見出し画像

Day 24｜MSのセキュリティエキスパート資格 SC-100 を本気で攻略する日々

みこと

デプロイ済みのクラウドリソースの弱点を改善するCSPM

3/21の試験本番に向けて、今日も一歩ずつ進めていきます。

今日は、CWP（Cloud Workload Protection）と Defender for Servers の深掘りが中心。 特に「OS レベルの脅威検知」「Windows / Linux のアラート」「SSH ブルートフォース攻撃」「JIT アクセス」について学びました。

早速見ていきましょ！


1. はじめに：自己紹介と攻略の背景

こんにちは、大阪でITインフラエンジニアをしている みこと です。

これまで、Python 3 エンジニア認定基礎試験、Microsoftの資格（AZ-305 / 700、MD102、MS102、SC-200 ）やOracle Bronzeなどを取得し、一歩ずつステップアップしてきました。
そんな私が次に選んだ資格は、SC-100（Microsoft Cybersecurity Architect） です。

Microsoft製品を軸にしたサイバーセキュリティ設計のエキスパート資格。設計思想・ゼロトラスト・インシデント対応など、「広く・本質を押さえる設計力」が問われる難関ですが、2/28に合格します！

2. なぜ「SC-100」なのか？（目的）


私がこの資格にこだわる理由は3つの「提供したい価値」があるからです。

  • 自己ブランディングの強化
    「インフラもわかるし、セキュリティ設計もできる」エンジニアとしての立ち位置を確立したい。

  • クライアントへの価値提供
    現場でベストプラクティスに基づいた、根拠ある提案ができる存在になりたい。

  • 教育・トレーナーとしての貢献
    現在、常駐先で不足しているセキュリティ人材を育成し、チーム全体の底上げに貢献したい。

3. 合格までのロードマップ


現在は「プラクティス評価（練習問題）」を回しながら、知識の解像度を上げている段階です。

  • Step 1： プラクティス評価の正答率を9割へ

  • Step 2： 動画講座を活用し、自分専用の「最強の教科書」を作成（← イマココ！）

  • Step 3： 解説を熟読し、設計思想を体に叩き込む

  • Step 4： 一度試験を受け、自分の弱点を可視化する

  • Step 5： 伸びしろを徹底的に潰す

  • Goal： 2/28 SC-100 合格！

4. 今日の進捗

・動画視聴　242/317[動画]

5. 今日の学び

■ CWP（Cloud Workload Protection）

CWP は、クラウドやオンプレのワークロードに対して リアルタイムの脅威検知と防御を提供する仕組み。 CSPM が「予防」なら、CWP は “攻撃が起きた瞬間に気づく” ことが役割。

対象は Azure だけでなく AWS / GCP / オンプレまで幅広く、 VM、Kubernetes、App Service、DB、ストレージなど、あらゆるワークロードをカバーする。

アラートは Alert Queue に集約され、

  • 重大度

  • 発生時刻

  • 影響範囲

  • MITRE ATT&CK のタクティクス などが紐づいて表示されるため、攻撃の全体像がつかみやすい。

■ Defender for Servers：MDE と同じ技術、違うのはライセンス

Defender for Servers は Defender for Endpoint と技術基盤は同じ。違うのはライセンスモデルだけ。

  • MDE：Per Seat

  • Defender for Servers：Per Hour（従量課金）


■ エージェント構成の整理

Defender for Servers では、サーバーの種類や配置場所によって必要なエージェントが変わる。

  • AMA：OS テレメトリ収集

  • MDE エージェント：EDR / AV / TVM

  • Guest Configuration：設定ベースライン

  • Azure Arc Agent：オンプレ・他クラウド接続

これらが Log Analytics Workspace にデータを集約し、Defender for Cloud の基盤となる。

■ Plan 1 / Plan 2 の違い

  • Plan 1：OS レベルの脅威検知が中心（これが最重要）

  • Plan 2：追加の高度機能が含まれる（明日以降の学習範囲）

■ OS レベルの脅威検知：AV と EDR の役割が明確に

  • AV：シグネチャベース

  • EDR：挙動ベース（ファイルレス攻撃も検知）

Mimikatz を例にすると、 ファイルとして置けば AV が検知し、 ファイルレス実行でも EDR が挙動を検知する。 「なぜ EDR が必要なのか？」が腹落ちした。

■ Windows / Linux のアラート理解

Windows の代表的アラート

  • Anti-malware action

  • Fileless attack detected

  • Suspicious PowerShell

  • Double extension

Linux の代表的アラート

  • Ransomware-like behavior

  • auditd 無効化

  • Crypto mining

  • Fileless attack

  • Real-time protection disabled

クラウド環境では Linux の crypto mining が特に多いという話も印象的。


■ Just-in-time VM Access（JIT）

管理ポート（SSH / RDP）を常時開けておく必要はない。 必要なときだけ、必要な IP だけ、必要な時間だけ開ける。 これが JIT 。



6. 所感

おとといの内容とつながりがあったので、一緒にまとめてみました。
まとめてみると結構シンプルですよね。

合格まで残り19日。大阪のエンジニアとして、泥臭く、かつ楽しみながら駆け抜けます！

いいなと思ったら応援しよう！