Microsoft SC-200

오답입니다. RAID level은 기본 storage configuration(disk group/aggregate/pool)에 의해 결정되며, 일반적으로 공간 pre-allocation과 같은 볼륨 수준 작업으로 변경되지 않습니다. Pre-allocation은 볼륨에 대해 capacity가 예약되는 방식에 영향을 줄 뿐이며, 디스크의 redundancy/performance layout(RAID 0/1/5/6/10)에는 영향을 주지 않습니다.

오답입니다. Data progression(성능 tier와 capacity tier 간 데이터 이동)은 일반적으로 볼륨이 thin인지 thick인지가 아니라 storage policy와 access pattern에 의해 제어됩니다. 일부 platform에서는 특정 상호작용이 있을 수 있지만, 공간 pre-allocation만으로 볼륨의 data progression이 본질적으로 비활성화되지는 않습니다.

Scheduled query rule(analytics rule)은 log query에서 alert/incident를 생성합니다. Analytics rule을 automation rule과 함께 사용하여 playbook을 실행할 수는 있지만, 이것은 핵심 문제를 해결하지 못합니다. Logic App은 수동으로 트리거되며 아직 Sentinel playbook trigger와 호환되지 않습니다. 일반적으로 playbook을 사용할 수 있게 만든 후 detection을 생성/조정하며, 이를 변환의 첫 단계로 하지는 않습니다.

Data connector는 data source를 Microsoft Sentinel로 수집하는 데 사용됩니다(예: Entra ID, Microsoft 365 Defender 또는 Azure Activity). Data 수집은 detection 및 investigation에 중요하지만, Logic App이 트리거되는 방식을 변경하지는 않습니다. Connector를 추가해도 수동으로 트리거되는 Logic App을 Sentinel playbook으로 호출 가능하게 만들 수는 없습니다.

Threat Intelligence connector는 Sentinel에서 correlation 및 detection을 위해 TI indicator(STIX/TAXII, platforms 등)를 수집하는 데 사용됩니다. 이는 incident response automation과 관련이 없으며, 기존 Logic App을 playbook으로 사용할 수 있는지 여부에도 영향을 주지 않습니다. 이 선택지는 threat intel 수집과 SOAR 실행 요구 사항을 혼동한 것입니다.

구독 범위의 Security Reader는 보안 정보에 대한 읽기 전용 역할입니다. SecAdmin1은 Defender for Cloud 권장 사항, alerts 및 secure score 데이터를 볼 수는 있지만, remediation 작업을 실행하거나 VM에 extensions/agents를 배포할 수는 없습니다. 이러한 작업에는 기본 리소스에 대한 쓰기 권한이 필요하므로 “quick fixes 적용” 요구 사항을 충족하지 못합니다.

구독 범위의 Contributor는 SecAdmin1이 VM을 remediation할 수 있게 해주지만, 전체 구독(모든 리소스 그룹 및 리소스)에 걸쳐 광범위한 쓰기 액세스를 부여합니다. 요구 사항은 RG1의 100개 VM에만 해당하므로 이는 최소 권한 원칙을 위반합니다. 흔한 함정은 기능은 맞지만 범위가 잘못되었다는 점입니다.

RG1의 Owner도 quick fixes를 적용할 수 있게 해주지만, Microsoft.Authorization/* 권한(다른 사용자에게 액세스 권한을 부여하는 기능)을 포함하므로 필요 이상으로 높은 권한입니다. 시나리오에서 SecAdmin1이 RBAC 할당을 관리해야 한다는 요구가 없다면, Owner는 과도하며 Contributor와 비교할 때 최소 권한 원칙에 맞지 않습니다.

오답입니다. “eicar” 키워드를 포함하고 있기는 하지만, “alerttest”라는 프로그램을 실행하려고 시도하는데, 이 옵션 집합에서 다른 올바른 단계 없이는 해당 프로그램이 생성되지 않습니다(옵션 C도 실행해야 함). 생성되더라도 process 이름이 이 Defender simulation 시나리오에서 기대하는 특정 테스트 harness 이름과 일치하지 않을 수 있습니다.

