window.ExamData = window.ExamData || {};
window.ExamData['sc-200'] = {
  meta: {
    id: 'sc-200',
    title: {
      en: 'Microsoft Security Operations Analyst',
      de: 'Microsoft Security Operations Analyst'
    },
    description: {
      en: 'This exam measures your ability to mitigate threats using Microsoft Defender XDR, Microsoft Sentinel, and Microsoft Defender for Cloud.',
      de: 'Diese Prüfung misst Ihre Fähigkeit, Bedrohungen mit Microsoft Defender XDR, Microsoft Sentinel und Microsoft Defender for Cloud zu mindern.'
    },
    icon: '🔍',
    level: 'associate',
    passingScore: 700,
    totalTime: 120,
    questionCount: '40-60',
    msLearnUrl: 'https://learn.microsoft.com/en-us/certifications/exams/sc-200/',
    domains: [
      {
        name: {
          en: 'Mitigate Threats Using Microsoft Defender XDR',
          de: 'Bedrohungen mit Microsoft Defender XDR mindern'
        },
        weight: '25-30%',
        objectives: [
          {
            en: 'Investigate incidents and alerts across endpoint, email, identity, and cloud app signals',
            de: 'Vorfälle und Warnungen über Endpunkt-, E-Mail-, Identitäts- und Cloud-App-Signale hinweg untersuchen'
          },
          {
            en: 'Use automated investigation and advanced hunting to speed up response',
            de: 'Automatisierte Untersuchungen und Advanced Hunting nutzen, um die Reaktion zu beschleunigen'
          },
          {
            en: 'Contain threats with Microsoft Defender for Endpoint, Office 365, Identity, and Cloud Apps',
            de: 'Bedrohungen mit Microsoft Defender for Endpoint, Office 365, Identity und Cloud Apps eindämmen'
          }
        ]
      },
      {
        name: {
          en: 'Mitigate Threats Using Microsoft Sentinel',
          de: 'Bedrohungen mit Microsoft Sentinel mindern'
        },
        weight: '50-55%',
        objectives: [
          {
            en: 'Connect data sources and manage the Log Analytics workspace',
            de: 'Datenquellen anbinden und den Log Analytics-Arbeitsbereich verwalten'
          },
          {
            en: 'Create analytics rules, hunting queries, workbooks, and automation',
            de: 'Analyse-Regeln, Hunting-Abfragen, Workbooks und Automatisierung erstellen'
          },
          {
            en: 'Investigate incidents by using entities, UEBA, and playbooks',
            de: 'Vorfälle mit Entitäten, UEBA und Playbooks untersuchen'
          }
        ]
      },
      {
        name: {
          en: 'Mitigate Threats Using Microsoft Defender for Cloud',
          de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
        },
        weight: '15-20%',
        objectives: [
          {
            en: 'Monitor secure score and remediate recommendations',
            de: 'Secure Score überwachen und Empfehlungen beheben'
          },
          {
            en: 'Assess regulatory compliance and workload protection coverage',
            de: 'Regulatorische Compliance und die Abdeckung des Workloadschutzes bewerten'
          },
          {
            en: 'Investigate alerts and security posture findings for cloud resources',
            de: 'Warnungen und Sicherheitsbefunde für Cloudressourcen untersuchen'
          }
        ]
      }
    ]
  },
  questions: [
    {
      id: 'sc200-001', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Defender XDR experience gives analysts a correlated view of related alerts, affected assets, and response actions in one place?',
        de: 'Welche Microsoft-Defender-XDR-Ansicht bietet Analysten einen korrelierten Überblick über zusammengehörige Warnungen, betroffene Ressourcen und Reaktionsmaßnahmen an einem Ort?'
      },
      options: [
        { id: 'A', text: { en: 'Incidents queue', de: 'Vorfallswarteschlange' } },
        { id: 'B', text: { en: 'Advanced hunting', de: 'Advanced Hunting' } },
        { id: 'C', text: { en: 'Simulation training', de: 'Simulationstraining' } },
        { id: 'D', text: { en: 'Attack simulator', de: 'Angriffssimulator' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'The incidents queue in Microsoft Defender XDR correlates related alerts into a single incident and shows entities, evidence, and response actions together. Advanced hunting is a query tool, while simulation features are used for awareness or testing rather than incident correlation.',
        de: 'Die Vorfallswarteschlange in Microsoft Defender XDR korreliert zusammengehörige Warnungen zu einem einzelnen Vorfall und zeigt Entitäten, Beweise und Reaktionsmaßnahmen gemeinsam an. Advanced Hunting ist ein Abfragetool, während Simulationsfunktionen für Awareness oder Tests und nicht für die Vorfallskorrelation gedacht sind.'
      },
      hint: {
        en: 'Look for the main investigation view rather than a query or training feature.',
        de: 'Suchen Sie nach der zentralen Untersuchungsansicht und nicht nach einer Abfrage- oder Trainingsfunktion.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/investigate-incidents'
    },
    {
      id: 'sc200-002', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the main benefit of automated investigation and response in Microsoft Defender for Endpoint?',
        de: 'Was ist der Hauptvorteil der automatisierten Untersuchung und Reaktion in Microsoft Defender for Endpoint?'
      },
      options: [
        { id: 'A', text: { en: 'It investigates alerts automatically and can take approved remediation actions', de: 'Sie untersucht Warnungen automatisch und kann genehmigte Behebungsmaßnahmen ausführen' } },
        { id: 'B', text: { en: 'It replaces device onboarding', de: 'Sie ersetzt das Onboarding von Geräten' } },
        { id: 'C', text: { en: 'It calculates Azure billing costs', de: 'Sie berechnet Azure-Abrechnungskosten' } },
        { id: 'D', text: { en: 'It disables role-based access control', de: 'Sie deaktiviert die rollenbasierte Zugriffssteuerung' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Automated investigation and response reduces analyst workload by examining alerts, collecting evidence, and taking remediation actions based on the configured automation level. It is designed to accelerate triage and containment, not replace onboarding, billing, or RBAC.',
        de: 'Die automatisierte Untersuchung und Reaktion reduziert den Aufwand für Analysten, indem sie Warnungen untersucht, Beweise sammelt und abhängig vom konfigurierten Automatisierungsgrad Behebungsmaßnahmen ausführt. Sie beschleunigt Triage und Eindämmung und ersetzt weder Onboarding noch Abrechnung oder RBAC.'
      },
      hint: {
        en: 'Think about the feature that reduces repetitive analyst work after an alert appears.',
        de: 'Denken Sie an die Funktion, die sich wiederholende Analystenarbeit nach dem Auftreten einer Warnung reduziert.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-endpoint/automated-investigations'
    },
    {
      id: 'sc200-003', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'medium',
      scenario: {
        en: 'Litware, Inc. detects a phishing campaign. One user has a malicious email, risky sign-ins, and malware execution on a laptop. The SOC lead wants one case that correlates all related evidence and can be assigned to an analyst.',
        de: 'Litware, Inc. erkennt eine Phishing-Kampagne. Ein Benutzer hat eine bösartige E-Mail, riskante Anmeldungen und Malware-Ausführung auf einem Laptop. Die SOC-Leitung möchte einen einzelnen Fall, der alle zugehörigen Beweise korreliert und einem Analysten zugewiesen werden kann.'
      },
      question: {
        en: 'Which Defender XDR feature should the analyst use first?',
        de: 'Welche Defender-XDR-Funktion sollte der Analyst zuerst verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Incidents', de: 'Vorfälle' } },
        { id: 'B', text: { en: 'Exposure management', de: 'Exposure Management' } },
        { id: 'C', text: { en: 'Secure Score', de: 'Secure Score' } },
        { id: 'D', text: { en: 'Device inventory', de: 'Geräteinventar' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Incidents are the correct starting point because Defender XDR correlates evidence from email, identity, and endpoint alerts into a unified case. This allows ownership, status tracking, and coordinated investigation from a single workflow.',
        de: 'Vorfälle sind der richtige Einstiegspunkt, weil Defender XDR Beweise aus E-Mail-, Identitäts- und Endpunktwarnungen zu einem einheitlichen Fall korreliert. Dadurch sind Besitzzuweisung, Statusverfolgung und koordinierte Untersuchung in einem einzigen Workflow möglich.'
      },
      hint: {
        en: 'Use the view that merges evidence across multiple Defender workloads.',
        de: 'Verwenden Sie die Ansicht, die Beweise über mehrere Defender-Workloads hinweg zusammenführt.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/investigate-incidents'
    },
    {
      id: 'sc200-004', type: 'multiple',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which Microsoft services are native signal sources for Microsoft Defender XDR incidents? Select all that apply.',
        de: 'Welche Microsoft-Dienste sind native Signalquellen für Vorfälle in Microsoft Defender XDR? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Endpoint', de: 'Microsoft Defender for Endpoint' } },
        { id: 'B', text: { en: 'Microsoft Defender for Office 365', de: 'Microsoft Defender for Office 365' } },
        { id: 'C', text: { en: 'Microsoft Defender for Identity', de: 'Microsoft Defender for Identity' } },
        { id: 'D', text: { en: 'Microsoft Defender for Cloud Apps', de: 'Microsoft Defender for Cloud Apps' } },
        { id: 'E', text: { en: 'Microsoft Sentinel', de: 'Microsoft Sentinel' } }
      ],
      correct: ['A', 'B', 'C', 'D'],
      explanation: {
        en: 'Microsoft Defender XDR natively correlates signals from Defender for Endpoint, Defender for Office 365, Defender for Identity, and Defender for Cloud Apps. Microsoft Sentinel can integrate with Defender XDR, but it is a separate SIEM and SOAR platform rather than a native Defender XDR signal source.',
        de: 'Microsoft Defender XDR korreliert nativ Signale aus Defender for Endpoint, Defender for Office 365, Defender for Identity und Defender for Cloud Apps. Microsoft Sentinel kann zwar mit Defender XDR integriert werden, ist jedoch eine separate SIEM- und SOAR-Plattform und keine native Signalquelle von Defender XDR.'
      },
      hint: {
        en: 'Choose the Defender products that form the unified XDR suite.',
        de: 'Wählen Sie die Defender-Produkte aus, die die vereinheitlichte XDR-Suite bilden.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/defender-xdr-overview'
    },
    {
      id: 'sc200-005', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'In Microsoft Defender for Cloud Apps, which feature helps discover shadow IT by analyzing firewall or proxy logs?',
        de: 'Welche Funktion in Microsoft Defender for Cloud Apps hilft dabei, Shadow IT durch die Analyse von Firewall- oder Proxyprotokollen zu erkennen?'
      },
      options: [
        { id: 'A', text: { en: 'Cloud Discovery', de: 'Cloud Discovery' } },
        { id: 'B', text: { en: 'Attack simulation training', de: 'Simulationstraining für Angriffe' } },
        { id: 'C', text: { en: 'Device Control', de: 'Gerätesteuerung' } },
        { id: 'D', text: { en: 'Entitlement Management', de: 'Entitlement Management' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Cloud Discovery ingests network logs from firewalls and proxies to reveal unsanctioned or risky cloud application usage. This is the classic Defender for Cloud Apps capability for identifying shadow IT and prioritizing governance actions.',
        de: 'Cloud Discovery verarbeitet Netzwerkprotokolle von Firewalls und Proxys, um nicht genehmigte oder riskante Cloudanwendungen sichtbar zu machen. Dies ist die klassische Funktion von Defender for Cloud Apps, um Shadow IT zu identifizieren und Governance-Maßnahmen zu priorisieren.'
      },
      hint: {
        en: 'Think about the feature that starts with network log analysis, not endpoint policy.',
        de: 'Denken Sie an die Funktion, die mit der Analyse von Netzwerkprotokollen beginnt und nicht mit einer Endpunktrichtlinie.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-cloud-apps/set-up-cloud-discovery'
    },
    {
      id: 'sc200-006', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Defender product monitors on-premises Active Directory signals such as lateral movement and identity reconnaissance?',
        de: 'Welches Defender-Produkt überwacht lokale Active-Directory-Signale wie laterale Bewegung und Identitätsaufklärung?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender for Identity', de: 'Microsoft Defender for Identity' } },
        { id: 'B', text: { en: 'Microsoft Defender for Endpoint', de: 'Microsoft Defender for Endpoint' } },
        { id: 'C', text: { en: 'Microsoft Defender for Office 365', de: 'Microsoft Defender for Office 365' } },
        { id: 'D', text: { en: 'Microsoft Sentinel', de: 'Microsoft Sentinel' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Defender for Identity is designed to detect suspicious identity activity in on-premises Active Directory and hybrid environments. It focuses on domain controllers, authentication patterns, lateral movement, and identity-related attack techniques.',
        de: 'Microsoft Defender for Identity wurde entwickelt, um verdächtige Identitätsaktivitäten in lokalen Active-Directory- und Hybridumgebungen zu erkennen. Der Schwerpunkt liegt auf Domänencontrollern, Authentifizierungsmustern, lateraler Bewegung und identitätsbezogenen Angriffstechniken.'
      },
      hint: {
        en: 'Choose the Defender product focused on identity signals rather than devices or email.',
        de: 'Wählen Sie das Defender-Produkt, das auf Identitätssignale und nicht auf Geräte oder E-Mails ausgerichtet ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-for-identity/what-is'
    },
    {
      id: 'sc200-007', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender XDR', de: 'Bedrohungen mit Microsoft Defender XDR mindern' }, difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., during a live incident, you need to correlate suspicious email subjects, risky user sign-ins, and endpoint process events across the last seven days by using custom queries.',
        de: 'Bei Litware, Inc.: während eines laufenden Vorfalls müssen Sie verdächtige E-Mail-Betreffzeilen, riskante Benutzeranmeldungen und Prozessereignisse auf Endpunkten über die letzten sieben Tage mit benutzerdefinierten Abfragen korrelieren.'
      },
      question: {
        en: 'Which Defender XDR feature best meets this requirement?',
        de: 'Welche Defender-XDR-Funktion erfüllt diese Anforderung am besten?'
      },
      options: [
        { id: 'A', text: { en: 'Advanced hunting', de: 'Advanced Hunting' } },
        { id: 'B', text: { en: 'Attack simulation training', de: 'Simulationstraining für Angriffe' } },
        { id: 'C', text: { en: 'Secure Score', de: 'Secure Score' } },
        { id: 'D', text: { en: 'Evaluation lab', de: 'Evaluierungslabor' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Advanced hunting is the cross-workload query experience in Defender XDR for searching endpoint, identity, email, and app telemetry with custom logic. It is intended for deeper investigation and proactive hunting when predefined incident views are not enough.',
        de: 'Advanced Hunting ist die arbeitslastübergreifende Abfragefunktion in Defender XDR, mit der Endpunkt-, Identitäts-, E-Mail- und App-Telemetrie mit benutzerdefinierter Logik durchsucht werden kann. Sie ist für tiefere Untersuchungen und proaktives Hunting gedacht, wenn vordefinierte Vorfallsansichten nicht ausreichen.'
      },
      hint: {
        en: 'You need a query-driven investigation tool that spans multiple Defender data sets.',
        de: 'Sie benötigen ein abfragegesteuertes Untersuchungstool, das mehrere Defender-Datensätze umfasst.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview'
    },
    {
      id: 'sc200-008', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Microsoft Sentinel stores ingested security data in which Azure resource?',
        de: 'In welcher Azure-Ressource speichert Microsoft Sentinel aufgenommene Sicherheitsdaten?'
      },
      options: [
        { id: 'A', text: { en: 'Log Analytics workspace', de: 'Log Analytics-Arbeitsbereich' } },
        { id: 'B', text: { en: 'Azure Key Vault', de: 'Azure Key Vault' } },
        { id: 'C', text: { en: 'Virtual network', de: 'Virtuelles Netzwerk' } },
        { id: 'D', text: { en: 'Recovery Services vault', de: 'Recovery Services-Tresor' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel is built on top of Azure Monitor and uses a Log Analytics workspace as the central storage and query layer for security data. Connectors, analytics rules, and hunting queries all rely on that workspace.',
        de: 'Microsoft Sentinel basiert auf Azure Monitor und verwendet einen Log Analytics-Arbeitsbereich als zentrale Speicher- und Abfrageschicht für Sicherheitsdaten. Datenconnectors, Analyse-Regeln und Hunting-Abfragen greifen alle auf diesen Arbeitsbereich zu.'
      },
      hint: {
        en: 'Think about the Azure resource that also powers log search in Azure Monitor.',
        de: 'Denken Sie an die Azure-Ressource, die auch die Protokollsuche in Azure Monitor ermöglicht.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/overview?tabs=azure-portal'
    },
    {
      id: 'sc200-009', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which connector should you enable to bring Microsoft Defender XDR incidents and alerts into Microsoft Sentinel?',
        de: 'Welchen Connector sollten Sie aktivieren, um Vorfälle und Warnungen aus Microsoft Defender XDR in Microsoft Sentinel zu übernehmen?'
      },
      options: [
        { id: 'A', text: { en: 'Microsoft Defender XDR', de: 'Microsoft Defender XDR' } },
        { id: 'B', text: { en: 'Azure Activity', de: 'Azure Activity' } },
        { id: 'C', text: { en: 'Common Event Format', de: 'Common Event Format' } },
        { id: 'D', text: { en: 'Syslog', de: 'Syslog' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'The Microsoft Defender XDR connector is the built-in integration for streaming Defender incidents, alerts, and related data into Sentinel. Generic connectors such as Syslog or CEF do not provide the native Defender XDR incident integration.',
        de: 'Der Connector Microsoft Defender XDR ist die integrierte Anbindung, um Defender-Vorfälle, Warnungen und zugehörige Daten in Sentinel zu übertragen. Allgemeine Connectors wie Syslog oder CEF liefern keine native Defender-XDR-Vorfallsintegration.'
      },
      hint: {
        en: 'Choose the connector that matches the Microsoft security suite directly.',
        de: 'Wählen Sie den Connector, der direkt zur Microsoft-Sicherheitssuite passt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-data-sources'
    },
    {
      id: 'sc200-010', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: {
        en: 'You work for Humongous Insurance. The requirement is a recurring detection, not just data collection or visualization.',
        de: 'Sie arbeiten für Humongous Insurance. Die Anforderung ist eine wiederkehrende Erkennung und nicht nur Datensammlung oder Visualisierung.'
      },
      question: {
        en: 'What should you configure in Sentinel to detect this pattern?',
        de: 'Was sollten Sie in Sentinel konfigurieren, um dieses Muster zu erkennen?'
      },
      options: [
        { id: 'A', text: { en: 'A scheduled analytics rule with a KQL query', de: 'Eine geplante Analyse-Regel mit einer KQL-Abfrage' } },
        { id: 'B', text: { en: 'A data collection endpoint', de: 'Einen Datensammlungsendpunkt' } },
        { id: 'C', text: { en: 'A workbook template', de: 'Eine Workbook-Vorlage' } },
        { id: 'D', text: { en: 'A watchlist alias', de: 'Einen Watchlist-Alias' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'A scheduled analytics rule is used to run KQL on a cadence and create alerts or incidents when a pattern is found. Workbooks visualize data, while collection endpoints and watchlists do not perform time-based detection logic by themselves.',
        de: 'Eine geplante Analyse-Regel wird verwendet, um KQL in einem Intervall auszuführen und Warnungen oder Vorfälle zu erzeugen, wenn ein Muster gefunden wird. Workbooks visualisieren Daten, während Datensammlungsendpunkte und Watchlists selbst keine zeitbasierte Erkennungslogik ausführen.'
      },
      hint: {
        en: 'The requirement is a recurring detection, not just data collection or visualization.',
        de: 'Die Anforderung ist eine wiederkehrende Erkennung und nicht nur Datensammlung oder Visualisierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'sc200-011', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'You need a KQL query that shows the number of failed Windows logons per computer for the last 24 hours, ordered from highest to lowest. Which query should you use?',
        de: 'Sie benötigen eine KQL-Abfrage, die die Anzahl fehlgeschlagener Windows-Anmeldungen pro Computer für die letzten 24 Stunden anzeigt und absteigend sortiert. Welche Abfrage sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'SecurityEvent | where EventID == 4625 | where TimeGenerated >= ago(24h) | summarize FailedLogons = count() by Computer | sort by FailedLogons desc', de: 'SecurityEvent | where EventID == 4625 | where TimeGenerated >= ago(24h) | summarize FailedLogons = count() by Computer | sort by FailedLogons desc' } },
        { id: 'B', text: { en: 'SecurityEvent | where EventID == 4624 | summarize FailedLogons = avg(EventID) by Computer', de: 'SecurityEvent | where EventID == 4624 | summarize FailedLogons = avg(EventID) by Computer' } },
        { id: 'C', text: { en: 'SecurityEvent | summarize count() by Account | top 24 by TimeGenerated', de: 'SecurityEvent | summarize count() by Account | top 24 by TimeGenerated' } },
        { id: 'D', text: { en: 'SigninLogs | where ResultType == 0 | summarize FailedLogons = count() by Computer', de: 'SigninLogs | where ResultType == 0 | summarize FailedLogons = count() by Computer' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Event ID 4625 represents failed Windows logons in the SecurityEvent table. The correct query filters to the last 24 hours, aggregates by Computer with summarize, and sorts descending so the noisiest systems appear first.',
        de: 'Ereignis-ID 4625 steht in der Tabelle SecurityEvent für fehlgeschlagene Windows-Anmeldungen. Die richtige Abfrage filtert auf die letzten 24 Stunden, aggregiert mit summarize nach Computer und sortiert absteigend, damit die auffälligsten Systeme zuerst erscheinen.'
