SC-200T00-A - Microsoft Security Operations Analyst

Tổng quan

Thời lượng: 4.0 ngày

Tìm hiểu cách điều tra, đối phó và tìm kiếm các mối đe dọa bằng Microsoft Azure Sentinel, Azure Defender và Microsoft 365 Defender. Trong khóa học, bạn sẽ học cách giảm thiểu các mối đe dọa trực tuyến bằng cách sử dụng các công nghệ này. Cụ thể, bạn sẽ định cấu hình và sử dụng Azure Sentinel cũng như sử dụng Ngôn ngữ truy vấn Kusto (KQL) để thực hiện phát hiện, phân tích và báo cáo. Khóa học được thiết kế cho những người làm công việc Security Operations và giúp người học chuẩn bị cho kỳ thi SC-200: Microsoft Security Operations Analyst.

Mục tiêu

• Giải thích cách Microsoft Defender cho Endpoint có thể khắc phục rủi ro trong môi trường của bạn

• Quản trị Microsoft Defender cho môi trường Endpoint

• Định cấu hình quy tắc Attack Surface Reduction trên thiết bị Windows

• Thực hiện các tác vụ trên thiết bị bằng Microsoft Defender cho Endpoint

• Điều tra miền và địa chỉ IP trong Microsoft Defender cho Endpoint

• Điều tra tài khoản người dùng trong Microsoft Defender cho Endpoint

• Định cấu hình cài đặt cảnh báo trong Microsoft 365 Defender

• Giải thích mối đe dọa đang phát triển như thế nào

• Tiến hành săn tìm nâng cao trong Microsoft 365 Defender

• Quản lý sự cố trong Microsoft 365 Defender

• Giải thích cách Microsoft Defender for Identity có thể khắc phục rủi ro trong môi trường của bạn

• Điều tra cảnh báo DLP trong Microsoft Defender cho Cloud Apps

• Giải thích các loại hành động bạn có thể thực hiện trong trường hợp quản lý rủi ro nội bộ

• Định cấu hình cấp phép tự động trong Microsoft Defender cho Cloud Apps

• Cảnh báo khắc phục sự cố trong Microsoft Defender cho Cloud Apps

• Xây dựng báo cáo KQL

• Lọc các tìm kiếm dựa trên thời gian sự kiện, mức độ nghiêm trọng, miền và dữ liệu có liên quan khác bằng KQL

• Trích xuất dữ liệu từ các trường chuỗi không có cấu trúc bằng KQL

• Quản lý không gian làm việc Microsoft Sentinel

• Sử dụng KQL để truy cập danh sách theo dõi trong Microsoft Sentinel

• Quản lý các dấu hiệu mối đe dọa trong Microsoft Sentinel

• Giải thích sự khác biệt về  Common Event Format and Syslog connectors trong Microsoft Sentinel

• Kết nối Azure Windows Virtual Machines với Microsoft Sentinel

• Định cấu hình tác nhân Log Analytics để thu thập các sự kiện Sysmon

• Tạo các truy vấn và quy tắc phân tích mới bằng cách sử dụng trình hướng dẫn quy tắc phân tích

• Tạo một playbook để tự động hóa phản ứng sự cố

• Sử dụng các truy vấn để tìm kiếm các mối đe dọa

• Quan sát các mối đe dọa theo thời gian bằng tính năng phát trực tiếp

Nội dung

Mô-đun 1: Giảm thiểu các mối đe dọa bằng Microsoft 365 Defender

Phân tích dữ liệu về mối đe dọa trên các miền và khắc phục nhanh chóng các mối đe dọa với sự điều phối và tự động hóa tích hợp trong Microsoft 365 Defender. Tìm hiểu về các mối đe dọa an ninh mạng và cách các công cụ chống mối đe dọa mới của Microsoft bảo vệ người dùng, thiết bị và dữ liệu của tổ chức bạn. Sử dụng tính năng phát hiện nâng cao và khắc phục các mối đe dọa dựa trên danh tính để bảo vệ danh tính và ứng dụng Azure Active Directory của bạn khỏi bị xâm phạm.

