SC-200 考试的形式和通过分数是多少？

SC-200 考试包含 40-60 道题（单选、多选、拖拽排序、案例分析等），时长 120 分钟，满分 1000 分，700 分通过。考试费用 $165 USD。可在 Pearson VUE 考试中心或在线远程监考。考试可能包含实验题（Lab），需要在真实 Azure 环境中操作 Microsoft Sentinel 和 Defender 控制台。

SC-200 考试的重点领域有哪些？

SC-200 考试覆盖四大领域：使用 Microsoft Sentinel 进行安全运营（约 50%）、使用 Microsoft Defender for Endpoint 缓解威胁（约 25%）、使用 Microsoft Defender for Cloud 缓解威胁（约 15%）、以及使用 KQL 进行威胁搜寻（约 10%）。Sentinel 是绝对重点，包括分析规则、Playbook 自动化、工作簿、数据连接器配置等。KQL（Kusto 查询语言）贯穿所有领域，是必须熟练掌握的技能。

KQL 在 SC-200 考试中的重要性如何？需要掌握到什么程度？

KQL（Kusto Query Language）是 SC-200 考试的核心技能，几乎贯穿所有考题。你需要熟练使用 where、project、summarize、join、render 等常用操作符，理解如何查询 SecurityEvent、SigninLogs、AzureActivity 等安全日志表。重点掌握时间筛选（ago()、between()）、字符串匹配（contains、has、matches regex）、聚合统计（count、dcount、percentile）。建议在 Azure Data Explorer 网页工具中实际练习，并熟悉 Sentinel 中的 Hunting 查询模板。

备考 SC-200 需要哪些前置知识和多长时间？

建议具备 Azure 基础知识（AZ-900 或 AZ-104 水平），理解网络安全基本概念（防火墙、加密、身份认证、常见攻击类型），并对 Microsoft 365 安全生态有初步了解。有安全运营（SOC）工作经验会大大加分。备考时间因人而异：有安全背景的学员建议 4-6 周，每天 1-2 小时；零安全基础建议 8-10 周。重点花时间在 Sentinel 实操和 KQL 查询练习上。

SC-200 认证的职业发展路径是什么？

SC-200 认证定位于安全运营分析师（SOC Analyst），是进入微软安全生态的重要敲门砖。典型职业路径包括：SOC 一线/二线分析师、安全运营工程师、威胁猎手（Threat Hunter）、SIEM 工程师。该认证与 SC-300（身份安全）、SC-400（信息保护）形成互补，三者合并可全面覆盖微软安全合规体系。进阶方向是 SC-100（Cybersecurity Architect Expert），或者深入 SIEM/SOAR 自动化领域。随着企业安全预算持续增长，具备 Sentinel 和 Defender 技能的安全专业人员市场需求旺盛。

SC-200 考试中 Microsoft Sentinel 和 Defender 各考什么？

Microsoft Sentinel 部分重点考察：数据连接器配置（Azure AD、M365、第三方日志源）、分析规则创建（计划规则、NRT 规则、Fusion 规则）、Incident 管理与调查、Playbook（Logic App）自动化响应、Workbook 可视化监控、Watchlist 和 Threat Intelligence 集成。Defender for Endpoint 部分重点考察：终端检测与响应（EDR）、自动化调查与修复（AIR）、攻击面减少（ASR）规则、设备隔离和实时响应。Defender for Cloud 部分重点考察：安全评分（Secure Score）、合规性策略、JIT VM 访问、自适应应用程序控制。

Azure助理级🔒 安全

Microsoft Certified: Security Operations Analyst Associate (SC-200)

