Understand the certification
Microsoft Certified: Security Operations Analyst Associate（考试代码 SC-200）是微软安全方向三张 Associate 证（SC-200 SecOps / SC-300 Identity / SC-400 Information Protection）里唯一直接对标 SOC 岗位的一张。考试费 $165 USD，100 分钟、40-60 题、700/1000 通过，题型包含单选、多选、拖拽排序、案例分析，外加一小概率出现的 Lab 题（在真实 Sentinel / Defender 控制台里操作）。证书有效期 1 年，之后每年通过 Microsoft Learn 上的免费 Renewal Assessment 续期，不需要再交 $165。
考纲三大领域：管理安全运营环境（40-45%）、响应安全事件（35-40%）、执行威胁搜寻（20-25%）。翻译成工具语言就是：Microsoft Sentinel（SIEM/SOAR）占绝对大头，Defender XDR（Defender for Endpoint / Office 365 / Identity / Cloud Apps）是第二重点，Defender for Cloud 占少量篇幅，KQL（Kusto Query Language）贯穿全部题目。SC-200 和 AZ-500 最大的区别在于视角 —— AZ-500 考"怎么把 Azure 资源保护好"（防御配置），SC-200 考"告警进来之后怎么调查、响应、搜寻攻击者"（检测响应）。一个是蓝队的防守工，一个是蓝队的侦查+响应工。
2024-2025 年考纲有两次重要调整：第一次是 Microsoft 365 Defender 正式改名 Defender XDR，所有题目现在用新名字；第二次是 Copilot for Security 被加入考纲（出现在事件调查和威胁搜寻场景题里），以及 Sentinel Data Lake + KQL Jobs 这类新特性开始占分。2026 年还在看两年前的教材会直接撞坑。
SC-200 和 CompTIA CySA+ 经常被拿来比较：CySA+ 是 vendor-neutral 的"通用安全分析师"证，考的是日志分析逻辑、威胁情报、漏洞管理、取证基础，不绑定任何产品，适合想进任何 SOC 的人；SC-200 是 vendor-specific 的"Microsoft 工具链实操"证，一旦离开 Sentinel/Defender 生态，考到的大部分产品名词都用不上。如果雇主用 Splunk + CrowdStrike，CySA+ 更有用；如果雇主用 Sentinel + Defender XDR，SC-200 在 HR 关键词筛选环节直接碾压 CySA+。
Exam at a glance
- Exam code
- SC-200
- Provider
- Azure
- Format
- single-choice / multiple-choice
- Language
- English
- Validity
- 3 years
Skills in focus
Learning outcomes
- Pass the SC-200 certification exam with confidence
- Master key concepts across all exam domains
- Identify and strengthen weak areas before the exam
Who this is for
- SOC 安全运营中心分析师（Tier 1/Tier 2）
- 安全运营工程师和 SIEM 工程师
- 威胁猎手和事件响应专业人员
- 希望进入微软安全生态的 IT 专业人员
Before you start
- 具备 Azure 基础知识（AZ-900 或 AZ-104 水平）
- 理解网络安全基本概念（防火墙、加密、身份认证）
- 熟悉 KQL（Kusto Query Language）基本语法
- 了解 Microsoft 365 安全服务生态
Consider another path if
- 目标做渗透测试 / 红队 / 漏洞研究 / 代码审计（SC-200 纯蓝队，考 OSCP、CRTO 更对口）
- 公司技术栈完全在 AWS + Splunk + CrowdStrike 或 GCP 生态（考 CySA+ 或 AWS Security Specialty）
- 零 IT 基础、完全没接触过 Azure 或 M365 的纯小白（先考 SC-900 或 AZ-900 建立基本术语）
- 已持有 SC-100（Cybersecurity Architect Expert）的资深工程师（Expert 级已覆盖 SC-200 知识面）
- 想做安全管理 / GRC / 合规审计的非技术岗（SC-200 太偏工具操作，考 SC-900 + CISSP 组合更合适）
Your learning path
8 chapters
Plan your preparation
- Learning hours
- 10h
- With relevant experience
- 4-6 weeks
- Starting from scratch
- 8-12 weeks
- Daily study
- 1.5-2h
Included in your preparation
- 189 practice questions with detailed explanations
- Mock exams simulating real test conditions
- AI-powered tutoring for personalized study
- Progress tracking and weak area identification
1. 第一阶段：补齐前置 + 开 Developer 租户（1-2 周）
