Un analista ejecuta todas las consultas de hunting cada lunes y quiere detectar las consultas cuyo volumen de resultados ha subido más en el último día frente a los días anteriores. ¿Por qué debe ordenar o filtrar?

Las columnas Results delta o Results delta percentage de la tabla de consultas

La barra de tácticas MITRE ATT&CK situada sobre la tabla, que cuenta las consultas por táctica

La columna Techniques, agrupada por la técnica MITRE ATT&CK de cada consulta

La pestaña Bookmarks, ordenada por la hora de creación de cada marcador guardado

Un equipo cloud quiere que se publique automáticamente un mensaje en Teams cada vez que Defender for Cloud genere una alerta de gravedad alta en sus suscripciones de producción. ¿Qué capacidad deben configurar dentro de Defender for Cloud?

Workflow automation con un desencadenador de alerta filtrado por gravedad que ejecute una logic app

La opción Trigger logic app, ejecutada a mano desde los detalles de cada alerta nueva

Una regla de supresión con ámbito en las suscripciones de producción, configurada para caducar a los treinta días

Exportación continua de las alertas de seguridad a un área de trabajo de Log Analytics en cada suscripción

La interrupción automática de ataques suspendió a un usuario durante un incidente de compromiso de correo empresarial. Tras terminar la investigación, un analista debe restaurar la cuenta. ¿Qué debe hacer?

Seleccionar al usuario suspendido en el incidente y elegir enable user

Cerrar la investigación de AIR, lo que reactiva la cuenta automáticamente

Añadir al usuario a las exclusiones de la interrupción de ataques, lo que revierte la acción

Quitar la etiqueta Attack Disruption del incidente para que la acción caduque

Nadia trabaja en un incidente en el que se sospecha que un buzón está comprometido. Desde el incidente quiere ver los eventos que afectan a ese buzón en las tablas de búsqueda avanzada pertinentes, limitados al contexto de este incidente. ¿Qué debe usar?

La acción go hunt sobre el buzón, que consulta las tablas pertinentes para esa entidad

La pestaña Incidentes similares, que muestra incidentes con alertas, entidades y propiedades comparables

La pestaña Investigaciones, que muestra las investigaciones automatizadas desencadenadas por las alertas

La pestaña Actividades, que muestra las acciones manuales y automáticas realizadas en el incidente

Un minorista quiere ingerir solo eventos de creación de procesos (4688) e inicios de sesión fallidos (4625) de un grupo de servidores de archivos, y evitar pagar por ingerir todo lo demás. ¿Cómo debe configurar la regla de recopilación de datos de Windows Security Events via AMA?

Seleccionar Custom y agregar consultas XPath que coincidan solo con esos dos identificadores de evento

Seleccionar Common y excluir los eventos no deseados con un filtro de libro

Seleccionar All events y borrar las filas no deseadas tras la ingesta

Seleccionar Minimal y filtrar los eventos no deseados con una consulta KQL cuando los analistas lean la tabla

Defender XDR suprime una alerta benigna de un dispositivo mediante una regla integrada de ajuste de alertas. Entonces, la investigación y respuesta automatizadas encuentran actividad maliciosa vinculada a la alerta. ¿Cuál es el resultado documentado?

La alerta suprimida se reactiva, porque las reglas integradas no bloquean la investigación automatizada

La regla integrada se elimina de forma permanente, porque la evidencia maliciosa invalida sus condiciones

La alerta sigue oculta y el hallazgo solo está disponible en las tablas de advanced hunting

La investigación se cancela, porque las alertas suprimidas quedan excluidas de cualquier automatización hasta que se elimine la regla

Un ingeniero añade una columna a una tabla personalizada basada en DCR desde el editor de esquema. Semanas después la columna sigue vacía, aunque el origen ya envía el valor. ¿Cuál es el paso que probablemente falta?

Actualizar la regla de recopilación de datos que envía los datos para que incluya la nueva columna

Renombrar la columna para que termine en _CF, el sufijo obligatorio para columnas personalizadas

Esperar a que Azure Monitor propague el cambio de esquema a la regla automáticamente

Cambiar la tabla al plan Basic para que los cambios de esquema se propaguen al origen

Un SOC del sector sanitario se une a una comunidad de intercambio de información que publica indicadores en un servidor TAXII 2.1. Además de las credenciales cuando se requieren, ¿qué dos datos le facilita el proveedor para configurar el conector de datos Threat Intelligence - TAXII?

