- SC-200 er relevant for sikkerhedsfolk, der arbejder med Microsoft Sentinel, Microsoft Defender, KQL og hændelsesrespons.
- Certificeringen passer bedst til roller tæt på daglig sikkerhedsdrift, ikke til ren compliance eller generel IT-support.
- Den største karriereværdi kommer, når certifikatet kombineres med dokumenteret hands-on erfaring fra labs, detektionsregler og undersøgelser.
SC-200 er Microsoft Security Operations Analyst-certificeringen for arbejde med sikkerhedsoperationer i Microsofts økosystem. Denne artikel beskriver certificeringen på et praktisk niveau og undgår faste eksamensvægte, priser og garantier, fordi Microsoft løbende kan ændre eksamensmålene. Før eksamen bookes, bør kandidaten kontrollere den officielle Microsoft Learn-side for Exam SC-200 og afsnittet Skills measured.
SC-200-certificeringen handler om sikkerhedsoperationer i Microsofts økosystem. Den er rettet mod personer, der skal opdage, undersøge og reagere på trusler ved hjælp af Microsoft Sentinel, Microsoft Defender-portalen, Microsoft Defender for Cloud og Kusto Query Language, som normalt forkortes KQL. Hvor en generel sikkerhedscertificering ofte tester brede begreber, ligger SC-200 tættere på det arbejde, der foregår i et Security Operations Center, ofte forkortet SOC.
Hvorfor SC-200 fylder mere i SOC-arbejdet
Mange danske og nordiske organisationer har allerede en betydelig Microsoft-tilstedeværelse gennem Microsoft 365, Entra ID, Defender-produkter og Azure. Det betyder ikke, at alle sikkerhedsmiljøer er rene Microsoft-miljøer, men det betyder, at mange SOC-teams skal kunne forstå Microsofts telemetri, alarmer og integrationsmuligheder. SC-200 er derfor praktisk relevant, fordi den træner arbejdsopgaver, som ofte ligger direkte i driften.
En vigtig udvikling er konsolideringen mellem SIEM og XDR. SIEM står for Security Information and Event Management og bruges til at indsamle, korrelere og analysere sikkerhedsdata. XDR står for Extended Detection and Response og samler signaler på tværs af identitet, endpoint, mail, cloud og applikationer. I praksis betyder det, at en analytiker ikke længere kun kigger på enkeltstående alarmer, men skal kunne følge en hændelse på tværs af flere datakilder og produkter.
Det er netop her, SC-200 kan være mere anvendelig end et rent teoretisk sikkerhedskursus. Eksamen tester ikke bare kendskab til begreber som phishing, malware og privilegieeskalering. Den lægger vægt på, hvordan en analytiker arbejder med hændelser, forespørgsler, detektionslogik, anbefalinger og respons i Microsofts sikkerhedsværktøjer.
Hvad SC-200 faktisk måler
Microsofts rollebetegnelse for certificeringen er Security Operations Analyst Associate. Rollen samarbejder med andre interessenter om at beskytte organisationens systemer, reducere risiko og håndtere aktive trusler. En tidligere Microsoft-beskrivelse af rollen kan ses via denne SC-200-læringssti, men eksamenskandidater bør altid kontrollere den aktuelle Microsoft Learn-side, før de planlægger deres forberedelse.
Indholdet kredser især om fire praktiske kompetencer. Kandidaten skal kunne konfigurere og bruge Microsoft Sentinel som cloudbaseret SIEM, forstå Microsoft Defender-produkternes signaler, undersøge og reagere på hændelser samt bruge KQL til at finde mønstre i logdata. Det er ikke nok at kende menunavne. En stærk kandidat kan forklare, hvorfor en alarm er vigtig, hvilke data der understøtter vurderingen, og hvordan en respons kan gennemføres uden at skabe unødig driftsrisiko.
Det gør KQL til en central færdighed. Mange undervurderer, hvor meget forskel der er på at kunne klikke sig frem til en alarm og at kunne skrive en brugbar forespørgsel. KQL bruges til hunting, validering af detektioner og analyse af hændelser, hvor standardvisningerne ikke giver hele svaret. En kandidat, der kun øver brugerfladen, får ofte et svagt fundament til både eksamen og jobbet bagefter.
En anden undervurderet del er MITRE ATT&CK-konteksten. SC-200 kræver ikke, at kandidaten kan gengive alle teknikker udenad, men en SOC-analytiker skal kunne tænke i angrebskæder. En mistænkelig login-hændelse, et endpoint-signal og en cloud-anbefaling giver først værdi, når de sættes ind i en samlet forståelse af initial adgang, lateral bevægelse, persistence og exfiltration.
Sådan bør forberedelsen bygges op
Den mest robuste forberedelse starter ikke med eksamensspørgsmål. Den starter med et lab, hvor kandidaten kan se data flyde ind, undersøge alarmer og ændre detektionslogik uden at påvirke produktion. Et hjemmelab behøver ikke efterligne et fuldt enterprise-miljø, men det bør være realistisk nok til, at arbejdsprocesserne ligner en SOC-hverdag.