오답입니다. 이는 예상되는 “asc_alerttest_662jfi039n”이 아니라 “alerttest”라는 이름의 executable을 생성합니다. /bin/echo의 이름을 바꾸는 것은 실행 가능한 파일을 만드는 안전한 방법이지만, 이 문제의 alert simulation은 다른 옵션에 표시된 특정 파일명과 연결되어 있으므로 이 단계만으로는(또는 B와 짝지어도) 의도한 Defender alert를 트리거하지 못할 수 있습니다.

Security solutions는 통합된 security products 및 protections를 검색, 연결 또는 관리하는 데 사용되며, 누가 email notifications를 받는지 정의하는 곳이 아닙니다. 이는 administrative contact settings보다는 security tooling 및 integrations에 중점을 둡니다. 어떤 solution이 findings를 생성하더라도, 이 섹션은 Security Center의 기본 제공 alert email recipients를 제어하지 않습니다. 따라서 security operations team에 대한 email notifications를 활성화하는 데 사용할 수 없습니다.

Pricing & settings는 주로 Defender plans를 활성화하고, coverage를 선택하며, subscription-level onboarding 또는 pricing 관련 구성을 관리하는 데 사용됩니다. 어떤 protections가 활성화되는지에는 영향을 주지만, alerts에 대한 security contact email notifications를 정의하는 위치는 아닙니다. plan configuration을 notification configuration과 혼동하는 것은 흔한 실수입니다. 여기서 services를 활성화하는 것만으로는 operations team에 alert emails가 전송되지 않습니다.

Security alerts는 이미 생성된 alerts를 보고, triage하고, 조사하는 workspace입니다. 이는 notification recipients를 구성하는 settings page가 아닙니다. 사용자는 그곳에서 incidents 및 remediation guidance를 분석할 수 있지만, 해당 blade에서 alert emails를 활성화할 수는 없습니다. 따라서 질문에서 설명한 문제를 해결하지 못합니다.

Azure Defender는 Security Center/Defender for Cloud 내의 advanced threat protection capabilities를 의미합니다. 이를 켜면 detection 및 alert generation은 증가하지만, 누가 email notifications를 받아야 하는지는 지정하지 않습니다. notification recipients 및 alert email behavior는 policy/security contact settings에서 별도로 구성됩니다. 따라서 Azure Defender 자체는 email notifications를 활성화하는 올바른 위치가 아닙니다.

이 옵션은 설명된 솔루션이 실제로 목표를 충족하므로 오답입니다. Azure Security Center에서 보안 경고를 선택한 다음 Take Action 및 Mitigate the threat 섹션을 검토하는 것은 수정 지침을 확인하는 유효한 방법입니다. "아니요"라고 답하는 것은 이 경로가 권장 사항을 제공하지 않는다는 의미가 되지만, 이는 사실이 아닙니다. 이 플랫폼은 정확히 이 위치에서 경고별 완화 단계를 표시하도록 설계되어 있습니다.

Microsoft Sentinel의 built-in queries는 분석가가 일반적인 시나리오를 빠르게 hunting하거나 조사할 수 있도록 도와주는 미리 작성된 KQL query입니다. 속도와 일관성을 향상시키지만, 주로 query template이며 advanced custom visualization이나 machine learning environment를 본질적으로 제공하지는 않습니다. triage와 hunting에는 유용하지만, ML을 사용해 위협을 추론해야 한다는 요구 사항은 충족하지 못합니다.

Microsoft Sentinel의 Livestream은 이벤트가 도착하는 즉시 near-real-time으로 모니터링하는 데 사용되며, 분석가가 활동을 관찰하고 진행 중인 조사 중 빠르게 pivot할 수 있도록 도와줍니다. 모니터링을 단순화할 수는 있지만, 표준 query 결과를 넘어서는 custom visualization을 구축하도록 설계된 것은 아니며, 위협 추론을 위한 machine learning model을 실행할 수 있는 notebook 스타일 environment도 제공하지 않습니다.