La URL raíz de la API y el identificador de la colección

El espacio de nombres de Event Hubs y el nombre de la directiva de acceso compartido

El identificador de aplicación de Microsoft Entra y su secreto de cliente

La clave del área de trabajo de Log Analytics y el URI del punto de conexión de recopilación de datos

SC-200 · Preguntas de ejemplo

Preguntas de examen SC-200 con respuesta y explicación

10 preguntas reales del banco de SC-200 de CertifyDeck, repartidas por los dominios del temario oficial de Microsoft Certified: Security Operations Analyst Associate, con la respuesta correcta y la explicación completa de por qué las demás opciones no lo son. Son preguntas originales redactadas a partir del temario público, no dumps, y tienen el mismo estilo que encontrarás en los tests de práctica y en el simulador.

Pregunta 1Dominio: Perform threat huntingMedia
Una alerta muestra una estación de trabajo que enumera usuarios, grupos y dominios en Active Directory. El analista quiere el registro en bruto de esas consultas. ¿Qué tabla contiene las consultas de objetos de Active Directory?
- A.IdentityLogonEvents
- B.DeviceNetworkEvents
- C.IdentityDirectoryEvents
- D.IdentityQueryEvents
Ver respuesta y explicación
Respuesta correcta: D. IdentityQueryEvents
Explicación
IdentityQueryEvents contiene consultas de objetos de Active Directory como usuarios, grupos, dispositivos y dominios, que es justo lo que produce una enumeración. IdentityLogonEvents registra la autenticación, IdentityDirectoryEvents cubre eventos de identidad y del sistema en el controlador de dominio y DeviceNetworkEvents registra las conexiones de red de los dispositivos.
Referencias oficiales
- Data tables in the Microsoft Defender XDR advanced hunting schema
Pregunta 2Dominio: Perform threat huntingMedia
Tras una oleada de phishing, el SOC necesita saber qué usuarios hicieron clic de verdad en un enlace malicioso, ya viniera de un correo, de Teams o de una aplicación de Office. ¿De qué tabla debe partir la consulta?
- A.EmailPostDeliveryEvents
- B.UrlClickEvents
- C.CloudAppEvents
- D.EmailUrlInfo
Ver respuesta y explicación
Respuesta correcta: B. UrlClickEvents
Explicación
UrlClickEvents registra los clics de Vínculos seguros (Safe Links) desde correos, Teams y aplicaciones de Office 365, por lo que muestra quién hizo clic. EmailUrlInfo solo lista las direcciones URL de los correos, EmailPostDeliveryEvents registra acciones de seguridad posteriores a la entrega y CloudAppEvents rastrea actividades en aplicaciones en la nube, no clics en enlaces.
Referencias oficiales
- Data tables in the Microsoft Defender XDR advanced hunting schema
Pregunta 3Dominio: Perform threat huntingMedia
Un analista ejecuta todas las consultas de hunting cada lunes y quiere detectar las consultas cuyo volumen de resultados ha subido más en el último día frente a los días anteriores. ¿Por qué debe ordenar o filtrar?
- A.Las columnas Results delta o Results delta percentage de la tabla de consultas
- B.La barra de tácticas MITRE ATT&CK situada sobre la tabla, que cuenta las consultas por táctica
- C.La columna Techniques, agrupada por la técnica MITRE ATT&CK de cada consulta
- D.La pestaña Bookmarks, ordenada por la hora de creación de cada marcador guardado
Ver respuesta y explicación
Respuesta correcta: A. Las columnas Results delta o Results delta percentage de la tabla de consultas
Explicación
Results delta y Results delta percentage comparan los resultados de las últimas 24 horas con los de las 24 a 48 horas anteriores, lo que destaca los picos de volumen de una consulta. La barra de tácticas y la columna Techniques solo indican cuántas consultas se asignan a cada táctica o técnica, y la pestaña Bookmarks lista hallazgos guardados, no tendencias de resultados.
Referencias oficiales
- Hunting Capabilities in Microsoft Sentinel
Pregunta 4Dominio: Respond to security incidentsMedia
Un equipo cloud quiere que se publique automáticamente un mensaje en Teams cada vez que Defender for Cloud genere una alerta de gravedad alta en sus suscripciones de producción. ¿Qué capacidad deben configurar dentro de Defender for Cloud?
- A.Workflow automation con un desencadenador de alerta filtrado por gravedad que ejecute una logic app
- B.La opción Trigger logic app, ejecutada a mano desde los detalles de cada alerta nueva
- C.Una regla de supresión con ámbito en las suscripciones de producción, configurada para caducar a los treinta días
- D.Exportación continua de las alertas de seguridad a un área de trabajo de Log Analytics en cada suscripción
Ver respuesta y explicación
Respuesta correcta: A. Workflow automation con un desencadenador de alerta filtrado por gravedad que ejecute una logic app
Explicación
Workflow automation puede iniciar una logic app de consumo cuando se crea una alerta de Defender for Cloud, y el desencadenador puede limitarse a las gravedades de interés. Trigger logic app también ejecuta una logic app, pero solo de forma manual por alerta, así que incumple el requisito de publicar automáticamente. La exportación continua solo transmite datos a Log Analytics o Event Hubs y no envía ningún mensaje a Teams.
Referencias oficiales
- Workflow automation in Microsoft Defender for Cloud
- Security alerts and incidents - Microsoft Defender for Cloud
Pregunta 5Dominio: Respond to security incidentsMedia
La interrupción automática de ataques suspendió a un usuario durante un incidente de compromiso de correo empresarial. Tras terminar la investigación, un analista debe restaurar la cuenta. ¿Qué debe hacer?
- A.Seleccionar al usuario suspendido en el incidente y elegir enable user
- B.Cerrar la investigación de AIR, lo que reactiva la cuenta automáticamente
- C.Añadir al usuario a las exclusiones de la interrupción de ataques, lo que revierte la acción
- D.Quitar la etiqueta Attack Disruption del incidente para que la acción caduque
Ver respuesta y explicación
Respuesta correcta: A. Seleccionar al usuario suspendido en el incidente y elegir enable user
Explicación
El equipo de seguridad puede deshacer las acciones automáticas: selecciona al usuario suspendido en el incidente, o en el Centro de acciones, y elige enable user, una vez mitigado el riesgo y terminada la investigación. Las exclusiones solo evitan que los activos se contengan automáticamente en el futuro, y las etiquetas son rótulos que no controlan la acción.
Referencias oficiales
- Details and Results of an Automatic Attack Disruption Action
- Automatic attack disruption in Microsoft Defender
Pregunta 6Dominio: Respond to security incidentsFácil