      },
      hint: {
        en: 'Failed Windows logons are 4625, and grouping is done with summarize.',
        de: 'Fehlgeschlagene Windows-Anmeldungen sind 4625, und die Gruppierung erfolgt mit summarize.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/kusto-overview'
    },
    {
      id: 'sc200-012', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Sentinel playbooks are built on which Azure service?',
        de: 'Auf welchem Azure-Dienst basieren Sentinel-Playbooks?'
      },
      options: [
        { id: 'A', text: { en: 'Azure Logic Apps', de: 'Azure Logic Apps' } },
        { id: 'B', text: { en: 'Azure DevOps Pipelines', de: 'Azure DevOps Pipelines' } },
        { id: 'C', text: { en: 'Azure Functions Premium only', de: 'Nur Azure Functions Premium' } },
        { id: 'D', text: { en: 'Azure Automation Update Management', de: 'Azure Automation Update Management' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Sentinel playbooks are implemented with Azure Logic Apps, which provides workflow orchestration, connectors, conditions, and actions. This is why Sentinel automation can connect to email, ticketing, chat, and many third-party systems.',
        de: 'Sentinel-Playbooks werden mit Azure Logic Apps umgesetzt, das Workflow-Orchestrierung, Connectors, Bedingungen und Aktionen bereitstellt. Deshalb kann die Sentinel-Automatisierung E-Mail-, Ticket-, Chat- und viele Drittsysteme anbinden.'
      },
      hint: {
        en: 'Think of the Azure workflow service used for low-code automation.',
        de: 'Denken Sie an den Azure-Workflowdienst für Low-Code-Automatisierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-013', type: 'multiple',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which actions can a Microsoft Sentinel automation rule perform on an incident? Select all that apply.',
        de: 'Welche Aktionen kann eine Automatisierungsregel in Microsoft Sentinel für einen Vorfall ausführen? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Run a playbook', de: 'Ein Playbook ausführen' } },
        { id: 'B', text: { en: 'Change severity, status, or owner', de: 'Schweregrad, Status oder Besitzer ändern' } },
        { id: 'C', text: { en: 'Add tags or comments based on conditions', de: 'Tags oder Kommentare anhand von Bedingungen hinzufügen' } },
        { id: 'D', text: { en: 'Replace the workspace retention policy', de: 'Die Aufbewahrungsrichtlinie des Arbeitsbereichs ersetzen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Automation rules can update incident properties, add tags, and trigger playbooks when conditions are met. Workspace retention is configured at the Log Analytics level and is not something an incident automation rule manages.',
        de: 'Automatisierungsregeln können Vorfallseigenschaften aktualisieren, Tags hinzufügen und bei erfüllten Bedingungen Playbooks auslösen. Die Aufbewahrung des Arbeitsbereichs wird auf Log-Analytics-Ebene konfiguriert und nicht durch eine Vorfall-Automatisierungsregel verwaltet.'
      },
      hint: {
        en: 'Focus on incident workflow actions, not workspace administration.',
        de: 'Konzentrieren Sie sich auf Aktionen im Vorfallsworkflow und nicht auf die Arbeitsbereichsverwaltung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-014', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: {
        en: 'The SOC at Contoso, Ltd. manager wants a dashboard that shows incident trends, top tactics, and connector health, and can be shared with analysts.',
        de: 'Contoso, Ltd. – Die SOC-Leitung möchte ein Dashboard, das Vorfallstrends, die wichtigsten Taktiken und den Zustand der Connectors zeigt und mit Analysten geteilt werden kann.'
      },
      question: {
        en: 'Which Sentinel feature should you use?',
        de: 'Welche Sentinel-Funktion sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Workbooks', de: 'Workbooks' } },
        { id: 'B', text: { en: 'Watchlists', de: 'Watchlists' } },
        { id: 'C', text: { en: 'Notebooks', de: 'Notebooks' } },
        { id: 'D', text: { en: 'Data collection rules', de: 'Datensammlungsregeln' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Workbooks are the native visualization and reporting feature in Sentinel for dashboards, charts, tables, and shared investigation views. Watchlists enrich data, notebooks support advanced analysis, and data collection rules manage ingestion rather than presentation.',
        de: 'Workbooks sind die native Visualisierungs- und Berichtsfunktion in Sentinel für Dashboards, Diagramme, Tabellen und gemeinsam nutzbare Untersuchungsansichten. Watchlists reichern Daten an, Notebooks unterstützen vertiefte Analysen und Datensammlungsregeln steuern die Aufnahme statt der Darstellung.'
      },
      hint: {
        en: 'You need a dashboard feature, not a reference list or ingestion setting.',
        de: 'Sie benötigen eine Dashboard-Funktion und keine Referenzliste oder Aufnahmeeinstellung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/monitor-your-data'
    },
    {
      id: 'sc200-015', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'What does UEBA add to Microsoft Sentinel investigations?',
        de: 'Was fügt UEBA Untersuchungen in Microsoft Sentinel hinzu?'
      },
      options: [
        { id: 'A', text: { en: 'Behavioral baselines and anomaly insights for users and entities', de: 'Verhaltensbaselines und Anomalieerkenntnisse für Benutzer und Entitäten' } },
        { id: 'B', text: { en: 'More CPU on collectors', de: 'Mehr CPU auf Sammlern' } },
        { id: 'C', text: { en: 'Automatic license assignment', de: 'Automatische Lizenzzuweisung' } },
        { id: 'D', text: { en: 'Extra storage accounts', de: 'Zusätzliche Speicherkonten' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'UEBA enriches investigations by establishing normal behavior for users and entities and then surfacing deviations that may indicate compromise. This helps analysts prioritize unusual activity that would not stand out from raw logs alone.',
        de: 'UEBA reichert Untersuchungen an, indem normales Verhalten für Benutzer und Entitäten ermittelt und anschließend Abweichungen hervorgehoben werden, die auf eine Kompromittierung hinweisen können. So können Analysten ungewöhnliche Aktivitäten priorisieren, die in Rohprotokollen allein nicht auffallen würden.'
      },
      hint: {
        en: 'The keyword is behavior, not infrastructure capacity.',
        de: 'Das Schlüsselwort ist Verhalten und nicht Infrastrukturkapazität.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'sc200-016', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the primary use of a watchlist in Microsoft Sentinel?',
        de: 'Wofür wird eine Watchlist in Microsoft Sentinel hauptsächlich verwendet?'
      },
      options: [
        { id: 'A', text: { en: 'Enrich analytics and hunting with reference data such as VIP users or risky IPs', de: 'Analysen und Hunting mit Referenzdaten wie VIP-Benutzern oder riskanten IPs anreichern' } },
        { id: 'B', text: { en: 'Store raw packet captures', de: 'Rohe Paketmitschnitte speichern' } },
        { id: 'C', text: { en: 'Replace analytics rules', de: 'Analyse-Regeln ersetzen' } },
        { id: 'D', text: { en: 'Deploy agents to endpoints', de: 'Agents auf Endpunkte bereitstellen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Watchlists provide structured reference data that can be joined into analytics rules, hunting queries, and investigation processes. They are useful for context, prioritization, and matching rather than for raw data storage or agent deployment.',
        de: 'Watchlists liefern strukturierte Referenzdaten, die in Analyse-Regeln, Hunting-Abfragen und Untersuchungsprozesse eingebunden werden können. Sie sind für Kontext, Priorisierung und Abgleich nützlich und nicht für Rohdatenspeicherung oder Agent-Bereitstellung gedacht.'
      },
      hint: {
        en: 'Think of a curated reference table that improves detections.',
        de: 'Denken Sie an eine kuratierte Referenztabelle, die Erkennungen verbessert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/watchlists'
    },
    {
      id: 'sc200-017', type: 'multiple',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'hard',
      scenario: {
        en: 'At Humongous Insurance, several low-fidelity alerts related to the same user and host are generating noise. You want them combined into one meaningful incident and then automatically notify the response team.',
        de: 'Bei Humongous Insurance: mehrere schwache Warnungen zum selben Benutzer und Host erzeugen Rauschen. Sie möchten diese zu einem aussagekräftigen Vorfall zusammenfassen und danach das Reaktionsteam automatisch benachrichtigen.'
      },
      question: {
        en: 'Which Sentinel configurations should you use? Select all that apply.',
        de: 'Welche Sentinel-Konfigurationen sollten Sie verwenden? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Configure alert grouping or incident settings in the analytics rule', de: 'Alarmgruppierung oder Vorfallseinstellungen in der Analyse-Regel konfigurieren' } },
        { id: 'B', text: { en: 'Map account and host entities in the rule', de: 'Konto- und Host-Entitäten in der Regel zuordnen' } },
        { id: 'C', text: { en: 'Create an automation rule to run a notification playbook', de: 'Eine Automatisierungsregel erstellen, die ein Benachrichtigungs-Playbook ausführt' } },
        { id: 'D', text: { en: 'Create a data collection rule for Windows events', de: 'Eine Datensammlungsregel für Windows-Ereignisse erstellen' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Alert grouping and incident settings help reduce noise by combining related detections, and entity mapping improves correlation and investigation context. An automation rule can then trigger a Logic Apps playbook to notify the response team. A data collection rule affects ingestion, not incident grouping and notification workflow.',
        de: 'Alarmgruppierung und Vorfallseinstellungen helfen, Rauschen zu reduzieren, indem zusammengehörige Erkennungen kombiniert werden, und die Entitätszuordnung verbessert Korrelation und Untersuchungskontext. Anschließend kann eine Automatisierungsregel ein Logic-Apps-Playbook zur Benachrichtigung des Reaktionsteams auslösen. Eine Datensammlungsregel beeinflusst die Aufnahme, nicht jedoch die Gruppierung von Vorfällen und den Benachrichtigungsworkflow.'
      },
      hint: {
        en: 'One part reduces duplicate incidents, another part triggers the response workflow.',
        de: 'Ein Teil reduziert doppelte Vorfälle, ein anderer Teil startet den Reaktionsworkflow.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'sc200-018', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'In a Sentinel analytics rule, what is entity mapping used for?',
        de: 'Wofür wird in einer Sentinel-Analyse-Regel die Entitätszuordnung verwendet?'
      },
      options: [
        { id: 'A', text: { en: 'Link query result fields such as Account, IP, or Host to investigation entities', de: 'Abfrageergebnisfelder wie Konto, IP oder Host mit Untersuchungsentitäten verknüpfen' } },
        { id: 'B', text: { en: 'Encrypt data at rest', de: 'Daten im Ruhezustand verschlüsseln' } },
        { id: 'C', text: { en: 'Archive incidents to cold storage', de: 'Vorfälle in Kaltspeicher archivieren' } },
        { id: 'D', text: { en: 'Set the workspace pricing tier', de: 'Die Preisstufe des Arbeitsbereichs festlegen' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Entity mapping tells Sentinel which query fields represent objects such as accounts, hosts, IP addresses, or URLs. This improves incident correlation, graphing, UEBA enrichment, and the analyst investigation experience.',
        de: 'Die Entitätszuordnung teilt Sentinel mit, welche Abfragefelder Objekte wie Konten, Hosts, IP-Adressen oder URLs darstellen. Dadurch werden Vorfallskorrelation, grafische Darstellung, UEBA-Anreicherung und die Untersuchung durch Analysten verbessert.'
      },
      hint: {
        en: 'Think about how raw fields become recognizable security objects in an incident.',
        de: 'Denken Sie daran, wie Rohfelder in einem Vorfall zu erkennbaren Sicherheitsobjekten werden.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/map-data-fields-to-entities'
    },
    {
      id: 'sc200-019', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which query language is used in Microsoft Sentinel for log analysis, hunting, and analytics rules?',
        de: 'Welche Abfragesprache wird in Microsoft Sentinel für Protokollanalyse, Hunting und Analyse-Regeln verwendet?'
      },
      options: [
        { id: 'A', text: { en: 'Kusto Query Language (KQL)', de: 'Kusto Query Language (KQL)' } },
        { id: 'B', text: { en: 'T-SQL', de: 'T-SQL' } },
        { id: 'C', text: { en: 'Power Fx', de: 'Power Fx' } },
        { id: 'D', text: { en: 'XPath', de: 'XPath' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Microsoft Sentinel uses Kusto Query Language across hunting, analytics rules, investigations, and workbook queries. Learning KQL is essential for filtering, aggregating, joining, and visualizing security data effectively.',
        de: 'Microsoft Sentinel verwendet Kusto Query Language für Hunting, Analyse-Regeln, Untersuchungen und Workbook-Abfragen. KQL zu beherrschen ist wesentlich, um Sicherheitsdaten effektiv zu filtern, zu aggregieren, zu verknüpfen und zu visualisieren.'
      },
      hint: {
        en: 'It is the same language used broadly in Azure Monitor logs.',
        de: 'Es ist dieselbe Sprache, die auch breit in Azure Monitor Logs verwendet wird.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/kusto-overview'
    },
    {
      id: 'sc200-020', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the main purpose of a Microsoft Sentinel solution from the Content hub?',
        de: 'Was ist der Hauptzweck einer Microsoft-Sentinel-Lösung aus dem Content Hub?'
      },
      options: [
        { id: 'A', text: { en: 'Deploy packaged connectors, analytics rules, workbooks, and hunting content for a scenario or product', de: 'Paketierte Connectors, Analyse-Regeln, Workbooks und Hunting-Inhalte für ein Szenario oder Produkt bereitstellen' } },
        { id: 'B', text: { en: 'Replace Azure subscriptions', de: 'Azure-Abonnements ersetzen' } },
        { id: 'C', text: { en: 'Convert incidents into tickets without configuration', de: 'Vorfälle ohne Konfiguration in Tickets umwandeln' } },
        { id: 'D', text: { en: 'Store malware samples', de: 'Malware-Proben speichern' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Content hub solutions package Sentinel content that accelerates deployment for specific Microsoft and partner integrations. They commonly include data connectors, analytics, workbooks, playbooks, and hunting queries aligned to a technology or use case.',
        de: 'Content-Hub-Lösungen bündeln Sentinel-Inhalte, die die Bereitstellung für bestimmte Microsoft- und Partnerintegrationen beschleunigen. Häufig enthalten sie Datenconnectors, Analysen, Workbooks, Playbooks und Hunting-Abfragen, die auf eine Technologie oder einen Anwendungsfall abgestimmt sind.'
      },
      hint: {
        en: 'Think of reusable packaged content rather than core platform replacement.',
        de: 'Denken Sie an wiederverwendbare, paketierte Inhalte und nicht an einen Ersatz der Kernplattform.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-catalog'
    },
    {
      id: 'sc200-021', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Sentinel', de: 'Bedrohungen mit Microsoft Sentinel mindern' }, difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., while hunting, you identify suspicious connections from one IP address to several servers. You want to save the exact events and attach investigation notes so they can be used later in an incident.',
        de: 'Bei Contoso, Ltd.: während des Huntings identifizieren Sie verdächtige Verbindungen von einer IP-Adresse zu mehreren Servern. Sie möchten die genauen Ereignisse speichern und Untersuchungsnotizen anhängen, damit sie später in einem Vorfall verwendet werden können.'
      },
      question: {
        en: 'Which Sentinel feature should you use?',
        de: 'Welche Sentinel-Funktion sollten Sie verwenden?'
      },
      options: [
        { id: 'A', text: { en: 'Bookmarks', de: 'Lesezeichen' } },
        { id: 'B', text: { en: 'Workbooks', de: 'Workbooks' } },
        { id: 'C', text: { en: 'Data connectors', de: 'Datenconnectors' } },
        { id: 'D', text: { en: 'Parsers', de: 'Parser' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Bookmarks let analysts preserve interesting events from hunting or investigation, add notes and tags, and later associate them with incidents. They are intended to capture evidence and context, not ingest data or build dashboards.',
        de: 'Mit Lesezeichen können Analysten interessante Ereignisse aus Hunting oder Untersuchungen speichern, Notizen und Tags hinzufügen und sie später mit Vorfällen verknüpfen. Sie dienen dazu, Beweise und Kontext festzuhalten und nicht dazu, Daten aufzunehmen oder Dashboards zu erstellen.'
      },
      hint: {
        en: 'You need a way to save evidence with analyst context for later use.',
        de: 'Sie benötigen eine Möglichkeit, Beweise mit Analystenkontext für die spätere Nutzung zu speichern.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'sc200-022', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender for Cloud', de: 'Bedrohungen mit Microsoft Defender for Cloud mindern' }, difficulty: 'easy',
      scenario: null,
      question: {
        en: 'What does Secure Score in Microsoft Defender for Cloud represent?',
        de: 'Wofür steht der Secure Score in Microsoft Defender for Cloud?'
      },
      options: [
        { id: 'A', text: { en: 'A measurement of security posture based on implemented controls and recommendations', de: 'Eine Messgröße für den Sicherheitsstatus auf Grundlage umgesetzter Kontrollen und Empfehlungen' } },
        { id: 'B', text: { en: 'A malware hash reputation score', de: 'Ein Reputationswert für Malware-Hashes' } },
        { id: 'C', text: { en: 'A penetration test result', de: 'Das Ergebnis eines Penetrationstests' } },
        { id: 'D', text: { en: 'A user risk score from Microsoft Entra ID', de: 'Ein Benutzerrisikowert aus Microsoft Entra ID' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Secure Score summarizes how well your environment aligns with recommended security controls and shows where posture can be improved. It is a posture management metric, not a malware score or identity risk value.',
        de: 'Der Secure Score fasst zusammen, wie gut Ihre Umgebung mit empfohlenen Sicherheitskontrollen übereinstimmt, und zeigt, wo der Sicherheitsstatus verbessert werden kann. Es handelt sich um eine Kennzahl für Sicherheitsstatus und nicht um einen Malware- oder Identitätsrisikowert.'
      },
      hint: {
        en: 'Think of posture improvement across resources, not threat intelligence for a single file or user.',
        de: 'Denken Sie an die Verbesserung des Sicherheitsstatus über Ressourcen hinweg und nicht an Threat Intelligence für eine einzelne Datei oder einen Benutzer.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'sc200-023', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender for Cloud', de: 'Bedrohungen mit Microsoft Defender for Cloud mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the main benefit of the Regulatory compliance dashboard in Defender for Cloud?',
        de: 'Was ist der Hauptvorteil des Dashboards Regulatory compliance in Defender for Cloud?'
      },
      options: [
        { id: 'A', text: { en: 'It maps your environment to standards and shows which controls are passing or failing', de: 'Es ordnet Ihre Umgebung Standards zu und zeigt, welche Kontrollen bestanden oder nicht bestanden werden' } },
        { id: 'B', text: { en: 'It deploys patches to every virtual machine automatically', de: 'Es installiert automatisch Patches auf jeder virtuellen Maschine' } },
        { id: 'C', text: { en: 'It replaces Microsoft Purview compliance features', de: 'Es ersetzt die Compliance-Funktionen von Microsoft Purview' } },
        { id: 'D', text: { en: 'It disables noncompliant resources immediately', de: 'Es deaktiviert nicht konforme Ressourcen sofort' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'The Regulatory compliance dashboard maps resources and recommendations to standards such as regulatory frameworks and benchmarks, giving teams visibility into failing controls and remediation priorities. It provides assessment and reporting, not automatic replacement of other compliance tools or instant shutdown of resources.',
        de: 'Das Dashboard Regulatory compliance ordnet Ressourcen und Empfehlungen Standards wie regulatorischen Frameworks und Benchmarks zu und gibt Teams Sichtbarkeit über fehlgeschlagene Kontrollen und Behebungsprioritäten. Es bietet Bewertung und Berichterstattung, ersetzt jedoch keine anderen Compliance-Tools automatisch und schaltet auch keine Ressourcen sofort ab.'