SC-200 安全运营分析师认证备考题库，涵盖 Microsoft Sentinel、Defender XDR 和威胁搜寻，189 道真题附详细解析。

开始刷题查看学习路径

单次题量

189

题库总量

90m

考试时长

70/100

及格分

✓

一句话定论 · 值得考

微软体系 SOC 岗位的默认入场券，考的是 Sentinel + Defender XDR + KQL 的实操链路，$165 考完每年免费续期，是 SC-900 之后真正能换工作的第一张证。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Microsoft Certified: Security Operations Analyst Associate（考试代码 SC-200）是微软安全方向三张 Associate 证（SC-200 SecOps / SC-300 Identity / SC-400 Information Protection）里唯一直接对标 SOC 岗位的一张。考试费 $165 USD，100 分钟、40-60 题、700/1000 通过，题型包含单选、多选、拖拽排序、案例分析，外加一小概率出现的 Lab 题（在真实 Sentinel / Defender 控制台里操作）。证书有效期 1 年，之后每年通过 Microsoft Learn 上的免费 Renewal Assessment 续期，不需要再交 $165。

考纲三大领域：管理安全运营环境（40-45%）、响应安全事件（35-40%）、执行威胁搜寻（20-25%）。翻译成工具语言就是：Microsoft Sentinel（SIEM/SOAR）占绝对大头，Defender XDR（Defender for Endpoint / Office 365 / Identity / Cloud Apps）是第二重点，Defender for Cloud 占少量篇幅，KQL（Kusto Query Language）贯穿全部题目。SC-200 和 AZ-500 最大的区别在于视角 —— AZ-500 考"怎么把 Azure 资源保护好"（防御配置），SC-200 考"告警进来之后怎么调查、响应、搜寻攻击者"（检测响应）。一个是蓝队的防守工，一个是蓝队的侦查+响应工。

2024-2025 年考纲有两次重要调整：第一次是 Microsoft 365 Defender 正式改名 Defender XDR，所有题目现在用新名字；第二次是 Copilot for Security 被加入考纲（出现在事件调查和威胁搜寻场景题里），以及 Sentinel Data Lake + KQL Jobs 这类新特性开始占分。2026 年还在看两年前的教材会直接撞坑。

SC-200 和 CompTIA CySA+ 经常被拿来比较：CySA+ 是 vendor-neutral 的"通用安全分析师"证，考的是日志分析逻辑、威胁情报、漏洞管理、取证基础，不绑定任何产品，适合想进任何 SOC 的人；SC-200 是 vendor-specific 的"Microsoft 工具链实操"证，一旦离开 Sentinel/Defender 生态，考到的大部分产品名词都用不上。如果雇主用 Splunk + CrowdStrike，CySA+ 更有用；如果雇主用 Sentinel + Defender XDR，SC-200 在 HR 关键词筛选环节直接碾压 CySA+。

你会反复碰到的核心服务

Microsoft SentinelMicrosoft Defender XDRKQL (Kusto Query Language)威胁搜寻与检测安全事件响应SIEM/SOAR 自动化安全运营环境管理Microsoft Defender for Cloud

学完以后你能带走什么

Pass the SC-200 certification exam with confidence
Master key concepts across all exam domains
Identify and strengthen weak areas before the exam

考试详情

考试代码

SC-200

发证机构

Microsoft Azure

时长

90 分钟

题目数

46 题

及格分

70/100

有效期

3 年

题型

single-choice、multiple-choice

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

SOC 安全运营中心分析师（Tier 1/Tier 2）
安全运营工程师和 SIEM 工程师
威胁猎手和事件响应专业人员
希望进入微软安全生态的 IT 专业人员

开始前最好先有

具备 Azure 基础知识（AZ-900 或 AZ-104 水平）
理解网络安全基本概念（防火墙、加密、身份认证）
熟悉 KQL（Kusto Query Language）基本语法
了解 Microsoft 365 安全服务生态

值不值得考？职业价值

SC-200 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$95K-145KAUD

美国

$85K-125KUSD

中国

¥240K-480KCNY

新加坡

$75K-120KSGD

SOC Analyst (Tier 1 / Tier 2)Security Operations EngineerMicrosoft Sentinel EngineerThreat HunterIncident Response AnalystDetection EngineerMSSP Security AnalystSOC 安全运营分析师安全事件响应工程师威胁猎手

SC-200 是"能换工作的证"，不是"能涨薪的证"