Những bài học

• Giới thiệu về khả năng bảo vệ khỏi mối đe dọa với Microsoft 365
• Giảm thiểu sự cố bằng Microsoft 365 Defender
• Khắc phục rủi ro với Microsoft Defender cho Office 365
• Microsoft Defender for Identity
• Bảo vệ danh tính của bạn với Azure AD Identity Protection
• Microsoft Defender cho ứng dụng đám mây
• Trả lời cảnh báo ngăn ngừa mất dữ liệu bằng Microsoft 365
• Quản lý rủi ro nội bộ trong Microsoft 365

Lab: Giảm thiểu các mối đe dọa bằng Microsoft 365 Defender

• Khám phá Microsoft 365 Defender
• Sau khi hoàn thành học phần này, học viên sẽ có thể:
• Giải thích mối đe dọa đang phát triển như thế nào
• Quản lý sự cố trong Microsoft 365 Defender
• Tiến hành săn tìm nâng cao trong Microsoft 365 Defender
• Điều tra cảnh báo trong Microsoft 365 Defender
• Mô tả các tính năng điều tra và khắc phục của Azure Active Directory Identity Protection
• Giải thích cách Cloud Discovery giúp bạn biết những gì đang diễn ra trong tổ chức của mình

Mô-đun 2: Giảm thiểu các mối đe dọa bằng Microsoft Defender cho Endpoint

Triển khai nền tảng Microsoft Defender cho Endpoint để phát hiện, điều tra và ứng phó với các mối đe dọa nâng cao. Tìm hiểu cách Microsoft Defender cho Endpoint có thể giúp tổ chức của bạn giữ an toàn. Tìm hiểu cách triển khai môi trường Microsoft Defender cho Endpoint, bao gồm thiết bị tích hợp và định cấu hình bảo mật. Tìm hiểu cách điều tra sự cố và cảnh báo bằng Microsoft Defender cho Endpoint. Thực hiện săn tìm nâng cao và tham khảo ý kiến ​​của các chuyên gia về mối đe dọa. Bạn cũng sẽ học cách định cấu hình tự động hóa trong Microsoft Defender cho Endpoint bằng cách quản lý cài đặt môi trường. Cuối cùng, bạn sẽ tìm hiểu về các điểm yếu của môi trường bằng cách sử dụng Quản lý mối đe dọa và lỗ hổng trong Microsoft Defender cho Endpoint.

Những bài học

• Bảo vệ khỏi các mối đe dọa với Microsoft Defender cho Endpoint
• Triển khai Microsoft Defender cho môi trường Endpoint
• Triển khai các cải tiến bảo mật của Windows
• Thực hiện điều tra thiết bị
• Thực hiện các tác vụ trên thiết bị
• Thực hiện điều tra bằng chứng và thực thể
• Định cấu hình và quản lý tự động hóa
• Định cấu hình cho các cảnh báo và phát hiện
• Sử dụng quản lý mối đe dọa và lỗ hổng bảo mật

Lab: Giảm thiểu các mối đe dọa bằng Microsoft 365 Defender cho Endpoint

Triển khai Microsoft Defender cho Endpoint

Giảm thiểu các cuộc tấn công bằng cách sử dụng Defender cho Endpoint

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Xác định các khả năng của Microsoft Defender cho Endpoint
• Định cấu hình Microsoft Defender cho cài đặt môi trường Điểm cuối
• Định cấu hình quy tắc Giảm bề mặt tấn công trên thiết bị Windows
• Mô tả thông tin pháp y thiết bị được Microsoft Defender cho Endpoint thu thập
• Tiến hành thu thập dữ liệu pháp y bằng Microsoft Defender cho Endpoint
• Điều tra tài khoản người dùng trong Microsoft Defender cho Endpoint
• Quản lý cài đặt tự động hóa trong Microsoft Defender cho Endpoint
• Quản lý các chỉ báo trong Microsoft Defender cho Endpoint
• Mô tả quản lý mối đe dọa và lỗ hổng bảo mật trong Microsoft Defender cho Endpoint

