(function() {
  var extra = [
  {
    "id": "sc200-107",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A phishing alert, a risky sign-in, and a malware alert are already correlated by Defender XDR. The SOC lead wants one analyst to own the case.",
      "de": "Eine Phishing-Warnung, eine riskante Anmeldung und eine Malwarewarnung wurden bereits von Defender XDR korreliert. Die SOC-Leitung möchte, dass ein Analyst den Fall übernimmt."
    },
    "question": {
      "en": "Which Microsoft Defender XDR area should an analyst open first to review one correlated case that combines email, identity, and endpoint alerts?",
      "de": "Welchen Bereich von Microsoft Defender XDR sollte ein Analyst zuerst öffnen, um einen korrelierten Fall mit E-Mail-, Identitäts- und Endpunktwarnungen zu prüfen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Advanced hunting",
          "de": "Advanced Hunting"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Incident page",
          "de": "Vorfallsseite"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Simulation training",
          "de": "Simulationstraining"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Secure score",
          "de": "Secure Score"
        }
      }
    ],
    "correct": [
      "B"
    ],
    "explanation": {
      "en": "The incident page is the primary Defender XDR investigation surface for correlated alerts across workloads. It groups related evidence, entities, and response actions into one case for triage.",
      "de": "Die Vorfallsseite ist die zentrale Untersuchungsansicht in Defender XDR für korrelierte Warnungen über mehrere Workloads hinweg. Sie fasst zugehörige Beweise, Entitäten und Reaktionsmaßnahmen in einem Fall zusammen."
    },
    "hint": {
      "en": "Choose the unified case view, not the raw query feature.",
      "de": "Wählen Sie die vereinheitlichte Fallansicht und nicht die reine Abfragefunktion."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/investigate-incidents"
  },
  {
    "id": "sc200-108",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which automated investigation remediation level requires analyst approval before pending actions are applied?",
      "de": "Welche Behebungsstufe der automatisierten Untersuchung erfordert die Genehmigung eines Analysten, bevor ausstehende Aktionen angewendet werden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Full automation",
          "de": "Vollständige Automatisierung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Semi - require approval",
          "de": "Teilweise - Genehmigung erforderlich"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Off",
          "de": "Aus"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Passive mode",
          "de": "Passiver Modus"
        }
      }
    ],
    "correct": [
      "B"
    ],
    "explanation": {
      "en": "Semi automation lets automated investigation gather evidence and recommend actions, but analysts must approve pending remediation. That balances speed with change control.",
      "de": "Die teilweise Automatisierung lässt die automatische Untersuchung Beweise sammeln und Maßnahmen empfehlen, aber Analysten müssen ausstehende Behebungen genehmigen. Das verbindet Geschwindigkeit mit Änderungskontrolle."
    },
    "hint": {
      "en": "Look for the option that still keeps a human approval gate.",
      "de": "Suchen Sie nach der Option, die weiterhin einen menschlichen Genehmigungsschritt enthält."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/automated-investigations"
  },
  {
    "id": "sc200-109",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which advanced hunting query best finds PowerShell commands that used EncodedCommand during the last day?",
      "de": "Welche Advanced-Hunting-Abfrage findet am besten PowerShell-Befehle, die in den letzten 24 Stunden EncodedCommand verwendet haben?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "DeviceProcessEvents | where Timestamp > ago(1d) | where FileName =~ 'powershell.exe' | where ProcessCommandLine has 'EncodedCommand'",
          "de": "DeviceProcessEvents | where Timestamp > ago(1d) | where FileName =~ 'powershell.exe' | where ProcessCommandLine has 'EncodedCommand'"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "DeviceNetworkEvents | where Timestamp > ago(1d) | where RemoteUrl has 'EncodedCommand'",
          "de": "DeviceNetworkEvents | where Timestamp > ago(1d) | where RemoteUrl has 'EncodedCommand'"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "EmailEvents | where Timestamp > ago(1d) | where Subject has 'powershell'",
          "de": "EmailEvents | where Timestamp > ago(1d) | where Subject has 'powershell'"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "DeviceFileEvents | where Timestamp > ago(1d) | where FolderPath has 'EncodedCommand'",
          "de": "DeviceFileEvents | where Timestamp > ago(1d) | where FolderPath has 'EncodedCommand'"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Process execution data is stored in DeviceProcessEvents, and EncodedCommand appears in ProcessCommandLine. The other tables do not target executed PowerShell command lines.",
      "de": "Prozessausführungsdaten werden in DeviceProcessEvents gespeichert, und EncodedCommand erscheint in ProcessCommandLine. Die anderen Tabellen zielen nicht auf ausgeführte PowerShell-Befehlszeilen ab."
    },
    "hint": {
      "en": "Hunt for process telemetry, not email or network metadata.",
      "de": "Suchen Sie in der Prozesstelemetrie und nicht in E-Mail- oder Netzwerkmetadaten."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview"
  },
  {
    "id": "sc200-110",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the main purpose of a custom detection in Microsoft Defender XDR?",
      "de": "Was ist der Hauptzweck einer benutzerdefinierten Erkennung in Microsoft Defender XDR?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Run a hunting query on a schedule and create alerts from matches",
          "de": "Eine Hunting-Abfrage nach Zeitplan ausführen und aus Treffern Warnungen erzeugen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Replace device onboarding packages",
          "de": "Onboardingpakete für Geräte ersetzen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Convert secure score recommendations into tickets",
          "de": "Secure-Score-Empfehlungen in Tickets umwandeln"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create mailbox transport rules",
          "de": "Mailbox-Transportregeln erstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom detections operationalize recurring hunting logic. They run scheduled queries and generate alerts when the query finds suspicious behavior.",
      "de": "Benutzerdefinierte Erkennungen operationalisieren wiederkehrende Hunting-Logik. Sie führen geplante Abfragen aus und erzeugen Warnungen, wenn die Abfrage verdächtiges Verhalten findet."
    },
    "hint": {
      "en": "Think of turning a good hunt into an automated alert.",
      "de": "Denken Sie daran, eine gute Hunting-Abfrage in eine automatische Warnung zu verwandeln."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/custom-detection-rules"
  },
  {
    "id": "sc200-111",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "For a large fleet of Windows devices managed by Microsoft Intune, which onboarding method is usually the best fit for Defender for Endpoint?",
      "de": "Welche Onboardingmethode eignet sich bei einer großen Flotte von Windows-Geräten, die mit Microsoft Intune verwaltet werden, in der Regel am besten für Defender for Endpoint?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Deploy the onboarding profile from Intune",
          "de": "Das Onboardingprofil über Intune bereitstellen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Manually run the local script on each device",
          "de": "Das lokale Skript manuell auf jedem Gerät ausführen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Use a Safe Links policy",
          "de": "Eine Safe-Links-Richtlinie verwenden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create a workbook",
          "de": "Eine Arbeitsmappe erstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Intune is the scalable onboarding path for Intune-managed Windows devices. It centralizes deployment and policy enforcement instead of relying on per-device manual work.",
      "de": "Intune ist der skalierbare Onboardingpfad für mit Intune verwaltete Windows-Geräte. Er zentralisiert Bereitstellung und Richtliniendurchsetzung, anstatt auf manuelle Arbeit pro Gerät zu setzen."
    },
    "hint": {
      "en": "Choose the method aligned to existing device management.",
      "de": "Wählen Sie die Methode, die zur vorhandenen Geräteverwaltung passt."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/onboard-windows-client"
  },
  {
    "id": "sc200-112",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC wants to evaluate a new ASR rule across finance devices but avoid breaking macro-heavy workflows on day one.",
      "de": "Das SOC möchte eine neue ASR-Regel auf Finanzgeräten bewerten, aber am ersten Tag keine makrolastigen Arbeitsabläufe stören."
    },
    "question": {
      "en": "Which attack surface reduction deployment approach should you use first when you want visibility into impact before you enforce blocking?",
      "de": "Welchen Bereitstellungsansatz für Attack Surface Reduction sollten Sie zuerst verwenden, wenn Sie die Auswirkungen sehen möchten, bevor Sie das Blockieren erzwingen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Audit mode",
          "de": "Überwachungsmodus"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Block mode",
          "de": "Blockierungsmodus"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Disabled",
          "de": "Deaktiviert"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Simulation only",
          "de": "Nur Simulation"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Audit mode lets security teams measure what would be blocked without interrupting users. It is the standard first step before moving rules into block mode.",
      "de": "Der Überwachungsmodus ermöglicht es Sicherheitsteams zu messen, was blockiert würde, ohne Benutzer zu unterbrechen. Er ist der Standard-Erstschritt, bevor Regeln in den Blockierungsmodus wechseln."
    },
    "hint": {
      "en": "Start by measuring effect, not enforcing it.",
      "de": "Beginnen Sie damit, die Wirkung zu messen, nicht sie sofort zu erzwingen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/attack-surface-reduction-rules-reference"
  },
  {
    "id": "sc200-113",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the value of EDR in block mode when a third-party antivirus product remains the primary AV?",
      "de": "Welchen Nutzen hat EDR im Blockmodus, wenn ein Drittanbieter-Antivirenprodukt weiterhin das primäre AV ist?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It provides post-breach blocking by Microsoft Defender for Endpoint",
          "de": "Es bietet Post-Breach-Blockierung durch Microsoft Defender for Endpoint"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It disables the third-party antivirus engine",
          "de": "Es deaktiviert die Antiviren-Engine des Drittanbieters"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It replaces advanced hunting",
          "de": "Es ersetzt Advanced Hunting"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It converts incidents into workbooks",
          "de": "Es wandelt Vorfälle in Arbeitsmappen um"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "EDR in block mode lets Defender for Endpoint stop malicious artifacts even when another AV product is primary. It adds post-breach enforcement without taking over as the main antivirus.",
      "de": "EDR im Blockmodus ermöglicht es Defender for Endpoint, bösartige Artefakte zu stoppen, auch wenn ein anderes AV-Produkt primär ist. Es ergänzt eine Durchsetzung nach der Kompromittierung, ohne das Hauptantivirus zu ersetzen."
    },
    "hint": {
      "en": "This feature supplements another AV rather than replacing it.",
      "de": "Diese Funktion ergänzt ein anderes AV, anstatt es zu ersetzen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/edr-in-block-mode"
  },
  {
    "id": "sc200-114",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the primary benefit of Microsoft Defender threat analytics for a SOC?",
      "de": "Was ist der primäre Nutzen von Microsoft Defender Threat Analytics für ein SOC?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Curated reports about active threats with recommended actions",
          "de": "Kuratiere Berichte zu aktiven Bedrohungen mit empfohlenen Maßnahmen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A replacement for device isolation",
          "de": "Ein Ersatz für Geräteisolierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A licensing dashboard for Sentinel",
          "de": "Ein Lizenzdashboard für Sentinel"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A tool to upload firewall logs",
          "de": "Ein Tool zum Hochladen von Firewallprotokollen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Threat analytics summarizes relevant campaigns, actors, and techniques and links them to affected assets and mitigation guidance. It helps analysts prioritize what matters now.",
      "de": "Threat Analytics fasst relevante Kampagnen, Akteure und Techniken zusammen und verknüpft sie mit betroffenen Ressourcen und Maßnahmenempfehlungen. So können Analysten priorisieren, was aktuell wichtig ist."
    },
    "hint": {
      "en": "Think curated intelligence and prioritization.",
      "de": "Denken Sie an kuratierte Bedrohungsinformationen und Priorisierung."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/threat-analytics"
  },
  {
    "id": "sc200-115",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A compromised workstation is off-VPN and RDP is disabled. Analysts still need to inspect running activity from the Defender portal.",
      "de": "Eine kompromittierte Workstation befindet sich außerhalb des VPN, und RDP ist deaktiviert. Analysten müssen dennoch laufende Aktivitäten aus dem Defender-Portal prüfen."
    },
    "question": {
      "en": "Which Defender for Endpoint feature lets analysts run remote commands and collect evidence on a device without using RDP?",
      "de": "Welche Funktion in Defender for Endpoint ermöglicht Analysten, Remote-Befehle auszuführen und Beweise auf einem Gerät zu sammeln, ohne RDP zu verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Live response",
          "de": "Live Response"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Threat analytics",
          "de": "Threat Analytics"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Safe Links",
          "de": "Safe Links"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Live response provides a remote investigation shell and response actions from the Defender portal. It is designed for evidence collection and containment without interactive desktop access.",
      "de": "Live Response stellt eine Remote-Untersuchungsshell und Reaktionsaktionen aus dem Defender-Portal bereit. Sie ist für Beweissicherung und Eindämmung ohne interaktiven Desktopzugriff vorgesehen."
    },
    "hint": {
      "en": "Choose the remote investigation feature.",
      "de": "Wählen Sie die Funktion für die Remote-Untersuchung."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/live-response"
  },
  {
    "id": "sc200-116",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "An analyst sees active ransomware beaconing from a laptop and must stop lateral movement within seconds.",
      "de": "Ein Analyst erkennt aktives Ransomware-Beaconing von einem Laptop und muss laterale Bewegung innerhalb von Sekunden stoppen."
    },
    "question": {
      "en": "Which response action should you take to immediately stop a device from communicating with the network while you continue investigating it in the portal?",
      "de": "Welche Reaktionsmaßnahme sollten Sie ergreifen, um die Netzwerkkommunikation eines Geräts sofort zu stoppen, während Sie es weiter im Portal untersuchen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Collect investigation package",
          "de": "Untersuchungspaket sammeln"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Isolate device",
          "de": "Gerät isolieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Download watchlist",
          "de": "Watchlist herunterladen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Disable mailbox",
          "de": "Mailbox deaktivieren"
        }
      }
    ],
    "correct": [
      "B"
    ],
    "explanation": {
      "en": "Device isolation is the immediate containment action for endpoint communication. It limits network activity while still allowing Defender management connectivity.",
      "de": "Die Geräteisolierung ist die sofortige Eindämmungsmaßnahme für die Kommunikation eines Endpunkts. Sie begrenzt die Netzwerkaktivität und lässt gleichzeitig die Defender-Verwaltungskonnektivität zu."
    },
    "hint": {
      "en": "You need containment first, not additional collection.",
      "de": "Sie benötigen zuerst Eindämmung und nicht zusätzliche Sammlung."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts"
  },
  {
    "id": "sc200-117",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Defender for Office 365 feature rewrites and checks URLs at time of click in email and supported Office apps?",
      "de": "Welche Funktion von Defender for Office 365 schreibt URLs um und überprüft sie beim Anklicken in E-Mails und unterstützten Office-Apps?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Safe Links",
          "de": "Safe Links"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Attack simulation training",
          "de": "Angriffssimulationstraining"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Safe Links provides time-of-click URL protection. Safe Attachments focuses on file detonation and scanning rather than click-time link evaluation.",
      "de": "Safe Links bietet URL-Schutz zum Zeitpunkt des Klicks. Safe Attachments konzentriert sich auf Dateidetonation und -prüfung und nicht auf die Linkbewertung beim Klick."
    },
    "hint": {
      "en": "URL click protection points to Safe Links.",
      "de": "URL-Schutz beim Anklicken weist auf Safe Links hin."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-office-365/safe-links-about"
  },
  {
    "id": "sc200-118",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Your executives are receiving lookalike emails that use a supplier domain with one changed character.",
      "de": "Ihre Führungskräfte erhalten täuschend echte E-Mails, die eine Lieferantendomäne mit einem geänderten Zeichen verwenden."
