Microsoft Certified: Security Operations Analyst Associate (SC-200)

**KQL 语法细节记错** — 最高频错题集中在：`where` 必须在 `project` 之前（否则投影后字段没了）、`summarize` 的 `by` 子句里的字段才能在结果中出现、`join` 默认是 `innerunique` 而不是标准 SQL 的 `inner`（要标准 inner 必须写 `kind=inner`）、`contains` 是大小写不敏感但慢，`has` 更快但只匹配完整词。考试会专门出"改错题"让你识别这些陷阱。

**Sentinel 工作区设计踩坑** — 工作区不是越多越好。常见错误选择："每个部门一个工作区"、"每个地区一个工作区"。正确设计是尽量合并到一个工作区以便跨数据关联，除非有**合规隔离（数据主权）**、**成本分摊到不同订阅**、或**RBAC 完全隔离**的硬需求才拆分。跨工作区查询性能差且复杂（要用 `workspace()` 函数），考试场景题爱考这个 trade-off。

**Defender XDR 和 Defender for Cloud 当成一个东西** — 这是 SC-200 最致命的混淆。**Defender XDR**（前身 Microsoft 365 Defender）保护**终端、邮件、身份、SaaS 应用**（M365 范围），入口是 security.microsoft.com；**Defender for Cloud**（前身 Azure Security Center）保护**Azure/AWS/GCP 云基础设施资源**（VM、SQL、Storage、Container），入口是 portal.azure.com。两者的 incident 不在同一个队列，调查流程也不一样。看到"保护 Azure VM 的恶意进程" → Defender for Cloud（via Defender for Servers plan）+ Defender for Endpoint 集成；看到"M365 邮箱钓鱼" → Defender XDR 里的 Defender for Office 365。

**MITRE ATT&CK 映射只会背不会用** — Sentinel 的 Analytics Rule 里每条规则可以标记对应的 ATT&CK tactic 和 technique。考试不会让你背所有 14 个 tactic 的定义，但会给一个攻击场景让你选最合适的 tactic（比如"攻击者 dump LSASS 窃取凭据" → Credential Access / T1003）。必背的高频 tactic：Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Lateral Movement、Exfiltration。这 8 个占了题目 90%。

**自动化规则 vs Playbook 分不清** — 两者都是 Sentinel 的自动化响应机制但层次完全不同。**自动化规则（Automation Rules）** 是 Sentinel 原生功能，在 incident 创建/更新时触发，只能做 incident 元数据操作（修改 severity、分配 owner、添加 tag、关闭 incident、运行 playbook）。**Playbook** 是 Azure Logic App，能做任何外部系统调用（发 Teams 通知、隔离设备 via Defender for Endpoint API、在 ServiceNow 创建 ticket、封禁 IP via 防火墙 API）。题目里看到"自动关闭误报 incident" → 自动化规则；看到"告警触发后自动隔离受影响设备并通知 Slack" → Playbook。

**忽略续证机制导致证书失效** — SC-200 证书有效期只有 1 年，必须在到期前 6 个月内通过 Microsoft Learn 上的免费 Renewal Assessment 续期。很多人考完就忘，第二年发现证书已 expired 要重新交 $165。拿证当天立刻在 Microsoft Learn Profile 里打开续证页面，设好日历提醒。

**用旧术语学习** — 2023 年前的教材里到处写 Azure Sentinel、Microsoft 365 Defender、Azure Security Center，现在考试用的是 Microsoft Sentinel、Defender XDR、Defender for Cloud。碰到老视频要在脑子里实时翻译，否则题目里新名字出现会懵。