Mô-đun 3: Giảm thiểu các mối đe dọa bằng Microsoft Defender cho Đám mây

Sử dụng Microsoft Defender cho đám mây, cho Azure, đám mây kết hợp, bảo vệ và bảo mật khối lượng công việc tại chỗ. Tìm hiểu mục đích của Microsoft Defender cho Đám mây và cách kích hoạt nó. Bạn cũng sẽ tìm hiểu về các biện pháp bảo vệ và phát hiện, được cung cấp bởi Microsoft Defender for Cloud cho mỗi khối lượng công việc trên đám mây. Tìm hiểu cách bạn có thể thêm các tính năng của Microsoft Defender for Cloud vào môi trường kết hợp của mình.

Những bài học

• Lập kế hoạch bảo vệ khối lượng công việc trên đám mây bằng Microsoft Defender for Cloud
• Bảo vệ khối lượng công việc trong Microsoft Defender cho Đám mây
• Kết nối nội dung Azure với Microsoft Defender for Cloud
• Kết nối các tài nguyên không phải Azure với Microsoft Defender for Cloud
• Khắc phục các cảnh báo bảo mật bằng Microsoft Defender for Cloud

Lab: Giảm thiểu các mối đe dọa bằng Microsoft Defender cho Đám mây

Triển khai Microsoft Defender cho đám mây

Giảm thiểu các cuộc tấn công bằng Microsoft Defender cho đám mây

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Mô tả các tính năng của Microsoft Defender for Cloud
• Giải thích khối lượng công việc nào được bảo vệ bởi Microsoft Defender for Cloud
• Giải thích cách hoạt động của Microsoft Defender cho các biện pháp bảo vệ trên đám mây
• Định cấu hình cấp phép tự động trong Microsoft Defender cho Đám mây
• Mô tả cấp phép thủ công trong Microsoft Defender for Cloud
• Kết nối các máy không phải Azure với Microsoft Defender for Cloud
• Mô tả cảnh báo trong Microsoft Defender for Cloud
• Cảnh báo khắc phục sự cố trong Microsoft Defender for Cloud
• Tự động hóa phản hồi trong Microsoft Defender for Cloud

Mô-đun 4: Tạo truy vấn cho Microsoft Sentinel bằng Ngôn ngữ truy vấn Kusto (KQL)

Viết các câu lệnh Kusto Query Language (KQL) để truy vấn dữ liệu nhật ký nhằm thực hiện phát hiện, phân tích và báo cáo trong Microsoft Sentinel. Mô-đun này sẽ tập trung vào các toán tử được sử dụng nhiều nhất. Các câu lệnh KQL ví dụ sẽ giới thiệu các truy vấn bảng liên quan đến bảo mật. KQL là ngôn ngữ truy vấn được sử dụng để thực hiện phân tích dữ liệu nhằm tạo phân tích, sổ làm việc và thực hiện tìm kiếm trong Microsoft Sentinel. Tìm hiểu cách cấu trúc câu lệnh KQL cơ bản cung cấp nền tảng để xây dựng các câu lệnh phức tạp hơn. Tìm hiểu cách tóm tắt và trực quan hóa dữ liệu bằng một tuyên bố KQL cung cấp nền tảng để xây dựng tính năng phát hiện trong Microsoft Sentinel. Tìm hiểu cách sử dụng Ngôn ngữ truy vấn Kusto (KQL) để thao tác dữ liệu chuỗi được nhập từ nguồn nhật ký.

