SC-200 Security Operations Analyst: guida completa

L’esame SC-200 porta alla certificazione Microsoft Certified: Security Operations Analyst Associate, ed è l’esame di chi lavora dentro un SOC. Non chiede di installare prodotti: chiede di fare triage, rispondere agli incident, cercare minacce con KQL e costruire detection attraverso Microsoft Defender XDR, Microsoft Sentinel, Microsoft Entra ID, Microsoft Purview e le protezioni di carico di lavoro di Microsoft Defender for Cloud. Le skills measured in vigore sono quelle aggiornate al 28 luglio 2026: è la versione su cui studiare, e il change log ufficiale segnala che la parte più rimaneggiata è quella di hunting.

Cosa valida SC-200

Il profilo che Microsoft descrive è quello di un analista che riduce il rischio aziendale: monitora, identifica, indaga e risponde alle minacce in ambienti multi-cloud e on-premises, fa hunting con Kusto Query Language e automatizza le risposte. La parola chiave dell’esame è ownership: quasi nessuna domanda chiede «come si configura X», quasi tutte chiedono quale prodotto possiede quel segnale e quale strumento è quello giusto per quel requisito.

Questo cambia il modo di prepararsi. Sapere che esiste l’alert tuning non basta: bisogna sapere perché sopprimere un alert in Defender XDR non è la stessa cosa che chiuderlo con una automation rule di Sentinel, e quale delle due conserva la telemetria per l’hunting.

I numeri ufficiali dell’esame

Tre precisazioni che valgono più dei numeri stessi.

700 non è il 70%. Microsoft è esplicita: è un punteggio in scala, quindi «may not equal 70% of the points». Su un set di domande più difficile servono meno punti grezzi, su uno più facile ne servono di più. Non ha senso calcolare quante risposte puoi sbagliare.

Il numero di domande non esiste come dato ufficiale. La pagina di supporto dice che la maggior parte degli esami Microsoft contiene fra 40 e 60 domande, ma che il numero varia e cambia nel tempo. Chiunque ti dica «SC-200 ha esattamente N domande» sta riportando l’esperienza di qualcuno, non una fonte.

Il prezzo non è sulla pagina della certificazione. Microsoft scrive solo che dipende dal paese o dalla regione, e la cifra esatta compare nel flusso di prenotazione Pearson VUE. L’ordine di grandezza per un esame role-based è quello indicato sulla scheda della certificazione, circa 165 USD (in Italia circa 165 EUR più IVA), ma è una stima di listino, non un dato pubblicato per SC-200.

Un dettaglio operativo che quasi nessuno considera: durante gli esami role-based puoi consultare Microsoft Learn dentro l’interfaccia d’esame, in uno split screen, senza tempo aggiuntivo e con il timer che continua a correre. È pensato per le domande dove serve verificare un valore, non per rispondere a tutto: se lo usi su ogni item, non finisci in tempo, e Microsoft dice che è voluto.

A chi si rivolge

Il candidato tipico è un analista SOC di primo o secondo livello, un incident responder o un sistemista che sta passando alla sicurezza operativa. Microsoft dichiara che dovresti avere familiarità con le soluzioni Microsoft di sicurezza, compliance e identità, con Microsoft 365, con i servizi Azure, con agenti AI e Copilot (una voce aggiunta di recente e non decorativa) e con Windows, Linux e i sistemi operativi mobile.

Non ci sono prerequisiti formali. In pratica, chi arriva da SC-900 ha il vocabolario ma non la profondità: SC-200 è di livello Intermediate e presuppone che tu abbia davvero guardato una coda di incident. Nel percorso security Microsoft sta a metà strada fra le fundamentals e l’expert SC-100, ed è complementare a SC-300 (identità) e SC-401 (information security).

I concetti trasversali

Alcune distinzioni tornano in tutto l’esame, in domini diversi:

• Chi possiede il segnale. Defender for Endpoint per il comportamento sull’endpoint, Defender for Identity per l’Active Directory on-premises, Defender for Office 365 per mail e collaborazione, Defender for Cloud Apps per le app SaaS e lo shadow IT, Entra ID per le identità cloud compromesse, Purview Audit per il «chi ha fatto cosa e quando» sui workload Microsoft 365. Scegliere il prodotto sbagliato è l’errore più frequente.
• Sopprimere, chiudere o escludere. L’alert tuning in Defender XDR agisce alla fonte e si può limitare a un device group; una automation rule di Sentinel chiude l’incident a valle, quando l’alert è già stato generato; un’esclusione antivirus rimuove la protezione. Sono tre risposte a tre domande diverse.
• Detection contro hunting. Una custom detection rule in Defender XDR o una analytics rule in Sentinel generano alert in modo continuativo; una hunting query è interrogativa e non allerta nessuno. L’esame ti mette spesso davanti a uno scenario in cui devi capire quale dei due serve.
• I tier dei dati. Analytics, Data lake e tier XDR hanno costi, retention e modalità d’interrogazione diverse: decidere dove far atterrare una tabella è una scelta d’architettura, non di configurazione.
• Automation rule contro playbook. La prima orchestra il ciclo di vita dell’incident dentro Sentinel; il secondo è una Logic App che può uscire dal perimetro (ticket, notifiche, azioni su sistemi terzi).
• La tabella giusta in KQL. DeviceProcessEvents, EmailEvents, IdentityLogonEvents, SigninLogs, CloudAppEvents: saper scegliere la tabella prima ancora di scrivere la query è un obiettivo esplicito delle skills measured.