    },
    "question": {
      "en": "Which anti-phishing capability is designed to detect attempts to spoof executives by using lookalike sender names or domains?",
      "de": "Welche Anti-Phishing-Funktion ist dafür vorgesehen, Versuche zum Spoofing von Führungskräften mittels ähnlich aussehender Absendernamen oder Domänen zu erkennen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Impersonation protection",
          "de": "Identitätsvortäuschungsschutz"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Dynamic delivery",
          "de": "Dynamische Zustellung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Cloud app discovery",
          "de": "Cloud-App-Erkennung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Basic log retention",
          "de": "Einfache Protokollaufbewahrung"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Impersonation protection in anti-phishing policies helps detect attacks that mimic protected users or domains. It is a core control for executive spoofing scenarios.",
      "de": "Der Schutz vor Identitätsvortäuschung in Anti-Phishing-Richtlinien hilft dabei, Angriffe zu erkennen, die geschützte Benutzer oder Domänen nachahmen. Er ist eine zentrale Kontrolle für Executive-Spoofing-Szenarien."
    },
    "hint": {
      "en": "Focus on sender impersonation rather than attachment handling.",
      "de": "Konzentrieren Sie sich auf Absender-Identitätsvortäuschung und nicht auf die Behandlung von Anhängen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about"
  },
  {
    "id": "sc200-119",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What can automated investigation and response in Defender for Office 365 do after a phishing or malware alert?",
      "de": "Was kann die automatisierte Untersuchung und Reaktion in Defender for Office 365 nach einer Phishing- oder Malwarewarnung tun?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Investigate email artifacts and remediate malicious messages",
          "de": "E-Mail-Artefakte untersuchen und bösartige Nachrichten beheben"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Onboard Linux servers",
          "de": "Linux-Server onboarden"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Create Azure subscriptions",
          "de": "Azure-Abonnements erstellen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Replace watchlists",
          "de": "Watchlists ersetzen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "AIR in Defender for Office 365 analyzes impacted messages, recipients, and related artifacts and can recommend or apply remediation. It speeds up email-focused containment.",
      "de": "AIR in Defender for Office 365 analysiert betroffene Nachrichten, Empfänger und zugehörige Artefakte und kann Behebungen empfehlen oder anwenden. Dadurch wird die E-Mail-bezogene Eindämmung beschleunigt."
    },
    "hint": {
      "en": "This feature automates email investigation and cleanup.",
      "de": "Diese Funktion automatisiert E-Mail-Untersuchung und Bereinigung."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-office-365/air-about"
  },
  {
    "id": "sc200-120",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Where are Microsoft Defender for Identity sensors typically installed to analyze on-premises Active Directory traffic?",
      "de": "Wo werden Microsoft-Defender-for-Identity-Sensoren typischerweise installiert, um lokalen Active-Directory-Datenverkehr zu analysieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "On domain controllers",
          "de": "Auf Domänencontrollern"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "On each user workstation",
          "de": "Auf jeder Benutzer-Workstation"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Only in Microsoft Sentinel workspaces",
          "de": "Nur in Microsoft-Sentinel-Arbeitsbereichen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Inside Exchange Online mailboxes",
          "de": "In Exchange-Online-Postfächern"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Defender for Identity sensors are designed to monitor signals from domain controllers and related identity infrastructure. They do not require deployment to every workstation.",
      "de": "Defender-for-Identity-Sensoren sind dafür ausgelegt, Signale von Domänencontrollern und zugehöriger Identitätsinfrastruktur zu überwachen. Eine Bereitstellung auf jeder Workstation ist nicht erforderlich."
    },
    "hint": {
      "en": "Choose the AD infrastructure hosts.",
      "de": "Wählen Sie die Hosts der AD-Infrastruktur."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-for-identity/what-is"
  },
  {
    "id": "sc200-121",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "A compromised helpdesk account has access to several servers. The SOC wants to know whether the account could be used to reach a domain admin path.",
      "de": "Ein kompromittiertes Helpdesk-Konto hat Zugriff auf mehrere Server. Das SOC möchte wissen, ob dieses Konto für einen Weg zu Domänenadministratorrechten genutzt werden könnte."
    },
    "question": {
      "en": "Which Defender for Identity feature helps analysts understand the likely route an attacker could take through accounts and hosts to reach a sensitive resource?",
      "de": "Welche Funktion von Defender for Identity hilft Analysten zu verstehen, welchen wahrscheinlichen Weg ein Angreifer über Konten und Hosts zu einer sensiblen Ressource nehmen könnte?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Lateral movement paths",
          "de": "Pfade für laterale Bewegung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Device control",
          "de": "Gerätesteuerung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Retention policies",
          "de": "Aufbewahrungsrichtlinien"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Lateral movement paths map potential attacker routes between identities, machines, and sensitive groups. They help prioritize containment around reachable high-value targets.",
      "de": "Pfade für laterale Bewegung bilden mögliche Angriffswege zwischen Identitäten, Computern und sensiblen Gruppen ab. Sie helfen, Eindämmungsmaßnahmen rund um erreichbare hochwertige Ziele zu priorisieren."
    },
    "hint": {
      "en": "Look for the feature that models attacker paths.",
      "de": "Suchen Sie nach der Funktion, die Angreiferpfade modelliert."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-for-identity/use-case-lateral-movement-path"
  },
  {
    "id": "sc200-122",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "An account is suspected of credential theft and unusual lateral movement, and the analyst wants a single profile view of that user.",
      "de": "Bei einem Konto werden Credential Theft und ungewöhnliche laterale Bewegungen vermutet, und der Analyst möchte eine einheitliche Profilansicht dieses Benutzers."
    },
    "question": {
      "en": "Where should an analyst go in Defender for Identity to review a user's alerts, observed activities, and investigation context over time?",
      "de": "Wohin sollte ein Analyst in Defender for Identity wechseln, um die Warnungen, beobachteten Aktivitäten und den Untersuchungskontext eines Benutzers im Zeitverlauf zu prüfen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Health center",
          "de": "Integritätscenter"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Sensor settings",
          "de": "Sensoreinstellungen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "User entity page",
          "de": "Benutzer-Entitätsseite"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Secure score page",
          "de": "Secure-Score-Seite"
        }
      }
    ],
    "correct": [
      "C"
    ],
    "explanation": {
      "en": "The user entity page is the investigation hub for an identity. It consolidates alerts, timeline details, and related observations for that account.",
      "de": "Die Benutzer-Entitätsseite ist das Untersuchungszentrum für eine Identität. Sie konsolidiert Warnungen, Zeitachsendetails und zugehörige Beobachtungen für dieses Konto."
    },
    "hint": {
      "en": "Open the identity-focused investigation page.",
      "de": "Öffnen Sie die identitätsbezogene Untersuchungsseite."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-for-identity/what-is"
  },
  {
    "id": "sc200-123",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC wants an alert when a user pulls gigabytes of data from SharePoint Online late at night.",
      "de": "Das SOC möchte eine Warnung erhalten, wenn ein Benutzer spät in der Nacht Gigabytes an Daten aus SharePoint Online herunterlädt."
    },
    "question": {
      "en": "Which Defender for Cloud Apps policy type is best for detecting when a user downloads an unusually large amount of data from a sanctioned cloud app?",
      "de": "Welcher Richtlinientyp in Defender for Cloud Apps eignet sich am besten, um zu erkennen, wenn ein Benutzer ungewöhnlich viele Daten aus einer genehmigten Cloud-App herunterlädt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Activity policy",
          "de": "Aktivitätsrichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "File policy",
          "de": "Dateirichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Access policy",
          "de": "Zugriffsrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Password policy",
          "de": "Kennwortrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Activity policies evaluate user and admin actions in connected apps, such as mass download, delete, or share operations. They are designed for behavior-based monitoring.",
      "de": "Aktivitätsrichtlinien bewerten Benutzer- und Administratoraktionen in verbundenen Apps, z. B. Massen-Downloads, Löschungen oder Freigaben. Sie sind für verhaltensbasierte Überwachung ausgelegt."
    },
    "hint": {
      "en": "Focus on user actions rather than file metadata.",
      "de": "Konzentrieren Sie sich auf Benutzeraktionen und nicht auf Dateimetadaten."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/policies"
  },
  {
    "id": "sc200-124",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Defender for Cloud Apps feature can block a browser session from downloading sensitive files after Conditional Access routes the session through Defender?",
      "de": "Welche Funktion von Defender for Cloud Apps kann den Download sensibler Dateien in einer Browsersitzung blockieren, nachdem Conditional Access die Sitzung durch Defender geleitet hat?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Session policy",
          "de": "Sitzungsrichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Cloud Discovery report",
          "de": "Cloud-Discovery-Bericht"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Threat analytics",
          "de": "Threat Analytics"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Attack simulation",
          "de": "Angriffssimulation"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Session policies in Conditional Access App Control let organizations monitor or control actions in real time within a proxied browser session, including download blocking.",
      "de": "Sitzungsrichtlinien in Conditional Access App Control ermöglichen es Organisationen, Aktionen in Echtzeit innerhalb einer weitergeleiteten Browsersitzung zu überwachen oder zu steuern, einschließlich des Blockierens von Downloads."
    },
    "hint": {
      "en": "This is a real-time browser session control.",
      "de": "Dies ist eine Echtzeitsteuerung für Browsersitzungen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/session-policies"
  },
  {
    "id": "sc200-125",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Users approved a new app requesting Mail.Read and Files.Read.All, and the security team wants to assess whether the consent is dangerous.",
      "de": "Benutzer haben einer neuen App zugestimmt, die Mail.Read und Files.Read.All anfordert, und das Sicherheitsteam möchte prüfen, ob diese Zustimmung gefährlich ist."
    },
    "question": {
      "en": "Which Defender for Cloud Apps capability helps analysts investigate third-party OAuth apps that were granted risky Microsoft 365 permissions by users?",
      "de": "Welche Funktion von Defender for Cloud Apps hilft Analysten, Drittanbieter-OAuth-Apps zu untersuchen, denen Benutzer riskante Microsoft-365-Berechtigungen erteilt haben?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "OAuth app governance",
          "de": "OAuth-App-Governance"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Links",
          "de": "Safe Links"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "File integrity monitoring",
          "de": "Dateiintegritätsüberwachung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "NRT analytics",
          "de": "NRT-Analyse"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "OAuth app governance gives visibility into connected OAuth apps, their permissions, and associated risk. It helps analysts review consent abuse and revoke or investigate suspicious apps.",
      "de": "OAuth-App-Governance bietet Einblick in verbundene OAuth-Apps, deren Berechtigungen und zugehörige Risiken. Sie hilft Analysten, Missbrauch von Zustimmungen zu prüfen und verdächtige Apps zu widerrufen oder zu untersuchen."
    },
    "hint": {
      "en": "Look for the feature that governs app consent risk.",
      "de": "Suchen Sie nach der Funktion, die Risiken durch App-Zustimmungen steuert."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth"
  },
  {
    "id": "sc200-126",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the purpose of a Cloud Discovery snapshot report in Defender for Cloud Apps?",
      "de": "Was ist der Zweck eines Cloud-Discovery-Snapshot-Berichts in Defender for Cloud Apps?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Analyze imported firewall or proxy logs to identify cloud app usage",
          "de": "Importierte Firewall- oder Proxyprotokolle analysieren, um die Nutzung von Cloud-Apps zu identifizieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Quarantine endpoint files",
          "de": "Endpunktdateien in Quarantäne verschieben"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Run Sentinel playbooks",
          "de": "Sentinel-Playbooks ausführen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Deploy ASR rules",
          "de": "ASR-Regeln bereitstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Cloud Discovery snapshot reports process network log files and reveal discovered cloud apps, risk scores, and usage patterns. They are a key shadow IT discovery feature.",
      "de": "Cloud-Discovery-Snapshot-Berichte verarbeiten Netzwerkprotokolldateien und machen gefundene Cloud-Apps, Risikobewertungen und Nutzungsmuster sichtbar. Sie sind eine zentrale Funktion zur Erkennung von Shadow IT."
    },
    "hint": {
      "en": "Think one-time network log analysis for shadow IT.",
      "de": "Denken Sie an eine einmalige Analyse von Netzwerkprotokollen für Shadow IT."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/set-up-cloud-discovery"
  },
  {
    "id": "sc200-127",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC receives a daily feed of malicious destinations and wants endpoint detections to use it automatically.",
      "de": "Das SOC erhält täglich einen Feed mit bösartigen Zielen und möchte, dass Endpunkterkennungen diesen automatisch verwenden."
    },
    "question": {
      "en": "To operationalize an external threat intelligence feed of known bad domains and IPs on endpoints, what should you create in Defender for Endpoint?",
      "de": "Was sollten Sie in Defender for Endpoint erstellen, um einen externen Threat-Intelligence-Feed mit bekannten bösartigen Domänen und IPs auf Endpunkten zu operationalisieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Custom indicators",
          "de": "Benutzerdefinierte Indikatoren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A Safe Links policy",
          "de": "Eine Safe-Links-Richtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A watchlist",
          "de": "Eine Watchlist"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A simulation campaign",
          "de": "Eine Simulationskampagne"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom indicators let Defender for Endpoint alert on, block, or allow known artifacts such as domains, IPs, and file hashes. That is the direct way to operationalize external IOCs on endpoints.",
      "de": "Benutzerdefinierte Indikatoren ermöglichen es Defender for Endpoint, auf bekannte Artefakte wie Domänen, IPs und Dateihashes zu warnen, sie zu blockieren oder zuzulassen. Das ist der direkte Weg, externe IOCs auf Endpunkten zu operationalisieren."
    },
    "hint": {
      "en": "Use IOC-style indicators, not a reporting list.",
      "de": "Verwenden Sie IOC-artige Indikatoren und keine reine Berichtsliste."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/indicator-ip-domain"
  },
  {
    "id": "sc200-128",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "In Advanced hunting, which KQL operator is used to correlate rows from two tables by a common field such as AccountObjectId?",
      "de": "Welcher KQL-Operator wird in Advanced Hunting verwendet, um Zeilen aus zwei Tabellen über ein gemeinsames Feld wie AccountObjectId zu korrelieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "join",
          "de": "join"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "project-away",
          "de": "project-away"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "distinct",
          "de": "distinct"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "summarize",
          "de": "summarize"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The join operator combines records from two datasets based on matching keys. It is the standard method for correlating signals across advanced hunting tables.",
      "de": "Der Operator join kombiniert Datensätze aus zwei Datasets anhand übereinstimmender Schlüssel. Er ist die Standardmethode, um Signale über Advanced-Hunting-Tabellen hinweg zu korrelieren."
    },
    "hint": {
      "en": "Use the operator meant for combining tables.",
      "de": "Verwenden Sie den Operator, der zum Kombinieren von Tabellen gedacht ist."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview"
  },
  {
    "id": "sc200-129",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Where do analysts review and approve pending remediation actions from automated investigation across Microsoft Defender XDR?",
      "de": "Wo prüfen und genehmigen Analysten ausstehende Behebungsmaßnahmen aus automatisierten Untersuchungen in Microsoft Defender XDR?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Action center",
          "de": "Aktionscenter"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Watchlists",
          "de": "Watchlists"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Threat analytics",
          "de": "Threat Analytics"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Azure Policy",
          "de": "Azure Policy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Action center centralizes pending and completed response actions from Defender products. It is the place to review, approve, or audit remediation steps.",
      "de": "Das Aktionscenter zentralisiert ausstehende und abgeschlossene Reaktionsmaßnahmen aus Defender-Produkten. Es ist der Ort, um Behebungsschritte zu prüfen, zu genehmigen oder zu auditieren."
    },
    "hint": {
      "en": "Look for the response action queue.",
      "de": "Suchen Sie nach der Warteschlange für Reaktionsmaßnahmen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/m365d-action-center"
  },
  {
    "id": "sc200-130",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Malware was removed, but the IR team still needs a packaged set of host artifacts for offline analysis.",
      "de": "Malware wurde entfernt, aber das IR-Team benötigt weiterhin ein paketiertes Set von Host-Artefakten für die Offline-Analyse."