ZipRecruiter 2026 年 3 月的数据里，美国市场 Microsoft Security Operations Analyst 平均年薪约 $91,821 USD，25 分位到 75 分位区间 $72K-$113.5K，Top 10% 触及 $121K。这个数字的分布非常典型：SC-200 本身不是"高薪证书"（比不上 CISSP、OSCP），它的价值在于 把一个没有 SOC 经验的人推进 SOC 的门。澳洲市场 Sydney/Melbourne 的 SOC L1 底薪约 $95K-$110K AUD，L2 调查岗 $120K-$145K AUD，给 Microsoft 生态企业（M365 E5、政府、金融）做 MSSP 的顾问更高一档。

最适合考 SC-200 的三类人：

IT 支持 / 桌面运维 / 系统管理员想转 SOC — 你已经熟悉 M365 管理中心、Entra ID、Intune，但完全没碰过安全告警调查。SC-200 是最短的转岗路径：它假设你会用 Azure 和 M365，直接教你在 Sentinel 里看告警、在 Defender XDR 里做事件调查、用 KQL 写 hunting query。考完配合 1-2 个实际 Sentinel 项目经验（哪怕是自己租户里模拟的），就能投 SOC L1。
有安全基础想专精 Microsoft 栈 — 你有 Security+、CySA+、或者做过 Splunk SOC，现在公司换到 Sentinel。SC-200 帮你把已有的检测响应方法论（MITRE ATT&CK、kill chain、IOC）映射到微软的产品名词上，考试本身 3-4 周就能搞定。
MSSP / 咨询公司的安全顾问 — 客户全面转 M365 E5 + Azure，你每天都在帮客户部署 Sentinel 工作区、调 Defender 策略、写 Playbook。SC-200 是你面对客户 CISO 时说"我是 Sentinel 认证工程师"的底气，也是公司拿 Microsoft Solutions Partner - Security 资质的计分证书之一。

这张证不适合谁：

目标做渗透测试 / 红队 / AppSec 的人 — SC-200 完全是蓝队视角，不考任何攻击技术细节、不考漏洞利用、不考代码审计。你应该看 OSCP、CRTO、Burp Suite Practitioner。
公司栈是 AWS + Splunk + CrowdStrike — SC-200 教的 80% 工具名词你用不上，考 AWS Security Specialty + Splunk Core Certified User 更对口。
想做安全架构 / CISO 路线 — SC-200 太偏工具操作，缺治理和风险维度。走 CISSP → SC-100 路线更合适。

和 CompTIA CySA+ 怎么选？

一句话：雇主用什么 SIEM 你就选哪张。CySA+（CS0-003）的好处是 vendor-neutral、DoD 8570 IAT II 认可、内容更广（包含威胁情报、漏洞管理、合规）；坏处是考试费 $404 USD、3 年 CEU 续证压力、内容偏理论、简历关键词在 Microsoft 生态里不如 SC-200 直接。SC-200 的好处是便宜（$165）、续证免费、实操性强、在 Sentinel 岗位 JD 里高频出现；坏处是换到非微软生态基本作废。最稳的组合是 先 SC-200 锁定 Microsoft 生态岗位机会 → 一年内加考 CySA+ 补齐 vendor-neutral 视角，两张证加起来覆盖 95% 的 SOC 岗位需求。

备考节奏

有 AWS 实操经验

4-6 周

零基础切入

8-12 周

建议日投入

1.5-2 小时/天

学习路径预览

8 章

SC-200 Exam Overview

40 min

Microsoft Sentinel

30 min

Defender for Endpoint

30 min

Defender for Cloud

30 min

KQL Queries

30 min

Threat Hunting

30 min

+ 还有 2 章在完整学习路径里

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：补齐前置 + 开 Developer 租户（1-2 周）

如果你没有 AZ-900 / SC-900 / AZ-104 任一基础，先花 1 周过 Microsoft Learn 的 SC-900 学习路径，把 Entra ID、Conditional Access、Defender 全家桶名字搞清楚。然后申请一个 Microsoft 365 Developer 租户（免费 25 个 E5 账号，含 Defender XDR + Purview 完整功能），再在 Azure 里开一个 Sentinel 工作区（前 31 天免费，之后注意关掉避免扣费）。SC-200 几乎所有知识点都能在这两个环境里实际点出来，纯看视频会死在 KQL 和 Playbook 上。