      },
      hint: {
        en: 'The key value is visibility against standards, not automatic patching.',
        de: 'Der zentrale Nutzen ist die Sichtbarkeit gegenüber Standards und nicht automatisches Patchen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'sc200-024', type: 'single',
      domain: { en: 'Mitigate Threats Using Microsoft Defender for Cloud', de: 'Bedrohungen mit Microsoft Defender for Cloud mindern' }, difficulty: 'hard',
      scenario: {
        en: 'Litware, Inc. runs business-critical Azure virtual machines. The SOC wants server threat detection, alerts for suspicious processes, and hardening features such as just-in-time access recommendations from the same security service.',
        de: 'Litware, Inc. betreibt geschäftskritische Azure-VMs. Das SOC möchte Bedrohungserkennung für Server, Warnungen bei verdächtigen Prozessen und Härtungsfunktionen wie Empfehlungen für Just-in-Time-Zugriff aus demselben Sicherheitsdienst.'
      },
      question: {
        en: 'Which Defender for Cloud plan best fits this requirement?',
        de: 'Welcher Defender-for-Cloud-Plan passt am besten zu dieser Anforderung?'
      },
      options: [
        { id: 'A', text: { en: 'Defender for Servers Plan 2', de: 'Defender for Servers Plan 2' } },
        { id: 'B', text: { en: 'Defender for Storage', de: 'Defender for Storage' } },
        { id: 'C', text: { en: 'Defender for App Service', de: 'Defender for App Service' } },
        { id: 'D', text: { en: 'Defender for DNS', de: 'Defender for DNS' } }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Servers Plan 2 is the workload protection plan designed for Azure and hybrid servers, including threat detection, advanced server protections, and security hardening capabilities. The other plans target different workloads and do not provide the full server-focused protection described in the scenario.',
        de: 'Defender for Servers Plan 2 ist der Workloadschutzplan für Azure- und Hybridserver und umfasst Bedrohungserkennung, erweiterte Schutzfunktionen für Server sowie Sicherheits-Härtungsfunktionen. Die anderen Pläne richten sich an andere Workloads und bieten nicht den vollständigen serverorientierten Schutz aus dem Szenario.'
      },
      hint: {
        en: 'Choose the plan made specifically for server workloads, not storage or platform services.',
        de: 'Wählen Sie den Plan, der speziell für Server-Workloads entwickelt wurde und nicht für Speicher oder Plattformdienste.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/plan-defender-for-servers-select-plan'
    },
    {
      id: 'sc200-025', type: 'multiple',
      domain: { en: 'Mitigate Threats Using Microsoft Defender for Cloud', de: 'Bedrohungen mit Microsoft Defender for Cloud mindern' }, difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Defender for Cloud capabilities help you assess and improve cloud security posture? Select all that apply.',
        de: 'Welche Funktionen von Defender for Cloud helfen Ihnen, den Cloud-Sicherheitsstatus zu bewerten und zu verbessern? Wählen Sie alle zutreffenden Antworten aus.'
      },
      options: [
        { id: 'A', text: { en: 'Recommendations', de: 'Empfehlungen' } },
        { id: 'B', text: { en: 'Secure Score', de: 'Secure Score' } },
        { id: 'C', text: { en: 'Regulatory compliance dashboard', de: 'Dashboard Regulatory compliance' } },
        { id: 'D', text: { en: 'Mail flow rules', de: 'E-Mail-Flussregeln' } }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Recommendations identify concrete remediation steps, Secure Score measures overall posture, and the Regulatory compliance dashboard maps posture to standards and controls. Mail flow rules belong to messaging administration and are not a Defender for Cloud posture capability.',
        de: 'Empfehlungen identifizieren konkrete Behebungsschritte, der Secure Score misst den allgemeinen Sicherheitsstatus, und das Dashboard Regulatory compliance ordnet den Status Standards und Kontrollen zu. E-Mail-Flussregeln gehören zur Messaging-Administration und sind keine Funktion zur Sicherheitsstatusbewertung in Defender for Cloud.'
      },
      hint: {
        en: 'Choose the posture management features rather than an Exchange-specific control.',
        de: 'Wählen Sie die Funktionen zur Sicherheitsstatusverwaltung und nicht eine Exchange-spezifische Kontrolle.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'sc200-026',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., a user reports a ransom note on a Windows laptop, and Defender for Endpoint still shows the device communicating with suspicious external IPs. You need to contain the threat immediately while keeping security telemetry available.',
        de: 'Bei Litware, Inc.: ein Benutzer meldet eine Lösegeldforderung auf einem Windows-Laptop, und Defender for Endpoint zeigt weiterhin Kommunikation des Geräts mit verdächtigen externen IP-Adressen. Sie müssen die Bedrohung sofort eindämmen und gleichzeitig Sicherheitstelemetrie verfügbar halten.'
      },
      question: {
        en: 'What should you do first?',
        de: 'Was sollten Sie zuerst tun?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Isolate the device',
            de: 'Das Gerät isolieren'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Collect an investigation package',
            de: 'Ein Untersuchungspaket sammeln'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Run a full antivirus scan',
            de: 'Einen vollständigen Antivirusscan ausführen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Create a threat analytics report',
            de: 'Einen Threat-Analytics-Bericht erstellen'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Device isolation is the fastest containment action. It cuts most network communication from the endpoint while preserving Defender for Endpoint connectivity for continued investigation.',
        de: 'Die Geräteisolierung ist die schnellste Eindämmungsmaßnahme. Sie unterbindet den Großteil der Netzwerkkommunikation des Endpunkts, während die Verbindung zu Defender for Endpoint für die weitere Untersuchung erhalten bleibt.'
      },
      hint: {
        en: 'Choose the action that contains the host without losing Defender visibility.',
        de: 'Wählen Sie die Aktion, die den Host eindämmt, ohne die Defender-Sichtbarkeit zu verlieren.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts'
    },
    {
      id: 'sc200-027',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about the Microsoft Defender XDR Action center are correct?',
        de: 'Welche Aussagen zum Action Center von Microsoft Defender XDR sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It shows pending and completed response actions',
            de: 'Es zeigt ausstehende und abgeschlossene Reaktionsaktionen an'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Analysts can approve or reject actions that require approval',
            de: 'Analysten können genehmigungspflichtige Aktionen genehmigen oder ablehnen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'It is the primary interface for writing KQL hunting queries',
            de: 'Es ist die primäre Oberfläche zum Schreiben von KQL-Huntingabfragen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'It centralizes remediation actions across supported Defender workloads',
            de: 'Es zentralisiert Abhilfemaßnahmen über unterstützte Defender-Workloads hinweg'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'The Action center is used to review, track, approve, and audit remediation actions across Defender workloads. KQL hunting is done in Advanced hunting, not in the Action center.',
        de: 'Das Action Center dient zum Überprüfen, Nachverfolgen, Genehmigen und Auditieren von Abhilfemaßnahmen über Defender-Workloads hinweg. KQL-Hunting erfolgt in Advanced Hunting, nicht im Action Center.'
      },
      hint: {
        en: 'Think approval workflow and remediation history, not hunting authoring.',
        de: 'Denken Sie an Genehmigungsworkflow und Abhilfeverlauf, nicht an das Erstellen von Huntingabfragen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/m365d-action-center'
    },
    {
      id: 'sc200-028',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'You work for Humongous Insurance. You need custom detections that need enough metadata to identify the exact device event.',
        de: 'Sie arbeiten für Humongous Insurance. Benutzerdefinierte Erkennungen benötigen genügend Metadaten, um das genaue Geräteereignis zu identifizieren.'
      },
      question: {
        en: 'Which set of columns must a device-scoped custom detection query return?',
        de: 'Welche Spalten muss eine gerätebezogene benutzerdefinierte Erkennungsabfrage zurückgeben?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Timestamp, DeviceId, ReportId',
            de: 'Timestamp, DeviceId, ReportId'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Timestamp, AccountObjectId, DeviceId',
            de: 'Timestamp, AccountObjectId, DeviceId'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Timestamp, NetworkMessageId, RecipientEmailAddress',
            de: 'Timestamp, NetworkMessageId, RecipientEmailAddress'
          }
        },
        {
          id: 'D',
          text: {
            en: 'FileName, SHA1, FolderPath',
            de: 'FileName, SHA1, FolderPath'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'For device-based custom detections in Microsoft Defender XDR, the query must return Timestamp, DeviceId, and ReportId so the alert can map to the device event correctly.',
        de: 'Für gerätebasierte benutzerdefinierte Erkennungen in Microsoft Defender XDR muss die Abfrage Timestamp, DeviceId und ReportId zurückgeben, damit der Alarm dem Geräteereignis korrekt zugeordnet werden kann.'
      },
      hint: {
        en: 'Custom detections need enough metadata to identify the exact device event.',
        de: 'Benutzerdefinierte Erkennungen benötigen genügend Metadaten, um das genaue Geräteereignis zu identifizieren.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/custom-detection-rules'
    },
    {
      id: 'sc200-029',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which capabilities are provided by Threat analytics in Microsoft Defender XDR?',
        de: 'Welche Funktionen stellt Threat Analytics in Microsoft Defender XDR bereit?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Prioritized intelligence about active threats relevant to the organization',
            de: 'Priorisierte Informationen über aktive Bedrohungen, die für die Organisation relevant sind'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Manual-only creation of incidents from individual alerts',
            de: 'Ausschließlich manuelle Erstellung von Incidents aus einzelnen Warnungen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Recommended mitigation and response actions',
            de: 'Empfohlene Maßnahmen zur Minderung und Reaktion'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Visibility into exposure or protection status related to a threat',
            de: 'Einblick in Expositions- oder Schutzstatus in Bezug auf eine Bedrohung'
          }
        }
      ],
      correct: ['A', 'C', 'D'],
      explanation: {
        en: 'Threat analytics helps SOC teams understand important threat campaigns, how relevant they are to the environment, and which protective actions to take. It is not a manual incident creation tool.',
        de: 'Threat Analytics hilft SOC-Teams, wichtige Bedrohungskampagnen zu verstehen, ihre Relevanz für die Umgebung zu bewerten und geeignete Schutzmaßnahmen zu ergreifen. Es ist kein Tool zur manuellen Incident-Erstellung.'
      },
      hint: {
        en: 'Focus on threat prioritization and guidance.',
        de: 'Konzentrieren Sie sich auf Bedrohungspriorisierung und Handlungsempfehlungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/threat-analytics'
    },
    {
      id: 'sc200-030',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'A phishing message was delivered to dozens of Litware, Inc. user mailboxes. After analysis, the message verdict is confirmed as malicious, and the SOC must remove it from all affected mailboxes.',
        de: 'Eine Phishing-Nachricht wurde an Dutzende Benutzerpostfächer von Litware, Inc. zugestellt. Nach der Analyse wurde das Urteil als bösartig bestätigt, und das SOC muss die Nachricht aus allen betroffenen Postfächern entfernen.'
      },
      question: {
        en: 'Which capability should the analysts use?',
        de: 'Welche Funktion sollten die Analysten verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Threat Explorer email remediation actions',
            de: 'E-Mail-Abhilfemaßnahmen im Threat Explorer'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Live Response on a device',
            de: 'Live Response auf einem Gerät'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Device isolation',
            de: 'Geräteisolierung'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Threat analytics',
            de: 'Threat Analytics'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Threat Explorer in Defender for Office 365 supports post-delivery investigation and remediation actions against malicious messages already delivered to mailboxes.',
        de: 'Threat Explorer in Defender for Office 365 unterstützt Untersuchungen nach der Zustellung sowie Abhilfemaßnahmen für bösartige Nachrichten, die bereits an Postfächer zugestellt wurden.'
      },
      hint: {
        en: 'The question is about mailboxes, not endpoints.',
        de: 'Die Frage betrifft Postfächer, nicht Endpunkte.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-office-365/threat-explorer-real-time-detections-about'
    },
    {
      id: 'sc200-031',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'easy',
      scenario: {
        en: 'At Contoso, Ltd., an analyst is investigating unusual LDAP reconnaissance activity against on-premises Active Directory.',
        de: 'Bei Contoso, Ltd.: ein Analyst untersucht ungewöhnliche LDAP-Aufklärungsaktivitäten gegen lokales Active Directory.'
      },
      question: {
        en: 'Which Microsoft Defender product is most likely to generate this type of identity-focused alert?',
        de: 'Welches Microsoft-Defender-Produkt erzeugt am wahrscheinlichsten diese Art identitätsbezogener Warnung?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Microsoft Defender for Endpoint',
            de: 'Microsoft Defender for Endpoint'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Microsoft Defender for Identity',
            de: 'Microsoft Defender for Identity'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Microsoft Defender for Office 365',
            de: 'Microsoft Defender for Office 365'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Microsoft Defender for Cloud Apps',
            de: 'Microsoft Defender for Cloud Apps'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Defender for Identity specializes in detecting suspicious identity-related activity against Active Directory, including reconnaissance and lateral movement techniques.',
        de: 'Defender for Identity ist auf die Erkennung verdächtiger identitätsbezogener Aktivitäten gegen Active Directory spezialisiert, einschließlich Aufklärung und Lateral-Movement-Techniken.'
      },
      hint: {
        en: 'Look for the Defender product focused on AD identities.',
        de: 'Suchen Sie nach dem Defender-Produkt mit Fokus auf AD-Identitäten.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-for-identity/what-is'
    },
    {
      id: 'sc200-032',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'You work for Litware, Inc. You need one table for identity activity, one for process execution.',
        de: 'Sie arbeiten für Litware, Inc. Eine Tabelle für Identitätsaktivität, eine für Prozessausführung.'
      },
      question: {
        en: 'Which tables are the most relevant starting point?',
        de: 'Welche Tabellen sind der passendste Ausgangspunkt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'IdentityLogonEvents',
            de: 'IdentityLogonEvents'
          }
        },
        {
          id: 'B',
          text: {
            en: 'DeviceProcessEvents',
            de: 'DeviceProcessEvents'
          }
        },
        {
          id: 'C',
          text: {
            en: 'EmailAttachmentInfo',
            de: 'EmailAttachmentInfo'
          }
        },
        {
          id: 'D',
          text: {
            en: 'DeviceTvmSoftwareInventory',
            de: 'DeviceTvmSoftwareInventory'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'IdentityLogonEvents helps analyze sign-in activity, while DeviceProcessEvents shows suspicious process execution on endpoints. Together they are a strong starting point for cross-domain credential theft investigation.',
        de: 'IdentityLogonEvents hilft bei der Analyse von Anmeldeaktivitäten, während DeviceProcessEvents verdächtige Prozessausführungen auf Endpunkten zeigt. Zusammen bilden sie einen starken Ausgangspunkt für eine domänenübergreifende Untersuchung von Anmeldeinformationsdiebstahl.'
      },
      hint: {
        en: 'One table for identity activity, one for process execution.',
        de: 'Eine Tabelle für Identitätsaktivität, eine für Prozessausführung.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview'
    },
    {
      id: 'sc200-033',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'A phishing campaign targeting Humongous Insurance used a malicious URL. The SOC wants to identify which users clicked the link after receiving the message.',
        de: 'Eine Phishing-Kampagne gegen Humongous Insurance verwendete eine bösartige URL. Das SOC möchte ermitteln, welche Benutzer nach Erhalt der Nachricht auf den Link geklickt haben.'
      },
      question: {
        en: 'Which Advanced hunting table should the analysts query first?',
        de: 'Welche Advanced-Hunting-Tabelle sollten die Analysten zuerst abfragen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'EmailEvents',
            de: 'EmailEvents'
          }
        },
        {
          id: 'B',
          text: {
            en: 'UrlClickEvents',
            de: 'UrlClickEvents'
          }
        },
        {
          id: 'C',
          text: {
            en: 'DeviceNetworkEvents',
            de: 'DeviceNetworkEvents'
          }
        },
        {
          id: 'D',
          text: {
            en: 'CloudAppEvents',
            de: 'CloudAppEvents'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'UrlClickEvents is designed to track Safe Links and user click activity related to URLs, making it the correct starting point for this investigation.',
        de: 'UrlClickEvents dient zur Nachverfolgung von Safe Links und Benutzerklicks auf URLs und ist daher der richtige Ausgangspunkt für diese Untersuchung.'
      },
      hint: {
        en: 'The focus is on link clicks, not just email delivery.',
        de: 'Der Fokus liegt auf Link-Klicks, nicht nur auf der E-Mail-Zustellung.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-urlclickevents-table'
    },
    {
      id: 'sc200-034',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about Live Response in Microsoft Defender for Endpoint are correct?',
        de: 'Welche Aussagen zu Live Response in Microsoft Defender for Endpoint sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It enables remote command-line investigation on a device',
            de: 'Es ermöglicht eine Remote-Untersuchung per Befehlszeile auf einem Gerät'
          }
        },
        {
          id: 'B',
          text: {
            en: 'It can be used to collect files from a device',
            de: 'Es kann zum Sammeln von Dateien von einem Gerät verwendet werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'It requires the user to be signed in locally before it can be used',
            de: 'Es setzt voraus, dass der Benutzer lokal angemeldet ist, bevor es verwendet werden kann'
          }
        },
        {
          id: 'D',
          text: {
            en: 'It is primarily used to delete malicious emails from mailboxes',
            de: 'Es wird hauptsächlich verwendet, um bösartige E-Mails aus Postfächern zu löschen'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'Live Response provides remote investigative access to a device and supports actions such as collecting files. It is not a mailbox remediation feature and does not depend on a local interactive user session.',
        de: 'Live Response bietet Remote-Zugriff zur Untersuchung eines Geräts und unterstützt Aktionen wie das Sammeln von Dateien. Es ist keine Funktion zur Postfachbereinigung und hängt nicht von einer lokalen interaktiven Benutzersitzung ab.'
      },
      hint: {
        en: 'Think endpoint investigation, not email cleanup.',
        de: 'Denken Sie an Endpunktuntersuchung, nicht an E-Mail-Bereinigung.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-endpoint/live-response'
    },
    {
      id: 'sc200-035',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, security analysts need to detect impossible travel activity and investigate risky OAuth applications connected to cloud services such as Salesforce and Box.',
        de: 'Bei Humongous Insurance: sicherheitsanalysten müssen Aktivitäten vom Typ Impossible Travel erkennen und riskante OAuth-Anwendungen untersuchen, die mit Clouddiensten wie Salesforce und Box verbunden sind.'
      },
      question: {
        en: 'Which Microsoft Defender product is designed for this use case?',
        de: 'Welches Microsoft-Defender-Produkt ist für diesen Anwendungsfall vorgesehen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Microsoft Defender for Endpoint',
            de: 'Microsoft Defender for Endpoint'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Microsoft Defender for Identity',
            de: 'Microsoft Defender for Identity'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Microsoft Defender for Cloud Apps',
            de: 'Microsoft Defender for Cloud Apps'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Microsoft Defender for Office 365',
            de: 'Microsoft Defender for Office 365'
          }
        }
      ],
      correct: ['C'],
      explanation: {
        en: 'Defender for Cloud Apps focuses on SaaS visibility, app governance, anomaly detection such as impossible travel, and investigation of risky cloud app activity.',
        de: 'Defender for Cloud Apps konzentriert sich auf SaaS-Transparenz, App-Governance, Anomalieerkennung wie Impossible Travel und die Untersuchung riskanter Cloud-App-Aktivitäten.'
      },
      hint: {
        en: 'This scenario is about SaaS and cloud app governance.',
        de: 'In diesem Szenario geht es um SaaS und Cloud-App-Governance.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-cloud-apps/what-is-defender-for-cloud-apps'
    },
    {
      id: 'sc200-036',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'You work for Contoso, Ltd. Use one table for message flow and one for attachment details.',
        de: 'Sie arbeiten für Contoso, Ltd. Verwenden Sie eine Tabelle für den Nachrichtenfluss und eine für Anhangsdetails.'
      },
      question: {
        en: 'Which Advanced hunting tables are the most useful?',
        de: 'Welche Advanced-Hunting-Tabellen sind am nützlichsten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'EmailEvents',
            de: 'EmailEvents'
          }
        },
        {
          id: 'B',
          text: {
            en: 'EmailAttachmentInfo',
            de: 'EmailAttachmentInfo'
          }
        },
        {
          id: 'C',
          text: {
            en: 'DeviceFileEvents',
            de: 'DeviceFileEvents'
          }
        },
        {
          id: 'D',
          text: {
            en: 'IdentityLogonEvents',
            de: 'IdentityLogonEvents'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'EmailEvents provides delivery and message metadata, while EmailAttachmentInfo provides attachment-specific details. Together they are the best fit for investigating malicious email attachments.',
        de: 'EmailEvents liefert Zustell- und Nachrichtenmetadaten, während EmailAttachmentInfo anhangsspezifische Details bereitstellt. Zusammen eignen sie sich am besten für die Untersuchung bösartiger E-Mail-Anhänge.'