如果你没有 AZ-900 / SC-900 / AZ-104 任一基础，先花 1 周过 Microsoft Learn 的 SC-900 学习路径，把 Entra ID、Conditional Access、Defender 全家桶名字搞清楚。然后申请一个 Microsoft 365 Developer 租户（免费 25 个 E5 账号，含 Defender XDR + Purview 完整功能），再在 Azure 里开一个 Sentinel 工作区（前 31 天免费，之后注意关掉避免扣费）。SC-200 几乎所有知识点都能在这两个环境里实际点出来，纯看视频会死在 KQL 和 Playbook 上。
2. 第二阶段：Microsoft Sentinel 主攻（2-3 周）
这是 SC-200 最大分值的部分。必须实际操作：数据连接器（接入 Azure AD SigninLogs、M365、AzureActivity、Syslog/CEF）→ 分析规则（Scheduled / NRT / Fusion / Microsoft Security 四种类型分别什么场景用）→ Incident 调查（Entity page、investigation graph、evidence 收集）→ 自动化规则 vs Playbook（这两个区别是高频考点，见 commonMistakes）→ Workbook（KQL 驱动的可视化）→ Watchlist + Threat Intelligence。Microsoft Learn 的 "Sentinel Ninja Training" 400 级必过。
3. 第三阶段：Defender XDR + Defender for Cloud（2 周）
Defender XDR 是跨 M365 产品的统一事件调查门户，前身 Microsoft 365 Defender。重点：Defender for Endpoint（EDR：设备时间线、live response、ASR 规则、AIR 自动修复、设备组和机器价值）、Defender for Office 365（钓鱼邮件调查、Safe Attachments/Links、Threat Explorer、submissions）、Defender for Identity（本地 AD 攻击检测：golden ticket、pass-the-hash、DCSync）、Defender for Cloud Apps（CASB、shadow IT 发现、异常检测）。Defender for Cloud 部分考点少但必考：Secure Score、Regulatory Compliance、JIT VM Access、Workload Protection plans（注意这是 AZ-500 的重叠点，可以直接复用 AZ-500 教材对应章节）。
4. 第四阶段：KQL 实战（1-2 周，穿插在前面几阶段里）
KQL 不是独立阶段，应该每天花 30 分钟刷 Microsoft Learn 的 "KQL for Microsoft Sentinel" 模块和 Azure Data Explorer 在线 demo 环境。必须熟练：where 时间筛选（ago(1h)、between）、project 和 project-rename、summarize count() by 聚合、join kind=inner 跨表关联、extend 计算字段、parse 解析字符串、bin() 时间桶、make_set / make_list 聚合数组。常用表必须背熟：SecurityEvent、SigninLogs、AzureActivity、DeviceEvents、DeviceProcessEvents、EmailEvents、IdentityLogonEvents。考试会出"给查询改错"和"补全缺失行"两种题型。
5. 第五阶段：Copilot for Security + 新考点 + 模考（1-2 周）
2025 年加入的考点：Copilot for Security 在事件调查里怎么用（生成 incident summary、自然语言转 KQL、促进跨团队交接）、Sentinel Data Lake + KQL Jobs（长保留日志的批量查询）、Microsoft Defender Threat Intelligence (MDTI)。这些在老教材里完全没有，必须直接看 Microsoft Learn 最新版。最后冲刺用 MeasureUp 或 Whizlabs 做 3-4 套模考，稳定 78% 以上再上考场。注意 SC-200 有案例分析题（一个案例 4-6 小问），先扫一遍快速题再集中攻案例。
Career value
SC-200 是"能换工作的证"，不是"能涨薪的证"
ZipRecruiter 2026 年 3 月的数据里，美国市场 Microsoft Security Operations Analyst 平均年薪约 $91,821 USD，25 分位到 75 分位区间 $72K-$113.5K，Top 10% 触及 $121K。这个数字的分布非常典型：SC-200 本身不是"高薪证书"（比不上 CISSP、OSCP），它的价值在于 把一个没有 SOC 经验的人推进 SOC 的门。澳洲市场 Sydney/Melbourne 的 SOC L1 底薪约 $95K-$110K AUD，L2 调查岗 $120K-$145K AUD，给 Microsoft 生态企业（M365 E5、政府、金融）做 MSSP 的顾问更高一档。
最适合考 SC-200 的三类人：
- IT 支持 / 桌面运维 / 系统管理员想转 SOC — 你已经熟悉 M365 管理中心、Entra ID、Intune，但完全没碰过安全告警调查。SC-200 是最短的转岗路径：它假设你会用 Azure 和 M365，直接教你在 Sentinel 里看告警、在 Defender XDR 里做事件调查、用 KQL 写 hunting query。考完配合 1-2 个实际 Sentinel 项目经验（哪怕是自己租户里模拟的），就能投 SOC L1。
