SC-200（Microsoft Security Operations Analyst）の問題では、セキュリティ製品の名称を覚えるだけでなく、検出したシグナルをどこで調査し、どの機能で封じ込め、どのデータをKQLで確認するかを判断する必要があります。
この記事では、2026年7月28日基準の3つの出題分野から1問ずつ、合計3問を掲載しています。回答後は、正解だけでなく、選ばなかった選択肢が不正解となる理由も確認できます。
掲載しているのはSC-200の学習用に独自作成した本番形式の練習問題です。Microsoft認定試験で実際に出題された問題を転載・再現したものではありません。
この記事でできること
- SC-200の無料練習問題を3問解く
- 2026年7月28日基準の3分野で問われる判断を体験する
- 正解とすべての不正解選択肢の理由を比較する
- SC-200問題集を選ぶ基準を確認する
- Cloud Passの無料10問へ進む
SC-200の試験範囲と問題の特徴
Microsoftの公式学習ガイドでは、2026年7月28日現在のSC-200試験範囲を次の3分野に分けています。
| 出題分野 | 比率 | 主な内容 |
|---|---|---|
| セキュリティ運用環境の管理 | 40〜45% | Defender XDR・Sentinelの自動化、データ取り込み、分析ルール、検出 |
| セキュリティインシデントへの対応 | 35〜40% | Defender、Sentinel、Entra、Purviewを横断した調査と修復 |
| 脅威ハンティングの実行 | 20〜25% | KQL、Advanced Hunting、Sentinel Data Lake、グラフ、ノートブック |
SC-200認定ページでは、試験時間は100分、合格基準は1,000点満点中700点以上と案内されています。日本語での受験も可能です。
試験範囲にはMicrosoft Defender XDRとMicrosoft Sentinelだけでなく、Microsoft Entra ID、Microsoft Purview、Defender for Cloudのワークロード保護も含まれます。2026年7月28日の更新では、AIエージェントとMicrosoft Security Copilotを利用したインシデント調査も明記されています。
SC-200の問題では、特に次のような判断が求められます。
- データコネクタ、分析ルール、自動化ルール、プレイブックの役割を区別する
- アラート、インシデント、証拠、エンティティを調査順序に沿って確認する
- 端末の封じ込め、調査パッケージ、自動調査、ライブ応答を使い分ける
- 目的に合うAdvanced Huntingのテーブルを選ぶ
- 脅威インテリジェンスへ登録できるIoCの種類を判断する
- KQLのwhere、project、summarize、joinなどでデータを絞り込む
Microsoft Learnの練習評価と問題集の使い分け
Microsoft Learnでは、無料の練習評価を利用できます。公式の用語、問題文の表現、現在の理解度を確認するために、まず利用したい学習手段です。
ただし、練習評価は本番試験と同じ問題を収録したものではなく、Microsoftも実践的な学習の代わりにはならないと説明しています。練習評価の答えを覚えるのではなく、別のインシデントやログでも同じ判断ができるか確認してください。
おすすめの使い分けは次のとおりです。
- 公式学習ガイドで現在の3分野と対象製品を確認する
- Microsoft LearnでDefender XDRとSentinelの基本フローを学ぶ
- 公式の練習評価で問題の表現に慣れる
- 問題集で初見のインシデントとKQLの判断を増やす
- 100分の模擬試験で調査手順と時間配分を確認する
SC-200無料練習問題3問の解き方
次の3問は、Cloud Passで提供しているSC-200 v2問題を基に、現在の公式試験範囲に合わせて各分野から1問ずつ選んだものです。
回答するときは、製品名を先に探すのではなく、次の順番で要件を整理してください。
- 問題が構成、検出、調査、修復、ハンティングのどの工程かを確認する
- 対象がデバイス、ID、メール、クラウドワークロード、ログのどれかを確認する
- 求められているのが設定、現在の状態、過去のイベントのどれかを確認する
- 自動化、最小権限、データ量などの制約を確認する
- 回答後に、ほかの選択肢が使われる場面も確認する
正解した問題でも、ほかの選択肢を除外した理由が曖昧なら解説を読んでください。SC-200では、似た機能をSOCの工程に当てはめて説明できることが重要です。
SC-200 無料練習問題
セキュリティ運用の3分野を解いてみる
回答後は、選ばなかった選択肢を含め、正解・不正解となる理由をすべて確認できます。
第1分野 · セキュリティ運用環境の管理（40〜45%）
練習問題1：別のウイルス対策が見逃した脅威を修復する
Microsoft Defender for Endpoint Plan 2を使用している会社があります。1,000台のWindows 11デバイスでは、Microsoft以外のウイルス対策ソフトウェアがプライマリのウイルス対策として動作しています。Defender for Endpointが見つけた悪意のあるアーティファクトを自動的にブロックして修復するには、何を構成しますか？