Những bài học

• Xây dựng các câu lệnh KQL cho Microsoft Sentinel
• Phân tích kết quả truy vấn bằng KQL
• Tạo các câu lệnh nhiều bảng bằng KQL
• Làm việc với dữ liệu chuỗi bằng cách sử dụng câu lệnh KQL

Lab: Tạo truy vấn cho Microsoft Sentinel bằng Ngôn ngữ truy vấn Kusto (KQL)

Tạo truy vấn cho Microsoft Sentinel bằng Ngôn ngữ truy vấn Kusto (KQL)

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Xây dựng báo cáo KQL
• Tìm kiếm tệp nhật ký cho các sự kiện bảo mật bằng KQL
• Lọc các tìm kiếm dựa trên thời gian sự kiện, mức độ nghiêm trọng, miền và dữ liệu có liên quan khác bằng KQL
• Tổng hợp dữ liệu bằng cách sử dụng các câu lệnh KQL
• Hiển thị hình ảnh bằng cách sử dụng các câu lệnh KQL
• Trích xuất dữ liệu từ các trường chuỗi không có cấu trúc bằng KQL
• Trích xuất dữ liệu từ dữ liệu chuỗi có cấu trúc bằng KQL
• Tạo các hàm bằng KQL

Mô-đun 5: Định cấu hình môi trường Microsoft Sentinel của bạn

Bắt đầu với Microsoft Sentinel bằng cách định cấu hình đúng không gian làm việc Microsoft Sentinel. Hệ thống quản lý sự kiện và thông tin bảo mật truyền thống (SIEM) thường mất nhiều thời gian để thiết lập và cấu hình. Chúng cũng không nhất thiết phải được thiết kế với khối lượng công việc đám mây. Microsoft Sentinel cho phép bạn bắt đầu nhanh chóng nhận được thông tin chi tiết về bảo mật có giá trị từ đám mây và dữ liệu tại chỗ. Mô-đun này giúp bạn bắt đầu. Tìm hiểu về kiến ​​trúc của không gian làm việc Microsoft Sentinel để đảm bảo bạn định cấu hình hệ thống của mình để đáp ứng các yêu cầu về hoạt động bảo mật của tổ chức. Là một Nhà phân tích hoạt động bảo mật, bạn phải hiểu các bảng, trường và dữ liệu được nhập vào không gian làm việc của mình. Tìm hiểu cách truy vấn bảng dữ liệu được sử dụng nhiều nhất trong Microsoft Sentinel.

Những bài học

• Giới thiệu về Microsoft Sentinel
• Tạo và quản lý không gian làm việc Microsoft Sentinel
• Nhật ký truy vấn trong Microsoft Sentinel
• Sử dụng danh sách theo dõi trong Microsoft Sentinel
• Tận dụng thông tin về mối đe dọa trong Microsoft Sentinel

Lab: Định cấu hình môi trường Microsoft Sentinel của bạn

Định cấu hình môi trường Microsoft Sentinel của bạn

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Xác định các thành phần và chức năng khác nhau của Microsoft Sentinel.
• Xác định các trường hợp sử dụng mà Microsoft Sentinel sẽ là một giải pháp tốt.
• Mô tả kiến ​​trúc không gian làm việc của Microsoft Sentinel
• Cài đặt không gian làm việc Microsoft Sentinel
• Quản lý không gian làm việc Microsoft Sentinel
• Tạo danh sách theo dõi trong Microsoft Sentinel
• Sử dụng KQL để truy cập danh sách theo dõi trong Microsoft Sentinel
• Quản lý các chỉ báo mối đe dọa trong Microsoft Sentinel
• Sử dụng KQL để truy cập các chỉ báo mối đe dọa trong Microsoft Sentinel

Mô-đun 6: Kết nối nhật ký với Microsoft Sentinel

Kết nối dữ liệu ở quy mô đám mây trên tất cả người dùng, thiết bị, ứng dụng và cơ sở hạ tầng, cả tại chỗ và trên nhiều đám mây với Microsoft Sentinel. Phương pháp chính để kết nối dữ liệu nhật ký là sử dụng các trình kết nối dữ liệu do Microsoft Sentinel cung cấp. Mô-đun này cung cấp tổng quan về các đầu nối dữ liệu có sẵn. Bạn sẽ được tìm hiểu về các tùy chọn cấu hình và dữ liệu được cung cấp bởi các trình kết nối Microsoft Sentinel cho Microsoft 365 Defender.