- 有安全基础想专精 Microsoft 栈 — 你有 Security+、CySA+、或者做过 Splunk SOC，现在公司换到 Sentinel。SC-200 帮你把已有的检测响应方法论（MITRE ATT&CK、kill chain、IOC）映射到微软的产品名词上，考试本身 3-4 周就能搞定。
- MSSP / 咨询公司的安全顾问 — 客户全面转 M365 E5 + Azure，你每天都在帮客户部署 Sentinel 工作区、调 Defender 策略、写 Playbook。SC-200 是你面对客户 CISO 时说"我是 Sentinel 认证工程师"的底气，也是公司拿 Microsoft Solutions Partner - Security 资质的计分证书之一。
这张证不适合谁：
- 目标做渗透测试 / 红队 / AppSec 的人 — SC-200 完全是蓝队视角，不考任何攻击技术细节、不考漏洞利用、不考代码审计。你应该看 OSCP、CRTO、Burp Suite Practitioner。
- 公司栈是 AWS + Splunk + CrowdStrike — SC-200 教的 80% 工具名词你用不上，考 AWS Security Specialty + Splunk Core Certified User 更对口。
- 想做安全架构 / CISO 路线 — SC-200 太偏工具操作，缺治理和风险维度。走 CISSP → SC-100 路线更合适。
和 CompTIA CySA+ 怎么选？
一句话：雇主用什么 SIEM 你就选哪张。CySA+（CS0-003）的好处是 vendor-neutral、DoD 8570 IAT II 认可、内容更广（包含威胁情报、漏洞管理、合规）；坏处是考试费 $404 USD、3 年 CEU 续证压力、内容偏理论、简历关键词在 Microsoft 生态里不如 SC-200 直接。SC-200 的好处是便宜（$165）、续证免费、实操性强、在 Sentinel 岗位 JD 里高频出现；坏处是换到非微软生态基本作废。最稳的组合是 先 SC-200 锁定 Microsoft 生态岗位机会 → 一年内加考 CySA+ 补齐 vendor-neutral 视角，两张证加起来覆盖 95% 的 SOC 岗位需求。
- 澳洲
- AUD 95,000 – 145,000
- 美国
- USD 85,000 – 125,000
- 中国
- CNY 240,000 – 480,000
- 新加坡
- SGD 75,000 – 120,000
Preparation tips
- **申请 ESL +30 分钟**：母语非英语在 Pearson VUE 报名时勾选 ESL Accommodation，100 分钟变 130 分钟。SC-200 案例题读题量大，这 30 分钟是救命稻草。
- **先扫完单选和多选再攻案例**：SC-200 通常有 1-2 个案例分析（每个 4-6 小问，题干超长），建议前 50 分钟解决前面的独立题，剩下时间集中攻案例。一上来就卡在案例里会打乱节奏。
- **关键词条件反射表**：看到 "long-term log retention + batch query" → **Sentinel Data Lake + KQL Jobs**；看到 "incident summary for handover" → **Copilot for Security**；看到 "automate response to external system" → **Playbook (Logic App)**；看到 "close false positive automatically" → **Automation Rule**；看到 "on-premises Active Directory attack" → **Defender for Identity**；看到 "shadow IT / unsanctioned SaaS" → **Defender for Cloud Apps**；看到 "kernel-level attack on VM" → **Defender for Servers (P2)**。
- **在 Developer 租户里真正写过 10 条 KQL**：考试 KQL 题不会让你从零写，而是补全或改错。如果你在租户里实际写过 10 条不同类型的查询（登录异常、进程创建异常、邮件投递失败、文件下载量 top N），看到题目的代码片段就能快速识别语法错误。纯看教材的人这部分必丢分。
- **Lab 题别慌**：SC-200 小概率出现 Performance-based Lab（真实 Sentinel 控制台操作），一般 1 个 lab 含 3-5 步任务，给 15 分钟。Lab 题不能回头改，按提示一步步做，做不出来的 step 直接跳过保其他部分。不要让 Lab 卡掉整张卷子的时间预算。
- **续证提醒第一时间设**：拿到证当天在 Microsoft Learn 的 Certification dashboard 里找到你的 SC-200 条目，把"Renewal available 6 months before expiry"这个日期抄到 Google Calendar，设提前 7 天和当天两个提醒。免费续证是 SC-200 ROI 最大的隐藏福利，不要白白浪费。
Common mistakes
- **KQL 语法细节记错** — 最高频错题集中在：`where` 必须在 `project` 之前（否则投影后字段没了）、`summarize` 的 `by` 子句里的字段才能在结果中出现、`join` 默认是 `innerunique` 而不是标准 SQL 的 `inner`（要标准 inner 必须写 `kind=inner`）、`contains` 是大小写不敏感但慢，`has` 更快但只匹配完整词。考试会专门出"改错题"让你识别这些陷阱。
- **Sentinel 工作区设计踩坑** — 工作区不是越多越好。常见错误选择："每个部门一个工作区"、"每个地区一个工作区"。正确设计是尽量合并到一个工作区以便跨数据关联，除非有**合规隔离（数据主权）**、**成本分摊到不同订阅**、或**RBAC 完全隔离**的硬需求才拆分。跨工作区查询性能差且复杂（要用 `workspace()` 函数），考试场景题爱考这个 trade-off。