第二阶段：Microsoft Sentinel 主攻（2-3 周）

这是 SC-200 最大分值的部分。必须实际操作：**数据连接器**（接入 Azure AD SigninLogs、M365、AzureActivity、Syslog/CEF）→ **分析规则**（Scheduled / NRT / Fusion / Microsoft Security 四种类型分别什么场景用）→ **Incident 调查**（Entity page、investigation graph、evidence 收集）→ **自动化规则 vs Playbook**（这两个区别是高频考点，见 commonMistakes）→ **Workbook**（KQL 驱动的可视化）→ **Watchlist + Threat Intelligence**。Microsoft Learn 的 "Sentinel Ninja Training" 400 级必过。

第三阶段：Defender XDR + Defender for Cloud（2 周）

Defender XDR 是跨 M365 产品的统一事件调查门户，前身 Microsoft 365 Defender。重点：**Defender for Endpoint**（EDR：设备时间线、live response、ASR 规则、AIR 自动修复、设备组和机器价值）、**Defender for Office 365**（钓鱼邮件调查、Safe Attachments/Links、Threat Explorer、submissions）、**Defender for Identity**（本地 AD 攻击检测：golden ticket、pass-the-hash、DCSync）、**Defender for Cloud Apps**（CASB、shadow IT 发现、异常检测）。Defender for Cloud 部分考点少但必考：Secure Score、Regulatory Compliance、JIT VM Access、Workload Protection plans（注意这是 AZ-500 的重叠点，可以直接复用 AZ-500 教材对应章节）。

第四阶段：KQL 实战（1-2 周，穿插在前面几阶段里）

KQL 不是独立阶段，应该每天花 30 分钟刷 Microsoft Learn 的 "KQL for Microsoft Sentinel" 模块和 Azure Data Explorer 在线 demo 环境。必须熟练：`where` 时间筛选（`ago(1h)`、`between`）、`project` 和 `project-rename`、`summarize count() by` 聚合、`join kind=inner` 跨表关联、`extend` 计算字段、`parse` 解析字符串、`bin()` 时间桶、`make_set` / `make_list` 聚合数组。常用表必须背熟：`SecurityEvent`、`SigninLogs`、`AzureActivity`、`DeviceEvents`、`DeviceProcessEvents`、`EmailEvents`、`IdentityLogonEvents`。考试会出"给查询改错"和"补全缺失行"两种题型。

第五阶段：Copilot for Security + 新考点 + 模考（1-2 周）

2025 年加入的考点：**Copilot for Security** 在事件调查里怎么用（生成 incident summary、自然语言转 KQL、促进跨团队交接）、**Sentinel Data Lake + KQL Jobs**（长保留日志的批量查询）、**Microsoft Defender Threat Intelligence (MDTI)**。这些在老教材里完全没有，必须直接看 Microsoft Learn 最新版。最后冲刺用 MeasureUp 或 Whizlabs 做 3-4 套模考，稳定 78% 以上再上考场。注意 SC-200 有案例分析题（一个案例 4-6 小问），先扫一遍快速题再集中攻案例。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

我完全没 SOC 经验，之前只会重置 M365 密码和装 Intune 策略。学 SC-200 最崩溃的是 KQL —— 前两周看了就忘，后来逼自己每天在 Developer 租户里写 5 条真实查询（比如"过去 24 小时所有失败登录 by 用户 by 国家"），一周后突然开窍。考完三周后拿到本地 MSP 的 SOC L1 offer，起薪比 helpdesk 涨了 $22K AUD，这张证确实值。