Nadia trabaja en un incidente en el que se sospecha que un buzón está comprometido. Desde el incidente quiere ver los eventos que afectan a ese buzón en las tablas de búsqueda avanzada pertinentes, limitados al contexto de este incidente. ¿Qué debe usar?
- A.La pestaña Incidentes similares, que muestra incidentes con alertas, entidades y propiedades comparables
- B.La acción go hunt sobre el buzón, que consulta las tablas pertinentes para esa entidad
- C.La pestaña Investigaciones, que muestra las investigaciones automatizadas desencadenadas por las alertas
- D.La pestaña Actividades, que muestra las acciones manuales y automáticas realizadas en el incidente
Ver respuesta y explicación
Respuesta correcta: B. La acción go hunt sobre el buzón, que consulta las tablas pertinentes para esa entidad
Explicación
La acción go hunt ejecuta una consulta de búsqueda avanzada que revisa las tablas del esquema pertinentes en busca de eventos que involucren a la entidad seleccionada, acotada al incidente que la contiene. La pestaña Actividades resulta tentadora, pero registra las acciones realizadas sobre el incidente (asignaciones, cambios de etiquetas, automatización), no los eventos de telemetría del buzón.
Referencias oficiales
- Get relevant info about an entity with go hunt
- Investigate incidents in the Microsoft Defender portal (Legacy)
Pregunta 7Dominio: Manage a security operations environmentMedia
Un minorista quiere ingerir solo eventos de creación de procesos (4688) e inicios de sesión fallidos (4625) de un grupo de servidores de archivos, y evitar pagar por ingerir todo lo demás. ¿Cómo debe configurar la regla de recopilación de datos de Windows Security Events via AMA?
- A.Seleccionar Common y excluir los eventos no deseados con un filtro de libro
- B.Seleccionar All events y borrar las filas no deseadas tras la ingesta
- C.Seleccionar Minimal y filtrar los eventos no deseados con una consulta KQL cuando los analistas lean la tabla
- D.Seleccionar Custom y agregar consultas XPath que coincidan solo con esos dos identificadores de evento
Ver respuesta y explicación
Respuesta correcta: D. Seleccionar Custom y agregar consultas XPath que coincidan solo con esos dos identificadores de evento
Explicación
La opción Custom permite elegir exactamente qué eventos recoger mediante consultas XPath en la DCR, y el agente filtra en el origen, de modo que solo se ingieren y facturan los eventos coincidentes. Filtrar con KQL, libros o borrados ocurre tras la ingesta, así que no evita el coste de ingesta.
Referencias oficiales
- Connect Microsoft Sentinel to other Microsoft services with a Windows agent-based data connector
- Windows security event sets that can be sent to Microsoft Sentinel
Pregunta 8Dominio: Manage a security operations environmentMedia
Defender XDR suprime una alerta benigna de un dispositivo mediante una regla integrada de ajuste de alertas. Entonces, la investigación y respuesta automatizadas encuentran actividad maliciosa vinculada a la alerta. ¿Cuál es el resultado documentado?
- A.La regla integrada se elimina de forma permanente, porque la evidencia maliciosa invalida sus condiciones
- B.La alerta sigue oculta y el hallazgo solo está disponible en las tablas de advanced hunting
- C.La alerta suprimida se reactiva, porque las reglas integradas no bloquean la investigación automatizada
- D.La investigación se cancela, porque las alertas suprimidas quedan excluidas de cualquier automatización hasta que se elimine la regla
Ver respuesta y explicación
Respuesta correcta: C. La alerta suprimida se reactiva, porque las reglas integradas no bloquean la investigación automatizada
Explicación
Las reglas integradas de ajuste de alertas suprimen alertas sin afectar a otras funciones como las investigaciones de AIR y las notificaciones por correo, y si AIR detecta actividad maliciosa o sospechosa la alerta se reactiva. La regla no se elimina y la investigación no se cancela.
Referencias oficiales
- Investigate alerts in Microsoft Defender XDR
Pregunta 9Dominio: Manage a security operations environmentMedia
Un ingeniero añade una columna a una tabla personalizada basada en DCR desde el editor de esquema. Semanas después la columna sigue vacía, aunque el origen ya envía el valor. ¿Cuál es el paso que probablemente falta?
- A.Renombrar la columna para que termine en _CF, el sufijo obligatorio para columnas personalizadas
- B.Esperar a que Azure Monitor propague el cambio de esquema a la regla automáticamente
- C.Cambiar la tabla al plan Basic para que los cambios de esquema se propaguen al origen
- D.Actualizar la regla de recopilación de datos que envía los datos para que incluya la nueva columna
Ver respuesta y explicación
Respuesta correcta: D. Actualizar la regla de recopilación de datos que envía los datos para que incluya la nueva columna
Explicación
El esquema definido en la regla de recopilación de datos determina cómo se envían los datos a la tabla, y Azure Monitor no actualiza las reglas cuando cambias el esquema de una tabla. Debes actualizar la regla tú mismo. El sufijo _CF se aplica a las columnas personalizadas de tablas de Azure, no a las columnas de una tabla personalizada.
Referencias oficiales
- Add or Delete Tables and Columns in Azure Monitor Logs
Pregunta 10Dominio: Manage a security operations environmentFácil
Un SOC del sector sanitario se une a una comunidad de intercambio de información que publica indicadores en un servidor TAXII 2.1. Además de las credenciales cuando se requieren, ¿qué dos datos le facilita el proveedor para configurar el conector de datos Threat Intelligence - TAXII?
- A.El espacio de nombres de Event Hubs y el nombre de la directiva de acceso compartido
- B.La URL raíz de la API y el identificador de la colección
- C.El identificador de aplicación de Microsoft Entra y su secreto de cliente
- D.La clave del área de trabajo de Log Analytics y el URI del punto de conexión de recopilación de datos
Ver respuesta y explicación
Respuesta correcta: B. La URL raíz de la API y el identificador de la colección
Explicación
Para usar el conector TAXII necesitas un URI raíz de API TAXII 2.0 o 2.1 y un identificador de colección, además de usuario y contraseña si el servidor los exige, y los introduces junto con un nombre descriptivo en la página del conector. El identificador de aplicación y el secreto son lo que usan la API de carga o las integraciones de TIP, y las claves del área de trabajo o los datos de Event Hubs no tienen relación con un cliente TAXII.
Referencias oficiales
- Use STIX/TAXII to import and export threat intelligence in Microsoft Sentinel