Microsoft Sentinel의 Bookmarks는 분석가가 흥미로운 이벤트, query 결과 또는 조사 artifact를 저장하고 태그 지정하여 증거를 보존하고 협업할 수 있게 해줍니다. 조사 관리와 결과 문서화에는 도움이 되지만, custom visualization 기능이나 machine learning 기반 analytics는 제공하지 않습니다. Bookmarks는 advanced analytics보다는 조사 workflow와 기록 보관에 관한 기능입니다.

임원진은 phishing 및 BEC의 고가치 대상이므로 Defender for Office 365 보호(Safe Links, anti-phishing)의 혜택을 받습니다. 그러나 일반적으로 보안 policies를 관리하거나 조사/수정 조치를 수행하지는 않습니다. 보안/SOC 팀이 MDO를 사용하여 위협을 분석하고, 조사를 수행하며, mailbox에서 악성 메시지를 제거합니다.

Marketing 사용자는 외부 이메일, 첨부 파일, 링크를 자주 수신하므로 phishing 및 malware에 대한 노출이 증가합니다. Defender for Office 365는 이들을 보호하는 데 도움이 되지만, marketing은 MDO policies를 구성하거나 incidents를 해결하는 팀이 아닙니다. 보안 운영이 alert triage, Explorer에서의 위협 헌팅, quarantine 또는 메시지 제거와 같은 수정 조치를 관리합니다.

영업 팀은 credential phishing 및 invoice fraud의 빈번한 대상이므로 MDO 보호의 혜택을 받습니다. 그러나 영업은 보안 도구 운영을 담당하지 않습니다. 보안 팀이 Defender for Office 365를 사용하여 의심스러운 이메일을 조사하고, 영향을 받은 사용자를 식별하며, 수정 조치(quarantine, 삭제, URL/senders 차단)를 수행하여 이슈를 해결합니다.

오답입니다. Microsoft Defender Security Center의 Device health and compliance reports는 endpoint posture 및 compliance reporting(주로 Defender for Endpoint 및 Intune과 연계됨)과 관련이 있습니다. 이는 Azure Information Protection scanning을 설정하거나 활성화하지 않습니다. 온-프레미스 파일을 검색/분류하는 AIP 요구 사항은 Defender device compliance report settings가 아니라 AIP scanner configuration을 통해 충족됩니다.

오답입니다. Content scan jobs는 무엇을 scan할지(repositories/paths), 언제 scan할지, 어떤 actions를 수행할지(discover, label, protect)를 정의합니다. 그러나 scanner infrastructure, 특히 scanner cluster 및 등록된 scanner nodes가 구축되기 전에는 scan jobs를 효과적으로 생성하고 실행할 수 없습니다. jobs는 cluster 위에 구축되는 이후 단계입니다.

오답입니다. Microsoft Defender Security Center의 Advanced features는 일반적으로 추가 endpoint capabilities(예: advanced hunting, automated investigation 또는 제품 컨텍스트에 따른 integration features)를 활성화합니다. 이는 Azure Information Protection scanning을 구성하지 않습니다. AIP scanner setup은 Defender advanced features를 전환해서가 아니라 AIP/Microsoft Purview Information Protection tooling에서 수행됩니다.

Impossible travel은 동일한 사용자에 대해 지리적으로 먼 위치에서 비현실적인 이동 시간 내에 발생한 sign-ins를 탐지합니다(예: 미국에서 로그인한 뒤 몇 분 후 유럽에서 로그인). 이것은 연속된 sign-ins 사이의 속도와 물리적 가능성에 관한 것이지, 그 위치가 조직에 새로운지 여부에 관한 것이 아닙니다. 단지 어떤 국가가 다른 사용자들에게 한 번도 사용되지 않았다는 이유만으로는 안정적으로 트리거되지 않습니다.

Activity from anonymous IP addresses는 Tor, VPN endpoints 또는 알려진 proxy infrastructure와 같은 anonymization services와 연관된 IPs에서 발생하는 sign-ins를 표시합니다. 이 detection은 geographic novelty가 아니라 IP reputation 및 obfuscation에 초점을 둡니다. 새로운 국가에서의 sign-in이 일반 ISP IP에서 발생할 수 있으며, 그런 경우 반드시 anonymous IP activity로 탐지되지는 않습니다.