      },
      hint: {
        en: 'Use one table for message flow and one for attachment details.',
        de: 'Verwenden Sie eine Tabelle für den Nachrichtenfluss und eine für Anhangsdetails.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-emailattachmentinfo-table'
    },
    {
      id: 'sc200-037',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., automated investigation in Defender for Endpoint identifies a malicious registry persistence change. Your organization wants analysts to review remediation before it is executed.',
        de: 'Bei Contoso, Ltd.: die automatisierte Untersuchung in Defender for Endpoint erkennt eine bösartige Persistenzänderung in der Registrierung. Ihre Organisation möchte, dass Analysten die Abhilfe vor der Ausführung überprüfen.'
      },
      question: {
        en: 'Which automation level best matches this requirement?',
        de: 'Welche Automatisierungsstufe passt am besten zu dieser Anforderung?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Full - remediate automatically',
            de: 'Vollständig – automatisch beheben'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Semi - require analyst approval for remediation actions',
            de: 'Teilweise – Analystengenehmigung für Abhilfemaßnahmen erforderlich'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Off - no investigations are performed',
            de: 'Aus – es werden keine Untersuchungen durchgeführt'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Passive - alerts only, no evidence collection',
            de: 'Passiv – nur Warnungen, keine Beweissammlung'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Semi automation is used when investigations should run but remediation actions should require analyst approval instead of being executed automatically.',
        de: 'Teilautomatisierung wird verwendet, wenn Untersuchungen ausgeführt werden sollen, Abhilfemaßnahmen jedoch eine Genehmigung durch Analysten erfordern, anstatt automatisch durchgeführt zu werden.'
      },
      hint: {
        en: 'The key requirement is investigation with controlled remediation approval.',
        de: 'Die zentrale Anforderung ist Untersuchung mit kontrollierter Genehmigung der Abhilfe.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-endpoint/automated-investigations'
    },
    {
      id: 'sc200-038',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which are examples of post-delivery email actions that can appear during remediation tracking?',
        de: 'Welche Beispiele für E-Mail-Aktionen nach der Zustellung können bei der Nachverfolgung von Abhilfemaßnahmen erscheinen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Soft delete',
            de: 'Soft Delete'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Hard delete',
            de: 'Hard Delete'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Move to junk',
            de: 'In Junk-E-Mail verschieben'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Device isolation',
            de: 'Geräteisolierung'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Post-delivery email remediation can include actions such as soft delete, hard delete, and moving messages to junk. Device isolation is an endpoint response action, not an email remediation action.',
        de: 'Die E-Mail-Abhilfe nach der Zustellung kann Aktionen wie Soft Delete, Hard Delete und das Verschieben in Junk-E-Mail umfassen. Die Geräteisolierung ist eine Endpunktreaktion und keine E-Mail-Abhilfemaßnahme.'
      },
      hint: {
        en: 'Choose mailbox actions, not endpoint containment actions.',
        de: 'Wählen Sie Postfachaktionen, nicht Endpunkt-Eindämmungsmaßnahmen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-emailpostdeliveryevents-table'
    },
    {
      id: 'sc200-039',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., a malicious tool is found on an engineer\'s workstation. The analyst opens the device page in Defender for Endpoint and wants to take immediate response actions.',
        de: 'Bei Litware, Inc.: auf der Workstation eines Ingenieurs wird ein bösartiges Tool gefunden. Der Analyst öffnet die Geräteseite in Defender for Endpoint und möchte sofortige Reaktionsmaßnahmen ergreifen.'
      },
      question: {
        en: 'Which actions are available from Defender for Endpoint for this purpose?',
        de: 'Welche Aktionen stehen in Defender for Endpoint für diesen Zweck zur Verfügung?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Isolate the device',
            de: 'Das Gerät isolieren'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Run an antivirus scan',
            de: 'Einen Antivirusscan ausführen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Collect an investigation package',
            de: 'Ein Untersuchungspaket sammeln'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Reset the user\'s Microsoft Entra ID password',
            de: 'Das Microsoft-Entra-ID-Kennwort des Benutzers zurücksetzen'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Defender for Endpoint device response actions include isolating the device, running an AV scan, and collecting an investigation package. Password reset is an identity administration action, not a device response action from the device page.',
        de: 'Zu den Geräte-Reaktionsaktionen in Defender for Endpoint gehören das Isolieren des Geräts, das Ausführen eines AV-Scans und das Sammeln eines Untersuchungspakets. Das Zurücksetzen eines Kennworts ist eine Identitätsverwaltungsaktion und keine Geräteaktion von der Geräteseite aus.'
      },
      hint: {
        en: 'Select endpoint response actions, not identity administration tasks.',
        de: 'Wählen Sie Endpunkt-Reaktionsaktionen, nicht Identitätsverwaltungsaufgaben.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts'
    },
    {
      id: 'sc200-040',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Litware, Inc. wants to monitor and control user sessions in cloud apps and block sensitive downloads from unmanaged devices.',
        de: 'Litware, Inc. möchte Benutzersitzungen in Cloud-Apps überwachen und steuern sowie sensible Downloads von nicht verwalteten Geräten blockieren.'
      },
      question: {
        en: 'Which capability should be used?',
        de: 'Welche Funktion sollte verwendet werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Microsoft Defender for Cloud Apps session controls',
            de: 'Sitzungssteuerungen von Microsoft Defender for Cloud Apps'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Device isolation in Defender for Endpoint',
            de: 'Geräteisolierung in Defender for Endpoint'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Threat analytics',
            de: 'Threat Analytics'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Automated investigation and remediation',
            de: 'Automatisierte Untersuchung und Behebung'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Session controls in Defender for Cloud Apps are designed to monitor and govern user activity in sanctioned cloud apps, including blocking downloads from unmanaged devices.',
        de: 'Sitzungssteuerungen in Defender for Cloud Apps dienen dazu, Benutzeraktivitäten in freigegebenen Cloud-Apps zu überwachen und zu steuern, einschließlich des Blockierens von Downloads von nicht verwalteten Geräten.'
      },
      hint: {
        en: 'This is cloud session governance, not endpoint containment.',
        de: 'Dies ist Cloud-Sitzungs-Governance, keine Endpunkt-Eindämmung.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-cloud-apps/session-policy-aad'
    },
    {
      id: 'sc200-041',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, threat analytics highlights an active ransomware campaign that may affect your environment.',
        de: 'Bei Humongous Insurance: threat Analytics hebt eine aktive Ransomware-Kampagne hervor, die Ihre Umgebung betreffen könnte.'
      },
      question: {
        en: 'Which outputs should analysts expect from the report?',
        de: 'Welche Ausgaben sollten Analysten aus dem Bericht erwarten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Recommended mitigations and response guidance',
            de: 'Empfohlene Minderungsmaßnahmen und Reaktionsleitlinien'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Exposure or protection status for relevant assets',
            de: 'Expositions- oder Schutzstatus für relevante Ressourcen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Threat narrative and attack context',
            de: 'Bedrohungsnarrativ und Angriffskontext'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Interactive remote shell on compromised devices',
            de: 'Interaktive Remote-Shell auf kompromittierten Geräten'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Threat analytics provides context, impact, relevance, and recommended mitigations for important threats. It does not provide live remote shell functionality.',
        de: 'Threat Analytics liefert Kontext, Auswirkungen, Relevanz und empfohlene Minderungsmaßnahmen für wichtige Bedrohungen. Es bietet keine Live-Remote-Shell-Funktionalität.'
      },
      hint: {
        en: 'Threat analytics informs and prioritizes; it does not act like Live Response.',
        de: 'Threat Analytics informiert und priorisiert; es funktioniert nicht wie Live Response.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/threat-analytics'
    },
    {
      id: 'sc200-042',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'In Advanced hunting KQL, which operator is used to group rows and calculate aggregates such as count() by DeviceName?',
        de: 'Welcher Operator wird in Advanced-Hunting-KQL verwendet, um Zeilen zu gruppieren und Aggregate wie count() nach DeviceName zu berechnen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'summarize',
            de: 'summarize'
          }
        },
        {
          id: 'B',
          text: {
            en: 'project',
            de: 'project'
          }
        },
        {
          id: 'C',
          text: {
            en: 'render',
            de: 'render'
          }
        },
        {
          id: 'D',
          text: {
            en: 'extend',
            de: 'extend'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'The summarize operator groups results and computes aggregate values such as count(), dcount(), max(), or min().',
        de: 'Der Operator summarize gruppiert Ergebnisse und berechnet Aggregatwerte wie count(), dcount(), max() oder min().'
      },
      hint: {
        en: 'Think aggregation and grouping.',
        de: 'Denken Sie an Aggregation und Gruppierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/summarizeoperator'
    },
    {
      id: 'sc200-043',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about Advanced hunting in Microsoft Defender XDR are correct?',
        de: 'Welche Aussagen zu Advanced Hunting in Microsoft Defender XDR sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It uses Kusto Query Language (KQL)',
            de: 'Es verwendet die Kusto Query Language (KQL)'
          }
        },
        {
          id: 'B',
          text: {
            en: 'It can query data across endpoint, identity, email, and cloud app domains',
            de: 'Es kann Daten über Endpunkt-, Identitäts-, E-Mail- und Cloud-App-Bereiche hinweg abfragen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Supported hunting queries can be turned into custom detections',
            de: 'Unterstützte Huntingabfragen können in benutzerdefinierte Erkennungen umgewandelt werden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Typing a hunting query automatically isolates matched devices',
            de: 'Das Eingeben einer Huntingabfrage isoliert automatisch passende Geräte'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Advanced hunting uses KQL, supports broad cross-domain investigation, and can serve as the basis for custom detections. Queries do not automatically perform response actions by themselves.',
        de: 'Advanced Hunting verwendet KQL, unterstützt umfassende domänenübergreifende Untersuchungen und kann als Grundlage für benutzerdefinierte Erkennungen dienen. Abfragen führen nicht automatisch selbstständig Reaktionsaktionen aus.'
      },
      hint: {
        en: 'Separate investigation capability from response actions.',
        de: 'Trennen Sie Untersuchungsfunktionen von Reaktionsaktionen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview'
    },
    {
      id: 'sc200-044',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., a malicious executable hash was confirmed on one endpoint. You want to find other endpoints where the same file hash appeared.',
        de: 'Bei Contoso, Ltd.: ein bösartiger Hash einer ausführbaren Datei wurde auf einem Endpunkt bestätigt. Sie möchten weitere Endpunkte finden, auf denen derselbe Dateihash aufgetreten ist.'
      },
      question: {
        en: 'Which Advanced hunting table should you query first?',
        de: 'Welche Advanced-Hunting-Tabelle sollten Sie zuerst abfragen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'DeviceEvents',
            de: 'DeviceEvents'
          }
        },
        {
          id: 'B',
          text: {
            en: 'DeviceFileEvents',
            de: 'DeviceFileEvents'
          }
        },
        {
          id: 'C',
          text: {
            en: 'EmailAttachmentInfo',
            de: 'EmailAttachmentInfo'
          }
        },
        {
          id: 'D',
          text: {
            en: 'AlertInfo',
            de: 'AlertInfo'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'DeviceFileEvents contains endpoint file activity and file hash details, making it the best first table for hunting the same malicious file across devices.',
        de: 'DeviceFileEvents enthält Dateiaktivitäten auf Endpunkten sowie Dateihashdetails und ist damit die beste erste Tabelle, um nach derselben bösartigen Datei auf Geräten zu suchen.'
      },
      hint: {
        en: 'You are hunting file presence and activity on endpoints.',
        de: 'Sie suchen nach Dateivorkommen und Dateiaktivität auf Endpunkten.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-devicefileevents-table'
    },
    {
      id: 'sc200-045',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., a malicious attachment was delivered by email and later executed on a user\'s device. You want to trace the attachment from mailbox delivery to endpoint file activity.',
        de: 'Bei Litware, Inc.: ein bösartiger Anhang wurde per E-Mail zugestellt und später auf dem Gerät eines Benutzers ausgeführt. Sie möchten den Anhang von der Postfachzustellung bis zur Dateiaktivität auf dem Endpunkt nachverfolgen.'
      },
      question: {
        en: 'Which two tables would you combine first?',
        de: 'Welche zwei Tabellen würden Sie zuerst kombinieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'EmailAttachmentInfo',
            de: 'EmailAttachmentInfo'
          }
        },
        {
          id: 'B',
          text: {
            en: 'DeviceFileEvents',
            de: 'DeviceFileEvents'
          }
        },
        {
          id: 'C',
          text: {
            en: 'IdentityDirectoryEvents',
            de: 'IdentityDirectoryEvents'
          }
        },
        {
          id: 'D',
          text: {
            en: 'CloudAppEvents',
            de: 'CloudAppEvents'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'EmailAttachmentInfo helps identify the attachment delivered by email, and DeviceFileEvents helps determine whether the same file appeared or executed on endpoints.',
        de: 'EmailAttachmentInfo hilft dabei, den per E-Mail zugestellten Anhang zu identifizieren, und DeviceFileEvents hilft festzustellen, ob dieselbe Datei auf Endpunkten aufgetreten ist oder ausgeführt wurde.'
      },
      hint: {
        en: 'Use one email attachment table and one endpoint file table.',
        de: 'Verwenden Sie eine E-Mail-Anhangstabelle und eine Endpunkt-Dateitabelle.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview'
    },
    {
      id: 'sc200-046',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'easy',
      scenario: {
        en: 'At Humongous Insurance, analysts complain that they must open many separate alerts to understand a single attack chain across email, identity, and endpoint signals.',
        de: 'Bei Humongous Insurance: analysten beschweren sich, dass sie viele separate Warnungen öffnen müssen, um eine einzelne Angriffskette über E-Mail-, Identitäts- und Endpunktsignale hinweg zu verstehen.'
      },
      question: {
        en: 'Which Microsoft Defender XDR concept addresses this by grouping related alerts and evidence?',
        de: 'Welches Konzept in Microsoft Defender XDR löst dies, indem verwandte Warnungen und Beweise gruppiert werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Incident correlation',
            de: 'Incident-Korrelation'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Live Response',
            de: 'Live Response'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Attack simulation training',
            de: 'Angriffssimulationstraining'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Secure Score',
            de: 'Secure Score'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Incidents in Defender XDR group related alerts, entities, and evidence into a unified attack story so analysts can investigate more efficiently.',
        de: 'Incidents in Defender XDR gruppieren verwandte Warnungen, Entitäten und Beweise zu einer einheitlichen Angriffsgeschichte, damit Analysten effizienter untersuchen können.'
      },
      hint: {
        en: 'The goal is one attack story instead of many disconnected alerts.',
        de: 'Das Ziel ist eine Angriffsgeschichte statt vieler unverbundener Warnungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/incidents-overview'
    },
    {
      id: 'sc200-047',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about custom detection rules in Microsoft Defender XDR are correct?',
        de: 'Welche Aussagen zu benutzerdefinierten Erkennungsregeln in Microsoft Defender XDR sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'They are based on Advanced hunting queries',
            de: 'Sie basieren auf Advanced-Hunting-Abfragen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'They can generate alerts when query conditions are met',
            de: 'Sie können Warnungen erzeugen, wenn die Abfragebedingungen erfüllt sind'
          }
        },
        {
          id: 'C',
          text: {
            en: 'They can run on a schedule',
            de: 'Sie können nach einem Zeitplan ausgeführt werden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'They directly modify mailbox contents without any response workflow',
            de: 'Sie ändern Postfachinhalte direkt ohne jeden Reaktionsworkflow'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Custom detections are scheduled detections based on hunting logic and can generate alerts. They do not themselves act as a direct mailbox modification mechanism.',
        de: 'Benutzerdefinierte Erkennungen sind zeitgesteuerte Erkennungen auf Basis von Huntinglogik und können Warnungen erzeugen. Sie sind selbst kein Mechanismus zur direkten Änderung von Postfachinhalten.'
      },
      hint: {
        en: 'Think scheduled detection logic, not arbitrary mailbox editing.',
        de: 'Denken Sie an zeitgesteuerte Erkennungslogik, nicht an beliebige Postfachbearbeitung.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/custom-detection-rules'
    },
    {
      id: 'sc200-048',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., during an automated investigation, an analyst approved a remediation action. Later, the SOC manager wants to review who approved it and whether it completed successfully.',
        de: 'Bei Contoso, Ltd.: während einer automatisierten Untersuchung genehmigte ein Analyst eine Abhilfemaßnahme. Später möchte der SOC-Manager prüfen, wer sie genehmigt hat und ob sie erfolgreich abgeschlossen wurde.'
      },
      question: {
        en: 'Where should the manager look?',
        de: 'Wo sollte der Manager nachsehen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Incident queue',
            de: 'Incident-Warteschlange'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Action center',
            de: 'Action Center'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Threat analytics',
            de: 'Threat Analytics'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Secure Score',
            de: 'Secure Score'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'The Action center is the centralized place to review remediation actions, including approval status, execution state, and audit details.',
        de: 'Das Action Center ist der zentrale Ort, um Abhilfemaßnahmen einschließlich Genehmigungsstatus, Ausführungsstatus und Auditdetails zu überprüfen.'
      },
      hint: {
        en: 'Look for the remediation audit trail.',
        de: 'Suchen Sie nach dem Auditpfad der Abhilfemaßnahme.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/m365d-action-center'
    },
    {
      id: 'sc200-049',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., a Defender for Identity alert suggests directory reconnaissance. You want to investigate related identity activity in Advanced hunting.',
        de: 'Bei Litware, Inc.: eine Warnung von Defender for Identity deutet auf Verzeichnisaufklärung hin. Sie möchten zugehörige Identitätsaktivitäten in Advanced Hunting untersuchen.'
      },
      question: {
        en: 'Which tables are most relevant?',
        de: 'Welche Tabellen sind am relevantesten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'IdentityQueryEvents',
            de: 'IdentityQueryEvents'
          }
        },
        {
          id: 'B',
          text: {
            en: 'IdentityDirectoryEvents',
            de: 'IdentityDirectoryEvents'
          }
        },
        {
          id: 'C',
          text: {
            en: 'DeviceProcessEvents',
            de: 'DeviceProcessEvents'
          }
        },
        {
          id: 'D',
          text: {
            en: 'EmailUrlInfo',
            de: 'EmailUrlInfo'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'IdentityQueryEvents and IdentityDirectoryEvents are specifically relevant for identity and directory-related investigations, including reconnaissance behavior against directory services.',
        de: 'IdentityQueryEvents und IdentityDirectoryEvents sind speziell für identitäts- und verzeichnisbezogene Untersuchungen relevant, einschließlich Aufklärungsverhalten gegen Verzeichnisdienste.'
      },
      hint: {
        en: 'Choose the tables focused on identity and directory activity.',
        de: 'Wählen Sie die Tabellen mit Fokus auf Identitäts- und Verzeichnisaktivität.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview'
    },
    {
      id: 'sc200-050',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender XDR',
        de: 'Bedrohungen mit Microsoft Defender XDR mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, the CISO asks which Defender XDR feature helps prioritize emerging threats based on how relevant they are to your environment and provides mitigation guidance.',
        de: 'Bei Humongous Insurance: der CISO fragt, welche Defender-XDR-Funktion aufkommende Bedrohungen basierend auf ihrer Relevanz für Ihre Umgebung priorisiert und Empfehlungen zur Minderung bereitstellt.'
      },
      question: {
        en: 'Which feature should you recommend?',
        de: 'Welche Funktion sollten Sie empfehlen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Advanced hunting',
            de: 'Advanced Hunting'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Threat analytics',
            de: 'Threat Analytics'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Live Response',
            de: 'Live Response'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Microsoft Secure Score',
            de: 'Microsoft Secure Score'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Threat analytics is designed to help organizations understand, prioritize, and respond to emerging threats using contextual intelligence and mitigation guidance.',
        de: 'Threat Analytics ist dafür vorgesehen, Organisationen beim Verstehen, Priorisieren und Beantworten aufkommender Bedrohungen mithilfe kontextbezogener Informationen und Minderungsleitlinien zu unterstützen.'