Cómo aprovechar estas preguntas de ejemplo de SC-200

Responde cada pregunta antes de abrir la explicación y anota por qué descartas las demás opciones. En SC-200, la mayoría de los fallos vienen de elegir una opción técnicamente posible que no cumple todos los requisitos del escenario.

Estas 10 preguntas sirven para conocer el formato, no como diagnóstico. Para saber en qué dominios fallas, practica por dominio gratis y haz un examen de prueba cronometrado con la ponderación y la duración oficiales.

Practica SC-200 con cientos de preguntas más

Empieza gratis, sin registro ni tarjeta. Todas las preguntas llevan una explicación como las de arriba y el simulador reproduce el formato oficial de SC-200.

Empezar a practicar gratis Temario de SC-200 Sobre el examen SC-200

SC-200 · Preguntas de ejemplo

Preguntas de examen SC-200 con respuesta y explicación

Pregunta 1Dominio: Perform threat huntingMedia
Una alerta muestra una estación de trabajo que enumera usuarios, grupos y dominios en Active Directory. El analista quiere el registro en bruto de esas consultas. ¿Qué tabla contiene las consultas de objetos de Active Directory?
- A.IdentityLogonEvents
- B.DeviceNetworkEvents
- C.IdentityDirectoryEvents
- D.IdentityQueryEvents
Ver respuesta y explicación
Respuesta correcta: D. IdentityQueryEvents
Explicación
IdentityQueryEvents contiene consultas de objetos de Active Directory como usuarios, grupos, dispositivos y dominios, que es justo lo que produce una enumeración. IdentityLogonEvents registra la autenticación, IdentityDirectoryEvents cubre eventos de identidad y del sistema en el controlador de dominio y DeviceNetworkEvents registra las conexiones de red de los dispositivos.
Referencias oficiales
- Data tables in the Microsoft Defender XDR advanced hunting schema
Pregunta 2Dominio: Perform threat huntingMedia
Tras una oleada de phishing, el SOC necesita saber qué usuarios hicieron clic de verdad en un enlace malicioso, ya viniera de un correo, de Teams o de una aplicación de Office. ¿De qué tabla debe partir la consulta?
- A.EmailPostDeliveryEvents
- B.UrlClickEvents
- C.CloudAppEvents
- D.EmailUrlInfo
Ver respuesta y explicación
Respuesta correcta: B. UrlClickEvents
Explicación
UrlClickEvents registra los clics de Vínculos seguros (Safe Links) desde correos, Teams y aplicaciones de Office 365, por lo que muestra quién hizo clic. EmailUrlInfo solo lista las direcciones URL de los correos, EmailPostDeliveryEvents registra acciones de seguridad posteriores a la entrega y CloudAppEvents rastrea actividades en aplicaciones en la nube, no clics en enlaces.
Referencias oficiales
- Data tables in the Microsoft Defender XDR advanced hunting schema
Pregunta 3Dominio: Perform threat huntingMedia
Un analista ejecuta todas las consultas de hunting cada lunes y quiere detectar las consultas cuyo volumen de resultados ha subido más en el último día frente a los días anteriores. ¿Por qué debe ordenar o filtrar?
- A.Las columnas Results delta o Results delta percentage de la tabla de consultas
- B.La barra de tácticas MITRE ATT&CK situada sobre la tabla, que cuenta las consultas por táctica
- C.La columna Techniques, agrupada por la técnica MITRE ATT&CK de cada consulta
- D.La pestaña Bookmarks, ordenada por la hora de creación de cada marcador guardado
Ver respuesta y explicación
Respuesta correcta: A. Las columnas Results delta o Results delta percentage de la tabla de consultas
Explicación
Results delta y Results delta percentage comparan los resultados de las últimas 24 horas con los de las 24 a 48 horas anteriores, lo que destaca los picos de volumen de una consulta. La barra de tácticas y la columna Techniques solo indican cuántas consultas se asignan a cada táctica o técnica, y la pestaña Bookmarks lista hallazgos guardados, no tendencias de resultados.
Referencias oficiales
- Hunting Capabilities in Microsoft Sentinel
Pregunta 4Dominio: Respond to security incidentsMedia
Un equipo cloud quiere que se publique automáticamente un mensaje en Teams cada vez que Defender for Cloud genere una alerta de gravedad alta en sus suscripciones de producción. ¿Qué capacidad deben configurar dentro de Defender for Cloud?
- A.Workflow automation con un desencadenador de alerta filtrado por gravedad que ejecute una logic app
- B.La opción Trigger logic app, ejecutada a mano desde los detalles de cada alerta nueva