    },
    "question": {
      "en": "Which response action collects a forensic bundle such as logs, process details, and connectivity information from a device?",
      "de": "Welche Reaktionsmaßnahme sammelt ein forensisches Paket wie Protokolle, Prozessdetails und Konnektivitätsinformationen von einem Gerät?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Collect investigation package",
          "de": "Untersuchungspaket sammeln"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Initiate attack simulation",
          "de": "Angriffssimulation starten"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Sanction app",
          "de": "App genehmigen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create watchlist",
          "de": "Watchlist erstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Collect investigation package gathers endpoint diagnostics and evidence artifacts that analysts often need for deeper malware or incident review.",
      "de": "Untersuchungspaket sammeln erfasst Endpunktdiagnosen und Beweisartefakte, die Analysten häufig für eine tiefere Malware- oder Vorfallsanalyse benötigen."
    },
    "hint": {
      "en": "This action is about evidence collection from the host.",
      "de": "Diese Aktion dient der Beweissammlung vom Host."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts"
  },
  {
    "id": "sc200-131",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Advanced hunting table should you query for email sender, recipient, and subject metadata?",
      "de": "Welche Advanced-Hunting-Tabelle sollten Sie für Metadaten zu E-Mail-Absender, Empfänger und Betreff abfragen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "EmailEvents",
          "de": "EmailEvents"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "DeviceRegistryEvents",
          "de": "DeviceRegistryEvents"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "IdentityLogonEvents",
          "de": "IdentityLogonEvents"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "DeviceInfo",
          "de": "DeviceInfo"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "EmailEvents is the primary table for message-level metadata such as sender, recipient, subject, and delivery actions in Defender XDR hunting.",
      "de": "EmailEvents ist die primäre Tabelle für nachrichtenbezogene Metadaten wie Absender, Empfänger, Betreff und Zustellaktionen im Defender-XDR-Hunting."
    },
    "hint": {
      "en": "Pick the table that represents email events directly.",
      "de": "Wählen Sie die Tabelle, die E-Mail-Ereignisse direkt darstellt."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-xdr/advanced-hunting-overview"
  },
  {
    "id": "sc200-132",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The same payload hash was observed on five laptops, and the SOC wants to prevent future execution quickly.",
      "de": "Der gleiche Payload-Hash wurde auf fünf Laptops beobachtet, und das SOC möchte zukünftige Ausführungen schnell verhindern."
    },
    "question": {
      "en": "What should you use to block a known malicious file hash across the organization after it appears on several devices?",
      "de": "Was sollten Sie verwenden, um einen bekannten bösartigen Dateihash organisationsweit zu blockieren, nachdem er auf mehreren Geräten aufgetaucht ist?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A custom file indicator",
          "de": "Einen benutzerdefinierten Dateiindikator"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A workbook",
          "de": "Eine Arbeitsmappe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A Safe Links policy",
          "de": "Eine Safe-Links-Richtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A Cloud Discovery report",
          "de": "Einen Cloud-Discovery-Bericht"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A custom file indicator can block or alert on a malicious hash tenant-wide. It is designed for repeatable enforcement of known bad artifacts.",
      "de": "Ein benutzerdefinierter Dateiindikator kann einen bösartigen Hash mandantenweit blockieren oder darauf warnen. Er ist für die wiederholbare Durchsetzung bekannter schädlicher Artefakte gedacht."
    },
    "hint": {
      "en": "Choose the organization-wide IOC control.",
      "de": "Wählen Sie die organisationsweite IOC-Steuerung."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/indicator-ip-domain"
  },
  {
    "id": "sc200-133",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Safe Attachments action delivers the email body first while the attachment is still being scanned?",
      "de": "Welche Aktion von Safe Attachments stellt zuerst den E-Mail-Text zu, während der Anhang noch gescannt wird?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Dynamic Delivery",
          "de": "Dynamische Zustellung"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Impersonation protection",
          "de": "Identitätsvortäuschungsschutz"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Campaign views",
          "de": "Kampagnenansichten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Audit mode",
          "de": "Überwachungsmodus"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Dynamic Delivery improves user experience by delivering the message body while Safe Attachments finishes checking the attachment. It is specific to attachment handling.",
      "de": "Die dynamische Zustellung verbessert die Benutzererfahrung, indem der Nachrichtentext zugestellt wird, während Safe Attachments die Prüfung des Anhangs abschließt. Sie ist spezifisch für die Behandlung von Anhängen."
    },
    "hint": {
      "en": "This answer is about attachment scanning behavior, not phishing identity controls.",
      "de": "Diese Antwort betrifft das Verhalten bei der Anhangsprüfung und nicht Phishing-Identitätskontrollen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-office-365/safe-attachments-about"
  },
  {
    "id": "sc200-134",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the effect of marking an app as sanctioned in Defender for Cloud Apps?",
      "de": "Welche Wirkung hat das Markieren einer App als genehmigt in Defender for Cloud Apps?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It marks the app as approved for governance and reporting decisions",
          "de": "Die App wird für Governance- und Reporting-Entscheidungen als genehmigt markiert"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It isolates user devices automatically",
          "de": "Benutzergeräte werden automatisch isoliert"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It deletes OAuth consent grants",
          "de": "OAuth-Zustimmungen werden gelöscht"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It enables NRT analytics",
          "de": "Es aktiviert NRT-Analysen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Sanctioning an app helps teams distinguish approved services from unsanctioned or risky ones in Cloud Discovery and governance workflows. It does not itself isolate devices or remove consent.",
      "de": "Das Genehmigen einer App hilft Teams, in Cloud Discovery und Governance-Workflows genehmigte Dienste von nicht genehmigten oder riskanten Diensten zu unterscheiden. Dadurch werden weder Geräte isoliert noch Zustimmungen entfernt."
    },
    "hint": {
      "en": "Think governance labeling, not endpoint response.",
      "de": "Denken Sie an Governance-Kennzeichnung und nicht an Endpunktreaktion."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/set-up-cloud-discovery"
  },
  {
    "id": "sc200-135",
    "type": "multiple",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which response actions are available directly from a Microsoft Defender for Endpoint device page? Select all that apply.",
      "de": "Welche Reaktionsmaßnahmen sind direkt von einer Microsoft-Defender-for-Endpoint-Geräteseite aus verfügbar? Wählen Sie alle zutreffenden Antworten aus."
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Isolate device",
          "de": "Gerät isolieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Collect investigation package",
          "de": "Untersuchungspaket sammeln"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Initiate live response",
          "de": "Live Response starten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Reset the user's Entra ID password",
          "de": "Das Entra-ID-Kennwort des Benutzers zurücksetzen"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Endpoint response actions such as isolation, investigation package collection, and live response are available from the device page. Resetting a user's cloud password is not a device response action there.",
      "de": "Endpunktreaktionsmaßnahmen wie Isolierung, das Sammeln eines Untersuchungspakets und Live Response sind auf der Geräteseite verfügbar. Das Zurücksetzen eines Cloud-Kennworts des Benutzers ist dort keine Gerätereaktionsmaßnahme."
    },
    "hint": {
      "en": "Pick the actions centered on the device itself.",
      "de": "Wählen Sie die Aktionen aus, die sich direkt auf das Gerät beziehen."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-endpoint/respond-machine-alerts"
  },
  {
    "id": "sc200-136",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender XDR",
      "de": "Bedrohungen mit Microsoft Defender XDR mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A data loss analyst wants an alert whenever a confidential file in OneDrive is shared externally with anyone on the internet.",
      "de": "Ein Data-Loss-Analyst möchte eine Warnung erhalten, sobald eine vertrauliche Datei in OneDrive extern mit beliebigen Personen im Internet geteilt wird."
    },
    "question": {
      "en": "Which Defender for Cloud Apps policy type is best for detecting when a file with a sensitive label is shared publicly from OneDrive?",
      "de": "Welcher Richtlinientyp in Defender for Cloud Apps eignet sich am besten, um zu erkennen, wenn eine Datei mit einer vertraulichen Bezeichnung öffentlich aus OneDrive freigegeben wird?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "File policy",
          "de": "Dateirichtlinie"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Activity policy",
          "de": "Aktivitätsrichtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Session policy",
          "de": "Sitzungsrichtlinie"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Access policy",
          "de": "Zugriffsrichtlinie"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "File policies are designed to evaluate file metadata and sharing states in connected apps. They are the right choice for public sharing of sensitive content.",
      "de": "Dateirichtlinien sind dafür vorgesehen, Dateimetadaten und Freigabestatus in verbundenen Apps auszuwerten. Sie sind die richtige Wahl für die öffentliche Freigabe sensibler Inhalte."
    },
    "hint": {
      "en": "Think about file sensitivity and sharing state.",
      "de": "Denken Sie an Dateisensitivität und Freigabestatus."
    },
    "reference": "https://learn.microsoft.com/en-us/defender-cloud-apps/policies"
  },
  {
    "id": "sc200-137",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A global SOC supports three business units that all operate in the same region and under the same retention policy.",
      "de": "Ein globales SOC unterstützt drei Geschäftsbereiche, die alle in derselben Region und unter derselben Aufbewahrungsrichtlinie arbeiten."
    },
    "question": {
      "en": "When all business units can store data in one geography and the SOC wants the simplest management model, which Sentinel workspace design is usually best?",
      "de": "Welches Sentinel-Workspace-Design ist in der Regel am besten, wenn alle Geschäftsbereiche Daten in einer Geografie speichern dürfen und das SOC das einfachste Betriebsmodell möchte?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A single central workspace",
          "de": "Ein einzelner zentraler Workspace"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "One workspace per user",
          "de": "Ein Workspace pro Benutzer"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "One workbook per region",
          "de": "Eine Arbeitsmappe pro Region"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A separate tenant per connector",
          "de": "Ein separater Tenant pro Connector"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A single workspace minimizes operational complexity for detections, hunting, and content management when residency and separation requirements do not force a split.",
      "de": "Ein einzelner Workspace minimiert die betriebliche Komplexität für Erkennungen, Hunting und Content-Management, wenn keine Anforderungen an Datenresidenz oder Trennung eine Aufteilung erzwingen."
    },
    "hint": {
      "en": "Pick the simplest architecture when there is no compliance reason to split.",
      "de": "Wählen Sie die einfachste Architektur, wenn es keinen Compliance-Grund für eine Aufteilung gibt."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/design-your-workspace-architecture"
  },
  {
    "id": "sc200-138",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "European and US subsidiaries must keep logs in-region, but a single SOC needs visibility across both estates.",
      "de": "Europäische und US-amerikanische Tochtergesellschaften müssen Protokolle in der jeweiligen Region speichern, aber ein einziges SOC benötigt Sichtbarkeit über beide Umgebungen hinweg."
    },
    "question": {
      "en": "If data must remain in separate countries but analysts still need centralized hunting and reporting, which design fits Microsoft Sentinel best?",
      "de": "Welche Architektur passt am besten zu Microsoft Sentinel, wenn Daten in getrennten Ländern bleiben müssen, Analysten aber trotzdem zentrales Hunting und Reporting benötigen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Multiple workspaces with cross-workspace queries",
          "de": "Mehrere Workspaces mit workspaceübergreifenden Abfragen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A single workspace with no regional separation",
          "de": "Ein einzelner Workspace ohne regionale Trennung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "One playbook only",
          "de": "Nur ein Playbook"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A watchlist per country",
          "de": "Eine Watchlist pro Land"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Multiple workspaces let organizations respect residency boundaries while still enabling centralized operations through cross-workspace queries, workbooks, and management patterns.",
      "de": "Mehrere Workspaces ermöglichen es Organisationen, Datenresidenzgrenzen einzuhalten und trotzdem zentrale Abläufe über workspaceübergreifende Abfragen, Arbeitsmappen und Verwaltungsmodelle zu unterstützen."
    },
    "hint": {
      "en": "Separate storage, centralized visibility.",
      "de": "Getrennte Speicherung, zentrale Sichtbarkeit."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/design-your-workspace-architecture"
  },
  {
    "id": "sc200-139",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which KQL query correctly searches failed Windows logons across two Sentinel workspaces?",
      "de": "Welche KQL-Abfrage sucht korrekt nach fehlgeschlagenen Windows-Anmeldungen über zwei Sentinel-Workspaces hinweg?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "union workspace('SOC-EU').SecurityEvent, workspace('SOC-US').SecurityEvent | where EventID == 4625",
          "de": "union workspace('SOC-EU').SecurityEvent, workspace('SOC-US').SecurityEvent | where EventID == 4625"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "join workspace('SOC-EU','SOC-US').SecurityEvent on EventID",
          "de": "join workspace('SOC-EU','SOC-US').SecurityEvent on EventID"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "SecurityEvent | where Workspace in ('SOC-EU','SOC-US') and EventID == 4625",
          "de": "SecurityEvent | where Workspace in ('SOC-EU','SOC-US') and EventID == 4625"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "workbook('SOC-EU').SecurityEvent | union workbook('SOC-US').SecurityEvent",
          "de": "workbook('SOC-EU').SecurityEvent | union workbook('SOC-US').SecurityEvent"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Cross-workspace queries use the workspace() function and then union or join the target tables. The other syntaxes shown are not valid Sentinel KQL for this purpose.",
      "de": "Workspaceübergreifende Abfragen verwenden die Funktion workspace() und vereinigen oder verknüpfen dann die Zieltabelle. Die anderen gezeigten Syntaxen sind für diesen Zweck in Sentinel-KQL nicht gültig."
    },
    "hint": {
      "en": "Use workspace() and union the same table from each workspace.",
      "de": "Verwenden Sie workspace() und vereinigen Sie dieselbe Tabelle aus jedem Workspace."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/cross-workspace-query"
  },
  {
    "id": "sc200-140",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which Microsoft Sentinel data connector collects Azure control-plane events such as create, update, and delete operations on resources?",
      "de": "Welcher Microsoft-Sentinel-Datenconnector sammelt Azure-Steuerungsebenenereignisse wie Erstellen-, Aktualisieren- und Löschvorgänge für Ressourcen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Azure Activity",
          "de": "Azure Activity"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Syslog",
          "de": "Syslog"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Threat Intelligence TAXII",
          "de": "Threat Intelligence TAXII"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Watchlists",
          "de": "Watchlists"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Azure Activity captures subscription and management-plane operations. It is the standard source for Azure control-plane auditing in Sentinel.",
      "de": "Azure Activity erfasst Vorgänge auf Abonnement- und Verwaltungsebene. Es ist die Standardquelle für das Auditieren der Azure-Steuerungsebene in Sentinel."
    },
    "hint": {
      "en": "Think subscription-level Azure operations.",
      "de": "Denken Sie an Azure-Vorgänge auf Abonnementebene."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-azure-activity"
  },
  {
    "id": "sc200-141",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Several firewalls and proxies send CEF messages, and the SOC wants a supported ingestion design for all of them.",
      "de": "Mehrere Firewalls und Proxys senden CEF-Nachrichten, und das SOC möchte dafür ein unterstütztes Ingestionsdesign."
    },
    "question": {
      "en": "What is the recommended modern ingestion path for CEF logs from network appliances into Microsoft Sentinel?",
      "de": "Was ist der empfohlene moderne Ingestionspfad für CEF-Protokolle von Netzwerkgeräten in Microsoft Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "CEF via AMA on a Linux collector",
          "de": "CEF über AMA auf einem Linux-Sammler"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Direct upload to watchlists",
          "de": "Direkter Upload in Watchlists"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Safe Links integration",
          "de": "Safe-Links-Integration"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Manual CSV import into incidents",
          "de": "Manueller CSV-Import in Vorfälle"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "For CEF sources, Sentinel uses a Linux collector with the Azure Monitor Agent and the CEF connector. This is the supported approach for forwarding appliance logs.",
      "de": "Für CEF-Quellen verwendet Sentinel einen Linux-Sammler mit dem Azure Monitor Agent und dem CEF-Connector. Dies ist der unterstützte Ansatz für die Weiterleitung von Appliance-Protokollen."