      },
      hint: {
        en: 'The keyword is prioritizing relevant emerging threats.',
        de: 'Das Schlüsselwort ist die Priorisierung relevanter aufkommender Bedrohungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/defender-xdr/threat-analytics'
    },
    {
      id: 'sc200-051',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Humongous Insurance wants to deploy Microsoft Sentinel for both EU and US operations. Security data must remain in-region, but the SOC wants a consistent operating model.',
        de: 'Humongous Insurance möchte Microsoft Sentinel für EU- und US-Betrieb bereitstellen. Sicherheitsdaten müssen in der jeweiligen Region verbleiben, aber das SOC möchte ein einheitliches Betriebsmodell.'
      },
      question: {
        en: 'Which design best meets these requirements?',
        de: 'Welches Design erfüllt diese Anforderungen am besten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Use one Log Analytics workspace in the US and send all data there',
            de: 'Einen Log Analytics-Arbeitsbereich in den USA verwenden und alle Daten dorthin senden'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Use separate regional Log Analytics workspaces, enable Sentinel in each, and manage them with multi-workspace capabilities',
            de: 'Separate regionale Log Analytics-Arbeitsbereiche verwenden, Sentinel in jedem aktivieren und sie mit Multi-Workspace-Funktionen verwalten'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Create one workspace per subscription regardless of geography',
            de: 'Unabhängig von der Geografie einen Arbeitsbereich pro Abonnement erstellen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Ingest all data into one workspace and export regional copies later',
            de: 'Alle Daten in einen Arbeitsbereich ingestieren und regionale Kopien später exportieren'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Regional workspaces help satisfy data residency and operational needs. Microsoft Sentinel can still be managed across multiple workspaces for a unified SOC experience.',
        de: 'Regionale Arbeitsbereiche helfen, Anforderungen an Datenresidenz und Betrieb zu erfüllen. Microsoft Sentinel kann dennoch über mehrere Arbeitsbereiche hinweg für ein einheitliches SOC-Erlebnis verwaltet werden.'
      },
      hint: {
        en: 'Think about where Sentinel is enabled and how analysts can still work centrally.',
        de: 'Denken Sie daran, wo Sentinel aktiviert wird und wie Analysten trotzdem zentral arbeiten können.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/design-your-workspace-architecture'
    },
    {
      id: 'sc200-052',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., an MSSP wants to investigate incidents in customer tenants without moving customer logs into the MSSP tenant.',
        de: 'Bei Contoso, Ltd.: ein MSSP möchte Vorfälle in Kundentenants untersuchen, ohne Kundendaten in den Tenant des MSSP zu verschieben.'
      },
      question: {
        en: 'Which approach should the MSSP use?',
        de: 'Welchen Ansatz sollte der MSSP verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Configure Azure Lighthouse and manage each customer\'s Sentinel workspace through delegated access',
            de: 'Azure Lighthouse konfigurieren und den Sentinel-Arbeitsbereich jedes Kunden über delegierten Zugriff verwalten'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Export all customer logs daily into the MSSP tenant',
            de: 'Alle Kundenprotokolle täglich in den Tenant des MSSP exportieren'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Use one shared workspace for all customers',
            de: 'Einen gemeinsamen Arbeitsbereich für alle Kunden verwenden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Mirror incidents by email and investigate outside Sentinel',
            de: 'Vorfälle per E-Mail spiegeln und außerhalb von Sentinel untersuchen'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Lighthouse is the standard way to manage Microsoft Sentinel across tenants while keeping data in the customer environment.',
        de: 'Azure Lighthouse ist der Standardansatz, um Microsoft Sentinel tenantübergreifend zu verwalten, während die Daten in der Kundenumgebung verbleiben.'
      },
      hint: {
        en: 'The requirement is cross-tenant management without centralizing the data.',
        de: 'Die Anforderung ist tenantübergreifende Verwaltung ohne zentrale Datenspeicherung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/extend-sentinel-across-workspaces-tenants'
    },
    {
      id: 'sc200-053',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Contoso, Ltd. Think collector-based ingestion rather than installing agents on network appliances.',
        de: 'Sie arbeiten für Contoso, Ltd. Ihr Team evaluiert eine Collector-basierte Erfassung statt an die Installation von Agenten auf Netzwerk-Appliances.'
      },
      question: {
        en: 'Which components are required?',
        de: 'Welche Komponenten sind erforderlich?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'A Linux collector that runs Azure Monitor Agent (AMA)',
            de: 'Ein Linux-Collector, auf dem Azure Monitor Agent (AMA) ausgeführt wird'
          }
        },
        {
          id: 'B',
          text: {
            en: 'A data collection rule to collect the Syslog/CEF data from the collector',
            de: 'Eine Data Collection Rule, um die Syslog-/CEF-Daten vom Collector zu erfassen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Network devices configured to forward Syslog/CEF to the collector',
            de: 'Netzwerkgeräte, die so konfiguriert sind, dass sie Syslog/CEF an den Collector weiterleiten'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Azure Monitor Agent installed directly on the firewall appliance',
            de: 'Azure Monitor Agent, der direkt auf der Firewall-Appliance installiert ist'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'For CEF ingestion with AMA, devices forward logs to a Linux collector, and a DCR controls collection. The agent is not installed directly on most firewall appliances.',
        de: 'Für die CEF-Erfassung mit AMA leiten Geräte Protokolle an einen Linux-Collector weiter, und eine DCR steuert die Erfassung. Der Agent wird in der Regel nicht direkt auf Firewall-Appliances installiert.'
      },
      hint: {
        en: 'Think collector-based ingestion rather than installing agents on network appliances.',
        de: 'Denken Sie an eine Collector-basierte Erfassung statt an die Installation von Agenten auf Netzwerk-Appliances.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/connect-common-event-format'
    },
    {
      id: 'sc200-054',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Litware, Inc. The query relies on aggregation across a configurable time window.',
        de: 'Sie arbeiten für Litware, Inc. Die Abfrage basiert auf einer Aggregation über ein konfigurierbares Zeitfenster.'
      },
      question: {
        en: 'Which analytics rule type is the best fit?',
        de: 'Welcher Typ von Analyseregel ist am besten geeignet?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Near real-time (NRT) rule',
            de: 'Near-Real-Time-Regel (NRT)'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Scheduled rule',
            de: 'Geplante Regel'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Fusion rule',
            de: 'Fusion-Regel'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Automation rule',
            de: 'Automatisierungsregel'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Scheduled rules are intended for detections that use a defined frequency and lookback window, such as counting events over 10 minutes.',
        de: 'Geplante Regeln sind für Erkennungen gedacht, die eine definierte Ausführungsfrequenz und ein Lookback-Fenster verwenden, zum Beispiel das Zählen von Ereignissen über 10 Minuten.'
      },
      hint: {
        en: 'The query relies on aggregation across a configurable time window.',
        de: 'Die Abfrage basiert auf einer Aggregation über ein konfigurierbares Zeitfenster.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'sc200-055',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What best describes Fusion in Microsoft Sentinel?',
        de: 'Was beschreibt Fusion in Microsoft Sentinel am besten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'A built-in correlation engine that uses advanced analytics to combine related alerts into high-fidelity incidents',
            de: 'Eine integrierte Korrelations-Engine, die erweiterte Analysen verwendet, um zusammengehörige Warnungen zu Vorfällen mit hoher Genauigkeit zu kombinieren'
          }
        },
        {
          id: 'B',
          text: {
            en: 'A workbook template used for SOC dashboards',
            de: 'Eine Workbook-Vorlage für SOC-Dashboards'
          }
        },
        {
          id: 'C',
          text: {
            en: 'A parser framework for normalizing vendor logs',
            de: 'Ein Parser-Framework zur Normalisierung von Herstellerprotokollen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'A method to export logs to external SIEM tools',
            de: 'Eine Methode zum Exportieren von Protokollen an externe SIEM-Tools'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Fusion is a built-in Microsoft Sentinel detection technology that correlates signals and alerts across products to identify multi-stage attacks.',
        de: 'Fusion ist eine integrierte Erkennungstechnologie von Microsoft Sentinel, die Signale und Warnungen produktübergreifend korreliert, um mehrstufige Angriffe zu erkennen.'
      },
      hint: {
        en: 'It is not a KQL authoring feature; it is a built-in detection capability.',
        de: 'Es ist keine KQL-Erstellungsfunktion, sondern eine integrierte Erkennungsfunktion.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/configure-fusion-rules'
    },
    {
      id: 'sc200-056',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Why should you use ASIM parsers when writing reusable detections?',
        de: 'Warum sollten Sie ASIM-Parser verwenden, wenn Sie wiederverwendbare Erkennungen erstellen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'They normalize different data sources to a common schema so one detection can work across vendors',
            de: 'Sie normalisieren verschiedene Datenquellen auf ein gemeinsames Schema, sodass eine Erkennung herstellerübergreifend funktionieren kann'
          }
        },
        {
          id: 'B',
          text: {
            en: 'They permanently rewrite raw data in the source tables',
            de: 'Sie schreiben Rohdaten in den Quelltabellen dauerhaft um'
          }
        },
        {
          id: 'C',
          text: {
            en: 'They replace the need for analytics rules',
            de: 'Sie ersetzen die Notwendigkeit von Analyseregeln'
          }
        },
        {
          id: 'D',
          text: {
            en: 'They only work with Microsoft Defender data',
            de: 'Sie funktionieren nur mit Daten aus Microsoft Defender'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'ASIM provides normalized schemas and parsers so detections, hunting queries, and content can be written against consistent fields instead of vendor-specific column names.',
        de: 'ASIM stellt normalisierte Schemata und Parser bereit, damit Erkennungen, Hunting-Abfragen und Inhalte gegen konsistente Felder statt gegen herstellerspezifische Spaltennamen geschrieben werden können.'
      },
      hint: {
        en: 'Focus on portability across multiple products.',
        de: 'Konzentrieren Sie sich auf die Portabilität über mehrere Produkte hinweg.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/normalization'
    },
    {
      id: 'sc200-057',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What are benefits of entity mapping in analytics rules?',
        de: 'Welche Vorteile bietet das Entity Mapping in Analyseregeln?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It helps populate investigation experiences with entities such as accounts, hosts, and IP addresses',
            de: 'Es hilft, Untersuchungsansichten mit Entitäten wie Konten, Hosts und IP-Adressen zu füllen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'It improves incident context and correlation by identifying the important entities in the alert',
            de: 'Es verbessert den Incident-Kontext und die Korrelation, indem wichtige Entitäten in der Warnung identifiziert werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'It rewrites all ingested data into the ASIM schema',
            de: 'Es schreibt alle ingestierten Daten in das ASIM-Schema um'
          }
        },
        {
          id: 'D',
          text: {
            en: 'It supports downstream experiences that rely on entities, such as investigation and behavior analysis',
            de: 'Es unterstützt nachgelagerte Funktionen, die auf Entitäten basieren, wie Untersuchungen und Verhaltensanalysen'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'Entity mapping does not alter raw tables. It tells Microsoft Sentinel which fields represent security entities so incidents and investigations are more meaningful.',
        de: 'Entity Mapping verändert keine Rohdatentabellen. Es teilt Microsoft Sentinel mit, welche Felder Sicherheitsentitäten darstellen, sodass Vorfälle und Untersuchungen aussagekräftiger werden.'
      },
      hint: {
        en: 'Think enrichment and investigation, not data transformation.',
        de: 'Denken Sie an Anreicherung und Untersuchung, nicht an Datentransformation.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/map-data-fields-to-entities'
    },
    {
      id: 'sc200-058',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., two automation rules apply to the same incidents. One must add a tag first, and another should close certain low-value incidents only after that evaluation.',
        de: 'Bei Litware, Inc.: zwei Automatisierungsregeln gelten für dieselben Vorfälle. Eine soll zuerst ein Tag hinzufügen, und eine andere soll bestimmte Vorfälle mit geringem Wert erst danach schließen.'
      },
      question: {
        en: 'How should you control the processing sequence?',
        de: 'Wie sollten Sie die Verarbeitungsreihenfolge steuern?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Use automation rule order and stop further rule processing when appropriate',
            de: 'Die Reihenfolge von Automatisierungsregeln verwenden und bei Bedarf die weitere Regelverarbeitung stoppen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Use a watchlist to define the order',
            de: 'Eine Watchlist verwenden, um die Reihenfolge festzulegen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Rely on the order in which incidents appear in the portal',
            de: 'Sich auf die Reihenfolge verlassen, in der Vorfälle im Portal angezeigt werden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Configure entity mapping in both rules',
            de: 'Entity Mapping in beiden Regeln konfigurieren'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Automation rules have an execution order. You can sequence them deliberately and stop processing when a rule should prevent later rules from running.',
        de: 'Automatisierungsregeln haben eine Ausführungsreihenfolge. Sie können diese bewusst steuern und die Verarbeitung stoppen, wenn eine Regel spätere Regeln verhindern soll.'
      },
      hint: {
        en: 'The solution is part of incident automation, not data modeling.',
        de: 'Die Lösung gehört zur Incident-Automatisierung, nicht zur Datenmodellierung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-059',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Humongous Insurance. Think Logic Apps plus secure execution identity.',
        de: 'Sie arbeiten für Humongous Insurance. Ihr Team evaluiert Logic Apps plus eine sichere Ausführungsidentität.'
      },
      question: {
        en: 'Which statements are correct?',
        de: 'Welche Aussagen sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Playbooks in Microsoft Sentinel are implemented by using Azure Logic Apps',
            de: 'Playbooks in Microsoft Sentinel werden mit Azure Logic Apps umgesetzt'
          }
        },
        {
          id: 'B',
          text: {
            en: 'A managed identity can be granted permissions to perform actions on Azure resources',
            de: 'Einer verwalteten Identität können Berechtigungen erteilt werden, um Aktionen für Azure-Ressourcen auszuführen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Playbooks can only be run manually by analysts from the portal',
            de: 'Playbooks können nur manuell von Analysten im Portal ausgeführt werden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Least-privilege access should be granted to the playbook identity',
            de: 'Der Playbook-Identität sollte Zugriff nach dem Least-Privilege-Prinzip gewährt werden'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'Playbooks are Logic Apps. They can be triggered automatically, and their managed identity should have only the permissions needed for the response actions.',
        de: 'Playbooks sind Logic Apps. Sie können automatisch ausgelöst werden, und ihre verwaltete Identität sollte nur die Berechtigungen erhalten, die für die Reaktionsaktionen erforderlich sind.'
      },
      hint: {
        en: 'Think Logic Apps plus secure execution identity.',
        de: 'Denken Sie an Logic Apps plus eine sichere Ausführungsidentität.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-060',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Which Microsoft Sentinel feature is best for building an interactive SOC dashboard that shows incidents, data ingestion, and trend charts?',
        de: 'Welche Funktion von Microsoft Sentinel eignet sich am besten zum Erstellen eines interaktiven SOC-Dashboards mit Vorfällen, Datenaufnahme und Trenddiagrammen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Workbook',
            de: 'Workbook'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Bookmark',
            de: 'Bookmark'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Watchlist',
            de: 'Watchlist'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Automation rule',
            de: 'Automatisierungsregel'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Workbooks provide interactive visualizations and dashboards over Microsoft Sentinel and Log Analytics data.',
        de: 'Workbooks bieten interaktive Visualisierungen und Dashboards über Microsoft Sentinel- und Log Analytics-Daten.'
      },
      hint: {
        en: 'Choose the feature intended for visualization and reporting.',
        de: 'Wählen Sie die Funktion, die für Visualisierung und Reporting vorgesehen ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/monitor-your-data'
    },
    {
      id: 'sc200-061',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: {
        en: 'At Humongous Insurance, during threat hunting, an analyst finds a suspicious IP address and wants to save the exact result with notes for later investigation and possible attachment to an incident.',
        de: 'Bei Humongous Insurance: während des Threat Huntings findet ein Analyst eine verdächtige IP-Adresse und möchte das genaue Ergebnis mit Notizen für spätere Untersuchungen und eine mögliche Zuordnung zu einem Vorfall speichern.'
      },
      question: {
        en: 'Which feature should the analyst use?',
        de: 'Welche Funktion sollte der Analyst verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Bookmark',
            de: 'Bookmark'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Workbook',
            de: 'Workbook'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Automation rule',
            de: 'Automatisierungsregel'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Content hub',
            de: 'Content Hub'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Bookmarks preserve a hunting result together with context and notes, making it easier to pivot back during an investigation or associate it with an incident.',
        de: 'Bookmarks bewahren ein Hunting-Ergebnis zusammen mit Kontext und Notizen auf, sodass es während einer Untersuchung leichter wieder aufgegriffen oder einem Vorfall zugeordnet werden kann.'
      },
      hint: {
        en: 'The analyst wants to save a specific finding, not build a dashboard.',
        de: 'Der Analyst möchte einen konkreten Fund speichern und kein Dashboard erstellen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'sc200-062',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about hunting in Microsoft Sentinel are correct?',
        de: 'Welche Aussagen zum Hunting in Microsoft Sentinel sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Hunting is used for proactive investigation and hypothesis-driven searches',
            de: 'Hunting wird für proaktive Untersuchungen und hypothesengetriebene Suchen verwendet'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Interesting hunting results can be saved as bookmarks',
            de: 'Interessante Hunting-Ergebnisse können als Bookmarks gespeichert werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Hunting replaces the need for automation rules',
            de: 'Hunting ersetzt die Notwendigkeit von Automatisierungsregeln'
          }
        },
        {
          id: 'D',
          text: {
            en: 'A mature hunting query can be promoted into an analytics rule',
            de: 'Eine ausgereifte Hunting-Abfrage kann in eine Analyseregel überführt werden'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'Hunting supports proactive threat discovery. Useful results can be bookmarked, and successful logic can later be operationalized as scheduled detection content.',
        de: 'Hunting unterstützt die proaktive Bedrohungssuche. Nützliche Ergebnisse können mit Bookmarks versehen werden, und erfolgreiche Logik kann später als geplante Erkennungslogik operationalisiert werden.'
      },
      hint: {
        en: 'Hunting is exploratory, but it can feed operational detection workflows.',
        de: 'Hunting ist explorativ, kann aber operative Erkennungsabläufe speisen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/hunting'
    },
    {
      id: 'sc200-063',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'When should a SOC analyst prefer Microsoft Sentinel notebooks over standard hunting queries?',
        de: 'Wann sollte ein SOC-Analyst Microsoft Sentinel-Notebooks gegenüber standardmäßigen Hunting-Abfragen bevorzugen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'When Python-based enrichment, data science libraries, or advanced visualization are required',
            de: 'Wenn Python-basierte Anreicherung, Data-Science-Bibliotheken oder erweiterte Visualisierungen erforderlich sind'
          }
        },
        {
          id: 'B',
          text: {
            en: 'When the analyst only needs to add a tag to an incident',
            de: 'Wenn der Analyst nur einem Vorfall ein Tag hinzufügen muss'
          }
        },
        {
          id: 'C',
          text: {
            en: 'When an automation rule must run without user input',
            de: 'Wenn eine Automatisierungsregel ohne Benutzereingriff ausgeführt werden muss'
          }
        },
        {
          id: 'D',
          text: {
            en: 'When the analyst needs to upload a CSV reference list',
            de: 'Wenn der Analyst eine CSV-Referenzliste hochladen muss'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Notebooks are suited to advanced investigation workflows that need Python, MSTICPy, enrichment, custom analysis, and richer visual exploration.',
        de: 'Notebooks eignen sich für fortgeschrittene Untersuchungsabläufe, die Python, MSTICPy, Anreicherung, benutzerdefinierte Analysen und umfangreichere visuelle Auswertungen benötigen.'
      },
      hint: {
        en: 'Think beyond KQL into data science and scripted investigation.',
        de: 'Denken Sie über KQL hinaus an Data Science und skriptgestützte Untersuchungen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/notebooks'
    },
    {
      id: 'sc200-064',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about threat intelligence in Microsoft Sentinel are correct?',
        de: 'Welche Aussagen zu Threat Intelligence in Microsoft Sentinel sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Indicators have attributes such as active state and expiration that affect matching',
            de: 'Indikatoren haben Eigenschaften wie Aktivstatus und Ablaufdatum, die das Matching beeinflussen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Threat intelligence can be used in hunting and analytics scenarios',
            de: 'Threat Intelligence kann in Hunting- und Analyseszenarien verwendet werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Expired indicators should continue to match events indefinitely',
            de: 'Abgelaufene Indikatoren sollten Ereignisse unbegrenzt weiter matchen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Threat intelligence can be correlated with ingested log data to identify suspicious activity',
            de: 'Threat Intelligence kann mit ingestierten Protokolldaten korreliert werden, um verdächtige Aktivitäten zu identifizieren'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'Threat intelligence indicators are used as contextual data for detections and hunting, and their lifecycle properties matter. Expired indicators should not keep matching forever.',
        de: 'Threat-Intelligence-Indikatoren werden als Kontextdaten für Erkennungen und Hunting verwendet, und ihre Lebenszykluseigenschaften sind relevant. Abgelaufene Indikatoren sollten nicht unbegrenzt weiter matchen.'
