見出し画像

Day 14｜MSのセキュリティエキスパート資格 SC-100 を本気で攻略する日々

みこと

ロングボウしか連想できない製品、Sentinel

2/28の試験本番に向けて、今日も一歩ずつ進めていきます。
今日はみんな大好きSentinelの範囲！
私はこの製品名を見るたびどうしても例のFPSゲーム内に出てくるアイテムしか出てこないです笑

早速見ていきましょ！


1. はじめに：自己紹介と攻略の背景

こんにちは、大阪でITインフラエンジニアをしている みこと です。

これまで、Python 3 エンジニア認定基礎試験、Microsoftの資格（AZ-305 / 700、MD102、MS102、SC-200 ）やOracle Bronzeなどを取得し、一歩ずつステップアップしてきました。
そんな私が次に選んだ資格は、SC-100（Microsoft Cybersecurity Architect） です。

Microsoft製品を軸にしたサイバーセキュリティ設計のエキスパート資格。設計思想・ゼロトラスト・インシデント対応など、「広く・本質を押さえる設計力」が問われる難関ですが、2/28に合格します！

2. なぜ「SC-100」なのか？（目的）


私がこの資格にこだわる理由は3つの「提供したい価値」があるからです。

  • 自己ブランディングの強化
    「インフラもわかるし、セキュリティ設計もできる」エンジニアとしての立ち位置を確立したい。

  • クライアントへの価値提供
    現場でベストプラクティスに基づいた、根拠ある提案ができる存在になりたい。

  • 教育・トレーナーとしての貢献
    現在、常駐先で不足しているセキュリティ人材を育成し、チーム全体の底上げに貢献したい。

3. 合格までのロードマップ


現在は「プラクティス評価（練習問題）」を回しながら、知識の解像度を上げている段階です。

  • Step 1： プラクティス評価の正答率を9割へ

  • Step 2： 動画講座を活用し、自分専用の「最強の教科書」を作成（← イマココ！）

  • Step 3： 解説を熟読し、設計思想を体に叩き込む

  • Step 4： 一度試験を受け、自分の弱点を可視化する

  • Step 5： 伸びしろを徹底的に潰す

  • Goal： 2/28 SC-100 合格！

4. 今日の進捗

・今日の進捗はプラクティス評価50問×1。正答率92%。
　安定して9割とれてますね
・動画視聴　57→87/317[動画]

5. 今日の学び

今日は Microsoft Sentinel の中でも、特に運用効率を大きく向上させる領域である 自動化（Automation）と高度検知（Fusion / UEBA / ML 行動分析） についてです。

■ Sentinel の自動化は「Automation Rules × Playbooks」

Sentinel の自動化は、次の2つのレイヤーで構成されています。

● Automation Rules（軽い自動化）

  • Sentinel のネイティブ機能

  • インシデント発生時の 初期トリアージを自動化

  • 担当者割り当て、タグ付け、ステータス変更、Playbook 起動などが可能

  • “最初の反応”を標準化し、SOC の負荷を大幅に軽減

● Playbooks（高度な自動化 / SOAR）

  • 実体は Azure Logic Apps です

  • 外部サービス連携や複雑な処理を自動化します

  • Teams 通知、ServiceNow チケット作成、Defender 連携などが可能です

  • Automation Rules と組み合わせることで、強力な自動化パイプラインが構築できます

自動対応のフローは以下
インシデント → Automation Rule → Playbook → Logic Apps → 自動対応

■ Fusion：Microsoft の相関エンジンで多段階攻撃を検知します

  • Microsoft が提供する 120以上の検知シナリオを活用します

  • Entra、Defender、IoT、M365 など複数ソースを横断的に相関します

  • 単一ログでは見えない 多段階攻撃（Kill Chain） を検知します

  • ワークスペースに 1つだけ作成可能です

“Microsoft に検知ロジックを任せる” という考え方が印象的でした。

■ ML Behavior Analytics：RDP/SSH の異常行動を検知

  • RDP / SSH のログイン行動に特化した ML モデルです

  • 検知する異常は以下の3種類です

    • 異常な IP

    • 異常な Geo

    • 新規ユーザー × 新規 IP/Geo

  • ルールは最大 2 つ（RDP 用・SSH 用）です

  • 有効化後 7日間のベースライン学習期間が必要です

“異常＝悪意ではないが、攻撃の初期兆候になり得る” という視点が重要

■ UEBA：ユーザーやリソースの行動プロファイルから逸脱を検知

  • 大量のイベントから “干し草の山の中の針” を探す仕組みです

  • Geo、Blast Radius、Threat Indicators、Host IP などを学習します

  • Entra のユーザーも対象に含められます

  • 検知されたアノマリーは Sentinel のインシデント調査で活用できます

高度な検知と自動化が組み合わさることで、SOC の強さが一気に増すしますね

6. 所感

CSIRT案件入ってすぐ位に知りたかった！！笑
Sentinelわからなさ過ぎて当時は片っ端からDocsあさりましたね、、、懐かしいです。

合格まで残り8日。大阪のエンジニアとして、泥臭く、かつ楽しみながら駆け抜けます！


いいなと思ったら応援しよう！