- **Defender XDR 和 Defender for Cloud 当成一个东西** — 这是 SC-200 最致命的混淆。**Defender XDR**（前身 Microsoft 365 Defender）保护**终端、邮件、身份、SaaS 应用**（M365 范围），入口是 security.microsoft.com；**Defender for Cloud**（前身 Azure Security Center）保护**Azure/AWS/GCP 云基础设施资源**（VM、SQL、Storage、Container），入口是 portal.azure.com。两者的 incident 不在同一个队列，调查流程也不一样。看到"保护 Azure VM 的恶意进程" → Defender for Cloud（via Defender for Servers plan）+ Defender for Endpoint 集成；看到"M365 邮箱钓鱼" → Defender XDR 里的 Defender for Office 365。
- **MITRE ATT&CK 映射只会背不会用** — Sentinel 的 Analytics Rule 里每条规则可以标记对应的 ATT&CK tactic 和 technique。考试不会让你背所有 14 个 tactic 的定义，但会给一个攻击场景让你选最合适的 tactic（比如"攻击者 dump LSASS 窃取凭据" → Credential Access / T1003）。必背的高频 tactic：Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Lateral Movement、Exfiltration。这 8 个占了题目 90%。
- **自动化规则 vs Playbook 分不清** — 两者都是 Sentinel 的自动化响应机制但层次完全不同。**自动化规则（Automation Rules）** 是 Sentinel 原生功能，在 incident 创建/更新时触发，只能做 incident 元数据操作（修改 severity、分配 owner、添加 tag、关闭 incident、运行 playbook）。**Playbook** 是 Azure Logic App，能做任何外部系统调用（发 Teams 通知、隔离设备 via Defender for Endpoint API、在 ServiceNow 创建 ticket、封禁 IP via 防火墙 API）。题目里看到"自动关闭误报 incident" → 自动化规则；看到"告警触发后自动隔离受影响设备并通知 Slack" → Playbook。
- **忽略续证机制导致证书失效** — SC-200 证书有效期只有 1 年，必须在到期前 6 个月内通过 Microsoft Learn 上的免费 Renewal Assessment 续期。很多人考完就忘，第二年发现证书已 expired 要重新交 $165。拿证当天立刻在 Microsoft Learn Profile 里打开续证页面，设好日历提醒。
- **用旧术语学习** — 2023 年前的教材里到处写 Azure Sentinel、Microsoft 365 Defender、Azure Security Center，现在考试用的是 Microsoft Sentinel、Defender XDR、Defender for Cloud。碰到老视频要在脑子里实时翻译，否则题目里新名字出现会懵。
Before you register
What is the exam format and passing score for SC-200?
The SC-200 exam contains 40-60 questions (multiple choice, multiple select, drag-and-drop, and case studies), with a 120-minute time limit. The passing score is 700 out of 1000, and the exam fee is $165 USD. It is available at Pearson VUE test centers or via online proctoring. The exam may include lab questions requiring hands-on operations in a real Azure environment with Microsoft Sentinel and Defender consoles.
What are the key domains covered in SC-200?
The SC-200 exam covers four main domains: Security Operations using Microsoft Sentinel (approximately 50%), Threat Mitigation using Microsoft Defender for Endpoint (approximately 25%), Threat Mitigation using Microsoft Defender for Cloud (approximately 15%), and Threat Hunting using KQL (approximately 10%). Sentinel is the primary focus, including analytics rules, Playbook automation, workbooks, and data connector configuration. KQL (Kusto Query Language) runs through all domains and is a must-master skill.