- C.Una regla de supresión con ámbito en las suscripciones de producción, configurada para caducar a los treinta días
- D.Exportación continua de las alertas de seguridad a un área de trabajo de Log Analytics en cada suscripción
Ver respuesta y explicación
Respuesta correcta: A. Workflow automation con un desencadenador de alerta filtrado por gravedad que ejecute una logic app
Explicación
Workflow automation puede iniciar una logic app de consumo cuando se crea una alerta de Defender for Cloud, y el desencadenador puede limitarse a las gravedades de interés. Trigger logic app también ejecuta una logic app, pero solo de forma manual por alerta, así que incumple el requisito de publicar automáticamente. La exportación continua solo transmite datos a Log Analytics o Event Hubs y no envía ningún mensaje a Teams.
Referencias oficiales
- Workflow automation in Microsoft Defender for Cloud
- Security alerts and incidents - Microsoft Defender for Cloud
Pregunta 5Dominio: Respond to security incidentsMedia
La interrupción automática de ataques suspendió a un usuario durante un incidente de compromiso de correo empresarial. Tras terminar la investigación, un analista debe restaurar la cuenta. ¿Qué debe hacer?
- A.Seleccionar al usuario suspendido en el incidente y elegir enable user
- B.Cerrar la investigación de AIR, lo que reactiva la cuenta automáticamente
- C.Añadir al usuario a las exclusiones de la interrupción de ataques, lo que revierte la acción
- D.Quitar la etiqueta Attack Disruption del incidente para que la acción caduque
Ver respuesta y explicación
Respuesta correcta: A. Seleccionar al usuario suspendido en el incidente y elegir enable user
Explicación
El equipo de seguridad puede deshacer las acciones automáticas: selecciona al usuario suspendido en el incidente, o en el Centro de acciones, y elige enable user, una vez mitigado el riesgo y terminada la investigación. Las exclusiones solo evitan que los activos se contengan automáticamente en el futuro, y las etiquetas son rótulos que no controlan la acción.
Referencias oficiales
- Details and Results of an Automatic Attack Disruption Action
- Automatic attack disruption in Microsoft Defender
Pregunta 6Dominio: Respond to security incidentsFácil
Nadia trabaja en un incidente en el que se sospecha que un buzón está comprometido. Desde el incidente quiere ver los eventos que afectan a ese buzón en las tablas de búsqueda avanzada pertinentes, limitados al contexto de este incidente. ¿Qué debe usar?
- A.La pestaña Incidentes similares, que muestra incidentes con alertas, entidades y propiedades comparables
- B.La acción go hunt sobre el buzón, que consulta las tablas pertinentes para esa entidad
- C.La pestaña Investigaciones, que muestra las investigaciones automatizadas desencadenadas por las alertas
- D.La pestaña Actividades, que muestra las acciones manuales y automáticas realizadas en el incidente
Ver respuesta y explicación
Respuesta correcta: B. La acción go hunt sobre el buzón, que consulta las tablas pertinentes para esa entidad
Explicación
La acción go hunt ejecuta una consulta de búsqueda avanzada que revisa las tablas del esquema pertinentes en busca de eventos que involucren a la entidad seleccionada, acotada al incidente que la contiene. La pestaña Actividades resulta tentadora, pero registra las acciones realizadas sobre el incidente (asignaciones, cambios de etiquetas, automatización), no los eventos de telemetría del buzón.
Referencias oficiales
- Get relevant info about an entity with go hunt
- Investigate incidents in the Microsoft Defender portal (Legacy)
Pregunta 7Dominio: Manage a security operations environmentMedia
Un minorista quiere ingerir solo eventos de creación de procesos (4688) e inicios de sesión fallidos (4625) de un grupo de servidores de archivos, y evitar pagar por ingerir todo lo demás. ¿Cómo debe configurar la regla de recopilación de datos de Windows Security Events via AMA?
- A.Seleccionar Common y excluir los eventos no deseados con un filtro de libro
- B.Seleccionar All events y borrar las filas no deseadas tras la ingesta
- C.Seleccionar Minimal y filtrar los eventos no deseados con una consulta KQL cuando los analistas lean la tabla
- D.Seleccionar Custom y agregar consultas XPath que coincidan solo con esos dos identificadores de evento
Ver respuesta y explicación
Respuesta correcta: D. Seleccionar Custom y agregar consultas XPath que coincidan solo con esos dos identificadores de evento