K. Zhao802/1000

IT Helpdesk 2 年 → SOC L1 · 备考 10 周

有 3 年 Splunk 经验转微软栈，本以为 KQL 就是换个 SPL 语法，结果踩坑最多的是 Defender XDR 和 Sentinel 的职责划分。Defender XDR 自己就是个 mini-SIEM（有自己的 incident queue），Sentinel 又是统一的 SIEM，题目经常问"事件应该在哪个门户调查"。规律是：纯 M365/Endpoint 范围用 Defender XDR，跨云+第三方日志关联用 Sentinel，两个都能看的时候以 Sentinel 为准。

R. Iqbal864/1000

Splunk SOC Analyst → Sentinel 转型 · 备考 5 周

日常就在给客户写 Sentinel 分析规则，考试对我最难的反而是 Defender for Identity 和 Defender for Office 365 的细节（平时接触少）。Playbook vs 自动化规则那题差点选错 —— 自动化规则是 Sentinel 原生的 incident 级响应（改严重性、分配 owner、关闭 incident），Playbook 是 Logic App 调外部系统（发 Teams、开 ServiceNow 工单、隔离设备）。记牢这句话能救 2-3 分。

A. Nguyen912/1000

MSSP Sentinel 工程师 · 备考 3 周

同赛道认证对比

	SC-200	Security, Compliance, and Identity Fundamentals	Azure Security Engineer Associate
机构	Azure	Azure	Azure
级别	助理级	基础级	助理级
考试费	$0	$99	$165
时长	90 min	45 min	100 min
单次考试题量	46	50	50
有效期	3 年	0 年	1 年

备考技巧与常见失误

💡

**申请 ESL +30 分钟**：母语非英语在 Pearson VUE 报名时勾选 ESL Accommodation，100 分钟变 130 分钟。SC-200 案例题读题量大，这 30 分钟是救命稻草。

💡

**先扫完单选和多选再攻案例**：SC-200 通常有 1-2 个案例分析（每个 4-6 小问，题干超长），建议前 50 分钟解决前面的独立题，剩下时间集中攻案例。一上来就卡在案例里会打乱节奏。

💡

**关键词条件反射表**：看到 "long-term log retention + batch query" → **Sentinel Data Lake + KQL Jobs**；看到 "incident summary for handover" → **Copilot for Security**；看到 "automate response to external system" → **Playbook (Logic App)**；看到 "close false positive automatically" → **Automation Rule**；看到 "on-premises Active Directory attack" → **Defender for Identity**；看到 "shadow IT / unsanctioned SaaS" → **Defender for Cloud Apps**；看到 "kernel-level attack on VM" → **Defender for Servers (P2)**。

💡

**在 Developer 租户里真正写过 10 条 KQL**：考试 KQL 题不会让你从零写，而是补全或改错。如果你在租户里实际写过 10 条不同类型的查询（登录异常、进程创建异常、邮件投递失败、文件下载量 top N），看到题目的代码片段就能快速识别语法错误。纯看教材的人这部分必丢分。

💡

**Lab 题别慌**：SC-200 小概率出现 Performance-based Lab（真实 Sentinel 控制台操作），一般 1 个 lab 含 3-5 步任务，给 15 分钟。Lab 题不能回头改，按提示一步步做，做不出来的 step 直接跳过保其他部分。不要让 Lab 卡掉整张卷子的时间预算。

💡

**续证提醒第一时间设**：拿到证当天在 Microsoft Learn 的 Certification dashboard 里找到你的 SC-200 条目，把"Renewal available 6 months before expiry"这个日期抄到 Google Calendar，设提前 7 天和当天两个提醒。免费续证是 SC-200 ROI 最大的隐藏福利，不要白白浪费。

⚠️

**KQL 语法细节记错** — 最高频错题集中在：`where` 必须在 `project` 之前（否则投影后字段没了）、`summarize` 的 `by` 子句里的字段才能在结果中出现、`join` 默认是 `innerunique` 而不是标准 SQL 的 `inner`（要标准 inner 必须写 `kind=inner`）、`contains` 是大小写不敏感但慢，`has` 更快但只匹配完整词。考试会专门出"改错题"让你识别这些陷阱。