How important is KQL in the SC-200 exam, and what level of proficiency is needed?
KQL (Kusto Query Language) is a core skill for SC-200 and appears throughout virtually all exam questions. You need proficiency with common operators like where, project, summarize, join, and render, and must understand how to query security log tables such as SecurityEvent, SigninLogs, and AzureActivity. Focus on time filtering (ago(), between()), string matching (contains, has, matches regex), and aggregation (count, dcount, percentile). Practice in the Azure Data Explorer web tool and familiarize yourself with Sentinel Hunting query templates.
What prerequisites are needed and how long does it take to prepare for SC-200?
You should have Azure fundamentals knowledge (AZ-900 or AZ-104 level), understand basic cybersecurity concepts (firewalls, encryption, authentication, common attack types), and have some familiarity with the Microsoft 365 security ecosystem. Security Operations Center (SOC) experience is a significant advantage. Preparation time varies: candidates with security backgrounds typically need 4-6 weeks at 1-2 hours daily, while those without security experience should plan 8-10 weeks. Prioritize hands-on Sentinel labs and KQL query practice.
What career paths does SC-200 certification support?
SC-200 targets the Security Operations Analyst (SOC Analyst) role and serves as an important gateway into the Microsoft security ecosystem. Typical career paths include Tier 1/Tier 2 SOC Analyst, Security Operations Engineer, Threat Hunter, and SIEM Engineer. This certification complements SC-300 (Identity Security) and SC-400 (Information Protection) — together they comprehensively cover the Microsoft security and compliance landscape. The advanced path leads to SC-100 (Cybersecurity Architect Expert) or deeper specialization in SIEM/SOAR automation. With enterprise security budgets continuing to grow, professionals skilled in Sentinel and Defender are in high demand.
What specific topics are tested for Microsoft Sentinel vs. Defender in SC-200?
The Microsoft Sentinel section focuses on: data connector configuration (Azure AD, M365, third-party log sources), analytics rule creation (scheduled rules, NRT rules, Fusion rules), incident management and investigation, Playbook (Logic App) automated response, Workbook visualization monitoring, and Watchlist/Threat Intelligence integration. The Defender for Endpoint section covers: Endpoint Detection and Response (EDR), Automated Investigation and Remediation (AIR), Attack Surface Reduction (ASR) rules, device isolation and live response. The Defender for Cloud section tests: Secure Score, compliance policies, JIT VM access, and adaptive application controls.
Learner experiences
Loading reviews…
我完全没 SOC 经验，之前只会重置 M365 密码和装 Intune 策略。学 SC-200 最崩溃的是 KQL —— 前两周看了就忘，后来逼自己每天在 Developer 租户里写 5 条真实查询（比如"过去 24 小时所有失败登录 by 用户 by 国家"），一周后突然开窍。考完三周后拿到本地 MSP 的 SOC L1 offer，起薪比 helpdesk 涨了 $22K AUD，这张证确实值。
K. Zhao
IT Helpdesk 2 年 → SOC L1 · 802/1000 · 10 weeks
有 3 年 Splunk 经验转微软栈，本以为 KQL 就是换个 SPL 语法，结果踩坑最多的是 Defender XDR 和 Sentinel 的职责划分。Defender XDR 自己就是个 mini-SIEM（有自己的 incident queue），Sentinel 又是统一的 SIEM，题目经常问"事件应该在哪个门户调查"。规律是：纯 M365/Endpoint 范围用 Defender XDR，跨云+第三方日志关联用 Sentinel，两个都能看的时候以 Sentinel 为准。
R. Iqbal
Splunk SOC Analyst → Sentinel 转型 · 864/1000 · 5 weeks
日常就在给客户写 Sentinel 分析规则，考试对我最难的反而是 Defender for Identity 和 Defender for Office 365 的细节（平时接触少）。Playbook vs 自动化规则那题差点选错 —— 自动化规则是 Sentinel 原生的 incident 级响应（改严重性、分配 owner、关闭 incident），Playbook 是 Logic App 调外部系统（发 Teams、开 ServiceNow 工单、隔离设备）。记牢这句话能救 2-3 分。
A. Nguyen
MSSP Sentinel 工程师 · 912/1000 · 3 weeks
Start with the first chapter.
2 free chapters · Full preparation from $29