    },
    "hint": {
      "en": "Choose the AMA-based collector model.",
      "de": "Wählen Sie das AMA-basierte Sammlermodell."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-common-event-format"
  },
  {
    "id": "sc200-142",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A set of Ubuntu servers must forward auth, sudo, and daemon messages into Sentinel.",
      "de": "Eine Reihe von Ubuntu-Servern muss Auth-, sudo- und Daemon-Meldungen in Sentinel weiterleiten."
    },
    "question": {
      "en": "Which Sentinel connector should you use for standard Syslog messages from Linux hosts?",
      "de": "Welchen Sentinel-Connector sollten Sie für standardisierte Syslog-Nachrichten von Linux-Hosts verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Syslog via AMA",
          "de": "Syslog über AMA"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure Activity",
          "de": "Azure Activity"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Microsoft 365 Defender incidents",
          "de": "Microsoft-365-Defender-Vorfälle"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Workbook template",
          "de": "Arbeitsmappenvorlage"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The Syslog connector with AMA is the supported path for Linux Syslog collection into Sentinel. It is distinct from the CEF connector used for CEF-formatted data.",
      "de": "Der Syslog-Connector mit AMA ist der unterstützte Weg, Linux-Syslog in Sentinel zu sammeln. Er unterscheidet sich vom CEF-Connector, der für CEF-formatierte Daten verwendet wird."
    },
    "hint": {
      "en": "Standard Syslog is not the same as CEF.",
      "de": "Standard-Syslog ist nicht dasselbe wie CEF."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-syslog"
  },
  {
    "id": "sc200-143",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A line-of-business SaaS platform has no native connector, but developers can call an Azure ingestion endpoint from the app.",
      "de": "Eine Fachanwendung als SaaS verfügt über keinen nativen Connector, aber Entwickler können aus der App einen Azure-Ingestionsendpunkt aufrufen."
    },
    "question": {
      "en": "Your custom SaaS application can send JSON logs to Azure over HTTPS. Which ingestion method best fits Microsoft Sentinel?",
      "de": "Ihre benutzerdefinierte SaaS-Anwendung kann JSON-Protokolle über HTTPS an Azure senden. Welche Ingestionsmethode passt am besten zu Microsoft Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Log Ingestion API with a Data Collection Rule",
          "de": "Log-Ingestion-API mit einer Data Collection Rule"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Cloud Discovery snapshot",
          "de": "Cloud-Discovery-Snapshot"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Automation rules",
          "de": "Automatisierungsregeln"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The Log Ingestion API is designed for custom logs sent programmatically into Azure Monitor and Sentinel, and the DCR defines the schema, transformation, and destination.",
      "de": "Die Log-Ingestion-API ist für benutzerdefinierte Protokolle ausgelegt, die programmgesteuert in Azure Monitor und Sentinel gesendet werden, und die DCR definiert Schema, Transformation und Ziel."
    },
    "hint": {
      "en": "Pick the custom REST-style ingestion path.",
      "de": "Wählen Sie den benutzerdefinierten REST-Ingestionspfad."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/logs-ingestion-api-overview"
  },
  {
    "id": "sc200-144",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which Sentinel analytics rule type runs KQL queries against historical data on a recurring schedule?",
      "de": "Welcher Analytics-Regeltyp in Sentinel führt KQL-Abfragen in einem wiederkehrenden Zeitplan gegen historische Daten aus?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Scheduled",
          "de": "Geplant"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Near real-time",
          "de": "Nahezu in Echtzeit"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Fusion",
          "de": "Fusion"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Bookmark",
          "de": "Lesezeichen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Scheduled rules are the standard choice for custom KQL logic over a lookback window that runs at a defined frequency. NRT is optimized for lower latency.",
      "de": "Geplante Regeln sind die Standardwahl für benutzerdefinierte KQL-Logik über ein Suchfenster, die in einer festgelegten Frequenz ausgeführt wird. NRT ist auf geringere Latenz optimiert."
    },
    "hint": {
      "en": "Historical KQL on a timer means scheduled rule.",
      "de": "Historisches KQL nach Zeitplan bedeutet geplante Regel."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-145",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which analytics rule type is optimized for detections that must trigger with very low latency?",
      "de": "Welcher Analytics-Regeltyp ist für Erkennungen optimiert, die mit sehr geringer Latenz ausgelöst werden müssen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Near real-time",
          "de": "Nahezu in Echtzeit"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Workbook",
          "de": "Arbeitsmappe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Hunting",
          "de": "Hunting"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Watchlist",
          "de": "Watchlist"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Near-real-time analytics rules are designed for high-confidence detections that need minimal delay between event ingestion and alert creation.",
      "de": "Near-Real-Time-Analyseregeln sind für hochvertrauenswürdige Erkennungen gedacht, die nur minimale Verzögerung zwischen Ereignisaufnahme und Warnungserstellung benötigen."
    },
    "hint": {
      "en": "Choose the lowest-latency rule type.",
      "de": "Wählen Sie den Regeltyp mit der geringsten Latenz."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/near-real-time-rules"
  },
  {
    "id": "sc200-146",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What does a Fusion analytics rule primarily do in Microsoft Sentinel?",
      "de": "Was macht eine Fusion-Analyseregel in Microsoft Sentinel hauptsächlich?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Correlate multiple signals into high-fidelity multistage incidents",
          "de": "Mehrere Signale zu hochpräzisen mehrstufigen Vorfällen korrelieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Store raw Syslog messages",
          "de": "Rohe Syslog-Nachrichten speichern"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Replace all watchlists",
          "de": "Alle Watchlists ersetzen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Deploy Azure Policy initiatives",
          "de": "Azure-Policy-Initiativen bereitstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Fusion uses machine learning and correlations across alerts to surface complex attacks that may span products or stages. It is about signal correlation, not raw ingestion.",
      "de": "Fusion verwendet Machine Learning und Korrelationen über Warnungen hinweg, um komplexe Angriffe sichtbar zu machen, die sich über Produkte oder Phasen erstrecken können. Es geht um Signalkorrelation und nicht um die Rohdatenaufnahme."
    },
    "hint": {
      "en": "Think multistage correlation.",
      "de": "Denken Sie an mehrstufige Korrelation."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/configure-fusion-rules"
  },
  {
    "id": "sc200-147",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "How do anomaly analytics rules differ from standard scheduled analytics rules?",
      "de": "Wie unterscheiden sich Anomalie-Analyseregeln von standardmäßigen geplanten Analyseregeln?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "They use baselines and detect deviations from normal behavior",
          "de": "Sie verwenden Baselines und erkennen Abweichungen vom normalen Verhalten"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "They only work with watchlists",
          "de": "Sie funktionieren nur mit Watchlists"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "They cannot create incidents",
          "de": "Sie können keine Vorfälle erstellen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "They require manual CSV uploads",
          "de": "Sie erfordern manuelle CSV-Uploads"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Anomaly rules use machine learning or baseline modeling to identify unusual activity rather than matching only explicit logic. That makes them different from deterministic scheduled rules.",
      "de": "Anomalieregeln verwenden Machine Learning oder Baseline-Modellierung, um ungewöhnliche Aktivitäten zu identifizieren, anstatt nur explizite Logik abzugleichen. Das unterscheidet sie von deterministischen geplanten Regeln."
    },
    "hint": {
      "en": "Look for baseline deviation.",
      "de": "Suchen Sie nach Abweichungen von der Baseline."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/anomalies-reference"
  },
  {
    "id": "sc200-148",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A SOC team wants low-value alerts from one rule to be auto-closed and tagged as false-positive without building a Logic App.",
      "de": "Ein SOC-Team möchte Warnungen mit geringem Wert aus einer Regel automatisch schließen und als Fehlalarm taggen, ohne eine Logic App zu erstellen."
    },
    "question": {
      "en": "Which Sentinel feature can automatically add tags, assign owners, or close specific incidents without editing any playbook logic?",
      "de": "Welche Sentinel-Funktion kann automatisch Tags hinzufügen, Besitzer zuweisen oder bestimmte Vorfälle schließen, ohne dass Playbook-Logik bearbeitet werden muss?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Automation rules",
          "de": "Automatisierungsregeln"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Watchlists",
          "de": "Watchlists"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Livestream",
          "de": "Livestream"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "TI workbook",
          "de": "TI-Arbeitsmappe"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Automation rules handle incident orchestration actions such as tagging, assignment, severity updates, closing, and playbook triggering. They are the first layer of SOAR in Sentinel.",
      "de": "Automatisierungsregeln übernehmen Orchestrierungsaktionen für Vorfälle wie Tagging, Zuweisung, Schweregradaktualisierung, Schließen und das Auslösen von Playbooks. Sie sind die erste SOAR-Schicht in Sentinel."
    },
    "hint": {
      "en": "This is the orchestration layer for incident handling.",
      "de": "Dies ist die Orchestrierungsebene für die Vorfallsbearbeitung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules"
  },
  {
    "id": "sc200-149",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Sentinel playbooks are built on which Azure service?",
      "de": "Auf welchem Azure-Dienst basieren Sentinel-Playbooks?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Azure Logic Apps",
          "de": "Azure Logic Apps"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure Backup",
          "de": "Azure Backup"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Azure Files",
          "de": "Azure Files"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Azure Policy",
          "de": "Azure Policy"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Microsoft Sentinel uses Azure Logic Apps for playbooks and automation workflows. This provides connectors and orchestration across many services.",
      "de": "Microsoft Sentinel verwendet Azure Logic Apps für Playbooks und Automatisierungsworkflows. Dadurch stehen Konnektoren und Orchestrierung über viele Dienste hinweg zur Verfügung."
    },
    "hint": {
      "en": "Playbooks in Sentinel are Logic Apps.",
      "de": "Playbooks in Sentinel sind Logic Apps."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/automation/playbook-triggers-actions"
  },
  {
    "id": "sc200-150",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Every critical incident should automatically notify on-call staff and create a ticket within seconds.",
      "de": "Jeder kritische Vorfall soll innerhalb von Sekunden automatisch das Bereitschaftsteam benachrichtigen und ein Ticket erstellen."
    },
    "question": {
      "en": "What should you configure if a playbook must run automatically whenever a new high-severity incident is created?",
      "de": "Was sollten Sie konfigurieren, wenn ein Playbook automatisch ausgeführt werden muss, sobald ein neuer Vorfall mit hohem Schweregrad erstellt wird?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "An automation rule that triggers the playbook on incident creation",
          "de": "Eine Automatisierungsregel, die das Playbook bei Vorfallserstellung auslöst"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A watchlist refresh",
          "de": "Eine Watchlist-Aktualisierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A workbook template",
          "de": "Eine Arbeitsmappenvorlage"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A Cloud Discovery report",
          "de": "Einen Cloud-Discovery-Bericht"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Automation rules are how Sentinel automatically invokes playbooks based on incident properties like severity, title, or analytics rule source.",
      "de": "Automatisierungsregeln sind der Weg, wie Sentinel Playbooks anhand von Vorfallseigenschaften wie Schweregrad, Titel oder Analyseregelquelle automatisch ausführt."
    },
    "hint": {
      "en": "You need incident-triggered automation, not visualization.",
      "de": "Sie benötigen vorfallausgelöste Automatisierung und keine Visualisierung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules"
  },
  {
    "id": "sc200-151",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What are workbooks primarily used for in Microsoft Sentinel?",
      "de": "Wofür werden Arbeitsmappen in Microsoft Sentinel hauptsächlich verwendet?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Interactive dashboards and visual analysis",
          "de": "Interaktive Dashboards und visuelle Analyse"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Endpoint isolation",
          "de": "Endpunktisolierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Onboarding domain controllers",
          "de": "Domänencontroller onboarden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Blocking OAuth apps",
          "de": "OAuth-Apps blockieren"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Workbooks provide customizable visualization, metrics, and investigative dashboards on top of Sentinel and Azure Monitor data. They are for analysis and reporting, not response enforcement.",
      "de": "Arbeitsmappen bieten anpassbare Visualisierungen, Metriken und Untersuchungsdashboards auf Basis von Sentinel- und Azure-Monitor-Daten. Sie dienen Analyse und Reporting, nicht der Durchsetzung von Reaktionen."
    },
    "hint": {
      "en": "Pick the visualization feature.",
      "de": "Wählen Sie die Visualisierungsfunktion."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/monitor-your-data"
  },
  {
    "id": "sc200-152",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A new firewall platform needs its connector, workbook, hunting queries, and analytic rules installed together.",
      "de": "Für eine neue Firewall-Plattform müssen Connector, Arbeitsmappe, Hunting-Abfragen und Analyseregeln gemeinsam installiert werden."
    },
    "question": {
      "en": "If you need a packaged set of connectors, analytics rules, hunting queries, and workbooks for a data source, where should you start in Sentinel?",
      "de": "Wo sollten Sie in Sentinel beginnen, wenn Sie ein paketiertes Set aus Connectors, Analyseregeln, Hunting-Abfragen und Arbeitsmappen für eine Datenquelle benötigen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Device isolation",
          "de": "Geräteisolierung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Action center",
          "de": "Aktionscenter"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Secure score",
          "de": "Secure Score"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Content hub distributes solutions and content packages for common products and scenarios. It is the central experience for discovering and installing Sentinel content.",
      "de": "Der Content Hub verteilt Lösungen und Inhaltspakete für gängige Produkte und Szenarien. Er ist die zentrale Oberfläche zum Finden und Installieren von Sentinel-Inhalten."
    },
    "hint": {
      "en": "Look for packaged content lifecycle management.",
      "de": "Suchen Sie nach der zentralen Verwaltung paketierter Inhalte."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-deploy"
  },
  {
    "id": "sc200-153",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the primary purpose of a bookmark in Microsoft Sentinel hunting?",
      "de": "Was ist der Hauptzweck eines Lesezeichens im Microsoft-Sentinel-Hunting?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Save an interesting hunting result for later investigation",
          "de": "Ein interessantes Hunting-Ergebnis für eine spätere Untersuchung speichern"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Store raw connector data long term",
          "de": "Rohdaten aus Connectors langfristig speichern"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Replace automation rules",
          "de": "Automatisierungsregeln ersetzen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Create Azure subscriptions",
          "de": "Azure-Abonnements erstellen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Bookmarks preserve notable hunting results and context so analysts can revisit, share, or attach them to incidents later in the investigation workflow.",
      "de": "Lesezeichen bewahren bemerkenswerte Hunting-Ergebnisse und Kontext auf, sodass Analysten sie später im Untersuchungsworkflow erneut aufrufen, teilen oder an Vorfälle anhängen können."
    },
    "hint": {
      "en": "This feature saves hunting findings, not raw ingestion.",
      "de": "Diese Funktion speichert Hunting-Erkenntnisse, nicht die Rohdatenaufnahme."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/bookmarks"
  },
  {
    "id": "sc200-154",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "An attacker is still active, and the SOC wants to monitor a query for fresh hits without rerunning it manually.",
      "de": "Ein Angreifer ist weiterhin aktiv, und das SOC möchte eine Abfrage auf neue Treffer überwachen, ohne sie manuell erneut auszuführen."