Explicación
La opción Custom permite elegir exactamente qué eventos recoger mediante consultas XPath en la DCR, y el agente filtra en el origen, de modo que solo se ingieren y facturan los eventos coincidentes. Filtrar con KQL, libros o borrados ocurre tras la ingesta, así que no evita el coste de ingesta.
Referencias oficiales
- Connect Microsoft Sentinel to other Microsoft services with a Windows agent-based data connector
- Windows security event sets that can be sent to Microsoft Sentinel
Pregunta 8Dominio: Manage a security operations environmentMedia
Defender XDR suprime una alerta benigna de un dispositivo mediante una regla integrada de ajuste de alertas. Entonces, la investigación y respuesta automatizadas encuentran actividad maliciosa vinculada a la alerta. ¿Cuál es el resultado documentado?
- A.La regla integrada se elimina de forma permanente, porque la evidencia maliciosa invalida sus condiciones
- B.La alerta sigue oculta y el hallazgo solo está disponible en las tablas de advanced hunting
- C.La alerta suprimida se reactiva, porque las reglas integradas no bloquean la investigación automatizada
- D.La investigación se cancela, porque las alertas suprimidas quedan excluidas de cualquier automatización hasta que se elimine la regla
Ver respuesta y explicación
Respuesta correcta: C. La alerta suprimida se reactiva, porque las reglas integradas no bloquean la investigación automatizada
Explicación
Las reglas integradas de ajuste de alertas suprimen alertas sin afectar a otras funciones como las investigaciones de AIR y las notificaciones por correo, y si AIR detecta actividad maliciosa o sospechosa la alerta se reactiva. La regla no se elimina y la investigación no se cancela.
Referencias oficiales
- Investigate alerts in Microsoft Defender XDR
Pregunta 9Dominio: Manage a security operations environmentMedia
Un ingeniero añade una columna a una tabla personalizada basada en DCR desde el editor de esquema. Semanas después la columna sigue vacía, aunque el origen ya envía el valor. ¿Cuál es el paso que probablemente falta?
- A.Renombrar la columna para que termine en _CF, el sufijo obligatorio para columnas personalizadas
- B.Esperar a que Azure Monitor propague el cambio de esquema a la regla automáticamente
- C.Cambiar la tabla al plan Basic para que los cambios de esquema se propaguen al origen
- D.Actualizar la regla de recopilación de datos que envía los datos para que incluya la nueva columna
Ver respuesta y explicación
Respuesta correcta: D. Actualizar la regla de recopilación de datos que envía los datos para que incluya la nueva columna
Explicación
El esquema definido en la regla de recopilación de datos determina cómo se envían los datos a la tabla, y Azure Monitor no actualiza las reglas cuando cambias el esquema de una tabla. Debes actualizar la regla tú mismo. El sufijo _CF se aplica a las columnas personalizadas de tablas de Azure, no a las columnas de una tabla personalizada.
Referencias oficiales
- Add or Delete Tables and Columns in Azure Monitor Logs
Pregunta 10Dominio: Manage a security operations environmentFácil
Un SOC del sector sanitario se une a una comunidad de intercambio de información que publica indicadores en un servidor TAXII 2.1. Además de las credenciales cuando se requieren, ¿qué dos datos le facilita el proveedor para configurar el conector de datos Threat Intelligence - TAXII?
- A.El espacio de nombres de Event Hubs y el nombre de la directiva de acceso compartido
- B.La URL raíz de la API y el identificador de la colección
- C.El identificador de aplicación de Microsoft Entra y su secreto de cliente
- D.La clave del área de trabajo de Log Analytics y el URI del punto de conexión de recopilación de datos
Ver respuesta y explicación
Respuesta correcta: B. La URL raíz de la API y el identificador de la colección
Explicación
Para usar el conector TAXII necesitas un URI raíz de API TAXII 2.0 o 2.1 y un identificador de colección, además de usuario y contraseña si el servidor los exige, y los introduces junto con un nombre descriptivo en la página del conector. El identificador de aplicación y el secreto son lo que usan la API de carga o las integraciones de TIP, y las claves del área de trabajo o los datos de Event Hubs no tienen relación con un cliente TAXII.
Referencias oficiales
- Use STIX/TAXII to import and export threat intelligence in Microsoft Sentinel

