SC-200J 試験問題を無料オンラインアクセス

デフォルトのデータ保持期間が30日間に設定されているMicrosoft Sentinelワークスペースがあります。このワークスペースには、次の表に示す2つのカスタムテーブルが含まれています。

過去365日間、各テーブルは1日あたり2件のレコードを取り込んだ。
分析ルールで使用するKQLステートメントは、次の表に示すように作成します。

以下の各記述について、正しい場合は「はい」を選択してください。そうでない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。

正解：

注: この質問は、同じシナリオを示す一連の質問の一部です。このシリーズの各質問には、指定された目標を達成できる可能性のある独自の解決策が含まれています。一部の質問セットには複数の正しい解決策が含まれる場合がありますが、他の質問セットには正しい解決策がない場合があります。
このセクションの質問に回答すると、その質問に戻ることはできません。そのため、これらの質問はレビュー画面には表示されません。
Azure Sentinel を構成しています。
悪意のある IP アドレスからの Azure 仮想マシンへのサインインが検出された場合は、Azure Sentinel でインシデントを作成する必要があります。
解決策: データ コネクタ用の Microsoft インシデント作成ルールを作成します。
これは目標を達成していますか?

• A.はい
• B.いいえ

以下のKQLクエリを含むカスタム検出ルールがあります。

以下の各項目について、該当する場合は「はい」を選択してください。該当しない場合は「いいえ」を選択してください。
注：正解ごとに1ポイントが加算されます。

正解：

Explanation:

あなたはMicrosoft 365 E5のサブスクリプションをお持ちです。
サードパーティ製のウイルス対策ソフトがインストールされ、Microsoft Defenderウイルス対策ソフトがパッシブモードで動作しているWindowsデバイスが1,000台あります。
すべてのWindowsデバイスは、Microsoft Defender for Endpointに登録されています。
サードパーティ製のウイルス対策製品では検出されなかった悪意のあるファイルからデバイスが保護されていることを確認する必要があります。
解決策：ライブレスポンスを有効にします。
これは目標を達成していると言えるでしょうか？

• A.はい
• B.いいえ

Microsoft Sentinelワークスペースをお持ちです。
以下の要件を満たすプレイブックを作成する必要があります。
* 自動化ルールを使用して、エンティティに対するアクションをトリガーします。
* エンティティ - ホストの取得アクションを呼び出します。
どのタイプのプレイブックを使用すべきか、またどのパラメータを指定すべきか？回答欄で適切なオプションを選択してください。
注：正解ごとに1ポイントが加算されます。

正解：

Explanation:

Automation rules in Microsoft Sentinel cannot invoke playbooks that start with the entity trigger; the recommended and supported pattern is to use an incident-triggered playbook because an incident object contains the alerts and the incident's entities. When an automation rule runs a playbook using the When a response to an Microsoft Sentinel incident is triggered (incident trigger), the playbook receives the full incident payload, including the entities array. That incident payload is what allows the logic app to enumerate entities and call the Entities - Get Hosts action for each entity found in the incident.
To ensure the playbook gets the entities and their detailed data needed by the Entities - Get Hosts action, you must configure the automation rule to pass the full incident properties (not just minimal alert fields). In the Run playbook action parameters, choose the option that provides the Alert + Full incident properties (i.e., the full incident object including entities). This guarantees the playbook has the entity objects to feed into the Entities - Get Hosts connector action so it can resolve the hosts related to those entities.
Therefore: use an incident-triggered playbook and pass Alert and FullIncidentProperties so the playbook can call Entities - Get Hosts successfully.