Et praktisk lab kan bygges omkring Microsoft Sentinel med udvalgte datakilder, eksempelvis Entra ID-signaler, Defender for Endpoint-hændelser, Defender for Cloud-anbefalinger og relevante Azure-aktivitetslogs. Det vigtige er ikke antallet af kilder, men at kandidaten lærer, hvad hver kilde fortæller, hvilke felter der er nyttige i KQL, og hvordan en hændelse undersøges fra første alarm til dokumenteret konklusion.
En fornuftig læringsrækkefølge er først at forstå Sentinel-arbejdsområdet, datakonnektorer og analytics rules. Derefter bør kandidaten arbejde med incident management, entity mapping og automatisering. Når grundlaget er på plads, giver det mening at gå dybere i hunting, workbooks og response-handlinger på tværs af Defender-produkterne. Den rækkefølge efterligner, hvordan nye SOC-analytikere typisk udvikler sig fra triage til mere selvstændig analyse.
Readynez kan indgå som struktureret støtte for kandidater, der vil samle teori, labs og eksamensforberedelse i et samlet forløb, men det ændrer ikke på hovedprincippet: SC-200 læres bedst ved at udføre opgaverne. Læsning alene gør det vanskeligt at forstå, hvorfor en forespørgsel returnerer bestemte hændelser, eller hvordan en respons påvirker en bruger, en enhed eller en cloudressource.
Et godt evalueringspunkt før eksamen er, om kandidaten kan gennemføre en hel hændelseslivscyklus uden at støtte sig til en facitliste. Det betyder at identificere alarmen, vurdere alvorligheden, finde relaterede entities, skrive eller tilpasse en KQL-forespørgsel, dokumentere fund og vælge en passende respons. Hvis forberedelsen kun består af løsrevne emner, bliver både eksamen og praksis sværere.
Følgende KQL-eksempel viser den type tænkning, der er nyttig i både lab og daglig drift. Formålet er ikke at lære en bestemt forespørgsel udenad, men at forstå, hvordan tidsvindue, projektering og filtrering bruges til at undersøge mistænkelig loginaktivitet.
Example — Find mislykkede logins efter bruger og placering
SigninLogs
| where TimeGenerated > ago(24h)
| where ResultType != 0
| summarize FailedAttempts = count() by UserPrincipalName, IPAddress, Location
| where FailedAttempts > 5
| order by FailedAttempts desc
Forespørgslen samler mislykkede loginforsøg over det seneste døgn og grupperer dem efter bruger, IP-adresse og placering. I et lab bør kandidaten derefter undersøge, om mønstret skyldes brugerfejl, password spraying, geografisk afvigelse eller en kendt legitim applikation. Den læring er mere værdifuld end selve syntaksen, fordi den forbinder KQL med triage og beslutningstagning.
Hyppige faldgruber i SC-200-forberedelse
Den første faldgrube er at behandle SC-200 som en produktgennemgang. Microsofts sikkerhedsplatform har mange knapper, portaler og indstillinger, men eksamen og jobbet kræver forståelse af formålet bag dem. En kandidat bør kunne forklare, hvornår en analytics rule skal justeres, hvorfor en incident bør sammenkædes med andre signaler, og hvornår automatisering bør bruges forsigtigt.
Den anden faldgrube er at springe KQL over, fordi brugerfladen virker tilstrækkelig. Det kan være nok til simple undersøgelser, men det begrænser analytikerens evne til at validere mistanker, bygge hunting-forespørgsler og skelne støj fra reelle signaler. I ansættelsessamtaler og praktiske opgaver lægger mange arbejdsgivere mere vægt på konkrete eksempler på Sentinel- og Defender-arbejde end på certifikatet alene.
Den tredje faldgrube er at træne hændelser som isolerede opgaver. En phishing-alarm, en mistænkelig proces og en cloud-konfigurationsrisiko bør ikke forstås som tre separate teorikort. De bør undersøges som mulige led i samme hændelse. Den tilgang hjælper både ved eksamen og i et SOC, hvor en analytiker ofte skal overdrage fund til incident responders, platformsteams eller ledelse.
Karriereværdi uden garantier
SC-200 kan styrke en sikkerhedsprofil, men den giver ikke i sig selv en jobgaranti. Dens værdi ligger i, at den dokumenterer et relevant arbejdsområde: sikkerhedsdrift på Microsoft-platformen. For en L1 SOC-analytiker kan den gøre triage mere struktureret. For en L2-analytiker kan den understøtte dybere undersøgelse og hunting. For en incident responder kan den skabe bedre sammenhæng mellem alarmer, beviser og kontrolleret respons.
Certificeringen er også relevant for MSSP-analytikere, der arbejder på tværs af flere kundemiljøer, hvor Microsoft Sentinel eller Defender indgår i værktøjsmixet. Her er governance særlig vigtigt. En analytiker skal forstå forskellen på at undersøge, anbefale og udføre ændringer, især når adgange, playbooks og responsrettigheder er adskilt mellem kunde og leverandør.