Cómo aprovechar estas preguntas de ejemplo de SC-200

Practica SC-200 con cientos de preguntas más

Empieza gratis, sin registro ni tarjeta. Todas las preguntas llevan una explicación como las de arriba y el simulador reproduce el formato oficial de SC-200.

Empezar a practicar gratis Temario de SC-200 Sobre el examen SC-200

Preguntas de examen SC-200 con respuesta y explicación

Una alerta muestra una estación de trabajo que enumera usuarios, grupos y dominios en Active Directory. El analista quiere el registro en bruto de esas consultas. ¿Qué tabla contiene las consultas de objetos de Active Directory?

Explicación

Referencias oficiales

Tras una oleada de phishing, el SOC necesita saber qué usuarios hicieron clic de verdad en un enlace malicioso, ya viniera de un correo, de Teams o de una aplicación de Office. ¿De qué tabla debe partir la consulta?

Explicación

Referencias oficiales

Un analista ejecuta todas las consultas de hunting cada lunes y quiere detectar las consultas cuyo volumen de resultados ha subido más en el último día frente a los días anteriores. ¿Por qué debe ordenar o filtrar?

Explicación

Referencias oficiales

Un equipo cloud quiere que se publique automáticamente un mensaje en Teams cada vez que Defender for Cloud genere una alerta de gravedad alta en sus suscripciones de producción. ¿Qué capacidad deben configurar dentro de Defender for Cloud?

Explicación

Referencias oficiales

La interrupción automática de ataques suspendió a un usuario durante un incidente de compromiso de correo empresarial. Tras terminar la investigación, un analista debe restaurar la cuenta. ¿Qué debe hacer?