I tre domini d’esame

1. Gestire un ambiente di security operations (40-45%)

È il dominio più pesante e il più eterogeneo. Comprende l’automazione di Defender XDR e Sentinel (notifiche email e alert, tuning, soppressione e correlazione, funzionalità avanzate e regole di Defender for Endpoint, policy di sicurezza e regole ASR, automated investigation and response, attack disruption automatica, device group, permessi e livelli di automazione, automation rule e playbook). Poi la piattaforma Sentinel: ruoli, gestione della retention per le tabelle XDR e Sentinel fra tier Analytics, Data lake e XDR, workbook e ottimizzazione tramite le raccomandazioni di SOC optimization.

Segue l’ingestion: scelta dei data connector, raccolta dei Security event di Windows con AMA e le relative data collection rule, Windows Event Forwarding, Syslog e CEF via AMA, attività Azure via Azure Policy e diagnostic setting, ingestione degli indicatori di threat intelligence e creazione di tabelle di log custom. Infine la configurazione delle detection: custom detection rule create da advanced hunting, analytics rule di Sentinel (scheduled, NRT, threat intelligence, machine learning), analisi della copertura con la matrice MITRE ATT&CK e configurazione delle anomalie.

2. Rispondere agli incident di sicurezza (35-40%)

Qui si indaga. In Defender XDR: minacce da Defender for Office 365 con attack disruption automatica, entità compromesse identificate da Purview, alert delle protezioni di carico di lavoro di Defender for Cloud, rischi da Defender for Cloud Apps, identità compromesse segnalate da Entra ID, alert di Defender for Identity, incident di Sentinel, indagini condotte con AI agentica e Security Copilot embedded, attacchi complessi multi-stage e multi-domain con movimento laterale, e la gestione del caso con il case management.

In Defender for Endpoint: timeline del dispositivo, azioni sulla macchina fra cui la live response e la raccolta dell’investigation package, indagine su evidenze ed entità, remediation degli incident individuati dall’attack disruption. Infine le attività Microsoft 365: Purview Audit, Content search in Purview eDiscovery e i Microsoft Graph activity logs, tre strumenti che rispondono a tre domande diverse e che l’esame ama mettere in concorrenza fra loro.

3. Eseguire threat hunting (20-25%)

Il dominio più piccolo, ma quello dove si perde tempo se non hai mai scritto KQL. Con Defender XDR: scegliere la tabella giusta, identificare minacce con KQL, costruire query di advanced hunting, interpretare la threat analytics, creare hunting graph compresa la blast radius e analizzare le relazioni fra entità con Sentinel Graph. Con la piattaforma Sentinel: creare e monitorare hunting query, gestire i KQL job nel Data lake, usare le summary rule table e fare hunting con i notebook, inclusa la connessione al Sentinel MCP Server.

Come prepararsi

1. Parti dai pesi. Il 40-45% del punteggio sta nel primo dominio: automazione, piattaforma, ingestion e detection vanno affrontati per primi, non lasciati in coda perché sembrano noiosi.
2. Costruisci la mappa dell’ownership. Prenditi un pomeriggio per scrivere, prodotto per prodotto, quali segnali possiede e quali no. È la tabella che ti fa guadagnare più punti nel secondo dominio.
3. Scrivi KQL davvero. Non basta leggere query: apri advanced hunting e prova a rispondere a domande tue. Il percorso di preparazione SC-200 è organizzato esattamente sui tre domini ufficiali e dedica un modulo intero alla scelta della tabella e alla differenza fra hunting e detection.
4. Allena il tempo. Cento minuti su 40-60 domande a scenario, con stem lunghi, sono meno di quanto sembri. Le sessioni cronometrate servono a questo più che a misurare il punteggio.
5. Verifica la data delle skills measured. Se il materiale che stai usando non cita il 28 luglio 2026, è precedente all’ultimo aggiornamento.

La simulazione CertUp: cosa riproduce e cosa no

La simulazione SC-200 è online e gratuita: banco di 80 domande, sessioni da 50 domande in 100 minuti, soglia impostata a 700/1000, timer server-side e spiegazione ragionata di ogni risposta, comprese le motivazioni per cui le alternative sono sbagliate. Il formato della sessione ricalca la durata ufficiale; il numero di domande per sessione è una scelta nostra, perché quello dell’esame reale non è pubblicato.

Due cose che non facciamo, e che è giusto tu sappia prima di iniziare. Le nostre domande sono in inglese, anche se SC-200 è uno dei pochi esami disponibili anche in italiano: interfaccia e spiegazioni sono in italiano, gli stem no. E non riproduciamo tutti i formati: copriamo scelta singola, scelta multipla e i set problema-soluzione (il formato in cui ti viene proposta una soluzione e devi dire se risolve il problema), mentre l’esame reale può contenere anche lab, drag and drop, hot area, build list, active screen e case study. Usare la simulazione per allenare il ragionamento funziona; usarla per allenare l’interfaccia no — per quella c’è l’exam sandbox ufficiale di Microsoft.

In sintesi

SC-200 è una certificazione operativa e onesta: misura se sai reagire a un incident vero, non se ricordi un menu. I tre domini pesano 40-45%, 35-40% e 20-25%, la soglia è 700 su 1.000 in scala, l’esame dura 100 minuti e si può sostenere in italiano. Vale 12 mesi e si rinnova gratis con un assessment online, non proctored e a libro aperto, nei sei mesi che precedono la scadenza — quindi il costo vero della certificazione è l’esame iniziale più un’ora all’anno. Se stai costruendo il tuo percorso security su Microsoft, confronta questa scheda con le altre certificazioni nella pagina Microsoft di CertUp.