    },
    "question": {
      "en": "Which Sentinel hunting feature continuously shows new matching results as data arrives during an active investigation?",
      "de": "Welche Hunting-Funktion in Sentinel zeigt während einer laufenden Untersuchung fortlaufend neue passende Ergebnisse an, sobald Daten eintreffen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Livestream",
          "de": "Livestream"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Watchlist import",
          "de": "Watchlist-Import"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Governance rules",
          "de": "Governance-Regeln"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Livestream is intended for active hunts where analysts want to observe matching events in near real time as they flow into the workspace.",
      "de": "Livestream ist für aktive Hunts gedacht, bei denen Analysten passende Ereignisse nahezu in Echtzeit beobachten möchten, während sie in den Workspace fließen."
    },
    "hint": {
      "en": "Think streaming hunt results.",
      "de": "Denken Sie an gestreamte Hunting-Ergebnisse."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/livestream"
  },
  {
    "id": "sc200-155",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the main reason to use notebooks in Microsoft Sentinel?",
      "de": "Was ist der Hauptgrund für die Verwendung von Notebooks in Microsoft Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Run advanced investigations with Python and MSTICPy",
          "de": "Erweiterte Untersuchungen mit Python und MSTICPy ausführen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Replace all analytics rules",
          "de": "Alle Analyseregeln ersetzen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Install CEF connectors",
          "de": "CEF-Connectoren installieren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Approve remediation actions",
          "de": "Behebungsmaßnahmen genehmigen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Notebooks provide a Jupyter-based environment for advanced hunting, enrichment, machine learning, and data science workflows beyond standard KQL queries.",
      "de": "Notebooks bieten eine Jupyter-basierte Umgebung für erweitertes Hunting, Anreicherung, Machine Learning und Data-Science-Workflows jenseits standardmäßiger KQL-Abfragen."
    },
    "hint": {
      "en": "Choose the Python and data science option.",
      "de": "Wählen Sie die Python- und Data-Science-Option."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/notebooks"
  },
  {
    "id": "sc200-156",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What does UEBA add to Microsoft Sentinel investigations?",
      "de": "Was fügt UEBA Microsoft-Sentinel-Untersuchungen hinzu?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Entity context and behavior anomalies",
          "de": "Entitätskontext und Verhaltensanomalien"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A replacement for Log Analytics",
          "de": "Einen Ersatz für Log Analytics"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Attachment scanning",
          "de": "Anhangsprüfung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Manual device onboarding",
          "de": "Manuelles Geräte-Onboarding"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "UEBA enriches users and entities with behavioral analytics, peer comparisons, and anomaly findings. This gives analysts more context for triage and investigation.",
      "de": "UEBA reichert Benutzer und Entitäten mit Verhaltensanalysen, Peer-Vergleichen und Anomalieergebnissen an. Das gibt Analysten mehr Kontext für Triage und Untersuchung."
    },
    "hint": {
      "en": "UEBA is about behavior and entities.",
      "de": "UEBA dreht sich um Verhalten und Entitäten."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics"
  },
  {
    "id": "sc200-157",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A suspicious admin account appears in several alerts, and the SOC wants one place to review that identity's recent activity.",
      "de": "Ein verdächtiges Administratorkonto erscheint in mehreren Warnungen, und das SOC möchte einen Ort, um die jüngste Aktivität dieser Identität zu prüfen."
    },
    "question": {
      "en": "If an analyst wants a timeline of anomalies, activities, and related incidents for a single user or host, what should they open in Sentinel?",
      "de": "Wenn ein Analyst eine Zeitleiste mit Anomalien, Aktivitäten und zugehörigen Vorfällen für einen einzelnen Benutzer oder Host möchte, was sollte er in Sentinel öffnen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Entity page",
          "de": "Entitätsseite"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "DCR editor",
          "de": "DCR-Editor"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Connector health",
          "de": "Connectorintegrität"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Entity pages consolidate investigation context for users, hosts, IPs, and other entities, including anomalies and linked incidents.",
      "de": "Entitätsseiten konsolidieren den Untersuchungskontext für Benutzer, Hosts, IPs und andere Entitäten, einschließlich Anomalien und verknüpfter Vorfälle."
    },
    "hint": {
      "en": "Open the investigation page for that entity.",
      "de": "Öffnen Sie die Untersuchungsseite für diese Entität."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/investigate-incidents"
  },
  {
    "id": "sc200-158",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What does the investigation graph help analysts understand during incident response?",
      "de": "Was hilft der Untersuchungsgraph Analysten während der Incident Response zu verstehen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Relationships between alerts, entities, and incidents",
          "de": "Beziehungen zwischen Warnungen, Entitäten und Vorfällen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Monthly license charges",
          "de": "Monatliche Lizenzkosten"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "How to onboard domain controllers",
          "de": "Wie Domänencontroller onboardet werden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Which VM sizes are available in Azure",
          "de": "Welche VM-Größen in Azure verfügbar sind"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The investigation graph visually links entities, alerts, and evidence so analysts can pivot quickly through related activity. It supports faster understanding of blast radius and relationships.",
      "de": "Der Untersuchungsgraph verknüpft Entitäten, Warnungen und Beweise visuell, sodass Analysten schnell durch verwandte Aktivitäten pivotieren können. Das unterstützt ein schnelleres Verständnis von Auswirkungen und Beziehungen."
    },
    "hint": {
      "en": "Choose the relationship-mapping feature.",
      "de": "Wählen Sie die Funktion zur Beziehungsdarstellung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/investigate-incidents"
  },
  {
    "id": "sc200-159",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A hunting query needs to enrich suspicious sign-ins by checking whether the user is in the VIP watchlist.",
      "de": "Eine Hunting-Abfrage muss verdächtige Anmeldungen anreichern, indem geprüft wird, ob der Benutzer in der VIP-Watchlist steht."
    },
    "question": {
      "en": "Which function should you use in KQL to bring a Sentinel watchlist named VIPUsers into a hunting query?",
      "de": "Welche Funktion sollten Sie in KQL verwenden, um eine Sentinel-Watchlist namens VIPUsers in eine Hunting-Abfrage einzubinden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "_GetWatchlist('VIPUsers')",
          "de": "_GetWatchlist('VIPUsers')"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "workspace('VIPUsers')",
          "de": "workspace('VIPUsers')"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "bookmark('VIPUsers')",
          "de": "bookmark('VIPUsers')"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "incident('VIPUsers')",
          "de": "incident('VIPUsers')"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Sentinel watchlists are referenced in KQL by using the _GetWatchlist() function. Analysts commonly join or filter against the returned rows.",
      "de": "Sentinel-Watchlists werden in KQL mit der Funktion _GetWatchlist() referenziert. Analysten verknüpfen oder filtern häufig gegen die zurückgegebenen Zeilen."
    },
    "hint": {
      "en": "Use the built-in watchlist function.",
      "de": "Verwenden Sie die integrierte Watchlist-Funktion."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/watchlists"
  },
  {
    "id": "sc200-160",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Why is the SearchKey important when you upload a watchlist to Microsoft Sentinel?",
      "de": "Warum ist der SearchKey wichtig, wenn Sie eine Watchlist in Microsoft Sentinel hochladen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It defines the column optimized for lookup and joins",
          "de": "Er definiert die für Nachschlagen und Joins optimierte Spalte"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It encrypts the watchlist",
          "de": "Er verschlüsselt die Watchlist"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It sets incident severity",
          "de": "Er legt den Vorfallschweregrad fest"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It replaces the primary key in Log Analytics",
          "de": "Er ersetzt den Primärschlüssel in Log Analytics"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The SearchKey is the field Sentinel expects analysts to use for fast matching and joins. Choosing the right key improves usability and performance.",
      "de": "Der SearchKey ist das Feld, das Sentinel für schnelles Matching und Joins erwartet. Die Wahl des richtigen Schlüssels verbessert Bedienbarkeit und Leistung."
    },
    "hint": {
      "en": "Think about the main column you will match on.",
      "de": "Denken Sie an die Hauptspalte, nach der Sie abgleichen werden."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/watchlists"
  },
  {
    "id": "sc200-161",
    "type": "multiple",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which items can be packaged in a Microsoft Sentinel solution from Content hub? Select all that apply.",
      "de": "Welche Elemente können in einer Microsoft-Sentinel-Lösung aus dem Content Hub paketiert sein? Wählen Sie alle zutreffenden Antworten aus."
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Data connectors",
          "de": "Datenconnectoren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Analytics rules",
          "de": "Analyseregeln"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Workbooks",
          "de": "Arbeitsmappen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Physical firewall appliances",
          "de": "Physische Firewall-Appliances"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Solutions can package logical Sentinel content such as connectors, analytics, workbooks, hunting queries, and playbooks. They do not package physical devices.",
      "de": "Lösungen können logische Sentinel-Inhalte wie Connectoren, Analyseregeln, Arbeitsmappen, Hunting-Abfragen und Playbooks paketieren. Physische Geräte werden nicht paketiert."
    },
    "hint": {
      "en": "Pick the content artifacts, not hardware.",
      "de": "Wählen Sie die Inhaltsartefakte und nicht Hardware."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-deploy"
  },
  {
    "id": "sc200-162",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The threat intel team subscribes to a commercial feed that exposes indicators through a TAXII server.",
      "de": "Das Threat-Intelligence-Team nutzt einen kommerziellen Feed, der Indikatoren über einen TAXII-Server bereitstellt."
    },
    "question": {
      "en": "Which data connector should you use to ingest a STIX/TAXII-compatible threat feed into Microsoft Sentinel?",
      "de": "Welchen Datenconnector sollten Sie verwenden, um einen STIX/TAXII-kompatiblen Bedrohungsfeed in Microsoft Sentinel aufzunehmen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Threat intelligence TAXII",
          "de": "Threat Intelligence TAXII"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure Activity",
          "de": "Azure Activity"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Syslog",
          "de": "Syslog"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The TAXII connector is purpose-built for recurring ingestion of compatible threat intelligence feeds. It is the standard Sentinel path for TAXII providers.",
      "de": "Der TAXII-Connector ist speziell für die wiederkehrende Aufnahme kompatibler Threat-Intelligence-Feeds vorgesehen. Er ist der Standardpfad in Sentinel für TAXII-Anbieter."
    },
    "hint": {
      "en": "Choose the connector named for the protocol.",
      "de": "Wählen Sie den Connector, der nach dem Protokoll benannt ist."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-threat-intelligence-taxii"
  },
  {
    "id": "sc200-163",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What is the main purpose of the Threat Intelligence workbook in Microsoft Sentinel?",
      "de": "Was ist der Hauptzweck der Threat-Intelligence-Arbeitsmappe in Microsoft Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Visualize indicators, trends, and matches",
          "de": "Indikatoren, Trends und Treffer visualisieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Configure ASR rules",
          "de": "ASR-Regeln konfigurieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Install domain controller sensors",
          "de": "Domänencontroller-Sensoren installieren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Perform device isolation",
          "de": "Geräteisolierung durchführen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The TI workbook helps analysts review ingested indicators, expiration trends, and match outcomes visually. It is for visibility and reporting around threat intelligence usage.",
      "de": "Die TI-Arbeitsmappe hilft Analysten, aufgenommene Indikatoren, Ablauftrends und Trefferergebnisse visuell zu prüfen. Sie dient der Sichtbarkeit und dem Reporting rund um die Nutzung von Threat Intelligence."
    },
    "hint": {
      "en": "This workbook is about TI visibility.",
      "de": "Diese Arbeitsmappe dient der Sichtbarkeit von Threat Intelligence."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/work-with-threat-indicators"
  },
  {
    "id": "sc200-164",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC must ingest and monitor SAP audit events with prebuilt content instead of building custom parsers from scratch.",
      "de": "Das SOC muss SAP-Auditereignisse aufnehmen und mit vorkonfigurierten Inhalten überwachen, anstatt benutzerdefinierte Parser von Grund auf zu erstellen."
    },
    "question": {
      "en": "Which Sentinel solution is designed to monitor SAP security logs and provide SAP-focused detections and workbooks?",
      "de": "Welche Sentinel-Lösung ist dafür ausgelegt, SAP-Sicherheitsprotokolle zu überwachen und SAP-spezifische Erkennungen und Arbeitsmappen bereitzustellen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Sentinel solution for SAP applications",
          "de": "Microsoft-Sentinel-Lösung für SAP-Anwendungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure Activity connector",
          "de": "Azure-Activity-Connector"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "TI workbook",
          "de": "TI-Arbeitsmappe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The SAP solution includes connectors, content, and investigation support tailored to SAP environments. It is the dedicated Sentinel offering for SAP applications.",
      "de": "Die SAP-Lösung enthält Connectoren, Inhalte und Untersuchungsunterstützung speziell für SAP-Umgebungen. Sie ist das dedizierte Sentinel-Angebot für SAP-Anwendungen."
    },
    "hint": {
      "en": "Choose the SAP-specific solution package.",
      "de": "Wählen Sie das SAP-spezifische Lösungspaket."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/sap/solution-overview"
  },
  {
    "id": "sc200-165",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What do Data Collection Rule transformations allow you to do before data is stored in Sentinel?",
      "de": "Was ermöglichen Data-Collection-Rule-Transformationen, bevor Daten in Sentinel gespeichert werden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Filter or reshape data at ingestion",
          "de": "Daten bei der Aufnahme filtern oder umformen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Create incidents manually",
          "de": "Vorfälle manuell erstellen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Install workbooks",
          "de": "Arbeitsmappen installieren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Reset device passwords",
          "de": "Gerätekennwörter zurücksetzen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "DCR transformations can drop unneeded records, rename fields, and reshape payloads before the data lands in the workspace, reducing noise and improving schema quality.",
      "de": "DCR-Transformationen können unnötige Datensätze verwerfen, Felder umbenennen und Nutzdaten umformen, bevor die Daten im Workspace landen. Das reduziert Rauschen und verbessert die Schemaqualität."
    },
    "hint": {
      "en": "This happens before storage, not after incident creation.",
      "de": "Dies geschieht vor der Speicherung und nicht nach der Vorfallserstellung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/data-collection/data-collection-transformations"
  },
  {
    "id": "sc200-166",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The network team sends verbose deny logs, but only a small subset is operationally useful for the SOC.",
      "de": "Das Netzwerkteam sendet ausführliche Deny-Logs, aber nur ein kleiner Teil davon ist für das SOC operativ nützlich."
    },
    "question": {
      "en": "A firewall sends many low-value events that the SOC never uses. Where should you filter them to avoid storing unnecessary data?",
      "de": "Eine Firewall sendet viele Ereignisse mit geringem Wert, die das SOC nie verwendet. Wo sollten Sie sie filtern, um unnötige Datenspeicherung zu vermeiden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "In a Data Collection Rule transformation",
          "de": "In einer Data-Collection-Rule-Transformation"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Inside a workbook after storage",
          "de": "Innerhalb einer Arbeitsmappe nach der Speicherung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "By closing incidents manually",
          "de": "Durch manuelles Schließen von Vorfällen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "By using a bookmark",
          "de": "Durch Verwendung eines Lesezeichens"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Filtering at ingestion with DCR transformations prevents unwanted data from being stored and billed. Post-storage visualization or incident actions do not solve the storage problem.",
      "de": "Das Filtern bei der Aufnahme mit DCR-Transformationen verhindert, dass unerwünschte Daten gespeichert und abgerechnet werden. Visualisierung nach der Speicherung oder Vorfallsaktionen lösen das Speicherproblem nicht."
