무료 온라인 액세스 Microsoft.SC-200.v2026-02-26.q358 모의 시험 (Page 11)

SC-200 문제 46

Microsoft Sentinel 작업 영역에서 KQL 쿼리를 작성해야 합니다. 쿼리는 마지막 레코드의 EventID 값이 4624인 계정에 대한 SecurityEvent 레코드를 반환해야 합니다. 쿼리를 어떻게 완료해야 합니까? 답변하려면 답변 영역에서 적절한 옵션을 선택하세요.
참고: 각 선택 항목은 1점입니다.

정답:

설명:

보안 이벤트
| EventID == 4624인 경우
| 계정별로 arg_max(TimeGenerated, *)를 요약합니다.
모든 Microsoft Security Operations(SecOps) 문서에 대한 포괄적이고 자세한 설명: = 이 쿼리는 Microsoft Sentinel(Log Analytics)이 가장 최근에 성공한 로그온(이벤트 ID)을 식별하도록 설계되었습니다.
각 계정에 대해 4624)가 기록됩니다. SecurityEvent 테이블의 이벤트 ID 4624는 Windows 보안 로그에 로그온이 성공했음을 나타냅니다.
논리를 단계별로 분석해 보겠습니다.
| EventID == 4624인 경우
이 줄은 성공적인 로그온 이벤트에 해당하는 레코드만 포함하도록 SecurityEvent 테이블을 필터링합니다.
먼저 필터링을 수행하면 요약 단계에서 관련 이벤트만 처리되므로 성능과 정확성이 향상됩니다.
| 계정별로 arg_max(TimeGenerated, *)를 요약합니다.
arg_max() 집계 함수는 각 계정에 대해 TimeGenerated의 최대값을 갖는 레코드를 검색합니다.
* 기호는 가장 최근 레코드의 모든 열이 반환되도록 보장합니다(TimeGenerated 및 Account뿐만 아니라).
이 맥락에서 이는 사용자 계정당 가장 최근의 4624 로그온 이벤트를 얻는다는 것을 의미합니다.
이 순서가 중요한 이유:
arg_max()가 where 절 앞에 배치되면 요약은 이벤트 전체에 대해 먼저 수행되며
4624, 잘못된 결과가 생성됩니다.
따라서 올바른 논리적 순서는 먼저 필터링하는 것(EventID == 4624)이고, 그 다음에 (arg_max(TimeGenerated, *) by Account)를 요약하는 것입니다.
잘못된 대안에 대한 설명:
EventID별로 make_list(Account) 또는 make_set(Account)를 요약합니다. # 이는 계정당 가장 최근 이벤트가 아닌 각 EventID에 대한 집계 계정 이름입니다.
# 집계 후 필터를 적용하면 계정별로 올바른 결과가 반환되지 않습니다.

SC-200 문제 47

Microsoft Sentinel 작업 공간이 있습니다.
다음 그림에서 볼 수 있듯이 Query1이라는 이름의 쿼리가 있습니다.

Parser 1이라는 이름의 사용자 지정 파서를 만들 계획입니다. Parser1에서 Query1을 사용해야 합니다. 먼저 무엇을 해야 할까요?

A. 2번째 줄을 제거합니다.

B. 4번째 줄에서 TimeGenerated 술어를 제거합니다.

C. 5번째 줄을 제거합니다.

D. 3번째 줄에서 'contains 연산자를 !has 연산자로 바꾸세요.

SC-200 문제 48

Microsoft Teams를 사용하는 Microsoft 365 E5 구독이 있습니다.
Microsoft Purview 규정 준수 포털을 사용하여 사용자의 Teams 채팅에서 콘텐츠 검색을 수행해야 합니다. 솔루션은 검색 범위를 최소화해야 합니다.
콘텐츠 검색을 어떻게 구성해야 할까요? 답변하려면 답변 영역에서 적절한 옵션을 선택하세요.
참고: 정답 하나당 1점입니다.