Malware detection은 Identity Protection sign-in anomaly policy가 아닙니다. Malware 관련 detections는 일반적으로 Microsoft Defender for Endpoint, Defender for Office 365 또는 악성 코드 실행이나 전달을 나타내는 기타 threat protection signals에서 발생합니다. 이는 geographic sign-in anomalies를 다루지 않으므로, 비정상적인 sign-in 위치를 탐지하기 위한 올바른 제어가 아닙니다.

모든 device를 범위로 하는 suppression rule을 생성하는 것은 오답입니다. 범위가 지나치게 넓어 전체 환경에서 유사한 alerts를 suppress하게 되기 때문입니다. 이는 회계 팀 외부의 디바이스에서 실제 악성 macro 활동을 숨길 수 있으므로 보안 태세를 약화시킵니다. 문제는 기존 보안 태세를 유지할 것을 명시적으로 요구하므로, 가장 좁고 효과적인 범위를 사용해야 함을 의미합니다. 이 시나리오에서는 device group이 적절한 경계입니다.

alert를 생성하는 것은 Microsoft Defender for Endpoint에서 false positives를 숨기는 데 사용되는 alert-tuning 또는 queue-management 작업이 아니므로 오답입니다. 이 시나리오는 알려진 benign alerts를 suppress하거나 숨기기 위해 어떤 작업을 수행해야 하는지를 묻는 것이지, 이를 재현하거나 검증하는 방법을 묻는 것이 아닙니다. alert를 관찰하는 것이 분석가가 이를 이해하는 데 도움이 될 수는 있지만, alert 생성은 Defender의 suppression 및 alert-handling 기능이 설명하는 운영 솔루션의 일부가 아닙니다. 따라서 필요한 작업 중 하나로 선택해서는 안 됩니다.

Playbooks는 Sentinel이 automation에 사용하는 Logic Apps를 만들고, 보고, 관리하는 위치이지만, 컨텍스트에서 playbook을 수동으로 실행하는 표준적인 Sentinel 위치는 아닙니다. 이 블레이드에서 기본 Logic App 리소스에 액세스할 수는 있지만, 이는 문제에서 언급하는 Sentinel 실행 화면이 아니라 관리 기능입니다. 시험 관점에서 이 선택지는 playbook 관리와 Sentinel 운영 내 수동 실행을 혼동한 것입니다. 따라서 Azure Sentinel에서 테스트를 실행할 위치에 대한 최선의 답은 아닙니다.

Analytics는 detection rule을 만들고 관리하는 데 사용되며, 여기에는 alert 또는 incident가 생성될 때 playbook을 호출할 수 있는 automation 구성도 포함됩니다. 그러나 필요할 때 수동으로 playbook을 실행하는 기본 인터페이스는 제공하지 않습니다. 그 목적은 incident response 실행이 아니라 detection engineering입니다. 이런 이유로 Analytics는 Sentinel에서 playbook을 수동으로 테스트하는 올바른 위치가 아닙니다.

Threat intelligence는 Microsoft Sentinel 내에서 침해 지표와 관련 intelligence 데이터를 관리하는 데 사용됩니다. Logic Apps를 수동으로 실행하거나 playbook을 테스트하는 역할은 없습니다. Threat intelligence가 detections 및 조사에 영향을 줄 수는 있지만, automation 실행 화면은 아닙니다. 따라서 이 선택지는 명백히 틀렸습니다.

아니요가 오답인 이유는 Entity tags에서 계정을 Honeytoken accounts로 추가하는 것이 Microsoft Defender for Identity에서 기만용 계정을 표시하는 정확한 지원 방법이기 때문입니다. 이 기능은 합법적으로 사용되어서는 안 되는 계정을 식별하고 공격자가 해당 계정과 상호 작용할 때 경고를 트리거하도록 특별히 설계되었습니다. 시나리오에서는 공격자가 악용할 수 있도록 계정을 구성하라고 요구하고 있으며, 이는 honeytokens의 목적과 일치합니다. 따라서 이 솔루션이 목표를 충족하지 않는다고 말하는 것은 Defender for Identity의 기만 기능이 작동하는 방식을 오해한 것입니다.