Những bài học

• Kết nối dữ liệu với Microsoft Sentinel bằng trình kết nối dữ liệu
• Kết nối các dịch vụ của Microsoft với Microsoft Sentinel
• Kết nối Microsoft 365 Defender với Microsoft Sentinel
• Kết nối máy chủ Windows với Microsoft Sentinel
• Kết nối Common Event Format logs với Microsoft Sentinel
• Kết nối các nguồn dữ liệu nhật ký hệ thống với Microsoft Sentinel
• Kết nối các chỉ báo mối đe dọa với Microsoft Sentinel

Lab: Kết nối nhật ký với Microsoft Sentinel

Kết nối dữ liệu với Microsoft Sentinel bằng trình kết nối dữ liệu

Kết nối thiết bị Windows với Microsoft Sentinel bằng trình kết nối dữ liệu

Kết nối máy chủ Linux với Microsoft Sentinel bằng trình kết nối dữ liệu

Kết nối thông tin về mối đe dọa với Microsoft Sentinel bằng trình kết nối dữ liệu

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Giải thích việc sử dụng trình kết nối dữ liệu trong Microsoft Sentinel
• Giải thích sự khác biệt về Common Event Format and Syslog connector trong Microsoft Sentinel
• Kết nối các trình kết nối dịch vụ của Microsoft
• Giải thích cách trình kết nối tự động tạo sự cố trong Microsoft Sentinel
• Kích hoạt trình kết nối Microsoft 365 Defender trong Microsoft Sentinel
• Kết nối Máy ảo Windows Azure với Microsoft Sentinel
• Kết nối máy chủ Windows không phải Azure với Microsoft Sentinel
• Định cấu hình tác nhân Log Analytics để thu thập các sự kiện Sysmon
• Giải thích các tùy chọn triển khai Common Event Format connector trong Microsoft Sentinel
• Định cấu hình trình kết nối TAXII trong Microsoft Sentinel
• Xem các chỉ báo về mối đe dọa trong Microsoft Sentinel
•  

Mô-đun 7: Tạo phát hiện và thực hiện điều tra bằng Microsoft Sentinel

Phát hiện các mối đe dọa đã được phát hiện trước đó và nhanh chóng xử lý các mối đe dọa với tính năng điều phối và tự động hóa tích hợp trong Microsoft Sentinel. Bạn sẽ học cách tạo sách phát Microsoft Sentinel để ứng phó với các mối đe dọa bảo mật. Bạn sẽ điều tra quản lý sự cố của Microsoft Sentinel, tìm hiểu về các sự kiện và thực thể của Microsoft Sentinel, đồng thời khám phá các cách giải quyết sự cố. Bạn cũng sẽ học cách truy vấn, trực quan hóa và giám sát dữ liệu trong Microsoft Sentinel.

Những bài học

• Phát hiện mối đe dọa với Microsoft Sentinel analytics
• Quản lý sự cố bảo mật trong Microsoft Sentinel
• Đối phó với mối đe dọa với sách chơi Microsoft Sentinel
• Phân tích hành vi người dùng và tổ chức trong Microsoft Sentinel
• Truy vấn, trực quan hóa và giám sát dữ liệu trong Microsoft Sentinel

Lab: Tạo phát hiện và thực hiện điều tra bằng Microsoft Sentinel

Kích hoạt quy tắc Bảo mật của Microsoft

Tạo Playbook

Tạo một truy vấn đã lên lịch

Hiểu mô hình phát hiện

Tiến hành các cuộc tấn công

Tạo phát hiện

Điều tra sự cố

Tạo sổ làm việc

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Giải thích tầm quan trọng của Microsoft Sentinel Analytics.
• Tạo quy tắc từ các mẫu.
• Quản lý các quy tắc với các sửa đổi.
• Giải thích các khả năng của Microsoft Sentinel SOAR.
• Tạo một playbook để tự động hóa phản ứng sự cố.
• Điều tra và quản lý giải quyết sự cố.
• Giải thích Phân tích hành vi người dùng và pháp nhân trong Microsoft Sentinel
• Khám phá các thực thể trong Microsoft Sentinel
• Trực quan hóa dữ liệu bảo mật bằng cách sử dụng sổ làm việc Microsoft Sentinel.

