微软的安全认证路径面临一个明确的问题：两个考试听起来相似，但服务于截然不同的受众。以下是如何在不浪费时间选错方向的情况下在 SC-900 和 SC-200 之间做出决策。
SC-900 实际测试的内容
SC-900（微软安全、合规和身份基础）是一项基础性的供应商概念考试。涵盖内容包括：
- 核心安全、合规和身份概念（零信任、共享责任模型、加密基础）
- Microsoft Entra ID（前身为 Azure AD）功能：身份验证、访问管理、身份治理
- Microsoft Purview 和合规功能的高层概览
- Defender 产品的基本概览（Defender for Cloud、Defender for Office 365 等）
关键点是，SC-900 是多项选择题和概念类考试。你不会接触门户网站、编写 KQL 或调查事件。该考试面向需要讨论微软安全工具的人——销售工程师、项目经理、初级 IT 员工或任何刚开始云安全职业生涯的人，他们需要在深入实践工作前建立词汇和心智模型。
SC-200 实际测试的内容
SC-200（微软安全运营分析师）是基于真实 SOC 工作流的实践者级别考试。它假设你已经理解安全基础知识，并测试你的能力：
- 配置和使用 Microsoft Sentinel：数据连接器、分析规则、工作簿、剧本（Logic Apps）
- 编写和解释 KQL（Kusto 查询语言）查询，用于威胁搜索和检测调优
- 使用 Microsoft Defender XDR 调查和响应事件（Defender for Endpoint、Defender for Identity、Defender for Office 365、Defender for Cloud Apps）
- 通过 Microsoft Defender 漏洞管理来管理和修复漏洞
- 使用 Sentinel 剧本和 Defender 自动调查为 SOC 响应构建自动化
该考试期望你了解 SOC 分析师每天的工作——警报分流、跨产品信号关联和在时间压力下编写查询。微软明确建议在尝试之前具有安全运营经验或等同的知识。
关键差异一览
| 因素 | SC-900 | SC-200 |
|---|---|---|
| 级别 | 基础 | 助理级 |
| 格式 | 概念回忆 | 应用场景，部分类似动手问题 |
| 先决知识 | 不需要 | 应有安全运营基础知识 |
| 职业适配 | 售前、GRC、IT 通才、职业转换者 | SOC 分析师、事件响应人员、威胁猎人 |
| 需要的实验室练习 | 最少 | 大量（Sentinel + Defender 门户） |
| 典型备考时间 | 1-3 周 | 4-8 周（含实验室练习） |
你应该先考哪个？
如果你是网络安全新手或来自非技术角色，从 SC-900 开始。就时间投入而言成本低廉，它能让你掌握共享词汇，使 SC-200 的材料点击得更快——诸如条件访问、RBAC 或零信任之类的术语不会是你同时学习查询语法时的新概念。
如果你已经在 IT、技术支持或初级 SOC 职位工作，并了解网络、日志和基本的事件响应，你可能可以直接跳转到 SC-200。许多有几个月实战工作的分析师直接进行 SC-200 备考，从不参加 SC-900，这也是一个有效的路径——微软不强制 SC-900 作为硬性先决条件。（在技术上没有通过 SC-900 的要求才能参加 SC-200；这纯粹是推荐的开始方式。）
实际备考建议
对于 SC-900，Microsoft Learn 的免费模块就足够了——这是为数不多的几个证书之一，仅凭免费官方材料就能让大多数候选人及格。
对于 SC-200，仅看免费资料还不够。你需要：
- 一个启用了 Microsoft Sentinel 和 Defender XDR 的试用或开发租户
- 针对示例日志数据练习编写 KQL——重点关注
where、summarize、join和基于时间的筛选器 - Defender 门户中的事件调查队列演练，以便在考试压力下熟悉 UI
- 复习 Sentinel 分析规则创建和剧本自动化，因为场景问题通常取决于选择正确的自动化触发器
底线
SC-900 回答了