第2分野 · セキュリティインシデントへの対応（35〜40%）
練習問題2：分離した端末のソフトウェア一覧を確認する
Microsoft Defender for EndpointにオンボードされているDevice1でアラートが発生し、調査のためにDevice1を分離しました。Device1に現在インストールされているソフトウェアの一覧を取得するには、何を行いますか？
第3分野 · 脅威ハンティングの実行（20〜25%）
練習問題3：脅威インテリジェンスへ追加できる対象を選ぶ
Microsoft Sentinelで、Host1、User1、IPアドレス175.45.176.99を含むインシデントを調査しています。インシデントの詳細ページから、脅威インテリジェンスへ追加できるエンティティはどれですか？
SC-200問題演習 · 無料10問・全502問・模擬試験2セット
3問の続きは、アプリの無料10問で確認
Cloud PassにはSC-200の本番形式の問題を502問、50問・100分の模擬試験を2セット収録しています。すべての選択肢の理由を確認し、分からない点はその問題を見ているAIチューターに質問できます。
練習問題1のポイント：ブロックモードのEDRで侵害後の脅威を修復する
1問目では、Microsoft以外のウイルス対策ソフトウェアを使用している端末で、Defender for Endpointが検出した脅威を自動修復する方法を判断します。
ブロックモードのEDRを有効にすると、Microsoft Defender Antivirusがパッシブモードであっても、EDRが侵害後に検出した悪意のあるアーティファクトをブロックし、修復できます。
似た機能は、目的で分けて覚えます。
| 機能 | 主な目的 |
|---|---|
| ブロックモードのEDR | 別のウイルス対策が見逃した侵害後の脅威をブロック・修復 |
| ファイルの許可またはブロック | ハッシュや証明書で特定した既知のファイルを個別制御 |
| アラートの自動解決 | ポータル上のアラート状態をワークフローで処理 |
| 改ざん防止 | Defenderの重要な設定が変更されることを防止 |
「自動」という語だけでアラートの自動解決を選ばず、端末上の脅威を実際に修復する必要があるかを確認してください。実環境へ展開する場合は、Microsoftの互換性ガイドで、OSやほかのセキュリティ機能との互換性も確認します。
練習問題2のポイント：ソフトウェア一覧はインベントリテーブルで確認する
2問目は、インシデント対応中に、分離したデバイスのインストール済みソフトウェアを確認する問題です。
DeviceTvmSoftwareInventoryには、Microsoft Defender Vulnerability Managementが収集した、デバイスに現在インストールされているソフトウェアの情報が保存されます。製品名、ベンダー、バージョン、サポート終了情報などを確認できます。
DeviceTvmSoftwareInventory
| where DeviceName startswith "Device1"
| project DeviceName, SoftwareVendor, SoftwareName, SoftwareVersion
| order by SoftwareVendor asc, SoftwareName asc
ここで重要なのは、「インストールされている」と「実行された」を区別することです。
| テーブル・機能 | 確認できる内容 |
|---|---|
| DeviceTvmSoftwareInventory | 現在インストールされているソフトウェア |
| DeviceProcessEvents | 実行されたプロセス、コマンドライン、親子関係 |
| 調査パッケージ | フォレンジック調査用の幅広い端末情報 |
| 自動調査 | アラートに関連する証拠の分析と修復 |
期間内に起動していないアプリケーションはDeviceProcessEventsに現れません。ソフトウェアの一覧が必要なら、DeviceTvmSoftwareInventoryの公式リファレンスを確認し、目的に合う列を選びます。
練習問題3のポイント：調査エンティティとIoCを区別する
3問目では、Microsoft Sentinelのインシデントに含まれるホスト、ユーザー、IPアドレスのうち、脅威インテリジェンスへ追加できる対象を選びます。
インシデント詳細ページから脅威インテリジェンスへ追加できる主なエンティティは、次の4種類です。
- ドメイン名
- IPアドレス（IPv4・IPv6）
- URL
- ファイル（ハッシュ）
ホストとユーザーアカウントは、インシデントの関連付け、タイムライン、UEBA、ログ調査に使用する重要なエンティティです。ただし、そのまま脅威インテリジェンスへ登録する侵害指標の種類ではありません。
Microsoft Sentinelの公式ドキュメントでも、インシデントから追加できる指標の種類が明示されています。問題文に「エンティティ」と書かれていても、すべてをIoCとして登録できるわけではない点に注意してください。
SC-200問題集を選ぶ5つの基準
1. 2026年7月28日の3分野に対応している
教材が「セキュリティ運用環境の管理」「セキュリティインシデントへの対応」「脅威ハンティングの実行」の3分野に対応しているか確認します。
