉ lệ ở trên lấy từ study guide chính thức của Microsoft, bản "skills measured as of October 21, 2026", tra ngày 03/10/2026. Microsoft công bố tỉ lệ dưới dạng khoảng chứ không phải số cố định, và cập nhật bản tiếng Anh trước — các ngôn ngữ khác theo sau khoảng tám tuần. Đối chiếu lại study guide trước khi đặt lịch thi.