Laboratório prático — SC-200 Microsoft Security Operations Analyst

Visão geral

Pré-requisitos

Passos

1. 1.Provedor, Grupo de Recursos, nomeclatura

   Abertura padrão do Azure.

   Copiar

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   locals {
     tags = {
       Project   = "certlabpro-sc-200"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-sc-200-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.Configurar o workspace do Log Analytics + integrar o Sentinel

   Provisiona:

   • Azure Monitor
   • Microsoft Sentinel

   O Microsoft Sentinel é uma camada acima de um workspace do Log Analytics — ele não possui seu próprio plano de dados. O domínio Gerenciar um ambiente Microsoft Sentinel do SC-200 enfatiza essa dependência: cada recurso do Sentinel lê/grava do workspace, cada conector de dados deposita dados nele, cada regra analítica executa KQL contra ele.

   Nós provisionamos o workspace com a SKU PerGB2018 + o recurso azurerm_sentinel_log_analytics_workspace_onboarding para anexar o Sentinel. Depois disso, você conectaria fontes de dados (Atividade do Azure, entradas do Microsoft Entra ID, conectores do Defender XDR) via portal — elas têm uma área de superfície pesada e são mais fáceis de configurar via GUI do que via Terraform.

   Copiar

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-sc200"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_sentinel_log_analytics_workspace_onboarding" "main" {
     workspace_id = azurerm_log_analytics_workspace.main.id
   }

3. 3.Criar uma regra analítica agendada que é acionada por um padrão KQL

   Provisiona:

   • Microsoft Sentinel

   Regras analíticas são como o Sentinel transforma eventos de log brutos em incidentes. O SC-200 testa o reconhecimento do tipo de regra: Agendada (baseada em KQL, a mais comum), Incidente Microsoft (encaminha alertas do Defender XDR), Anomalia (baseada em ML), Inteligência de ameaças (correspondência de TI).

   Nós criamos uma regra agendada com uma consulta KQL stub (a cada 5 minutos, olhando para os últimos 5 minutos — o formato quase em tempo real do SC-200). A consulta aqui é um placeholder (SecurityEvent | take 1); em produção, o KQL é a lógica real da regra — testando logins de viagem impossível, padrões de ataque de "password spray", escalonamentos de privilégio incomuns, etc.

   O campo tactics mapeia a regra para a estrutura MITRE ATT&CK — necessário para a integração do Defender XDR e para fluxos de trabalho de caça que pivotam por tática.

   Copiar

   resource "azurerm_sentinel_alert_rule_scheduled" "stub" {
     name                       = "certlabpro-sc-200-stub-rule"
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
     display_name               = "Stub rule — lab demonstration"
     description                = "Sample scheduled analytic rule for the SC-200 lab. Replace KQL with a real hunting pattern."
     severity                   = "Medium"
     enabled                    = true
   
     query                      = "SecurityEvent | take 1"
     query_frequency            = "PT5M" # run every 5 minutes
     query_period               = "PT5M" # look back 5 minutes
   
     trigger_operator           = "GreaterThan"
     trigger_threshold          = 0
   
     tactics    = ["InitialAccess"]
     techniques = ["T1078"] # Valid Accounts (MITRE ATT&CK)
   
     incident {
       create_incident_enabled = true
   
       grouping {
         enabled = true
       }
     }
   
     depends_on = [azurerm_sentinel_log_analytics_workspace_onboarding.main]
   }

4. 4.Conectar uma regra de automação para resposta a incidentes

   Provisiona:

   • Microsoft Sentinel

   Regras de automação são o primitivo Configurar seu ambiente Microsoft Sentinel para gerenciamento de incidentes do SC-200 — elas são acionadas quando um incidente é criado, atualizado ou fechado, e executam um conjunto de ações: atribuir o incidente a um usuário, alterar sua gravidade, adicionar tags ou invocar um playbook do Logic App.

   Nós criamos uma regra que é executada toda vez que qualquer incidente é criado. A ação de exemplo apenas altera a gravidade para Alta e marca o incidente — em produção, você invocaria um playbook do Logic App aqui que publica no Teams, cria um ticket Jira, enriquece com inteligência de ameaças ou aciona um runbook de remediação. O SC-200 testa esse formato de automação acionada como o padrão SOC L1.

   Copiar

   resource "azurerm_sentinel_automation_rule" "tag_and_escalate" {
     name                       = "0e84e57b-8b8a-4c8b-a0a8-1d3f3e6f9a01" # GUID required
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
     display_name               = "Tag-and-escalate every new incident"
     order                      = 1
     enabled                    = true
   
     triggers_on  = "Incidents"
     triggers_when = "Created"
   
     action_incident {
       order    = 1
       severity = "High"
     }
   
     action_incident {
       order  = 2
       labels = ["lab-auto-tagged"]
     }
   
     depends_on = [azurerm_sentinel_log_analytics_workspace_onboarding.main]
   }

Limpeza