    },
    "hint": {
      "en": "Drop noise before it lands in the workspace.",
      "de": "Verwerfen Sie Rauschen, bevor es im Workspace landet."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/data-collection/data-collection-transformations"
  },
  {
    "id": "sc200-167",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the main benefit of ASIM in Microsoft Sentinel?",
      "de": "Was ist der Hauptvorteil von ASIM in Microsoft Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It normalizes different log sources to a common schema",
          "de": "Es normalisiert verschiedene Protokollquellen auf ein gemeinsames Schema"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It replaces playbooks",
          "de": "Es ersetzt Playbooks"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It isolates devices",
          "de": "Es isoliert Geräte"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It prevents all false positives",
          "de": "Es verhindert alle Fehlalarme"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "ASIM provides normalized schemas and parsers so detections and hunts can work more consistently across diverse products and vendors.",
      "de": "ASIM stellt normalisierte Schemata und Parser bereit, sodass Erkennungen und Hunts konsistenter über unterschiedliche Produkte und Hersteller hinweg funktionieren."
    },
    "hint": {
      "en": "Think schema normalization.",
      "de": "Denken Sie an Schemanormalisierung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/normalization"
  },
  {
    "id": "sc200-168",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "A managed security provider needs analysts in one home tenant to investigate incidents for several customer tenants.",
      "de": "Ein Managed-Security-Anbieter benötigt Analysten in einem Heimtenant, die Vorfälle für mehrere Kundentenants untersuchen."
    },
    "question": {
      "en": "Which Azure capability helps an MSSP manage Microsoft Sentinel workspaces across multiple customer tenants from one operating model?",
      "de": "Welche Azure-Funktion hilft einem MSSP, Microsoft-Sentinel-Workspaces über mehrere Kundentenants hinweg mit einem einzigen Betriebsmodell zu verwalten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Azure Lighthouse",
          "de": "Azure Lighthouse"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Defender for Identity sensors",
          "de": "Defender-for-Identity-Sensoren"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Azure Lighthouse enables delegated management across tenants, which is a common design for MSSPs operating Sentinel for multiple customers.",
      "de": "Azure Lighthouse ermöglicht delegierte Verwaltung über mehrere Tenants hinweg, was ein gängiges Design für MSSPs ist, die Sentinel für mehrere Kunden betreiben."
    },
    "hint": {
      "en": "Look for cross-tenant delegated management.",
      "de": "Suchen Sie nach delegierter Verwaltung über Tenants hinweg."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/lighthouse/how-to/manage-sentinel-workspaces"
  },
  {
    "id": "sc200-169",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Why would you enable alert grouping in a Sentinel analytics rule?",
      "de": "Warum würden Sie die Warnungsgruppierung in einer Sentinel-Analyseregel aktivieren?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "To combine related alerts into fewer incidents",
          "de": "Um verwandte Warnungen zu weniger Vorfällen zusammenzufassen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "To reduce data retention",
          "de": "Um die Datenaufbewahrung zu verkürzen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "To install connectors automatically",
          "de": "Um Connectoren automatisch zu installieren"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "To onboard endpoints",
          "de": "Um Endpunkte zu onboarden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Alert grouping reduces incident noise by combining related alerts instead of opening a new incident for every match. That helps analysts focus on attack chains instead of duplicates.",
      "de": "Die Warnungsgruppierung reduziert Vorfallsrauschen, indem verwandte Warnungen zusammengeführt werden, anstatt für jeden Treffer einen neuen Vorfall zu öffnen. Das hilft Analysten, sich auf Angriffsketten statt auf Duplikate zu konzentrieren."
    },
    "hint": {
      "en": "The goal is less duplicate incident noise.",
      "de": "Das Ziel ist weniger doppeltes Vorfallsrauschen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-170",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What does rule suppression do in a scheduled analytics rule?",
      "de": "Was bewirkt die Regelunterdrückung in einer geplanten Analyseregel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Stops the rule from creating new alerts for a defined period after it triggers",
          "de": "Sie verhindert für einen definierten Zeitraum nach dem Auslösen, dass die Regel neue Warnungen erzeugt"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Deletes historic incidents",
          "de": "Sie löscht historische Vorfälle"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Encrypts watchlists",
          "de": "Sie verschlüsselt Watchlists"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Moves data to another workspace",
          "de": "Sie verschiebt Daten in einen anderen Workspace"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Suppression is used to avoid alert storms by pausing repeated triggering for a configured interval after a match.",
      "de": "Die Unterdrückung wird verwendet, um Warnungsstürme zu vermeiden, indem wiederholtes Auslösen nach einem Treffer für ein konfiguriertes Intervall pausiert wird."
    },
    "hint": {
      "en": "Think temporary cooldown after a hit.",
      "de": "Denken Sie an eine temporäre Abkühlphase nach einem Treffer."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-171",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "If a scheduled rule runs every 5 minutes but looks back 1 hour, what is the main reason for that design?",
      "de": "Wenn eine geplante Regel alle 5 Minuten läuft, aber 1 Stunde zurückblickt, was ist der Hauptgrund für dieses Design?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "To use overlapping windows so delayed events are less likely to be missed",
          "de": "Um überlappende Zeitfenster zu verwenden, damit verspätete Ereignisse seltener übersehen werden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "To disable incident creation",
          "de": "Um die Vorfallserstellung zu deaktivieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "To reduce query cost to zero",
          "de": "Um die Abfragekosten auf null zu senken"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "To force NRT behavior",
          "de": "Um NRT-Verhalten zu erzwingen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Running more frequently than the lookback window creates overlap. This is a common pattern to account for ingestion delay and ensure detection coverage.",
      "de": "Ein häufigeres Ausführen als das Rückblickfenster erzeugt Überlappung. Dies ist ein gängiges Muster, um Aufnahmeverzögerungen zu berücksichtigen und die Erkennungsabdeckung sicherzustellen."
    },
    "hint": {
      "en": "This pattern is about detection coverage, not lower cost.",
      "de": "Dieses Muster dient der Erkennungsabdeckung und nicht der Kostensenkung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-172",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Why is entity mapping important when authoring Sentinel analytics rules?",
      "de": "Warum ist das Entitätsmapping beim Erstellen von Sentinel-Analyseregeln wichtig?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It enriches incidents for investigation, UEBA, and graph pivots",
          "de": "Es reichert Vorfälle für Untersuchung, UEBA und Graph-Pivots an"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It enables device onboarding",
          "de": "Es ermöglicht Geräte-Onboarding"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It reduces connector licensing",
          "de": "Es reduziert Connector-Lizenzen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It replaces workbooks",
          "de": "Es ersetzt Arbeitsmappen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Entity mapping tells Sentinel which columns represent users, hosts, IPs, URLs, and other entities so investigation tools can understand and link them correctly.",
      "de": "Das Entitätsmapping teilt Sentinel mit, welche Spalten Benutzer, Hosts, IPs, URLs und andere Entitäten darstellen, damit Untersuchungstools diese korrekt verstehen und verknüpfen können."
    },
    "hint": {
      "en": "Think about making alerts investigation-ready.",
      "de": "Denken Sie daran, Warnungen untersuchungsbereit zu machen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-173",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What are custom details in a Sentinel analytics rule used for?",
      "de": "Wofür werden benutzerdefinierte Details in einer Sentinel-Analyseregel verwendet?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "To surface selected query fields in the alert or incident",
          "de": "Um ausgewählte Abfragefelder in der Warnung oder im Vorfall anzuzeigen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "To install connectors",
          "de": "Um Connectoren zu installieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "To change data retention for the table",
          "de": "Um die Datenaufbewahrung für die Tabelle zu ändern"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "To replace entity mapping",
          "de": "Um das Entitätsmapping zu ersetzen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom details expose useful columns from the detection results so analysts can see important context directly in the alert or incident record.",
      "de": "Benutzerdefinierte Details machen nützliche Spalten aus den Erkennungsergebnissen sichtbar, sodass Analysten wichtigen Kontext direkt im Warnungs- oder Vorfallsdatensatz sehen können."
    },
    "hint": {
      "en": "This is about showing extra context from the query.",
      "de": "Dabei geht es darum, zusätzlichen Kontext aus der Abfrage anzuzeigen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-174",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC wants known malicious IP matches from firewall telemetry to create alerts almost immediately.",
      "de": "Das SOC möchte, dass Treffer bekannter bösartiger IPs aus Firewall-Telemetrie fast sofort Warnungen erzeugen."
    },
    "question": {
      "en": "Which analytics rule type is the best fit for a high-confidence IOC match that should alert in about a minute?",
      "de": "Welcher Analytics-Regeltyp eignet sich am besten für einen hochvertrauenswürdigen IOC-Treffer, der innerhalb etwa einer Minute warnen soll?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Near real-time",
          "de": "Nahezu in Echtzeit"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Workbook",
          "de": "Arbeitsmappe"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Bookmark",
          "de": "Lesezeichen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "NRT analytics is intended for low-latency detections with strong confidence, such as immediate matches on known bad indicators.",
      "de": "NRT-Analysen sind für Erkennungen mit geringer Latenz und hohem Vertrauen vorgesehen, z. B. sofortige Treffer auf bekannte bösartige Indikatoren."
    },
    "hint": {
      "en": "Low-latency detection points to NRT.",
      "de": "Eine Erkennung mit geringer Latenz weist auf NRT hin."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/near-real-time-rules"
  },
  {
    "id": "sc200-175",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A global dashboard should let analysts switch between EMEA, APAC, and US workspaces from one workbook.",
      "de": "Ein globales Dashboard soll Analysten ermöglichen, zwischen EMEA-, APAC- und US-Workspaces in einer Arbeitsmappe zu wechseln."
    },
    "question": {
      "en": "How can a workbook be designed to show data from different Sentinel workspaces based on analyst selection?",
      "de": "Wie kann eine Arbeitsmappe so gestaltet werden, dass sie Daten aus unterschiedlichen Sentinel-Workspaces basierend auf der Auswahl des Analysten anzeigt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Use workbook parameters with cross-workspace queries",
          "de": "Arbeitsmappenparameter mit workspaceübergreifenden Abfragen verwenden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Install a domain controller sensor",
          "de": "Einen Domänencontroller-Sensor installieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Use Safe Links",
          "de": "Safe Links verwenden"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Only use bookmarks",
          "de": "Nur Lesezeichen verwenden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Workbooks can parameterize workspace names and pass them into cross-workspace KQL so analysts can change scope without rebuilding the dashboard.",
      "de": "Arbeitsmappen können Workspacenamen parametrisieren und in workspaceübergreifendes KQL übergeben, sodass Analysten den Geltungsbereich ändern können, ohne das Dashboard neu zu erstellen."
    },
    "hint": {
      "en": "Think dynamic dashboard scope across workspaces.",
      "de": "Denken Sie an einen dynamischen Dashboard-Geltungsbereich über mehrere Workspaces hinweg."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/cross-workspace-query"
  },
  {
    "id": "sc200-176",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What can analysts do with a bookmark after saving it in Microsoft Sentinel?",
      "de": "Was können Analysten mit einem Lesezeichen tun, nachdem sie es in Microsoft Sentinel gespeichert haben?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attach it to an incident or revisit it later in an investigation",
          "de": "Es an einen Vorfall anhängen oder später in einer Untersuchung erneut aufrufen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Use it to replace a connector",
          "de": "Es verwenden, um einen Connector zu ersetzen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Turn it into a DCR",
          "de": "Es in eine DCR umwandeln"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Use it to onboard devices",
          "de": "Es zum Onboarden von Geräten verwenden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Bookmarks are investigation artifacts. They help retain notable findings and can be linked into incidents for team context.",
      "de": "Lesezeichen sind Untersuchungsartefakte. Sie helfen, bemerkenswerte Erkenntnisse zu erhalten und können zur Teaminformation mit Vorfällen verknüpft werden."
    },
    "hint": {
      "en": "Bookmarks preserve and share hunt findings.",
      "de": "Lesezeichen bewahren und teilen Hunting-Erkenntnisse."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/bookmarks"
  },
  {
    "id": "sc200-177",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "How are updates to many Microsoft Sentinel solutions typically obtained?",
      "de": "Wie werden Updates für viele Microsoft-Sentinel-Lösungen typischerweise bezogen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "By updating them through Content hub",
          "de": "Durch Aktualisieren über den Content Hub"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "By recreating the workspace",
          "de": "Durch Neuerstellung des Workspace"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "By deleting all incidents",
          "de": "Durch Löschen aller Vorfälle"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "By disabling UEBA",
          "de": "Durch Deaktivieren von UEBA"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Content hub provides lifecycle management for many solutions, including discovery of available updates and guided deployment.",
      "de": "Der Content Hub bietet Lebenszyklusverwaltung für viele Lösungen, einschließlich der Erkennung verfügbarer Updates und einer geführten Bereitstellung."
    },
    "hint": {
      "en": "Look for the built-in solution management experience.",
      "de": "Suchen Sie nach der integrierten Lösung zur Inhaltsverwaltung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-deploy"
  },
  {
    "id": "sc200-178",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "When building a scheduled rule to match network telemetry against known indicators, which table commonly contains the threat indicators to join with CommonSecurityLog?",
      "de": "Welche Tabelle enthält beim Erstellen einer geplanten Regel zum Abgleich von Netzwerktelemetrie mit bekannten Indikatoren üblicherweise die Threat Indicators, die mit CommonSecurityLog verknüpft werden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "ThreatIntelligenceIndicator",
          "de": "ThreatIntelligenceIndicator"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "SecurityAlert",
          "de": "SecurityAlert"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "AzureActivity",
          "de": "AzureActivity"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Watchlist",
          "de": "Watchlist"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Threat intelligence indicators ingested into Sentinel are stored in the ThreatIntelligenceIndicator table, which can be joined with telemetry tables during detections and hunts.",
      "de": "In Sentinel aufgenommene Threat-Intelligence-Indikatoren werden in der Tabelle ThreatIntelligenceIndicator gespeichert, die bei Erkennungen und Hunts mit Telemetrietabellen verknüpft werden kann."
    },
    "hint": {
      "en": "Use the dedicated TI table.",
      "de": "Verwenden Sie die dedizierte TI-Tabelle."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/work-with-threat-indicators"
  },
  {
    "id": "sc200-179",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the main advantage of the TAXII connector compared to manually uploading CSV indicator files?",
      "de": "Was ist der Hauptvorteil des TAXII-Connectors gegenüber dem manuellen Hochladen von CSV-Indikatordateien?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It can retrieve and refresh indicators automatically on a schedule",
          "de": "Er kann Indikatoren automatisch nach Zeitplan abrufen und aktualisieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It turns all indicators into workbooks",
          "de": "Er wandelt alle Indikatoren in Arbeitsmappen um"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It removes the need for analytics rules",
          "de": "Er macht Analyseregeln überflüssig"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It only works for file hashes",
          "de": "Er funktioniert nur für Dateihashes"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "TAXII automates recurring feed synchronization, which reduces manual effort and helps keep indicators current. CSV uploads are usually more static and operationally heavy.",
      "de": "TAXII automatisiert die wiederkehrende Synchronisierung von Feeds, wodurch manueller Aufwand reduziert wird und Indikatoren aktuell bleiben. CSV-Uploads sind in der Regel statischer und operativ aufwendiger."
    },
    "hint": {
      "en": "Automation and freshness are the key benefits.",
      "de": "Automatisierung und Aktualität sind die Hauptvorteile."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-threat-intelligence-taxii"
  },
  {
    "id": "sc200-180",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What are watchlists best suited for in Microsoft Sentinel?",
      "de": "Wofür eignen sich Watchlists in Microsoft Sentinel am besten?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Reference datasets such as VIP users, allowlists, or critical assets",
          "de": "Referenzdatensätze wie VIP-Benutzer, Allow-Listen oder kritische Ressourcen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "High-volume raw firewall logs",
          "de": "Rohdaten mit hohem Volumen aus Firewalls"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Endpoint malware detonation",
          "de": "Malware-Detonation auf Endpunkten"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Replacing UEBA",
          "de": "UEBA ersetzen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Watchlists are lightweight reference tables for enrichment and filtering, not high-volume telemetry storage.",
      "de": "Watchlists sind leichte Referenztabellen für Anreicherung und Filterung und nicht für die Speicherung hochvolumiger Telemetrie gedacht."