For teamledere kan SC-200 fungere som et fælles kompetencesprog. Når flere analytikere forstår Sentinel, Defender, KQL og hændelsesprocessen på samme måde, bliver det lettere at standardisere runbooks, forbedre detektionsregler og skabe mere ensartet dokumentation. Det er ofte her, certificeringen skaber organisatorisk værdi, fordi den kan omsættes til bedre driftspraksis.
SC-200, SC-300 eller SC-100?
SC-200 bliver ofte sammenlignet med andre Microsoft-sikkerhedscertificeringer, men de dækker forskellige ansvar. Valget bør afhænge af de opgaver, personen faktisk vil løse. Hvis arbejdet handler om alarmer, incidents, hunting og respons, peger retningen mod SC-200. Hvis ansvaret primært ligger i identitet, adgangsstyring og Conditional Access i Microsoft Entra ID, er SC-300 mere relevant. Hvis målet er strategisk sikkerhedsarkitektur på tværs af domæner, hører SC-100 typisk senere i kompetencestigen.
En praktisk progression kan derfor være at starte med SC-200 for SOC- og IR-nære roller, supplere med SC-300 hvis identitet er en stor del af organisationens risikobillede, og senere overveje SC-100 for arkitektroller. Den rækkefølge er ikke et krav, men den afspejler en naturlig bevægelse fra operationel analyse til bredere designansvar.
Metodik: hvordan anbefalingerne bør bruges
Anbefalingerne her bygger på en praktisk læsning af SC-200-rollen: først værktøjerne, derefter arbejdsprocesserne og til sidst den karrieremæssige anvendelse. Det betyder, at forberedelsen bør måles på opgaver, ikke kun på læste moduler. En kandidat bør kunne vise, hvordan en hændelse blev undersøgt, hvilken KQL der blev brugt, og hvorfor en bestemt respons var passende.
Det er også vigtigt at afgrænse SC-200 korrekt. Certificeringen gør ikke kandidaten til malware reverse engineer, GRC-specialist eller cloud security architect. Den styrker især arbejdet i og omkring sikkerhedsdrift, hvor Microsoft Sentinel og Defender-produkterne bruges til at opdage, undersøge og reagere på trusler. I multiværktøjs-miljøer er den mest værdifuld, når kandidaten samtidig forstår, hvordan Microsoft-signaler spiller sammen med andre logkilder, ticketingprocesser og organisatoriske beslutningsveje.
FAQ om SC-200-certificering
Hvem passer SC-200 bedst til?
SC-200 passer bedst til SOC-analytikere, incident responders, threat hunters og sikkerhedsfolk, der arbejder tæt på Microsoft Sentinel og Defender-produkterne. Den kan også være relevant for IT-profiler, der vil bevæge sig fra drift eller cloudadministration mod sikkerhedsoperationer.
Er SC-200 nok til at få et SOC-job?
Certificeringen kan styrke en ansøgning, men den bør ikke stå alene. Arbejdsgivere vil ofte se tegn på praktisk kunnen, eksempelvis labs, KQL-eksempler, forståelse af hændelsesprocesser og evnen til at forklare egne analyser klart.
Hvor meget KQL skal man kunne?
Kandidaten bør kunne skrive og tilpasse forespørgsler, filtrere relevante hændelser, aggregere data og bruge resultaterne i en undersøgelse. Det er sjældent nok kun at genkende KQL i teorien, fordi både hunting og triage kræver praktisk brug.
Hvordan holdes forberedelsen opdateret?
Den officielle Microsoft Learn-side for Exam SC-200 og afsnittet Skills measured bør være den primære kilde til aktuelle eksamensmål. Supplerende materialer kan være nyttige, men de bør kontrolleres mod Microsofts seneste eksamensbeskrivelse.
Fra certifikat til bedre sikkerhedsdrift
Den vigtigste gevinst ved SC-200 er ikke selve beviset, men den arbejdsdisciplin certificeringen kan understøtte. Kandidaten lærer at forbinde alarmer med data, data med analyse og analyse med en kontrolleret respons. Det er præcis den sammenhæng, der gør en SOC-analytiker værdifuld i et Microsoft-tungt sikkerhedsmiljø.
Et godt næste skridt er at bygge et lille, dokumenteret lab og bruge det som læringslog: hvilke datakilder blev tilkoblet, hvilke incidents blev undersøgt, hvilke KQL-forespørgsler blev skrevet, og hvilke beslutninger blev taget. Hvis der er brug for et mere struktureret forløb, kan Readynez hjælpe med SC-200-forberedelse, men den praktiske læring bør stadig ende i konkrete artefakter, som kan forklares i en driftssamtale eller jobsamtale. For a deeper dive, see Bedste PMP-forberedelseskurser: Din guide til at blive en.