特に、Microsoft Security Copilot、AIエージェント、Sentinel Data Lake、ハンティンググラフなど、現在の公式学習ガイドに含まれる内容が反映されているかが重要です。
2. Defender XDRとSentinelを横断して学べる
SC-200は1つの製品だけを扱う試験ではありません。Defender for Endpoint、Defender for Office 365、Entra ID、Purview、Defender for Cloudから集まるシグナルを、Defender XDRとSentinelでどう調査するかを確認できる問題集が適しています。
3. すべての選択肢に解説がある
正解の説明だけでは、似た機能の違いを整理できません。不正解の選択肢についても「どの工程なら使うのか」「なぜ今回の要件には合わないのか」が説明されていることが重要です。
4. KQLのテーブル選択と結果の解釈を練習できる
KQLを丸暗記する必要はありませんが、目的に合うテーブルを選び、where、project、summarize、joinなどでデータを絞り込む練習は必要です。
クエリの構文だけでなく、「得られた結果を次の調査や修復へどうつなげるか」まで確認できる教材を選びましょう。
5. 100分の模擬試験で仕上げられる
長いインシデントのシナリオや複数のMicrosoft製品が続くと、判断に時間がかかります。本番前は解説を見ずに100分の模擬試験を受け、迷った問題を後で見直す時間を残せるか確認してください。
Cloud PassのSC-200問題集
Cloud Passには、SC-200の本番形式の問題を502問、模擬試験を2セット収録しています。最初の10問は無料で確認できます。
| 学習機能 | SC-200でできること |
|---|---|
| 分野別問題演習 | 3つの公式出題分野から弱点を重点的に学習 |
| 選択肢別解説 | 正解とすべての不正解選択肢の理由を比較 |
| AIチューター | 表示中の問題について、その場で追加質問 |
| 模擬試験 | 50問・100分のセットで時間配分を確認 |
| 学習分析 | 分野別正答率、解答数、学習履歴を確認 |
学習は次の順番で進めると効率的です。
- 無料10問を解き、インシデントとKQLの問題形式を確認する
- 3分野を一巡し、正答率が低い分野を特定する
- 間違えた問題は、すべての選択肢がSOCのどの工程で使われるか比較する
- 分からない点は、その問題を表示したままAIチューターへ質問する
- 最後に50問・100分の模擬試験を受ける
SC-200練習問題に関するよくある質問
SC-200の実際の試験問題を収録していますか？
この記事とCloud Passに掲載しているのは、公式試験範囲に沿って学習用に独自作成した本番形式の練習問題です。Microsoft認定試験で実際に出題された問題の転載や再現ではありません。
答えを暗記するのではなく、初めて見るアラートや要件から、適切な調査・修復方法を選べるようになることを重視しています。
SC-200は何問解けば合格できますか？
必要な問題数は、SOC業務、Microsoft 365、Azure、KQLの経験によって異なります。問題数だけを目標にせず、3分野すべてで、正解の根拠とほかの選択肢を除外した理由を説明できるか確認してください。
同じ問題を繰り返して正答率が上がった場合は、まだ解いていない問題で理解度を測ります。
SC-200は日本語で受験できますか？
はい、日本語で受験できます。Microsoftの認定ページでは、試験時間100分、日本語を含む対応言語が案内されています。英語版の試験が先に更新され、日本語版への反映が後になる場合があるため、申込前にSC-200認定ページで最新情報を確認してください。
SC-900に合格してから受験する必要がありますか？
SC-900はSC-200の前提資格ではありません。Microsoftのセキュリティ、コンプライアンス、ID製品に初めて触れる場合は、SC-900相当の基礎知識を先に整理すると学習を進めやすくなります。
SC-200ではKQLをどこまで書ける必要がありますか？
KQLのすべての関数を暗記する必要はありません。ただし、目的に合うテーブルを選び、時間範囲を絞り、必要な列を表示し、集計や結合で異常を見つける基本操作は必要です。
既存のクエリを読んで結果を予測し、要件に合わせて一部を修正できるレベルを目指してください。
まとめ
SC-200では、製品名の暗記よりも、セキュリティ運用の流れに沿って適切なデータ、調査機能、対応アクションを選ぶことが重要です。
まずはこの記事の3問で、セキュリティ運用環境の管理、インシデント対応、脅威ハンティングの判断を確認してください。解説を読むときは、正解だけでなく、残りの選択肢がどの工程で使われるかまで整理します。
Cloud Passの無料10問では、異なるシナリオでも同じ判断ができるか続けて確認できます。
SC-200問題演習 · 無料10問・全502問・模擬試験2セット
3問の続きは、アプリの無料10問で確認
Cloud PassにはSC-200の本番形式の問題を502問、50問・100分の模擬試験を2セット収録しています。すべての選択肢の理由を確認し、分からない点はその問題を見ているAIチューターに質問できます。