    },
    "hint": {
      "en": "Think small lookup lists.",
      "de": "Denken Sie an kleine Nachschlagelisten."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/watchlists"
  },
  {
    "id": "sc200-181",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "A SOC automation engineer built a Teams-notification playbook, but it also needs to change incident owner and status.",
      "de": "Ein SOC-Automatisierungsingenieur hat ein Teams-Benachrichtigungs-Playbook erstellt, aber es muss auch Besitzer und Status eines Vorfalls ändern."
    },
    "question": {
      "en": "A playbook must update Sentinel incidents automatically. What is required in addition to the Logic App workflow itself?",
      "de": "Ein Playbook muss Sentinel-Vorfälle automatisch aktualisieren. Was wird zusätzlich zum Logic-App-Workflow selbst benötigt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A Sentinel connection or identity with permissions to act on the workspace",
          "de": "Eine Sentinel-Verbindung oder Identität mit Berechtigungen zum Agieren auf dem Workspace"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A Safe Links policy",
          "de": "Eine Safe-Links-Richtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A DCR transformation",
          "de": "Eine DCR-Transformation"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A Cloud Discovery report",
          "de": "Ein Cloud-Discovery-Bericht"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Playbooks need the proper Sentinel connector configuration and permissions, often through a managed identity or connection, to update incidents successfully.",
      "de": "Playbooks benötigen die richtige Sentinel-Connector-Konfiguration und Berechtigungen, häufig über eine verwaltete Identität oder Verbindung, um Vorfälle erfolgreich zu aktualisieren."
    },
    "hint": {
      "en": "The workflow also needs authorization to change incidents.",
      "de": "Der Workflow benötigt außerdem die Autorisierung, Vorfälle zu ändern."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/automation/playbook-triggers-actions"
  },
  {
    "id": "sc200-182",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Sentinel connector brings Microsoft Defender XDR alerts and incidents into Sentinel?",
      "de": "Welcher Sentinel-Connector bringt Warnungen und Vorfälle aus Microsoft Defender XDR in Sentinel?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Microsoft Defender XDR connector",
          "de": "Microsoft-Defender-XDR-Connector"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Azure Activity connector",
          "de": "Azure-Activity-Connector"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "TAXII connector",
          "de": "TAXII-Connector"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Watchlist connector",
          "de": "Watchlist-Connector"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The Microsoft Defender XDR connector integrates Microsoft 365 Defender signals with Sentinel, including alerts and incident-related data depending on configuration.",
      "de": "Der Microsoft-Defender-XDR-Connector integriert Microsoft-365-Defender-Signale mit Sentinel, einschließlich Warnungen und je nach Konfiguration vorfallsbezogener Daten."
    },
    "hint": {
      "en": "Choose the connector named for the source suite.",
      "de": "Wählen Sie den Connector, der nach der Quellsuite benannt ist."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-microsoft-365-defender"
  },
  {
    "id": "sc200-183",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "UEBA anomalies in Sentinel are primarily based on what?",
      "de": "Worauf basieren UEBA-Anomalien in Sentinel hauptsächlich?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Historical behavior of entities and their peers",
          "de": "Historisches Verhalten von Entitäten und ihren Peers"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Only manual analyst notes",
          "de": "Nur auf manuellen Analystennotizen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Static workbook templates",
          "de": "Statischen Arbeitsmappenvorlagen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The number of watchlists",
          "de": "Der Anzahl von Watchlists"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "UEBA compares current activity to historical baselines for users and entities, often considering peer behavior as well. That is how it surfaces unusual patterns.",
      "de": "UEBA vergleicht aktuelle Aktivitäten mit historischen Baselines für Benutzer und Entitäten und berücksichtigt häufig auch Peer-Verhalten. So werden ungewöhnliche Muster sichtbar gemacht."
    },
    "hint": {
      "en": "Think behavioral baseline plus peer comparison.",
      "de": "Denken Sie an Verhaltensbaseline plus Peer-Vergleich."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics"
  },
  {
    "id": "sc200-184",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The SOC has manually confirmed the pattern across three incidents and no longer wants to rely on analysts running the query by hand.",
      "de": "Das SOC hat das Muster über drei Vorfälle hinweg manuell bestätigt und möchte sich nicht länger darauf verlassen, dass Analysten die Abfrage von Hand ausführen."
    },
    "question": {
      "en": "A hunting query repeatedly finds suspicious beaconing and is ready for production. What should you do next in Sentinel?",
      "de": "Eine Hunting-Abfrage findet wiederholt verdächtiges Beaconing und ist bereit für den Produktivbetrieb. Was sollten Sie als Nächstes in Sentinel tun?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Create an analytics rule from the query",
          "de": "Eine Analyseregel aus der Abfrage erstellen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Turn it into a watchlist",
          "de": "Sie in eine Watchlist umwandeln"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Move it to Azure Backup",
          "de": "Sie nach Azure Backup verschieben"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Disable UEBA",
          "de": "UEBA deaktivieren"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Once a hunting query is validated, the usual operational step is to convert it into an analytics rule so Sentinel can run it automatically and alert on matches.",
      "de": "Sobald eine Hunting-Abfrage validiert ist, besteht der übliche operative Schritt darin, sie in eine Analyseregel umzuwandeln, damit Sentinel sie automatisch ausführen und bei Treffern warnen kann."
    },
    "hint": {
      "en": "Operationalize the hunt into a detection.",
      "de": "Operationalisieren Sie den Hunt zu einer Erkennung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/scheduled-rules-overview"
  },
  {
    "id": "sc200-185",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The connector and workbook appeared successfully, but no incidents are being generated yet.",
      "de": "Der Connector und die Arbeitsmappe wurden erfolgreich angezeigt, aber es werden noch keine Vorfälle erzeugt."
    },
    "question": {
      "en": "After installing a Sentinel solution, why might you still need to take an additional step before detections begin firing?",
      "de": "Warum müssen Sie nach der Installation einer Sentinel-Lösung möglicherweise noch einen zusätzlichen Schritt ausführen, bevor Erkennungen auslösen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Analytics rule templates may still need to be enabled or created",
          "de": "Vorlagen für Analyseregeln müssen möglicherweise noch aktiviert oder erstellt werden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "You must recreate the workspace",
          "de": "Sie müssen den Workspace neu erstellen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "All watchlists are disabled by default",
          "de": "Alle Watchlists sind standardmäßig deaktiviert"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Sentinel blocks incidents for 24 hours",
          "de": "Sentinel blockiert Vorfälle für 24 Stunden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Many solutions install content templates, but detections often require you to enable or create the analytics rules you want to use. Installation alone may not activate every rule.",
      "de": "Viele Lösungen installieren Inhaltsvorlagen, aber Erkennungen erfordern oft, dass Sie die Analyseregeln aktivieren oder erstellen, die Sie verwenden möchten. Die Installation allein aktiviert möglicherweise nicht jede Regel."
    },
    "hint": {
      "en": "Installed content is not always fully enabled.",
      "de": "Installierter Inhalt ist nicht immer vollständig aktiviert."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/sentinel-solutions-deploy"
  },
  {
    "id": "sc200-186",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Legal requirements prevent consolidation, but executives still want one SOC dashboard for all regions.",
      "de": "Rechtliche Anforderungen verhindern eine Konsolidierung, aber Führungskräfte möchten dennoch ein gemeinsames SOC-Dashboard für alle Regionen."
    },
    "question": {
      "en": "Regional workspaces are required, but the SOC manager wants a single dashboard without moving all data into one workspace. What is the best approach?",
      "de": "Regionale Workspaces sind erforderlich, aber der SOC-Manager möchte ein einziges Dashboard, ohne alle Daten in einen Workspace zu verschieben. Was ist der beste Ansatz?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Use a cross-workspace workbook",
          "de": "Eine workspaceübergreifende Arbeitsmappe verwenden"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Disable regional workspaces",
          "de": "Regionale Workspaces deaktivieren"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Move everything into a watchlist",
          "de": "Alles in eine Watchlist verschieben"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Use Safe Attachments",
          "de": "Safe Attachments verwenden"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Cross-workspace workbooks can present one dashboard while the underlying data stays in separate regional workspaces. This preserves architecture requirements without losing visibility.",
      "de": "Workspaceübergreifende Arbeitsmappen können ein einziges Dashboard darstellen, während die zugrunde liegenden Daten in separaten regionalen Workspaces bleiben. So bleiben Architekturvorgaben erhalten, ohne Sichtbarkeit zu verlieren."
    },
    "hint": {
      "en": "Visualize centrally while storing regionally.",
      "de": "Zentral visualisieren und regional speichern."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/cross-workspace-query"
  },
  {
    "id": "sc200-187",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Every high-severity malware incident must be escalated and announced in Teams automatically.",
      "de": "Jeder Malwarevorfall mit hohem Schweregrad muss automatisch eskaliert und in Teams angekündigt werden."
    },
    "question": {
      "en": "Which Sentinel feature should you use to tag incidents as urgent, assign them to Tier 2, and then run a Teams notification playbook?",
      "de": "Welche Sentinel-Funktion sollten Sie verwenden, um Vorfälle als dringend zu markieren, sie Tier 2 zuzuweisen und anschließend ein Teams-Benachrichtigungs-Playbook auszuführen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Automation rule",
          "de": "Automatisierungsregel"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Bookmark",
          "de": "Lesezeichen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Livestream",
          "de": "Livestream"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SearchKey",
          "de": "SearchKey"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Automation rules can chain incident actions such as tagging and assignment and then invoke playbooks. They are the right orchestration point for this workflow.",
      "de": "Automatisierungsregeln können Vorfallsaktionen wie Tagging und Zuweisung verketten und anschließend Playbooks ausführen. Sie sind der richtige Orchestrierungspunkt für diesen Workflow."
    },
    "hint": {
      "en": "This is a classic incident orchestration scenario.",
      "de": "Dies ist ein klassisches Szenario für die Vorfallsorchestrierung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/automate-incident-handling-with-automation-rules"
  },
  {
    "id": "sc200-188",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which KQL pattern is best for excluding allowlisted IP addresses stored in a Sentinel watchlist from an analytics query?",
      "de": "Welches KQL-Muster eignet sich am besten, um in einer Sentinel-Watchlist gespeicherte erlaubte IP-Adressen aus einer Analytics-Abfrage auszuschließen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "CommonSecurityLog | join kind=leftanti (_GetWatchlist('AllowedIPs')) on $left.SourceIP == $right.SearchKey",
          "de": "CommonSecurityLog | join kind=leftanti (_GetWatchlist('AllowedIPs')) on $left.SourceIP == $right.SearchKey"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "CommonSecurityLog | summarize by SourceIP | where SourceIP in (_GetWatchlist('AllowedIPs'))",
          "de": "CommonSecurityLog | summarize by SourceIP | where SourceIP in (_GetWatchlist('AllowedIPs'))"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "_GetWatchlist('AllowedIPs') | union CommonSecurityLog",
          "de": "_GetWatchlist('AllowedIPs') | union CommonSecurityLog"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "SecurityIncident | where SourceIP !in (_GetWatchlist('AllowedIPs'))",
          "de": "SecurityIncident | where SourceIP !in (_GetWatchlist('AllowedIPs'))"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "A leftanti join removes records that have matches in the allowlist. That is the standard exclusion pattern when using watchlists as reference data in KQL.",
      "de": "Ein leftanti-Join entfernt Datensätze, die Treffer in der Allow-Liste haben. Das ist das Standardausschlussmuster, wenn Watchlists als Referenzdaten in KQL verwendet werden."
    },
    "hint": {
      "en": "Exclude rows that match the watchlist.",
      "de": "Schließen Sie Zeilen aus, die mit der Watchlist übereinstimmen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/watchlists"
  },
  {
    "id": "sc200-189",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A perimeter appliance sends ArcSight CEF records to a Linux collector, and the SOC wants field mapping to work correctly.",
      "de": "Eine Perimeter-Appliance sendet ArcSight-CEF-Datensätze an einen Linux-Sammler, und das SOC möchte, dass die Feldzuordnung korrekt funktioniert."
    },
    "question": {
      "en": "A network device sends CEF-formatted events over Syslog. Which connector should Microsoft Sentinel use?",
      "de": "Ein Netzwerkgerät sendet CEF-formatierte Ereignisse über Syslog. Welchen Connector sollte Microsoft Sentinel verwenden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "CEF via AMA",
          "de": "CEF über AMA"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Syslog via AMA only",
          "de": "Nur Syslog über AMA"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Azure Activity",
          "de": "Azure Activity"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Threat Intelligence TAXII",
          "de": "Threat Intelligence TAXII"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Even though the transport is Syslog, the message format is CEF, so the CEF connector is the appropriate Sentinel path.",
      "de": "Auch wenn der Transport Syslog ist, ist das Nachrichtenformat CEF, daher ist der CEF-Connector der passende Sentinel-Pfad."
    },
    "hint": {
      "en": "Choose based on the event format, not just the transport protocol.",
      "de": "Wählen Sie nach dem Ereignisformat und nicht nur nach dem Transportprotokoll."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/connect-common-event-format"
  },
  {
    "id": "sc200-190",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "In a Log Ingestion API design, what defines the incoming stream schema, optional transformation, and destination table?",
      "de": "Was definiert in einem Log-Ingestion-API-Design das eingehende Streamschema, die optionale Transformation und die Zieltabelle?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A Data Collection Rule",
          "de": "Eine Data Collection Rule"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A bookmark",
          "de": "Ein Lesezeichen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A workbook",
          "de": "Eine Arbeitsmappe"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A playbook",
          "de": "Ein Playbook"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The Data Collection Rule is the control object for Log Ingestion API pipelines. It defines what the payload looks like, how it may be transformed, and where it lands.",
      "de": "Die Data Collection Rule ist das Steuerungsobjekt für Log-Ingestion-API-Pipelines. Sie definiert, wie die Nutzdaten aussehen, wie sie transformiert werden können und wo sie landen."
    },
    "hint": {
      "en": "The pipeline contract is defined in the DCR.",
      "de": "Der Vertrag der Pipeline wird in der DCR definiert."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/azure-monitor/logs/logs-ingestion-api-overview"
  },
  {
    "id": "sc200-191",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Sentinel",
      "de": "Bedrohungen mit Microsoft Sentinel mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A high-severity incident includes multiple hosts and accounts, and the Tier 1 analyst must understand the blast radius quickly.",
      "de": "Ein Vorfall mit hohem Schweregrad umfasst mehrere Hosts und Konten, und der Tier-1-Analyst muss die Auswirkungen schnell verstehen."
    },
    "question": {
      "en": "An analyst wants to pivot rapidly from an incident to related users, hosts, IPs, and alerts in one visual relationship map. Which feature should they open?",
      "de": "Ein Analyst möchte schnell von einem Vorfall zu zugehörigen Benutzern, Hosts, IPs und Warnungen in einer visuellen Beziehungsdarstellung pivotieren. Welche Funktion sollte er öffnen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Investigation graph",
          "de": "Untersuchungsgraph"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "SearchKey editor",
          "de": "SearchKey-Editor"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "DCR transformation editor",
          "de": "DCR-Transformationseditor"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The investigation graph is designed for visual pivoting across entities and evidence linked to an incident. It helps analysts understand scope and connections quickly.",
      "de": "Der Untersuchungsgraph ist für visuelle Pivots über Entitäten und Beweise konzipiert, die mit einem Vorfall verknüpft sind. Er hilft Analysten, Umfang und Zusammenhänge schnell zu verstehen."
