SC-200 完全ガイド｜Microsoft Security Operations Analyst Associate 出題範囲・学習リソース・合格戦略

Microsoft Certified: Security Operations Analyst Associate (SC-200) は、Microsoft Sentinel と Microsoft Defender XDR を使って脅威検知・調査・対応を行う SOC (Security Operations Center) アナリスト向け Associate 認定です。 日本国内では SOC・MSSP・社内 CSIRT 系の求人で必須要件として求められることが増えており、Microsoft セキュリティ製品スタックを採用する企業の SOC では事実上のスタンダード認定です。 SC-300 (Identity Admin) と並んで、Microsoft セキュリティ系 Associate の中で最も実務直結度が高い 1 本と言えます。

本記事では、SC-200 の試験仕様、4 ドメイン構成、Defender XDR スイートと Sentinel の運用ポイント、必須スキルである KQL、3-4 ヶ月の合格ロードマップ、合格後の展開ルートまでを整理します。 Microsoft セキュリティ製品は機能更新が頻繁な領域のため、最新の Skills measured 改訂版に必ず目を通すことが合格への前提です。

SC-200 の試験基本仕様

SC-200 の試験仕様は Associate ティア共通です。100 分・40 ~ 60 問、合格点 700 / 1000、165 USD / 21,103 円、12 ヶ月有効 (renewal assessment で更新可)。 Pearson VUE 経由で OnVUE オンラインまたはテストセンターで受験可能、日本語含む多言語対応。 出題形式は選択肢問題に加え、KQL クエリの読解、Defender XDR / Sentinel UI のシナリオ問題、ケーススタディを含み、SOC アナリストの実務フロー (アラート受信 → トリアージ → 調査 → 対応 → 振り返り) に沿った出題が多数を占めます。

Microsoft Defender XDR の構成

Microsoft Defender XDR は、複数の Defender 製品を統合したクロスドメイン XDR スイートです。 構成製品は Defender for Endpoint (EDR、エンドポイント検知応答)、Defender for Identity (オンプレ AD への攻撃検知)、Defender for Office 365 (フィッシング / マルウェアメール対策)、Defender for Cloud Apps (CASB、SaaS アプリ可視化)、Defender for Cloud (CWPP / CSPM、Azure / AWS / GCP ワークロード保護)、Defender Vulnerability Management (脆弱性管理) の 6 つ。 これらが Defender XDR portal (旧 Microsoft 365 Defender portal) で統合インシデント管理され、複数製品にまたがる攻撃を 1 つのインシデントとして相関分析できる構成です。

ドメイン 1: セキュリティ運用環境の管理 (20-25%)

SOC の基盤構築を扱うドメインです。 中心は Defender XDR portal の構成・ロール管理 (RBAC)、Microsoft Sentinel Workspace の設計・データコネクタ設定 (Microsoft 365・Azure Activity・AWS CloudTrail・Syslog・CEF・カスタムログ)、分析ルール (Analytics Rules) の構成 (Microsoft Security Rule・Scheduled Query Rule・Fusion・ML Behavior Analytics)、自動化ルール (Automation Rules) と Playbook (Logic App) の連携。 本ドメインの落とし穴は、Defender for Cloud (CWPP/CSPM) と Defender for Cloud Apps (CASB) の混同、そして Workspace の集約設計 (1 つの Sentinel Workspace に集約 vs 拠点ごと分離)。

ドメイン 2: 保護と検知の構成 (15-20%)

攻撃を事前に防御・検知するルール設定を扱うドメインです。 中心は Defender for Endpoint の Attack Surface Reduction (ASR) ルール・Web Content Filtering・Network Protection・Application Control、Defender for Cloud の Microsoft Cloud Security Benchmark 適合・Regulatory Compliance ダッシュボード・Just-in-Time VM Access・Adaptive Application Controls、Defender for Identity のセンサー (Domain Controller への展開)・Lateral Movement Path 検知、Custom Detection Rule (Defender XDR Advanced Hunting からの自動アラート化)、Sentinel Analytics Rule の Threshold / Severity 調整。

ドメイン 3: インシデント対応の管理 (35-40%、最重要)