      },
      hint: {
        en: 'Indicator lifecycle is important for operational accuracy.',
        de: 'Der Lebenszyklus von Indikatoren ist für die operative Genauigkeit wichtig.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/work-with-threat-indicators'
    },
    {
      id: 'sc200-065',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the primary security value of UEBA in Microsoft Sentinel?',
        de: 'Was ist der primäre Sicherheitsnutzen von UEBA in Microsoft Sentinel?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It builds behavioral baselines for users and entities and highlights anomalies',
            de: 'Es erstellt Verhaltensbaselines für Benutzer und Entitäten und hebt Anomalien hervor'
          }
        },
        {
          id: 'B',
          text: {
            en: 'It replaces all analytics rules with manual investigation',
            de: 'Es ersetzt alle Analyseregeln durch manuelle Untersuchungen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'It converts raw Syslog events into ASIM automatically',
            de: 'Es konvertiert rohe Syslog-Ereignisse automatisch in ASIM'
          }
        },
        {
          id: 'D',
          text: {
            en: 'It stores threat indicators from external feeds',
            de: 'Es speichert Threat-Indikatoren aus externen Feeds'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'UEBA focuses on behavior analysis for users and entities to reveal unusual activity that may indicate compromise or insider risk.',
        de: 'UEBA konzentriert sich auf die Verhaltensanalyse von Benutzern und Entitäten, um ungewöhnliche Aktivitäten aufzudecken, die auf eine Kompromittierung oder Insider-Risiken hinweisen können.'
      },
      hint: {
        en: 'UEBA is about behavior, not raw ingestion or reference data.',
        de: 'UEBA dreht sich um Verhalten, nicht um Rohdatenaufnahme oder Referenzdaten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'sc200-066',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about watchlists in Microsoft Sentinel are correct?',
        de: 'Welche Aussagen zu Watchlists in Microsoft Sentinel sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'A SearchKey should be chosen for efficient joins in queries',
            de: 'Für effiziente Joins in Abfragen sollte ein SearchKey gewählt werden'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Watchlists are the preferred place to store high-volume raw event logs',
            de: 'Watchlists sind der bevorzugte Ort zur Speicherung hochvolumiger Rohereignisprotokolle'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Watchlists can enrich hunting queries, analytics rules, and workbooks',
            de: 'Watchlists können Hunting-Abfragen, Analyseregeln und Workbooks anreichern'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Watchlists are useful for reference data such as VIP users or approved IP ranges',
            de: 'Watchlists sind nützlich für Referenzdaten wie VIP-Benutzer oder genehmigte IP-Bereiche'
          }
        }
      ],
      correct: ['A', 'C', 'D'],
      explanation: {
        en: 'Watchlists are reference datasets, not a log store. A SearchKey improves lookup performance, and watchlists are commonly used to enrich detections and investigations.',
        de: 'Watchlists sind Referenzdatensätze und kein Protokollspeicher. Ein SearchKey verbessert die Lookup-Leistung, und Watchlists werden häufig zur Anreicherung von Erkennungen und Untersuchungen verwendet.'
      },
      hint: {
        en: 'Think small, curated reference data rather than telemetry at scale.',
        de: 'Denken Sie an kleine, kuratierte Referenzdaten statt an Telemetrie im großen Maßstab.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/watchlists'
    },
    {
      id: 'sc200-067',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Where should you go to install a packaged Microsoft Sentinel solution that includes data connectors, analytics rules, and workbooks?',
        de: 'Wohin sollten Sie gehen, um eine gepackte Microsoft Sentinel-Lösung mit Datenconnectors, Analyseregeln und Workbooks zu installieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Content hub',
            de: 'Content Hub'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Bookmarks',
            de: 'Bookmarks'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Incidents',
            de: 'Vorfälle'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Notebooks',
            de: 'Notebooks'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'The Content hub is the location for discovering and installing Microsoft Sentinel solutions and packaged content.',
        de: 'Der Content Hub ist der Ort, um Microsoft Sentinel-Lösungen und paketierte Inhalte zu entdecken und zu installieren.'
      },
      hint: {
        en: 'This feature is intended for packaged content distribution.',
        de: 'Diese Funktion ist für die Verteilung paketierter Inhalte vorgesehen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-catalog'
    },
    {
      id: 'sc200-068',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., an incident contains alerts from Microsoft Defender XDR and firewall logs. A Tier 1 analyst opens the incident in Microsoft Sentinel.',
        de: 'Bei Contoso, Ltd.: ein Vorfall enthält Warnungen aus Microsoft Defender XDR und Firewall-Protokollen. Ein Tier-1-Analyst öffnet den Vorfall in Microsoft Sentinel.'
      },
      question: {
        en: 'What is the best first action for the analyst?',
        de: 'Was ist die beste erste Maßnahme für den Analysten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Immediately run containment actions without reviewing context',
            de: 'Sofort Eindämmungsmaßnahmen ausführen, ohne den Kontext zu prüfen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Review the incident details, entities, related alerts, and investigation evidence before deciding next steps',
            de: 'Zuerst Vorfalldetails, Entitäten, zugehörige Warnungen und Untersuchungsbelege prüfen, bevor weitere Schritte entschieden werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Delete the incident and recreate it manually',
            de: 'Den Vorfall löschen und manuell neu erstellen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Disable the analytics rules that generated the incident',
            de: 'Die Analyseregeln deaktivieren, die den Vorfall ausgelöst haben'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Proper triage starts with understanding the incident context, evidence, and entities. Containment should follow informed validation, especially in a SOC workflow.',
        de: 'Eine korrekte Triage beginnt mit dem Verständnis von Vorfallskontext, Belegen und Entitäten. Eindämmungsmaßnahmen sollten auf einer fundierten Validierung beruhen, insbesondere im SOC-Ablauf.'
      },
      hint: {
        en: 'Think incident triage before incident response.',
        de: 'Denken Sie zuerst an Incident Triage, dann an Incident Response.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/investigate-incidents'
    },
    {
      id: 'sc200-069',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Contoso, Ltd. The key requirement is very low detection delay.',
        de: 'Sie arbeiten für Contoso, Ltd. Die zentrale Anforderung ist eine sehr geringe Erkennungsverzögerung.'
      },
      question: {
        en: 'Which analytics rule type is most appropriate?',
        de: 'Welcher Typ von Analyseregel ist am besten geeignet?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Near real-time (NRT) rule',
            de: 'Near-Real-Time-Regel (NRT)'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Workbook',
            de: 'Workbook'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Fusion rule',
            de: 'Fusion-Regel'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Bookmark',
            de: 'Bookmark'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'NRT rules are designed for low-latency detections over recent data and are a good fit when immediate alerting matters.',
        de: 'NRT-Regeln sind für Erkennungen mit geringer Latenz über aktuelle Daten ausgelegt und eignen sich gut, wenn eine sofortige Alarmierung wichtig ist.'
      },
      hint: {
        en: 'The key requirement is very low detection delay.',
        de: 'Die zentrale Anforderung ist eine sehr geringe Erkennungsverzögerung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/near-real-time-rules'
    },
    {
      id: 'sc200-070',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Litware, Inc. keeps separate Microsoft Sentinel workspaces for each business unit. A threat hunter needs one query that searches all three workspaces for the same IOC.',
        de: 'Litware, Inc. führt separate Microsoft Sentinel-Arbeitsbereiche für jede Geschäftseinheit. Ein Threat Hunter benötigt eine Abfrage, die in allen drei Arbeitsbereichen nach demselben IOC sucht.'
      },
      question: {
        en: 'What should the hunter use?',
        de: 'Was sollte der Hunter verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'A cross-workspace KQL query that references the required workspaces',
            de: 'Eine arbeitsbereichsübergreifende KQL-Abfrage, die auf die benötigten Arbeitsbereiche verweist'
          }
        },
        {
          id: 'B',
          text: {
            en: 'A local watchlist only',
            de: 'Nur eine lokale Watchlist'
          }
        },
        {
          id: 'C',
          text: {
            en: 'A playbook triggered by every incident',
            de: 'Ein Playbook, das bei jedem Vorfall ausgelöst wird'
          }
        },
        {
          id: 'D',
          text: {
            en: 'A bookmark in one workspace',
            de: 'Ein Bookmark in einem Arbeitsbereich'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Cross-workspace KQL is the appropriate mechanism when analysts need a unified hunting or workbook experience across multiple Sentinel workspaces.',
        de: 'Arbeitsbereichsübergreifende KQL-Abfragen sind der richtige Mechanismus, wenn Analysten ein einheitliches Hunting- oder Workbook-Erlebnis über mehrere Sentinel-Arbeitsbereiche hinweg benötigen.'
      },
      hint: {
        en: 'The requirement is to search data across separate workspaces from one query.',
        de: 'Die Anforderung besteht darin, Daten aus getrennten Arbeitsbereichen mit einer einzigen Abfrage zu durchsuchen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/extend-sentinel-across-workspaces-tenants'
    },
    {
      id: 'sc200-071',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., a scheduled analytics rule is generating too many duplicate alerts for the same benign pattern.',
        de: 'Bei Litware, Inc.: eine geplante Analyseregel erzeugt zu viele doppelte Warnungen für dasselbe harmlose Muster.'
      },
      question: {
        en: 'Which actions can help reduce the noise?',
        de: 'Welche Maßnahmen können helfen, dieses Rauschen zu reduzieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Tune the KQL logic and thresholds to better match the malicious pattern',
            de: 'Die KQL-Logik und Schwellenwerte anpassen, damit sie das bösartige Muster besser treffen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Use rule suppression after the rule generates an alert',
            de: 'Regelunterdrückung verwenden, nachdem die Regel eine Warnung erzeugt hat'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Configure incident grouping so related alerts are grouped together when appropriate',
            de: 'Incident Grouping konfigurieren, damit zusammengehörige Warnungen bei Bedarf gemeinsam gruppiert werden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Increase the severity to High so analysts treat it more seriously',
            de: 'Den Schweregrad auf Hoch erhöhen, damit Analysten es ernster nehmen'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Noise reduction comes from better detection logic, suppression, and grouping. Raising severity does not reduce duplicates and may worsen analyst fatigue.',
        de: 'Die Reduzierung von Rauschen erfolgt durch bessere Erkennungslogik, Unterdrückung und Gruppierung. Eine höhere Priorität reduziert keine Duplikate und kann die Analystenbelastung sogar erhöhen.'
      },
      hint: {
        en: 'Focus on tuning and grouping rather than changing the label.',
        de: 'Konzentrieren Sie sich auf Tuning und Gruppierung statt auf eine geänderte Kennzeichnung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'sc200-072',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'What is the main purpose of incident grouping in Microsoft Sentinel analytics rules?',
        de: 'Was ist der Hauptzweck des Incident Grouping in Microsoft Sentinel-Analyseregeln?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'To combine related alerts into fewer incidents based on grouping logic',
            de: 'Zusammengehörige Warnungen anhand von Gruppierungslogik in weniger Vorfällen zusammenzufassen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'To archive old incidents automatically to cold storage',
            de: 'Alte Vorfälle automatisch in Cold Storage zu archivieren'
          }
        },
        {
          id: 'C',
          text: {
            en: 'To convert hunting queries into watchlists',
            de: 'Hunting-Abfragen in Watchlists umzuwandeln'
          }
        },
        {
          id: 'D',
          text: {
            en: 'To normalize raw events into ASIM schemas',
            de: 'Rohereignisse in ASIM-Schemata zu normalisieren'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Incident grouping helps reduce analyst workload by consolidating related alerts into a single incident when the configured grouping criteria are met.',
        de: 'Incident Grouping reduziert den Analystenaufwand, indem zusammengehörige Warnungen in einem einzelnen Vorfall konsolidiert werden, wenn die konfigurierten Gruppierungskriterien erfüllt sind.'
      },
      hint: {
        en: 'It is about operational triage efficiency.',
        de: 'Es geht um Effizienz bei der operativen Triage.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/create-analytics-rules'
    },
    {
      id: 'sc200-073',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: {
        en: 'You work for Humongous Insurance. Your team needs the Sentinel-native trigger for incidents.',
        de: 'Sie arbeiten für Humongous Insurance. Ihr Team benötigt den Sentinel-nativen Trigger für Vorfälle.'
      },
      question: {
        en: 'Which trigger should the playbook use?',
        de: 'Welchen Trigger sollte das Playbook verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Microsoft Sentinel incident trigger',
            de: 'Microsoft Sentinel Incident-Trigger'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Recurrence trigger',
            de: 'Wiederholungstrigger'
          }
        },
        {
          id: 'C',
          text: {
            en: 'HTTP request trigger only',
            de: 'Nur HTTP-Anforderungstrigger'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Manual trigger',
            de: 'Manueller Trigger'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Incident-based playbooks should use the Microsoft Sentinel incident trigger so the workflow starts from incident lifecycle events.',
        de: 'Incident-basierte Playbooks sollten den Microsoft Sentinel Incident-Trigger verwenden, damit der Workflow durch Ereignisse im Vorfallslebenszyklus gestartet wird.'
      },
      hint: {
        en: 'Choose the Sentinel-native trigger for incidents.',
        de: 'Wählen Sie den Sentinel-nativen Trigger für Vorfälle.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-074',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Contoso, Ltd. Your team needs the option that improves content portability.',
        de: 'Contoso, Ltd. – Ihr Team ersetzt einen Firewall-Hersteller durch einen anderen. Sie möchten, dass vorhandene Erkennungen so wenig wie möglich neu geschrieben werden müssen.'
      },
      question: {
        en: 'Which design choice best supports this goal?',
        de: 'Welche Designentscheidung unterstützt dieses Ziel am besten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Write detections against ASIM-normalized parsers instead of vendor-specific tables',
            de: 'Erkennungen gegen ASIM-normalisierte Parser statt gegen herstellerspezifische Tabellen schreiben'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Use only bookmarks for network detections',
            de: 'Nur Bookmarks für Netzwerkerkennungen verwenden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Create a separate workspace for every firewall model',
            de: 'Für jedes Firewall-Modell einen separaten Arbeitsbereich erstellen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Disable entity mapping in existing rules',
            de: 'Entity Mapping in bestehenden Regeln deaktivieren'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'ASIM reduces dependence on vendor-specific field names. This makes detections more portable when data sources change.',
        de: 'ASIM reduziert die Abhängigkeit von herstellerspezifischen Feldnamen. Dadurch werden Erkennungen portabler, wenn sich Datenquellen ändern.'
      },
      hint: {
        en: 'Look for the option that improves content portability.',
        de: 'Suchen Sie nach der Option, die die Portabilität von Inhalten verbessert.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/normalization'
    },
    {
      id: 'sc200-075',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which statements describe correct use of ASIM parsers?',
        de: 'Welche Aussagen beschreiben die korrekte Verwendung von ASIM-Parsern?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Source-specific fields are mapped to normalized schema fields through parsers',
            de: 'Quellspezifische Felder werden über Parser auf normalisierte Schemafelder abgebildet'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Unifying parsers can let one query search across multiple products that provide the same type of data',
            de: 'Vereinheitlichende Parser können es einer Abfrage ermöglichen, produktübergreifend denselben Datentyp zu durchsuchen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'ASIM parsers remove the need to ingest raw logs from the source systems',
            de: 'ASIM-Parser machen die Ingestion von Rohprotokollen aus den Quellsystemen überflüssig'
          }
        },
        {
          id: 'D',
          text: {
            en: 'When a new product is onboarded, enabling or adding the relevant parser mapping helps preserve reusable content',
            de: 'Wenn ein neues Produkt onboarded wird, hilft das Aktivieren oder Hinzufügen des relevanten Parser-Mappings dabei, wiederverwendbare Inhalte zu erhalten'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'ASIM is about normalizing already ingested data, not avoiding ingestion. Its value comes from preserving reusable detections and queries across products.',
        de: 'ASIM dient der Normalisierung bereits ingestierter Daten und nicht der Vermeidung der Datenerfassung. Sein Wert liegt darin, wiederverwendbare Erkennungen und Abfragen produktübergreifend zu erhalten.'
      },
      hint: {
        en: 'Parsers normalize telemetry; they do not replace data collection.',
        de: 'Parser normalisieren Telemetrie; sie ersetzen nicht die Datenerfassung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/normalization'
    },
    {
      id: 'sc200-076',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: {
        en: 'At Humongous Insurance, a SOC manager wants to monitor data ingestion trends and connector-related visibility by using visual dashboards.',
        de: 'Bei Humongous Insurance: ein SOC-Manager möchte Datenaufnahmetrends und die Sichtbarkeit im Zusammenhang mit Datenconnectors mithilfe visueller Dashboards überwachen.'
      },
      question: {
        en: 'Which Microsoft Sentinel feature is the best fit?',
        de: 'Welche Microsoft-Sentinel-Funktion ist am besten geeignet?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Workbook',
            de: 'Workbook'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Bookmark',
            de: 'Bookmark'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Automation rule',
            de: 'Automatisierungsregel'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Playbook only',
            de: 'Nur Playbook'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Workbooks are designed for operational dashboards, including monitoring trends, data volume, and other visual reporting needs.',
        de: 'Workbooks sind für operative Dashboards ausgelegt, einschließlich Trendüberwachung, Datenvolumen und anderer visueller Reporting-Anforderungen.'
      },
      hint: {
        en: 'This is a reporting and visualization requirement.',
        de: 'Dies ist eine Reporting- und Visualisierungsanforderung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/monitor-your-data'
    },
    {
      id: 'sc200-077',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which statements about near real-time (NRT) rules are correct?',
        de: 'Welche Aussagen zu Near-Real-Time-Regeln (NRT) sind korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'They are intended for detections where very low latency is important',
            de: 'Sie sind für Erkennungen gedacht, bei denen eine sehr geringe Latenz wichtig ist'
          }
        },
        {
          id: 'B',
          text: {
            en: 'They are a good fit for relatively simple logic over recent data',
            de: 'Sie eignen sich gut für relativ einfache Logik über aktuelle Daten'
          }
        },
        {
          id: 'C',
          text: {
            en: 'They are always the best choice for complex long-lookback correlation across large datasets',
            de: 'Sie sind immer die beste Wahl für komplexe Korrelationen über lange Lookback-Zeiträume in großen Datensätzen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'They can reduce the time between an event and the resulting alert compared to scheduled rules',
            de: 'Sie können die Zeit zwischen einem Ereignis und der daraus resultierenden Warnung im Vergleich zu geplanten Regeln verkürzen'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'NRT rules are for fast detection on recent data. Scheduled rules are typically better when broad lookback windows or more complex correlation are needed.',
        de: 'NRT-Regeln sind für schnelle Erkennungen auf aktuellen Daten gedacht. Geplante Regeln sind in der Regel besser geeignet, wenn breite Lookback-Fenster oder komplexere Korrelationen erforderlich sind.'
      },
      hint: {
        en: 'Low latency does not automatically mean best for every complex scenario.',
        de: 'Eine geringe Latenz bedeutet nicht automatisch, dass NRT für jedes komplexe Szenario am besten geeignet ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/near-real-time-rules'
    },
    {
      id: 'sc200-078',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which Microsoft Sentinel capability is specifically intended to correlate multiple lower-level alerts into a higher-confidence detection without the analyst writing custom KQL for the correlation?',
        de: 'Welche Microsoft-Sentinel-Funktion ist speziell dafür gedacht, mehrere Warnungen niedrigerer Ebene zu einer höher vertrauenswürdigen Erkennung zu korrelieren, ohne dass der Analyst benutzerdefiniertes KQL für diese Korrelation schreiben muss?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Fusion',
            de: 'Fusion'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Bookmarking',
            de: 'Bookmarking'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Watchlists',
            de: 'Watchlists'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Content hub',
            de: 'Content Hub'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Fusion uses built-in analytics to correlate alerts into higher-confidence incidents. It is not a manual KQL authoring mechanism.',
        de: 'Fusion verwendet integrierte Analysen, um Warnungen zu Vorfällen mit höherer Vertrauenswürdigkeit zu korrelieren. Es handelt sich nicht um einen Mechanismus zur manuellen KQL-Erstellung.'
      },
      hint: {
        en: 'Choose the built-in correlation engine.',
        de: 'Wählen Sie die integrierte Korrelations-Engine.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/configure-fusion-rules'
    },
    {
      id: 'sc200-079',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., a hunter found suspicious lateral movement activity and wants to preserve that finding as evidence linked to an investigation.',
        de: 'Bei Contoso, Ltd.: ein Threat Hunter hat verdächtige laterale Bewegungen entdeckt und möchte diesen Fund als Beleg in Verbindung mit einer Untersuchung festhalten.'