⚠️

**Sentinel 工作区设计踩坑** — 工作区不是越多越好。常见错误选择："每个部门一个工作区"、"每个地区一个工作区"。正确设计是尽量合并到一个工作区以便跨数据关联，除非有**合规隔离（数据主权）**、**成本分摊到不同订阅**、或**RBAC 完全隔离**的硬需求才拆分。跨工作区查询性能差且复杂（要用 `workspace()` 函数），考试场景题爱考这个 trade-off。

⚠️

**Defender XDR 和 Defender for Cloud 当成一个东西** — 这是 SC-200 最致命的混淆。**Defender XDR**（前身 Microsoft 365 Defender）保护**终端、邮件、身份、SaaS 应用**（M365 范围），入口是 security.microsoft.com；**Defender for Cloud**（前身 Azure Security Center）保护**Azure/AWS/GCP 云基础设施资源**（VM、SQL、Storage、Container），入口是 portal.azure.com。两者的 incident 不在同一个队列，调查流程也不一样。看到"保护 Azure VM 的恶意进程" → Defender for Cloud（via Defender for Servers plan）+ Defender for Endpoint 集成；看到"M365 邮箱钓鱼" → Defender XDR 里的 Defender for Office 365。

⚠️

**MITRE ATT&CK 映射只会背不会用** — Sentinel 的 Analytics Rule 里每条规则可以标记对应的 ATT&CK tactic 和 technique。考试不会让你背所有 14 个 tactic 的定义，但会给一个攻击场景让你选最合适的 tactic（比如"攻击者 dump LSASS 窃取凭据" → Credential Access / T1003）。必背的高频 tactic：Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Lateral Movement、Exfiltration。这 8 个占了题目 90%。

⚠️

**自动化规则 vs Playbook 分不清** — 两者都是 Sentinel 的自动化响应机制但层次完全不同。**自动化规则（Automation Rules）** 是 Sentinel 原生功能，在 incident 创建/更新时触发，只能做 incident 元数据操作（修改 severity、分配 owner、添加 tag、关闭 incident、运行 playbook）。**Playbook** 是 Azure Logic App，能做任何外部系统调用（发 Teams 通知、隔离设备 via Defender for Endpoint API、在 ServiceNow 创建 ticket、封禁 IP via 防火墙 API）。题目里看到"自动关闭误报 incident" → 自动化规则；看到"告警触发后自动隔离受影响设备并通知 Slack" → Playbook。

⚠️

**忽略续证机制导致证书失效** — SC-200 证书有效期只有 1 年，必须在到期前 6 个月内通过 Microsoft Learn 上的免费 Renewal Assessment 续期。很多人考完就忘，第二年发现证书已 expired 要重新交 $165。拿证当天立刻在 Microsoft Learn Profile 里打开续证页面，设好日历提醒。

⚠️

**用旧术语学习** — 2023 年前的教材里到处写 Azure Sentinel、Microsoft 365 Defender、Azure Security Center，现在考试用的是 Microsoft Sentinel、Defender XDR、Defender for Cloud。碰到老视频要在脑子里实时翻译，否则题目里新名字出现会懵。

常见问题

如果你准备考 SC-200，先从真题型练习开始。

189 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…

Microsoft Certified: Security Operations Analyst Associate (SC-200)

这张认证到底考什么

你会反复碰到的核心服务

学完以后你能带走什么

考试详情

适合谁考

适合人群

开始前最好先有

值不值得考？职业价值

备考节奏

有 AWS 实操经验

零基础切入

建议日投入

学习路径预览

分阶段备考路径

第一阶段：补齐前置 + 开 Developer 租户（1-2 周）

第二阶段：Microsoft Sentinel 主攻（2-3 周）

第三阶段：Defender XDR + Defender for Cloud（2 周）

第四阶段：KQL 实战（1-2 周，穿插在前面几阶段里）

第五阶段：Copilot for Security + 新考点 + 模考（1-2 周）

通过者的真实经验

同赛道认证对比

备考技巧与常见失误

常见问题

如果你准备考 SC-200，先从真题型练习开始。

学员评价

你可能顺手也会看这些

Security, Compliance, and Identity Fundamentals

Azure Security Engineer Associate

CompTIA CySA+