配点最大の中核ドメインで、本試験の合否を最も大きく左右します。 中心は Defender XDR でのインシデント調査 (Attack Story の理解・Asset 関係グラフ・Timeline・Evidence and Response)、Sentinel での Incident Triage (Owner 割り当て・Severity 変更・タグ付け・関連アラート結合)、Playbook 実行 (Logic App によるレスポンス自動化: メール隔離・ユーザー無効化・IP ブロック・チケット起票)、Defender for Office 365 でのフィッシング対応 (Submissions・Threat Explorer・Tenant Allow/Block List)、Threat Intelligence (TI) の活用 (Microsoft Defender Threat Intelligence・TAXII フィード・Indicators of Compromise)。

実機経験のない受験者にとってこのドメインが最大の関門で、可能であれば実際の SOC 環境または検証環境で Sentinel のインシデント対応フローを 5-10 件触っておくと点数が大きく変わります。

ドメイン 4: 脅威ハンティングの実施 (15-20%)

既知のアラートに頼らず未知の脅威を能動的に探索するスキルを扱うドメインです。 中心は Sentinel Hunting Query (KQL で書かれた仮説検証クエリ)、Notebooks (Jupyter) による高度な調査 (Microsoft Sentinel ML notebooks の活用)、Bookmarks による調査中のクエリ結果保存、Livestream による継続的なクエリ実行、Defender XDR Advanced Hunting (M365 / Defender データへの KQL アクセス)、MITRE ATT&CK マッピング (Tactics / Techniques による Hunting 設計)。 Hunting は『Indicators of Attack (IoA)』ベースの能動的な脅威発見手法で、SOC のレベルを 1 段引き上げる重要スキルとして位置付けられています。

必須スキル: KQL (Kusto Query Language)

Microsoft Sentinel と Defender XDR Advanced Hunting のすべてのクエリは KQL で書かれます。 最低限必要な構文: project・extend・summarize・where・join・union・parse・extract・mv-expand・bin・ago・now・make-set・dcount。 SQL を書ける人なら数日でキャッチアップ可能で、文法は SQL より簡潔。学習リソースは Microsoft Learn の『Write your first query with Kusto Query Language』モジュールと、Azure-Sentinel GitHub リポジトリ の Detection / Hunting Query を 30-50 個読解 + 改変するのが王道です。

3-4 ヶ月の合格ロードマップ

SOC 経験 1-3 年 + Azure 基礎を想定した 3 ヶ月プランです。Month 1: SC-900 の復習 + Microsoft Learn の SC-200 学習パス (Defender XDR 編) を消化、Defender for Endpoint・Defender for Office 365 のポータル UI に習熟。Month 2: Sentinel Workspace を構築、データコネクタを 5 種類有効化、Analytics Rule を 5 個、Playbook を 1 個、KQL Hunting Query を 10 個書く。Month 3: インシデント対応シナリオを 5-10 件演習、Threat Hunting と MITRE ATT&CK マッピング、公式 Practice Assessment を 80% 取れるまで反復。 SOC 未経験者は前段に SC-900 と SIEM 基礎の学習を 1-2 ヶ月置いて、合計 4-5 ヶ月計画が現実的です。

SC-200 の次に何を目指すか

セキュリティ系を網羅するなら SC-300 (Identity and Access Administrator)・SC-400 (Information Protection Administrator) との二刀流が定番。SC-100 (Cybersecurity Architect Expert) で上位の戦略・アーキテクチャレイヤへ昇格、SC-500 (旧 AZ-500 後継、2026 年 9 月 GA 予定) で Azure セキュリティ実装の網羅。 SC-200 と SC-300 の使い分け詳細は『SC-200 vs SC-300 完全比較』で扱っています。 Microsoft 外の認定では、CompTIA Security+・CISSP・GIAC GCIA / GCFA・OffSec OSCP との二刀流が SOC / Red Team 転職市場で高く評価されます。 事業会社の社内 SOC アナリストを目指すなら SC-200 + SC-300 + SC-100 の 3 本セット、MSSP / コンサル系を目指すなら SC-200 + CISSP の組み合わせが有力です。

よくある質問

本記事の試験情報は Microsoft Learn 公式 SC-200 ページ および公式 Study Guide に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure、Microsoft Sentinel、Microsoft Defender、Microsoft Entra は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。