      },
      question: {
        en: 'What is the main benefit of attaching a bookmark to the investigation?',
        de: 'Was ist der Hauptvorteil, ein Bookmark an die Untersuchung anzuhängen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'It preserves the exact finding and analyst context for later review',
            de: 'Es bewahrt den exakten Fund und den Analystenkontext für eine spätere Prüfung auf'
          }
        },
        {
          id: 'B',
          text: {
            en: 'It permanently changes the raw log record',
            de: 'Es ändert den Rohprotokolleintrag dauerhaft'
          }
        },
        {
          id: 'C',
          text: {
            en: 'It enables data ingestion from new connectors',
            de: 'Es ermöglicht die Datenaufnahme aus neuen Connectors'
          }
        },
        {
          id: 'D',
          text: {
            en: 'It creates a new workspace automatically',
            de: 'Es erstellt automatisch einen neuen Arbeitsbereich'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Bookmarks are useful evidence objects. They save a result, notes, and context so investigators can revisit the same observation later.',
        de: 'Bookmarks sind nützliche Belegobjekte. Sie speichern ein Ergebnis, Notizen und Kontext, damit Ermittler dieselbe Beobachtung später erneut aufrufen können.'
      },
      hint: {
        en: 'Think evidence preservation, not ingestion or storage design.',
        de: 'Denken Sie an Belegsicherung, nicht an Ingestion oder Speicherkonzept.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/bookmarks'
    },
    {
      id: 'sc200-080',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., an analyst needs to enrich a list of suspicious IP addresses with external reputation data and then visualize relationships by using Python.',
        de: 'Bei Litware, Inc.: ein Analyst muss eine Liste verdächtiger IP-Adressen mit externer Reputationsinformation anreichern und die Beziehungen anschließend mit Python visualisieren.'
      },
      question: {
        en: 'Which Microsoft Sentinel capability is the best fit?',
        de: 'Welche Microsoft-Sentinel-Funktion ist am besten geeignet?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Notebook',
            de: 'Notebook'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Watchlist only',
            de: 'Nur Watchlist'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Automation rule',
            de: 'Automatisierungsregel'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Incident grouping',
            de: 'Incident Grouping'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Notebooks are designed for advanced scripted analysis, external enrichment, and flexible visual exploration using Python and security libraries.',
        de: 'Notebooks sind für fortgeschrittene skriptgestützte Analysen, externe Anreicherung und flexible visuelle Auswertungen mit Python und Sicherheitsbibliotheken konzipiert.'
      },
      hint: {
        en: 'Python is the strongest clue.',
        de: 'Python ist der wichtigste Hinweis.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/notebooks'
    },
    {
      id: 'sc200-081',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which threat intelligence indicators should generally be considered eligible for matching against events?',
        de: 'Welche Threat-Intelligence-Indikatoren sollten grundsätzlich als für das Matching mit Ereignissen geeignet betrachtet werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Indicators that are active and not expired',
            de: 'Indikatoren, die aktiv und nicht abgelaufen sind'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Indicators that are inactive but recently edited',
            de: 'Indikatoren, die inaktiv, aber kürzlich bearbeitet wurden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Only indicators created manually in the portal',
            de: 'Nur Indikatoren, die manuell im Portal erstellt wurden'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Only indicators from Microsoft-owned feeds',
            de: 'Nur Indikatoren aus Microsoft-eigenen Feeds'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Operational matching depends on the indicator lifecycle. Active, unexpired indicators are the normal candidates for matching and detection use.',
        de: 'Das operative Matching hängt vom Lebenszyklus des Indikators ab. Aktive, nicht abgelaufene Indikatoren sind die normalen Kandidaten für Matching und Erkennungsnutzung.'
      },
      hint: {
        en: 'Lifecycle status matters more than the source brand.',
        de: 'Der Lebenszyklusstatus ist wichtiger als die Herkunft der Quelle.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/work-with-threat-indicators'
    },
    {
      id: 'sc200-082',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Litware, Inc. Use the native watchlist query pattern.',
        de: 'Sie arbeiten für Litware, Inc. Verwenden Sie das native Abfragemuster für Watchlists.'
      },
      question: {
        en: 'What is the best approach?',
        de: 'Was ist der beste Ansatz?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Query the watchlist with _GetWatchlist() and join on the configured SearchKey',
            de: 'Die Watchlist mit _GetWatchlist() abfragen und über den konfigurierten SearchKey joinen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Export the watchlist to CSV every hour and ingest it as raw logs',
            de: 'Die Watchlist stündlich als CSV exportieren und als Rohprotokolle ingestieren'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Replace the analytics rule with a workbook',
            de: 'Die Analyseregel durch ein Workbook ersetzen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Store the VIP list inside incident comments',
            de: 'Die VIP-Liste in Incident-Kommentaren speichern'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Watchlists are designed for this kind of reference-data enrichment. The SearchKey supports efficient matching in KQL.',
        de: 'Watchlists sind genau für diese Art von Referenzdatenanreicherung vorgesehen. Der SearchKey unterstützt ein effizientes Matching in KQL.'
      },
      hint: {
        en: 'Use the native watchlist query pattern.',
        de: 'Verwenden Sie das native Abfragemuster für Watchlists.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/watchlists'
    },
    {
      id: 'sc200-083',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'easy',
      scenario: null,
      question: {
        en: 'Why is it important to review prerequisites before installing a solution from the Microsoft Sentinel Content hub?',
        de: 'Warum ist es wichtig, die Voraussetzungen zu prüfen, bevor eine Lösung aus dem Microsoft Sentinel Content Hub installiert wird?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Because some solution components depend on specific connectors, permissions, or data sources being available',
            de: 'Weil einige Lösungskomponenten davon abhängen, dass bestimmte Connectors, Berechtigungen oder Datenquellen verfügbar sind'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Because Content hub solutions automatically change workspace retention settings',
            de: 'Weil Content-Hub-Lösungen automatisch die Aufbewahrungseinstellungen des Arbeitsbereichs ändern'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Because a solution can only be installed in the default Azure region',
            de: 'Weil eine Lösung nur in der Standardregion von Azure installiert werden kann'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Because installing a solution disables built-in analytics rules',
            de: 'Weil die Installation einer Lösung integrierte Analyseregeln deaktiviert'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Solutions often include content that expects certain data sources, access rights, or supporting components. Reviewing prerequisites avoids incomplete or nonfunctional deployments.',
        de: 'Lösungen enthalten oft Inhalte, die bestimmte Datenquellen, Zugriffsrechte oder unterstützende Komponenten voraussetzen. Die Prüfung der Voraussetzungen verhindert unvollständige oder nicht funktionsfähige Bereitstellungen.'
      },
      hint: {
        en: 'Think dependencies, not region defaults.',
        de: 'Denken Sie an Abhängigkeiten, nicht an Regionsstandards.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-catalog'
    },
    {
      id: 'sc200-084',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'You work for Humongous Insurance. Think workspace-centric architecture.',
        de: 'Sie arbeiten für Humongous Insurance. Ihr Team evaluiert eine arbeitsbereichszentrierte Architektur.'
      },
      question: {
        en: 'Which design principles are appropriate?',
        de: 'Welche Designprinzipien sind geeignet?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Align retention decisions with investigation and compliance requirements',
            de: 'Aufbewahrungsentscheidungen an Untersuchungs- und Compliance-Anforderungen ausrichten'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Consider separate workspaces when data volume, region, or administrative boundaries justify isolation',
            de: 'Separate Arbeitsbereiche in Betracht ziehen, wenn Datenvolumen, Region oder administrative Grenzen eine Trennung rechtfertigen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Enable Microsoft Sentinel once at the management-group level instead of at the workspace level',
            de: 'Microsoft Sentinel einmal auf Management-Group-Ebene statt auf Arbeitsbereichsebene aktivieren'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Treat workspace design as foundational because Sentinel is enabled on a Log Analytics workspace',
            de: 'Das Arbeitsbereichsdesign als Grundlage betrachten, da Sentinel auf einem Log Analytics-Arbeitsbereich aktiviert wird'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'Workspace architecture directly affects cost, retention, data boundaries, and operations. Sentinel is enabled per Log Analytics workspace, not at management-group scope.',
        de: 'Die Arbeitsbereichsarchitektur wirkt sich direkt auf Kosten, Aufbewahrung, Datengrenzen und den Betrieb aus. Sentinel wird pro Log Analytics-Arbeitsbereich aktiviert, nicht auf Management-Group-Ebene.'
      },
      hint: {
        en: 'Think workspace-centric architecture.',
        de: 'Denken Sie an eine arbeitsbereichszentrierte Architektur.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/design-your-workspace-architecture'
    },
    {
      id: 'sc200-085',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, a central SOC in one tenant must investigate incidents and hunt across multiple delegated Microsoft Sentinel workspaces in other tenants without moving the data.',
        de: 'Bei Humongous Insurance: ein zentrales SOC in einem Tenant muss Vorfälle untersuchen und tenantübergreifend in mehreren delegierten Microsoft Sentinel-Arbeitsbereichen jagen, ohne die Daten zu verschieben.'
      },
      question: {
        en: 'Which approach best supports this requirement?',
        de: 'Welcher Ansatz unterstützt diese Anforderung am besten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Use Azure Lighthouse together with Microsoft Sentinel multi-workspace management',
            de: 'Azure Lighthouse zusammen mit Microsoft Sentinel Multi-Workspace-Management verwenden'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Export all incidents to spreadsheets for manual review',
            de: 'Alle Vorfälle zur manuellen Prüfung in Tabellen exportieren'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Create bookmarks in each tenant and investigate separately',
            de: 'In jedem Tenant Bookmarks erstellen und separat untersuchen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Disable tenant separation and merge all identities',
            de: 'Tenant-Trennung deaktivieren und alle Identitäten zusammenführen'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Azure Lighthouse provides delegated cross-tenant access, and Microsoft Sentinel supports multi-workspace operations for centralized investigation and hunting.',
        de: 'Azure Lighthouse stellt delegierten tenantübergreifenden Zugriff bereit, und Microsoft Sentinel unterstützt Multi-Workspace-Betrieb für zentrale Untersuchungen und Hunting.'
      },
      hint: {
        en: 'The key phrase is cross-tenant management without moving data.',
        de: 'Der Schlüsselsatz lautet tenantübergreifende Verwaltung ohne Datenverschiebung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/extend-sentinel-across-workspaces-tenants'
    },
    {
      id: 'sc200-086',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which practices improve the value of UEBA in Microsoft Sentinel?',
        de: 'Welche Praktiken erhöhen den Nutzen von UEBA in Microsoft Sentinel?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Ingest relevant identity and activity data that can be tied to users and devices',
            de: 'Relevante Identitäts- und Aktivitätsdaten ingestieren, die Benutzern und Geräten zugeordnet werden können'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Use consistent entity mapping so accounts and hosts are correctly recognized across detections',
            de: 'Konsistentes Entity Mapping verwenden, damit Konten und Hosts über Erkennungen hinweg korrekt erkannt werden'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Avoid onboarding identity-related data sources so behavior remains unbiased',
            de: 'Auf das Onboarding identitätsbezogener Datenquellen verzichten, damit das Verhalten unbeeinflusst bleibt'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Onboard identity-centric data sources such as Microsoft Entra activity where appropriate',
            de: 'Bei Bedarf identitätszentrierte Datenquellen wie Microsoft-Entra-Aktivitäten onboarden'
          }
        }
      ],
      correct: ['A', 'B', 'D'],
      explanation: {
        en: 'UEBA depends on good identity and entity context. The more accurately users and devices are represented, the more useful the behavioral analytics become.',
        de: 'UEBA hängt von gutem Identitäts- und Entitätskontext ab. Je genauer Benutzer und Geräte dargestellt werden, desto nützlicher werden die Verhaltensanalysen.'
      },
      hint: {
        en: 'UEBA improves with better entity context, not less identity data.',
        de: 'UEBA wird mit besserem Entitätskontext besser, nicht mit weniger Identitätsdaten.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics'
    },
    {
      id: 'sc200-087',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Contoso, Ltd. The requirement is incident workflow automation.',
        de: 'Contoso, Ltd. – Ihr SOC möchte, dass alle Malware-Vorfälle mit hohem Schweregrad mit \'malware\' markiert, Tier 2 zugewiesen und optional ein Response-Workflow ausgelöst wird.'
      },
      question: {
        en: 'Which Microsoft Sentinel feature should you configure first?',
        de: 'Welche Microsoft-Sentinel-Funktion sollten Sie zuerst konfigurieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'An automation rule with conditions based on incident properties',
            de: 'Eine Automatisierungsregel mit Bedingungen basierend auf Incident-Eigenschaften'
          }
        },
        {
          id: 'B',
          text: {
            en: 'A watchlist of malware families',
            de: 'Eine Watchlist von Malware-Familien'
          }
        },
        {
          id: 'C',
          text: {
            en: 'A bookmark template',
            de: 'Eine Bookmark-Vorlage'
          }
        },
        {
          id: 'D',
          text: {
            en: 'A workbook parameter',
            de: 'Ein Workbook-Parameter'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Automation rules are the native way to apply tags, change ownership, and invoke playbooks based on incident conditions such as severity or provider.',
        de: 'Automatisierungsregeln sind die native Möglichkeit, Tags anzuwenden, Zuständigkeiten zu ändern und Playbooks basierend auf Incident-Bedingungen wie Schweregrad oder Anbieter auszulösen.'
      },
      hint: {
        en: 'The requirement is incident workflow automation.',
        de: 'Die Anforderung betrifft die Automatisierung von Incident-Workflows.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-088',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., a playbook must update incident comments and call Azure APIs to perform response actions. The security team wants the most secure operational model.',
        de: 'Bei Contoso, Ltd.: ein Playbook muss Incident-Kommentare aktualisieren und Azure-APIs für Reaktionsaktionen aufrufen. Das Sicherheitsteam möchte das sicherste Betriebsmodell.'
      },
      question: {
        en: 'What should you implement?',
        de: 'Was sollten Sie implementieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Enable a managed identity for the Logic App and grant only the required roles',
            de: 'Eine verwaltete Identität für die Logic App aktivieren und nur die erforderlichen Rollen zuweisen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Store an administrator password inside the playbook definition',
            de: 'Ein Administratorkennwort in der Playbook-Definition speichern'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Run the playbook only from a shared analyst account',
            de: 'Das Playbook nur über ein gemeinsames Analystenkonto ausführen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Export the incident to email and update Azure manually',
            de: 'Den Vorfall per E-Mail exportieren und Azure manuell aktualisieren'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'A managed identity with least-privilege role assignments is the recommended and more secure pattern for Logic Apps that interact with Azure resources and Microsoft Sentinel.',
        de: 'Eine verwaltete Identität mit rollenbasierten Zuweisungen nach dem Least-Privilege-Prinzip ist das empfohlene und sicherere Muster für Logic Apps, die mit Azure-Ressourcen und Microsoft Sentinel interagieren.'
      },
      hint: {
        en: 'Avoid embedded credentials whenever possible.',
        de: 'Vermeiden Sie nach Möglichkeit eingebettete Anmeldeinformationen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/automation'
    },
    {
      id: 'sc200-089',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Litware, Inc., a hunting query has repeatedly identified malicious PowerShell behavior during investigations. The SOC now wants this logic to create alerts automatically.',
        de: 'Bei Litware, Inc.: eine Hunting-Abfrage hat während Untersuchungen wiederholt bösartiges PowerShell-Verhalten identifiziert. Das SOC möchte nun, dass diese Logik automatisch Warnungen erzeugt.'
      },
      question: {
        en: 'What should you do next?',
        de: 'Was sollten Sie als Nächstes tun?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Convert the hunting logic into an analytics rule and add appropriate entities and incident settings',
            de: 'Die Hunting-Logik in eine Analyseregel umwandeln und geeignete Entitäten sowie Incident-Einstellungen hinzufügen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Move the query into a workbook so it runs visually',
            de: 'Die Abfrage in ein Workbook verschieben, damit sie visuell ausgeführt wird'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Save it only as a bookmark',
            de: 'Sie nur als Bookmark speichern'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Upload the query text into a watchlist',
            de: 'Den Abfragetext in eine Watchlist hochladen'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'When hunting logic proves valuable and repeatable, the next operational step is usually to convert it into an analytics rule for automated detection.',
        de: 'Wenn sich Hunting-Logik als wertvoll und wiederholbar erweist, ist der nächste operative Schritt in der Regel die Umwandlung in eine Analyseregel für automatisierte Erkennung.'
      },
      hint: {
        en: 'Operationalize successful hunting content.',
        de: 'Operationalisieren Sie erfolgreiche Hunting-Inhalte.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/hunting'
    },
    {
      id: 'sc200-090',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Sentinel',
        de: 'Bedrohungen mit Microsoft Sentinel mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, an analyst confirms that an incident is a false positive after reviewing the evidence. The SOC wants accurate reporting and future tuning opportunities.',
        de: 'Bei Humongous Insurance: ein Analyst bestätigt nach Prüfung der Belege, dass ein Vorfall ein False Positive ist. Das SOC möchte eine genaue Berichterstattung und künftige Tuning-Möglichkeiten.'
      },
      question: {
        en: 'What is the best way to close the incident?',
        de: 'Wie sollte der Vorfall am besten geschlossen werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Close it with the appropriate classification and add analyst comments documenting the reason',
            de: 'Ihn mit der passenden Klassifizierung schließen und Analystenkommentare mit der Begründung hinzufügen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Delete the incident so it does not affect metrics',
            de: 'Den Vorfall löschen, damit er die Kennzahlen nicht beeinflusst'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Leave the incident open indefinitely',
            de: 'Den Vorfall unbegrenzt offen lassen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Change the severity to Informational and do nothing else',
            de: 'Den Schweregrad auf Informational setzen und sonst nichts tun'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Using the correct closure classification and comments preserves auditability, improves reporting quality, and helps future tuning of detection content and workflows.',
        de: 'Die Verwendung der korrekten Abschlussklassifizierung und von Kommentaren erhält die Nachvollziehbarkeit, verbessert die Berichtqualität und unterstützt das zukünftige Tuning von Erkennungsinhalten und Workflows.'
      },
      hint: {
        en: 'A SOC should preserve disposition data, not hide it.',
        de: 'Ein SOC sollte Dispositionsdaten erhalten und nicht verbergen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/sentinel/investigate-incidents'
    },
    {
      id: 'sc200-091',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'You work for Litware, Inc. Your team is evaluating the posture KPI shown on the Defender for Cloud overview.',
        de: 'Litware, Inc. – Ihr SOC-Manager benötigt in Microsoft Defender for Cloud eine einzelne Kennzahl, die zeigt, wie sich die Sicherheitslage verbessert, wenn Teams Empfehlungen über mehrere Abonnements hinweg beheben.'
      },
      question: {
        en: 'Which metric should you use?',
        de: 'Welche Kennzahl sollten Sie verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Secure score',
            de: 'Secure Score'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Activity log',
            de: 'Aktivitätsprotokoll'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Azure Service Health',
            de: 'Azure Service Health'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Secure score is Defender for Cloud\'s posture metric. It reflects how well recommendations are remediated across security controls and helps track improvement over time.',
        de: 'Der Secure Score ist die Kennzahl für die Sicherheitslage in Defender for Cloud. Er zeigt, wie gut Empfehlungen über Sicherheitskontrollen hinweg umgesetzt werden, und hilft dabei, Verbesserungen im Zeitverlauf nachzuverfolgen.'
      },
      hint: {
        en: 'Think about the posture KPI shown on the Defender for Cloud overview.',
        de: 'Denken Sie an die Kennzahl für die Sicherheitslage auf der Übersichtsseite von Defender for Cloud.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'sc200-092',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Humongous Insurance is preparing for an ISO 27001 audit and wants to see which Azure resources fail mapped compliance controls inside Defender for Cloud.',
        de: 'Humongous Insurance bereitet sich auf ein ISO-27001-Audit vor und möchte in Defender for Cloud sehen, welche Azure-Ressourcen den zugeordneten Compliance-Kontrollen nicht entsprechen.'