Mô-đun 8: Thực hiện săn tìm mối đe dọa trong Microsoft Sentinel

Trong mô-đun này, bạn sẽ học cách chủ động xác định các hành vi đe dọa bằng cách sử dụng các truy vấn Azure Sentinel. Bạn cũng sẽ học cách sử dụng dấu trang và phát trực tiếp để tìm kiếm các mối đe dọa. Bạn cũng sẽ học cách sử dụng sổ ghi chép trong Azure Sentinel để săn tìm nâng cao.

Những bài học

• Các khái niệm săn tìm mối đe dọa trong Microsoft Sentinel
• Săn lùng mối đe dọa với Microsoft Sentinel
• Tìm kiếm các mối đe dọa bằng cách sử dụng sổ ghi chép trong Microsoft Sentinel

Lab: Săn lùng mối đe dọa trong Microsoft Sentinel

Thực hiện săn tìm mối đe dọa trong Microsoft Sentinel

Săn lùng mối đe dọa bằng máy tính xách tay với Microsoft Sentinel

Sau khi hoàn thành học phần này, học viên sẽ có thể:

• Mô tả các khái niệm săn tìm mối đe dọa để sử dụng với Microsoft Sentinel
• Xác định giả thuyết săn tìm mối đe dọa để sử dụng trong Microsoft Sentinel
• Sử dụng các truy vấn để tìm kiếm các mối đe dọa.
• Quan sát các mối đe dọa theo thời gian bằng tính năng phát trực tiếp.
• Khám phá các thư viện API để tìm kiếm mối đe dọa nâng cao trong Microsoft Sentinel
• Tạo và sử dụng sổ ghi chép trong Microsoft Sentinel

Kiến thức khuyến nghị

Nhà phân tích hoạt động bảo mật của Microsoft cộng tác với các bên liên quan của tổ chức để bảo mật hệ thống công nghệ thông tin cho tổ chức. Mục tiêu của họ là giảm thiểu rủi ro tổ chức bằng cách nhanh chóng khắc phục các cuộc tấn công đang hoạt động trong môi trường, tư vấn về các cải tiến đối với các biện pháp bảo vệ mối đe dọa và chuyển các vi phạm chính sách của tổ chức cho các bên liên quan thích hợp.

Các trách nhiệm bao gồm quản lý, giám sát và ứng phó với mối đe dọa bằng cách sử dụng nhiều giải pháp bảo mật trong môi trường của họ. Vai trò chủ yếu là điều tra, đối phó và tìm kiếm các mối đe dọa bằng cách sử dụng Microsoft Sentinel, Microsoft Defender for Cloud, Microsoft 365 Defender và các sản phẩm bảo mật của bên thứ ba. Vì Nhà phân tích hoạt động bảo mật sử dụng đầu ra hoạt động của các công cụ này, họ cũng là một bên liên quan quan trọng trong việc cấu hình và triển khai các công nghệ này.

Điều kiện tiên quyết

Hiểu biết cơ bản về Microsoft 365

Hiểu biết cơ bản về các sản phẩm bảo mật, tuân thủ và nhận dạng của Microsoft

Hiểu biết sơ cấp về Windows 10

Quen thuộc với các dịch vụ Azure, cụ thể là Cơ sở dữ liệu Azure SQL và Lưu trữ Azure

Làm quen với máy ảo Azure và mạng ảo

Hiểu biết cơ bản về các khái niệm kịch bản.

Chứng nhận

Microsoft Certified: Security Operations Analyst Associate