资源介绍
视频数量：25个
总时长：2小时29分
课程介绍：
微软SC-200安全运营分析师认证备考指南
凌晨两点，公司的安全监控平台上突然跳出一条红色告警。一台服务器的可疑登录行为触发了规则，数十次失败尝试之后终于成功登录。这个时间点、这台设备、这个账号——作为安全运营分析师，你必须快速判断：这是合法用户的异常行为，还是一次正在进行的攻击？
如果你想成为那个能在海量数据中精准识别威胁、快速响应安全事件的人，那么微软SC-200认证就是你的敲门砖。这门课程专门为那些希望进入安全运营领域、通过官方认证获得行业认可的学习者设计。用两个半小时，把整个微软安全防御体系的核心知识点全部梳理清楚。
课程从微软的安全全景图开始。很多人只知道微软有杀毒软件、有防火墙，但不清楚这家科技巨头已经构建起一套完整的企业级安全产品矩阵。Azure Active Directory（现更名为Microsoft Entra ID）、Microsoft Defender系列、Sentinel、Defender for Cloud……这些工具各自负责什么、彼此之间怎么联动、你在真实工作中会用到哪些功能模块，这些基础概念必须在学习具体技术之前搞清楚。课程第一部分就是要帮你建立这个宏观视野，让你知道每个工具在整体架构中的位置。
接下来的重头戏是Microsoft Defender XDR。这是微软统一的安全防御平台，涵盖了端点、身份、邮件等多个维度的保护。
先说端点保护。想象一下，你管理的网络中分布着几千台Windows设备，你怎么确保每一台都受到监控、都能在感染恶意软件的第一时间被发现？Defender for Endpoint就是解决这个问题的。你会学到设备是如何被接入平台的、接入后的配置有哪些关键步骤、发现了威胁之后怎么一步步完成响应流程。最后还有一个硬核内容——高级威胁狩猎。传统安全靠规则吃饭，但高级威胁猎人要自己写查询语句，主动在数据海洋中寻找可疑痕迹。这里用的就是KQL（Kusto查询语言），这是微软安全生态中贯穿始终的核心技能。
身份安全同样不可忽视。想想那些通过窃取员工账号密码进入企业网络的攻击者——钓鱼邮件、凭证泄露、内部横向移动，很多攻击的起点就是身份。Defender for Identity会监控你域控制器上的活动，用行为分析发现那些隐藏在正常流量中的恶意行为。课程会教你如何识别可疑的身份威胁告警，理解基于风险的访问控制是怎么工作的。
邮件安全是另一个每天都在战斗的战场。你的收件箱就是网络攻击者的主攻方向，钓鱼邮件、恶意附件、伪装链接，这些威胁几乎无处不在。Defender for Office 365提供了多层防护机制，你会在课程中学到它的架构原理、配置策略，更重要的是学会使用威胁资源管理器这个工具。当员工点击了“报告钓鱼邮件”按钮之后，分析师是怎么在几分钟内完成整个调查和响应流程的——这些实操细节会通过具体的调查演示呈现给你。
云安全是当下绕不开的话题。很多企业已经把核心业务迁移到了Azure，但云环境的安全配置稍有不慎就会导致数据泄露。Defender for Cloud承担了云安全态势管理的职责，它会持续评估你的资源配置，发现那些不符合安全最佳实践的设置，告诉你哪些地方需要加固。另外还有工作负载保护——你跑在云上的虚拟机、容器、数据库，它们各自面临什么威胁、怎么被监控保护。最后，如果你所在的组织正在推行DevOps，课程里还有专门一节讲如何把安全集成到开发流程中，让安全不再是流水线上的瓶颈。
说完检测和防护，接下来进入数据分析和自动化的部分，这就是Microsoft Sentinel登场的时候了。Sentinel是微软的云原生安全信息和事件管理平台，简单理解就是整个安全运营中心的大脑。它负责收集来自各个数据源的日志、通过规则分析这些数据找出异常、自动执行响应动作。
课程会带你理解Sentinel的整体架构和工作区模型，告诉你有哪些常见的数据连接器、怎么把防火墙、身份系统、终端设备的数据接进来。日志管理这块涉及到数据的保留策略、查询优化这些实际工作中必须考虑的问题。然后重点来了——KQL。前面在端点部分你已经接触过一些KQL查询，但在这里会把KQL作为一门独立技能深入讲解，从基础语法到复杂的数据关联、异常检测，帮你真正掌握这个查询语言。学会KQL之后，你就能自己写分析规则，而不是依赖厂商预置的模板。
再往上走一层是SOAR——安全编排自动化响应。真实的安全运营中，分析师每天会收到成百上千条告警，根本不可能逐条手动处理。Sentinel的Playbooks允许你把重复性的响应动作封装成自动化流程，比如发现恶意IP登录就自动封锁账号、检测到勒索软件行为就隔离受感染主机。课程会教你设计这些自动化剧本，理解什么时候该自动化、什么时候必须人工介入。
学完所有技术组件之后，课程最后安排了两个真实案例研究。第一个是勒索软件攻击响应——从最初的入口点发现、横向移动识别、加密行为检测，到最后的遏制和恢复，完整走一遍整个事件的生命周期。第二个案例更隐蔽，是一起内部威胁事件，攻击者利用离职员工的残留权限潜入系统、窃取敏感数据。这类案例的价值在于，它把前面学到的所有知识点串联起来，让你在一个完整的场景中理解安全运营的实际工作流程。
整门课程的信息量不小，但老师的讲解始终紧扣考试要点，每个模块都配有配套的学习资料。如果你正在准备SC-200认证考试，这门课程能帮你快速建立知识框架、抓住核心考点。如果你不是以考证为目标，只是想系统学习微软安全技术栈，这门课同样是很好的入门路径，把 Defender XDR、Sentinel、Defender for Cloud 这些组件串联起来讲解，比你一个一个去翻官方文档效率高得多。