      },
      question: {
        en: 'Which feature should you use?',
        de: 'Welche Funktion sollten Sie verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Secure score',
            de: 'Secure Score'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Activity log',
            de: 'Aktivitätsprotokoll'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Microsoft Sentinel incidents',
            de: 'Microsoft-Sentinel-Vorfälle'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'The regulatory compliance dashboard maps Defender for Cloud assessments to standards and initiatives such as ISO 27001, allowing you to review compliance state by control and resource.',
        de: 'Das Dashboard für die Einhaltung gesetzlicher Vorschriften ordnet Bewertungen aus Defender for Cloud Standards und Initiativen wie ISO 27001 zu. So können Sie den Compliance-Status nach Kontrolle und Ressource überprüfen.'
      },
      hint: {
        en: 'You need standards mapping, not just a general posture score.',
        de: 'Sie benötigen eine Zuordnung zu Standards, nicht nur eine allgemeine Sicherheitskennzahl.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard'
    },
    {
      id: 'sc200-093',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., administrators must use RDP to manage Azure VMs, but the security team wants port 3389 closed by default and opened only for approved requests from specific IP addresses for a limited time.',
        de: 'Bei Contoso, Ltd.: administratoren müssen Azure-VMs per RDP verwalten, aber das Sicherheitsteam möchte Port 3389 standardmäßig geschlossen halten und ihn nur für genehmigte Anfragen von bestimmten IP-Adressen für eine begrenzte Zeit öffnen.'
      },
      question: {
        en: 'Which Defender for Cloud feature best meets this requirement?',
        de: 'Welche Funktion von Defender for Cloud erfüllt diese Anforderung am besten?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Just-in-time VM access',
            de: 'Just-in-Time-VM-Zugriff'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Adaptive application controls',
            de: 'Adaptive Anwendungssteuerungen'
          }
        },
        {
          id: 'C',
          text: {
            en: 'File integrity monitoring',
            de: 'Dateiintegritätsüberwachung'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Just-in-time VM access reduces exposure of management ports by keeping them closed until approved access is requested, typically for a defined duration and source IP range.',
        de: 'Der Just-in-Time-VM-Zugriff reduziert die Angriffsfläche von Verwaltungsports, indem diese geschlossen bleiben, bis ein genehmigter Zugriff angefordert wird – in der Regel für eine definierte Dauer und einen bestimmten Quell-IP-Bereich.'
      },
      hint: {
        en: 'Look for the feature that temporarily opens management ports on demand.',
        de: 'Suchen Sie nach der Funktion, die Verwaltungsports bei Bedarf vorübergehend öffnet.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview'
    },
    {
      id: 'sc200-094',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., a server team wants Defender for Cloud to learn normal software usage on VMs and recommend an allowlist so only approved applications can run.',
        de: 'Bei Litware, Inc.: ein Serverteam möchte, dass Defender for Cloud die normale Softwarenutzung auf VMs erlernt und eine Zulassungsliste empfiehlt, damit nur genehmigte Anwendungen ausgeführt werden können.'
      },
      question: {
        en: 'Which feature should you use?',
        de: 'Welche Funktion sollten Sie verwenden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Adaptive application controls',
            de: 'Adaptive Anwendungssteuerungen'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Secure score',
            de: 'Secure Score'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Key Vault',
            de: 'Defender für Key Vault'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Just-in-time VM access',
            de: 'Just-in-Time-VM-Zugriff'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Adaptive application controls analyze machine behavior and recommend which applications should be allowed, helping you define application allowlists and reduce unauthorized execution.',
        de: 'Adaptive Anwendungssteuerungen analysieren das Verhalten von Computern und empfehlen, welche Anwendungen zugelassen werden sollten. Dadurch können Zulassungslisten definiert und nicht autorisierte Ausführungen reduziert werden.'
      },
      hint: {
        en: 'This feature focuses on which binaries and applications are allowed to run.',
        de: 'Diese Funktion konzentriert sich darauf, welche Binärdateien und Anwendungen ausgeführt werden dürfen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/adaptive-application-controls'
    },
    {
      id: 'sc200-095',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Contoso, Ltd. has onboarded on-premises Windows servers through Azure Arc. The security team wants alerts when critical OS files or registry settings change unexpectedly.',
        de: 'Contoso, Ltd. hat lokale Windows-Server über Azure Arc integriert. Das Sicherheitsteam möchte Warnungen erhalten, wenn sich kritische Betriebssystemdateien oder Registrierungseinstellungen unerwartet ändern.'
      },
      question: {
        en: 'Which Defender for Cloud capability addresses this requirement?',
        de: 'Welche Funktion von Defender for Cloud erfüllt diese Anforderung?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'File integrity monitoring',
            de: 'Dateiintegritätsüberwachung'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Just-in-time VM access',
            de: 'Just-in-Time-VM-Zugriff'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'File integrity monitoring helps detect changes to important files, registries, and other monitored artifacts on supported machines, including hybrid servers onboarded through Azure Arc.',
        de: 'Die Dateiintegritätsüberwachung hilft dabei, Änderungen an wichtigen Dateien, Registrierungen und anderen überwachten Artefakten auf unterstützten Computern zu erkennen, einschließlich hybrider Server, die über Azure Arc integriert wurden.'
      },
      hint: {
        en: 'The requirement is to detect unauthorized changes, not to restrict access.',
        de: 'Gefordert ist das Erkennen unautorisierter Änderungen, nicht die Zugriffsbeschränkung.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/file-integrity-monitoring-overview'
    },
    {
      id: 'sc200-096',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Humongous Insurance, a business unit stores customer-submitted files in Azure Storage. The SOC wants alerts for suspicious access behavior and protection against malicious file uploads.',
        de: 'Bei Humongous Insurance: ein Geschäftsbereich speichert von Kunden eingereichte Dateien in Azure Storage. Das SOC möchte Warnungen bei verdächtigem Zugriffsverhalten und Schutz vor schädlichen Datei-Uploads.'
      },
      question: {
        en: 'Which plan should you enable?',
        de: 'Welchen Plan sollten Sie aktivieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for SQL',
            de: 'Defender für SQL'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for App Service',
            de: 'Defender für App Service'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Defender for Key Vault',
            de: 'Defender für Key Vault'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Storage provides threat detection for Azure Storage accounts and can help detect suspicious access patterns. It also supports malware scanning capabilities for uploaded content.',
        de: 'Defender für Storage bietet Bedrohungserkennung für Azure-Storage-Konten und kann verdächtige Zugriffsmuster erkennen. Außerdem unterstützt der Plan Funktionen zur Malwareüberprüfung hochgeladener Inhalte.'
      },
      hint: {
        en: 'Choose the Defender plan designed specifically for Azure Storage accounts.',
        de: 'Wählen Sie den Defender-Plan, der speziell für Azure-Storage-Konten vorgesehen ist.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-storage-introduction'
    },
    {
      id: 'sc200-097',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'Litware, Inc. runs Azure SQL Database in Azure and SQL Server instances on Arc-enabled on-premises servers. You want Defender for Cloud workload protection for both environments.',
        de: 'Litware, Inc. betreibt Azure SQL Database in Azure sowie SQL-Server-Instanzen auf lokalen, Arc-fähigen Servern. Sie möchten Defender-for-Cloud-Workloadschutz für beide Umgebungen.'
      },
      question: {
        en: 'Which two plans should you enable?',
        de: 'Welche zwei Pläne sollten Sie aktivieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Azure SQL',
            de: 'Defender für Azure SQL'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for SQL servers on machines',
            de: 'Defender für SQL-Server auf Computern'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Defender for Containers',
            de: 'Defender für Container'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'Defender for Azure SQL protects Azure SQL resources, while Defender for SQL servers on machines covers SQL Server running on machines such as Azure VMs or Arc-enabled servers.',
        de: 'Defender für Azure SQL schützt Azure-SQL-Ressourcen, während Defender für SQL-Server auf Computern SQL Server auf Maschinen wie Azure-VMs oder Arc-fähigen Servern abdeckt.'
      },
      hint: {
        en: 'One plan is for PaaS SQL resources, and one is for SQL Server running on machines.',
        de: 'Ein Plan ist für PaaS-SQL-Ressourcen, der andere für SQL Server auf Computern.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-sql-introduction'
    },
    {
      id: 'sc200-098',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'At Contoso, Ltd., a DevSecOps team uses AKS and wants Kubernetes-specific security posture recommendations together with runtime threat alerts for clusters, nodes, and workloads.',
        de: 'Bei Contoso, Ltd.: ein DevSecOps-Team verwendet AKS und möchte Kubernetes-spezifische Empfehlungen zur Sicherheitslage zusammen mit Laufzeitwarnungen für Cluster, Knoten und Workloads.'
      },
      question: {
        en: 'Which Defender for Cloud plan should be enabled?',
        de: 'Welcher Defender-for-Cloud-Plan sollte aktiviert werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Servers',
            de: 'Defender für Server'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for Containers',
            de: 'Defender für Container'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Defender for App Service',
            de: 'Defender für App Service'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Defender for Containers is the workload protection plan for containerized environments. It provides Kubernetes posture assessment and threat detection for clusters and workloads.',
        de: 'Defender für Container ist der Workloadschutzplan für containerisierte Umgebungen. Er bietet Kubernetes-Bewertungen zur Sicherheitslage und Bedrohungserkennung für Cluster und Workloads.'
      },
      hint: {
        en: 'Choose the plan built for Kubernetes and container workloads.',
        de: 'Wählen Sie den Plan, der für Kubernetes- und Container-Workloads entwickelt wurde.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-containers-introduction'
    },
    {
      id: 'sc200-099',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Humongous Insurance hosts internet-facing web applications in Azure App Service and wants workload protection alerts for suspicious activity targeting those apps.',
        de: 'Humongous Insurance hostet internetseitige Webanwendungen in Azure App Service und möchte Workloadschutz-Warnungen für verdächtige Aktivitäten, die auf diese Apps abzielen.'
      },
      question: {
        en: 'Which plan should you enable?',
        de: 'Welchen Plan sollten Sie aktivieren?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Key Vault',
            de: 'Defender für Key Vault'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for App Service',
            de: 'Defender für App Service'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        }
      ],
      correct: ['C'],
      explanation: {
        en: 'Defender for App Service provides threat protection tailored to applications running on Azure App Service.',
        de: 'Defender für App Service bietet Bedrohungsschutz speziell für Anwendungen, die auf Azure App Service ausgeführt werden.'
      },
      hint: {
        en: 'Focus on the Defender plan aligned to the hosting platform.',
        de: 'Konzentrieren Sie sich auf den Defender-Plan, der zur Hostingplattform passt.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-app-service-introduction'
    },
    {
      id: 'sc200-100',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'The security team at Contoso, Ltd. stores signing keys and application secrets in Azure Key Vault and wants alerts on suspicious access patterns or possible attempts to abuse the vault.',
        de: 'Das Sicherheitsteam von Contoso, Ltd. speichert Signaturschlüssel und Anwendungsgeheimnisse in Azure Key Vault und möchte Warnungen bei verdächtigen Zugriffsmustern oder möglichen Missbrauchsversuchen des Tresors.'
      },
      question: {
        en: 'Which Defender for Cloud plan addresses this need?',
        de: 'Welcher Defender-for-Cloud-Plan erfüllt diese Anforderung?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Key Vault',
            de: 'Defender für Key Vault'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for Servers',
            de: 'Defender für Server'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Secure score',
            de: 'Secure Score'
          }
        }
      ],
      correct: ['A'],
      explanation: {
        en: 'Defender for Key Vault provides threat protection for Azure Key Vault and helps detect suspicious or anomalous access to keys, secrets, and certificates.',
        de: 'Defender für Key Vault bietet Bedrohungsschutz für Azure Key Vault und hilft dabei, verdächtige oder anomale Zugriffe auf Schlüssel, Geheimnisse und Zertifikate zu erkennen.'
      },
      hint: {
        en: 'You need a workload protection plan for vault access, not a posture metric.',
        de: 'Sie benötigen einen Workloadschutzplan für Tresorzugriffe, keine Kennzahl zur Sicherheitslage.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-key-vault-introduction'
    },
    {
      id: 'sc200-101',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'hard',
      scenario: null,
      question: {
        en: 'Which statement correctly describes the relationship between secure score and regulatory compliance in Microsoft Defender for Cloud?',
        de: 'Welche Aussage beschreibt die Beziehung zwischen Secure Score und der Einhaltung gesetzlicher Vorschriften in Microsoft Defender for Cloud korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'They are the same metric shown in two different dashboards.',
            de: 'Es handelt sich um dieselbe Kennzahl, die in zwei verschiedenen Dashboards angezeigt wird.'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Secure score measures posture improvement actions, while regulatory compliance maps assessments to standards and requirements.',
            de: 'Der Secure Score misst Maßnahmen zur Verbesserung der Sicherheitslage, während die Einhaltung gesetzlicher Vorschriften Bewertungen Standards und Anforderungen zuordnet.'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Regulatory compliance automatically remediates failing resources and updates secure score.',
            de: 'Die Einhaltung gesetzlicher Vorschriften behebt fehlgeschlagene Ressourcen automatisch und aktualisiert den Secure Score.'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Secure score applies only to Azure Arc-enabled servers.',
            de: 'Der Secure Score gilt nur für Azure-Arc-fähige Server.'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Secure score is a posture-oriented measurement used to prioritize security improvements. Regulatory compliance is a separate view that maps assessments to standards such as ISO, NIST, or Microsoft cloud security benchmark.',
        de: 'Der Secure Score ist eine kennzahlenbasierte Sicht auf die Sicherheitslage und dient zur Priorisierung von Verbesserungen. Die Einhaltung gesetzlicher Vorschriften ist eine separate Ansicht, die Bewertungen Standards wie ISO, NIST oder dem Microsoft Cloud Security Benchmark zuordnet.'
      },
      hint: {
        en: 'One feature measures posture; the other maps posture data to standards.',
        de: 'Eine Funktion misst die Sicherheitslage, die andere ordnet diese Daten Standards zu.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'sc200-102',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'At Litware, Inc., a security architect wants Defender for Cloud recommendations and server threat protection for on-premises Windows and Linux machines.',
        de: 'Bei Litware, Inc.: ein Sicherheitsarchitekt möchte Defender-for-Cloud-Empfehlungen und Bedrohungsschutz für lokale Windows- und Linux-Computer.'
      },
      question: {
        en: 'Which two actions are required to achieve this?',
        de: 'Welche zwei Maßnahmen sind erforderlich, um dies zu erreichen?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Onboard the machines with Azure Arc',
            de: 'Die Computer mit Azure Arc integrieren'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Enable Defender for Servers',
            de: 'Defender für Server aktivieren'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Create an Azure Workbook only',
            de: 'Nur eine Azure-Arbeitsmappe erstellen'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Enable Defender for App Service',
            de: 'Defender für App Service aktivieren'
          }
        }
      ],
      correct: ['A', 'B'],
      explanation: {
        en: 'Azure Arc is used to connect non-Azure servers so Defender for Cloud can manage them. Defender for Servers provides the workload protection capabilities for those machines.',
        de: 'Azure Arc wird verwendet, um Nicht-Azure-Server zu verbinden, damit Defender for Cloud sie verwalten kann. Defender für Server stellt die Workloadschutzfunktionen für diese Maschinen bereit.'
      },
      hint: {
        en: 'Think about both onboarding hybrid machines and enabling the correct protection plan.',
        de: 'Denken Sie sowohl an die Integration hybrider Computer als auch an die Aktivierung des richtigen Schutzplans.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/quickstart-onboard-machines'
    },
    {
      id: 'sc200-103',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: null,
      question: {
        en: 'Which offerings are examples of cloud workload protection plans in Microsoft Defender for Cloud?',
        de: 'Welche Angebote sind Beispiele für Cloud-Workloadschutzpläne in Microsoft Defender for Cloud?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Servers',
            de: 'Defender für Server'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for Storage',
            de: 'Defender für Storage'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for SQL',
            de: 'Defender für SQL'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Secure score',
            de: 'Secure Score'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'Defender for Servers, Storage, and SQL are workload protection plans. Secure score is a posture metric, not a protection plan.',
        de: 'Defender für Server, Storage und SQL sind Workloadschutzpläne. Der Secure Score ist eine Kennzahl zur Sicherheitslage und kein Schutzplan.'
      },
      hint: {
        en: 'Separate the metric from the actual Defender plans.',
        de: 'Trennen Sie die Kennzahl von den eigentlichen Defender-Plänen.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    },
    {
      id: 'sc200-104',
      type: 'single',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'hard',
      scenario: {
        en: 'At Humongous Insurance, a subscription contains only storage accounts and Key Vaults. A junior analyst is worried that SQL-related recommendations will still reduce the subscription\'s secure score even though no SQL resources exist.',
        de: 'Bei Humongous Insurance: ein Abonnement enthält nur Storage-Konten und Key Vaults. Ein Junior-Analyst befürchtet, dass SQL-bezogene Empfehlungen den Secure Score des Abonnements trotzdem verringern, obwohl keine SQL-Ressourcen vorhanden sind.'
      },
      question: {
        en: 'Which statement is correct?',
        de: 'Welche Aussage ist korrekt?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Yes. Every Defender for Cloud recommendation always affects secure score.',
            de: 'Ja. Jede Defender-for-Cloud-Empfehlung beeinflusst immer den Secure Score.'
          }
        },
        {
          id: 'B',
          text: {
            en: 'No. Recommendations affect secure score only when applicable resources are in scope.',
            de: 'Nein. Empfehlungen beeinflussen den Secure Score nur, wenn zutreffende Ressourcen im Geltungsbereich vorhanden sind.'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Yes. Regulatory compliance automatically adds SQL controls to every subscription.',
            de: 'Ja. Die Einhaltung gesetzlicher Vorschriften fügt automatisch SQL-Kontrollen zu jedem Abonnement hinzu.'
          }
        },
        {
          id: 'D',
          text: {
            en: 'No. Secure score never changes after Defender for Cloud is enabled.',
            de: 'Nein. Der Secure Score ändert sich nie, nachdem Defender for Cloud aktiviert wurde.'
          }
        }
      ],
      correct: ['B'],
      explanation: {
        en: 'Secure score is based on applicable recommendations and resources in scope. If a recommendation does not apply because the relevant resource type is absent, it does not reduce the score.',
        de: 'Der Secure Score basiert auf zutreffenden Empfehlungen und Ressourcen im Geltungsbereich. Wenn eine Empfehlung nicht zutrifft, weil der relevante Ressourcentyp fehlt, verringert sie den Score nicht.'
      },
      hint: {
        en: 'Consider whether non-existent resource types are evaluated as unhealthy.',
        de: 'Überlegen Sie, ob nicht vorhandene Ressourcentypen als ungesund bewertet werden.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls'
    },
    {
      id: 'sc200-105',
      type: 'multiple',
      domain: {
        en: 'Mitigate Threats Using Microsoft Defender for Cloud',
        de: 'Bedrohungen mit Microsoft Defender for Cloud mindern'
      },
      difficulty: 'medium',
      scenario: {
        en: 'Litware, Inc. wants Defender for Cloud workload protection specifically for container workloads, web apps hosted on App Service, and secrets stored in Azure Key Vault.',
        de: 'Litware, Inc. möchte Workloadschutz in Defender for Cloud speziell für Container-Workloads, in App Service gehostete Web-Apps und in Azure Key Vault gespeicherte Geheimnisse.'
      },
      question: {
        en: 'Which three Defender plans should be enabled?',
        de: 'Welche drei Defender-Pläne sollten aktiviert werden?'
      },
      options: [
        {
          id: 'A',
          text: {
            en: 'Defender for Containers',
            de: 'Defender für Container'
          }
        },
        {
          id: 'B',
          text: {
            en: 'Defender for App Service',
            de: 'Defender für App Service'
          }
        },
        {
          id: 'C',
          text: {
            en: 'Defender for Key Vault',
            de: 'Defender für Key Vault'
          }
        },
        {
          id: 'D',
          text: {
            en: 'Regulatory compliance dashboard',
            de: 'Dashboard für die Einhaltung gesetzlicher Vorschriften'
          }
        }
      ],
      correct: ['A', 'B', 'C'],
      explanation: {
        en: 'These three workload protection plans map directly to the required resource types: containers, App Service apps, and Key Vault secrets. The regulatory compliance dashboard is for standards mapping, not protection.',
        de: 'Diese drei Workloadschutzpläne entsprechen direkt den benötigten Ressourcentypen: Container, App-Service-Apps und Key-Vault-Geheimnisse. Das Dashboard für die Einhaltung gesetzlicher Vorschriften dient der Zuordnung zu Standards und nicht dem Schutz.'
      },
      hint: {
        en: 'Pick the plans aligned to each workload, not the governance dashboard.',
        de: 'Wählen Sie die Pläne, die zu jedem Workload passen, nicht das Governance-Dashboard.'
      },
      reference: 'https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction'
    }
  ]
};