Explicación

Referencias oficiales

Nadia trabaja en un incidente en el que se sospecha que un buzón está comprometido. Desde el incidente quiere ver los eventos que afectan a ese buzón en las tablas de búsqueda avanzada pertinentes, limitados al contexto de este incidente. ¿Qué debe usar?

Explicación

Referencias oficiales

Un minorista quiere ingerir solo eventos de creación de procesos (4688) e inicios de sesión fallidos (4625) de un grupo de servidores de archivos, y evitar pagar por ingerir todo lo demás. ¿Cómo debe configurar la regla de recopilación de datos de Windows Security Events via AMA?

Explicación

Referencias oficiales

Defender XDR suprime una alerta benigna de un dispositivo mediante una regla integrada de ajuste de alertas. Entonces, la investigación y respuesta automatizadas encuentran actividad maliciosa vinculada a la alerta. ¿Cuál es el resultado documentado?

Explicación

Referencias oficiales

Un ingeniero añade una columna a una tabla personalizada basada en DCR desde el editor de esquema. Semanas después la columna sigue vacía, aunque el origen ya envía el valor. ¿Cuál es el paso que probablemente falta?

Explicación

Referencias oficiales

Un SOC del sector sanitario se une a una comunidad de intercambio de información que publica indicadores en un servidor TAXII 2.1. Además de las credenciales cuando se requieren, ¿qué dos datos le facilita el proveedor para configurar el conector de datos Threat Intelligence - TAXII?

Explicación

Referencias oficiales

Cómo aprovechar estas preguntas de ejemplo de SC-200

Practica SC-200 con cientos de preguntas más

Preguntas de examen SC-200 con respuesta y explicación

Una alerta muestra una estación de trabajo que enumera usuarios, grupos y dominios en Active Directory. El analista quiere el registro en bruto de esas consultas. ¿Qué tabla contiene las consultas de objetos de Active Directory?

Explicación

Referencias oficiales

Tras una oleada de phishing, el SOC necesita saber qué usuarios hicieron clic de verdad en un enlace malicioso, ya viniera de un correo, de Teams o de una aplicación de Office. ¿De qué tabla debe partir la consulta?

Explicación

Referencias oficiales

Un analista ejecuta todas las consultas de hunting cada lunes y quiere detectar las consultas cuyo volumen de resultados ha subido más en el último día frente a los días anteriores. ¿Por qué debe ordenar o filtrar?

Explicación

Referencias oficiales

Un equipo cloud quiere que se publique automáticamente un mensaje en Teams cada vez que Defender for Cloud genere una alerta de gravedad alta en sus suscripciones de producción. ¿Qué capacidad deben configurar dentro de Defender for Cloud?

Explicación

Referencias oficiales

La interrupción automática de ataques suspendió a un usuario durante un incidente de compromiso de correo empresarial. Tras terminar la investigación, un analista debe restaurar la cuenta. ¿Qué debe hacer?

Explicación

Referencias oficiales

Nadia trabaja en un incidente en el que se sospecha que un buzón está comprometido. Desde el incidente quiere ver los eventos que afectan a ese buzón en las tablas de búsqueda avanzada pertinentes, limitados al contexto de este incidente. ¿Qué debe usar?

Explicación

Referencias oficiales

Un minorista quiere ingerir solo eventos de creación de procesos (4688) e inicios de sesión fallidos (4625) de un grupo de servidores de archivos, y evitar pagar por ingerir todo lo demás. ¿Cómo debe configurar la regla de recopilación de datos de Windows Security Events via AMA?

Explicación

Referencias oficiales

Defender XDR suprime una alerta benigna de un dispositivo mediante una regla integrada de ajuste de alertas. Entonces, la investigación y respuesta automatizadas encuentran actividad maliciosa vinculada a la alerta. ¿Cuál es el resultado documentado?

Explicación

Referencias oficiales

Un ingeniero añade una columna a una tabla personalizada basada en DCR desde el editor de esquema. Semanas después la columna sigue vacía, aunque el origen ya envía el valor. ¿Cuál es el paso que probablemente falta?

Explicación

Referencias oficiales

Un SOC del sector sanitario se une a una comunidad de intercambio de información que publica indicadores en un servidor TAXII 2.1. Además de las credenciales cuando se requieren, ¿qué dos datos le facilita el proveedor para configurar el conector de datos Threat Intelligence - TAXII?

Explicación

Referencias oficiales

Cómo aprovechar estas preguntas de ejemplo de SC-200

Practica SC-200 con cientos de preguntas más