    },
    "hint": {
      "en": "Pick the visual map of linked evidence.",
      "de": "Wählen Sie die visuelle Karte verknüpfter Beweise."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/sentinel/investigate-incidents"
  },
  {
    "id": "sc200-192",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "What does secure score measure in Microsoft Defender for Cloud?",
      "de": "Was misst der Secure Score in Microsoft Defender for Cloud?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Security posture improvement based on completed and applicable recommendations",
          "de": "Die Verbesserung der Sicherheitslage auf Basis abgeschlossener und zutreffender Empfehlungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Only the number of open incidents",
          "de": "Nur die Anzahl offener Vorfälle"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "The monthly Azure bill",
          "de": "Die monatliche Azure-Rechnung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "The count of playbooks",
          "de": "Die Anzahl der Playbooks"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Secure score is a posture metric that reflects how well you are implementing recommended security controls across in-scope resources.",
      "de": "Der Secure Score ist eine Kennzahl zur Sicherheitslage, die widerspiegelt, wie gut empfohlene Sicherheitskontrollen für Ressourcen im Geltungsbereich umgesetzt werden."
    },
    "hint": {
      "en": "It is a posture score, not an incident counter.",
      "de": "Es ist ein Sicherheitslagen-Score und kein Vorfallszähler."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/secure-score-security-controls"
  },
  {
    "id": "sc200-193",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "The cloud security lead wants all critical production recommendations routed to the correct application owner with a due date.",
      "de": "Der Leiter der Cloud-Sicherheit möchte, dass alle kritischen Produktionsempfehlungen mit Fälligkeitsdatum an den richtigen Anwendungsverantwortlichen gehen."
    },
    "question": {
      "en": "Which Defender for Cloud feature can automatically assign an owner and due date to critical recommendations?",
      "de": "Welche Funktion in Defender for Cloud kann automatisch einen Verantwortlichen und ein Fälligkeitsdatum für kritische Empfehlungen zuweisen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Governance rules",
          "de": "Governance-Regeln"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Links",
          "de": "Safe Links"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Livestream",
          "de": "Livestream"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Bookmarks",
          "de": "Lesezeichen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Governance rules help operationalize recommendations by assigning ownership and deadlines automatically. They support remediation tracking and accountability.",
      "de": "Governance-Regeln helfen dabei, Empfehlungen zu operationalisieren, indem automatisch Verantwortlichkeiten und Fristen zugewiesen werden. Sie unterstützen die Nachverfolgung von Behebungen und die Verantwortlichkeit."
    },
    "hint": {
      "en": "Think workflow and accountability for recommendations.",
      "de": "Denken Sie an Workflow und Verantwortlichkeit für Empfehlungen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/governance-rules"
  },
  {
    "id": "sc200-194",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "easy",
    "scenario": null,
    "question": {
      "en": "Which Defender for Cloud plan provides workload protection for Azure VMs and Azure Arc-enabled servers?",
      "de": "Welcher Defender-for-Cloud-Plan bietet Workloadschutz für Azure-VMs und für Server mit Azure Arc?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Defender for Servers",
          "de": "Defender für Server"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Defender for Key Vault",
          "de": "Defender für Key Vault"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Secure score",
          "de": "Secure Score"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Regulatory compliance",
          "de": "Regulatorische Compliance"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Defender for Servers is the workload protection plan for Azure and hybrid server resources. It is separate from posture views like secure score or compliance dashboards.",
      "de": "Defender für Server ist der Workloadschutzplan für Azure- und Hybridserverressourcen. Er ist von Lageansichten wie Secure Score oder Compliance-Dashboards getrennt."
    },
    "hint": {
      "en": "Pick the server protection plan.",
      "de": "Wählen Sie den Server-Schutzplan."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction"
  },
  {
    "id": "sc200-195",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "To onboard your own internal regulatory framework into Defender for Cloud, what should you create or import?",
      "de": "Was sollten Sie erstellen oder importieren, um Ihr eigenes internes Regelwerk in Defender for Cloud einzubinden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "A custom Azure Policy initiative",
          "de": "Eine benutzerdefinierte Azure-Policy-Initiative"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "A Safe Attachments policy",
          "de": "Eine Safe-Attachments-Richtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "A CEF collector",
          "de": "Einen CEF-Sammler"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A bookmark",
          "de": "Ein Lesezeichen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom standards in Defender for Cloud are based on Azure Policy initiatives. This is how internal or industry-specific control sets are represented for compliance tracking.",
      "de": "Benutzerdefinierte Standards in Defender for Cloud basieren auf Azure-Policy-Initiativen. So werden interne oder branchenspezifische Kontrollsätze für die Compliance-Nachverfolgung dargestellt."
    },
    "hint": {
      "en": "Regulatory frameworks map back to Azure Policy initiatives.",
      "de": "Regelwerke werden auf Azure-Policy-Initiativen abgebildet."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard"
  },
  {
    "id": "sc200-196",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Administrators need occasional RDP access to production VMs, but the security team wants ports closed most of the time.",
      "de": "Administratoren benötigen gelegentlich RDP-Zugriff auf Produktions-VMs, aber das Sicherheitsteam möchte, dass die Ports die meiste Zeit geschlossen bleiben."
    },
    "question": {
      "en": "Which Defender for Cloud capability reduces exposure of management ports like RDP and SSH by opening them only for approved requests and limited time windows?",
      "de": "Welche Funktion in Defender for Cloud reduziert die Angriffsfläche von Verwaltungsports wie RDP und SSH, indem sie diese nur für genehmigte Anfragen und begrenzte Zeitfenster öffnet?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Just-in-time VM access",
          "de": "Just-in-Time-VM-Zugriff"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Watchlists",
          "de": "Watchlists"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Threat analytics",
          "de": "Threat Analytics"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Content hub",
          "de": "Content Hub"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "JIT VM access keeps management ports closed by default and opens them only on approved request, usually scoped by source IP and time.",
      "de": "Der JIT-VM-Zugriff hält Verwaltungsports standardmäßig geschlossen und öffnet sie nur auf genehmigte Anfrage, meist auf Quell-IP und Zeit begrenzt."
    },
    "hint": {
      "en": "Think time-bound privileged network access.",
      "de": "Denken Sie an zeitlich begrenzten privilegierten Netzwerkzugriff."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview"
  },
  {
    "id": "sc200-197",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is the goal of adaptive application controls in Defender for Cloud?",
      "de": "Was ist das Ziel adaptiver Anwendungskontrollen in Defender for Cloud?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Recommend and enforce allowed application behavior on machines",
          "de": "Erlaubtes Anwendungsverhalten auf Computern empfehlen und durchsetzen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Provide URL click protection",
          "de": "URL-Schutz beim Klicken bereitstellen"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Replace incident owners",
          "de": "Vorfallsbesitzer ersetzen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Import TAXII indicators",
          "de": "TAXII-Indikatoren importieren"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Adaptive application controls help define what applications are normally allowed on servers and alert when unexpected software appears.",
      "de": "Adaptive Anwendungskontrollen helfen dabei zu definieren, welche Anwendungen auf Servern normalerweise erlaubt sind, und warnen, wenn unerwartete Software erscheint."
    },
    "hint": {
      "en": "This is about application allowlisting behavior.",
      "de": "Hier geht es um das Verhalten einer Anwendungs-Allowlist."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/adaptive-application-controls"
  },
  {
    "id": "sc200-198",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What does file integrity monitoring track in Defender for Cloud?",
      "de": "Was überwacht die Dateiintegritätsüberwachung in Defender for Cloud?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Changes to important files and registry settings",
          "de": "Änderungen an wichtigen Dateien und Registrierungseinstellungen"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Only Azure subscription cost changes",
          "de": "Nur Änderungen der Azure-Abonnementkosten"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Attachment detonation results",
          "de": "Ergebnisse der Anhangsdetonation"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "OAuth consent grants",
          "de": "OAuth-Zustimmungen"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "File integrity monitoring watches for suspicious modifications to important files and registry areas on monitored machines. It supports hardening and post-compromise review.",
      "de": "Die Dateiintegritätsüberwachung beobachtet verdächtige Änderungen an wichtigen Dateien und Registrierungsbereichen auf überwachten Computern. Sie unterstützt Härtung und Analyse nach einer Kompromittierung."
    },
    "hint": {
      "en": "Choose the feature for change tracking on protected hosts.",
      "de": "Wählen Sie die Funktion zur Änderungsverfolgung auf geschützten Hosts."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/file-integrity-monitoring-overview"
  },
  {
    "id": "sc200-199",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "A cloud architect wants to know whether an exposed VM and excessive permissions create a route to a sensitive data store.",
      "de": "Ein Cloud-Architekt möchte wissen, ob eine exponierte VM und übermäßige Berechtigungen einen Weg zu einem sensiblen Datenspeicher schaffen."
    },
    "question": {
      "en": "Which Defender for Cloud feature helps identify chains of exposure and permissions that could let an attacker reach a critical asset?",
      "de": "Welche Funktion in Defender for Cloud hilft dabei, Ketten aus Expositionen und Berechtigungen zu erkennen, über die ein Angreifer eine kritische Ressource erreichen könnte?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attack path analysis",
          "de": "Attack Path Analysis"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Links",
          "de": "Safe Links"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Workbook templates",
          "de": "Arbeitsmappenvorlagen"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Attack path analysis identifies exploitable routes through misconfigurations and relationships so teams can prioritize the highest-impact remediation work.",
      "de": "Attack Path Analysis identifiziert ausnutzbare Wege durch Fehlkonfigurationen und Beziehungen, sodass Teams die Behebung mit der höchsten Auswirkung priorisieren können."
    },
    "hint": {
      "en": "Think graph-based risk paths to crown jewels.",
      "de": "Denken Sie an graphbasierte Risikopfade zu Kronjuwelen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path"
  },
  {
    "id": "sc200-200",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What is a key benefit of agentless scanning in Defender for Cloud?",
      "de": "Was ist ein wichtiger Vorteil der agentlosen Überprüfung in Defender for Cloud?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "It assesses resources without installing agents on every VM",
          "de": "Sie bewertet Ressourcen, ohne auf jeder VM Agenten zu installieren"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "It replaces Azure Arc",
          "de": "Sie ersetzt Azure Arc"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "It creates watchlists automatically",
          "de": "Sie erstellt automatisch Watchlists"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "It guarantees zero false positives",
          "de": "Sie garantiert null Fehlalarme"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Agentless scanning collects posture and vulnerability insight from supported resources without requiring an agent deployment on each machine, which simplifies coverage.",
      "de": "Die agentlose Überprüfung sammelt Erkenntnisse zu Sicherheitslage und Schwachstellen von unterstützten Ressourcen, ohne auf jedem Computer einen Agenten zu installieren. Das vereinfacht die Abdeckung."
    },
    "hint": {
      "en": "No per-VM agent deployment is the key idea.",
      "de": "Die zentrale Idee ist, dass keine Bereitstellung eines Agenten pro VM nötig ist."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-agentless-data-collection"
  },
  {
    "id": "sc200-201",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "hard",
    "scenario": {
      "en": "The SOC is overwhelmed by recommendation volume and needs to triage the few findings that materially change attack paths.",
      "de": "Das SOC ist von der Menge der Empfehlungen überfordert und muss die wenigen Befunde priorisieren, die Angriffspfade wesentlich verändern."
    },
    "question": {
      "en": "Hundreds of cloud recommendations exist. Which feature helps analysts focus on the exploitable path most likely to lead to a crown-jewel asset?",
      "de": "Es gibt Hunderte Cloud-Empfehlungen. Welche Funktion hilft Analysten, sich auf den ausnutzbaren Pfad zu konzentrieren, der am wahrscheinlichsten zu einer Kronjuwelen-Ressource führt?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Attack path analysis",
          "de": "Attack Path Analysis"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Bookmark management",
          "de": "Lesezeichenverwaltung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Cloud Discovery snapshot",
          "de": "Cloud-Discovery-Snapshot"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Attack path analysis puts posture findings into exploitable context. It helps prioritize remediation by showing chains that meaningfully increase attacker reach.",
      "de": "Attack Path Analysis setzt Sicherheitsbefunde in einen ausnutzbaren Kontext. Sie hilft, Behebungen zu priorisieren, indem sie Ketten zeigt, die die Reichweite eines Angreifers tatsächlich erhöhen."
    },
    "hint": {
      "en": "Choose the feature that prioritizes risk paths, not raw counts.",
      "de": "Wählen Sie die Funktion, die Risikopfade priorisiert und nicht nur rohe Mengen."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-attack-path"
  },
  {
    "id": "sc200-202",
    "type": "multiple",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which capabilities are associated with Defender for Servers Plan 2? Select all that apply.",
      "de": "Welche Funktionen sind Defender for Servers Plan 2 zugeordnet? Wählen Sie alle zutreffenden Antworten aus."
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Just-in-time VM access",
          "de": "Just-in-Time-VM-Zugriff"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Agentless scanning",
          "de": "Agentlose Überprüfung"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "File integrity monitoring",
          "de": "Dateiintegritätsüberwachung"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Attack simulation training",
          "de": "Angriffssimulationstraining"
        }
      }
    ],
    "correct": [
      "A",
      "B",
      "C"
    ],
    "explanation": {
      "en": "Defender for Servers Plan 2 includes enhanced server protections such as JIT VM access, file integrity monitoring, and agentless scanning capabilities. Attack simulation training is part of Defender for Office 365, not Defender for Cloud.",
      "de": "Defender for Servers Plan 2 umfasst erweiterte Server-Schutzfunktionen wie JIT-VM-Zugriff, Dateiintegritätsüberwachung und agentlose Überprüfung. Angriffssimulationstraining gehört zu Defender for Office 365 und nicht zu Defender for Cloud."
    },
    "hint": {
      "en": "Pick the server protection capabilities, not the email training feature.",
      "de": "Wählen Sie die Server-Schutzfunktionen und nicht die E-Mail-Trainingsfunktion."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/defender-for-cloud-introduction"
  },
  {
    "id": "sc200-203",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "Which Defender for Cloud view is best for answering whether specific controls in a standard such as NIST are passing or failing?",
      "de": "Welche Ansicht in Defender for Cloud eignet sich am besten, um zu beantworten, ob bestimmte Kontrollen eines Standards wie NIST bestanden oder nicht bestanden wurden?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Regulatory compliance dashboard",
          "de": "Dashboard für die regulatorische Compliance"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Live response",
          "de": "Live Response"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Cloud Discovery",
          "de": "Cloud Discovery"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Action center",
          "de": "Aktionscenter"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "The regulatory compliance dashboard maps assessments and recommendations to standards and controls, making it the correct place for standards-based reporting.",
      "de": "Das Dashboard für regulatorische Compliance ordnet Bewertungen und Empfehlungen Standards und Kontrollen zu und ist daher der richtige Ort für standardbasiertes Reporting."
    },
    "hint": {
      "en": "Standards mapping belongs in regulatory compliance.",
      "de": "Die Zuordnung zu Standards gehört in die regulatorische Compliance."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard"
  },
  {
    "id": "sc200-204",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": {
      "en": "Your company has an internal hardening standard that is not covered by any built-in framework, but audit teams still want a dashboard view.",
      "de": "Ihr Unternehmen hat einen internen Härtungsstandard, der von keinem integrierten Framework abgedeckt wird, aber Audit-Teams möchten dennoch eine Dashboard-Ansicht."
    },
    "question": {
      "en": "After you create a custom initiative for internal security controls, where can it appear for reporting in Defender for Cloud?",
      "de": "Wo kann eine benutzerdefinierte Initiative für interne Sicherheitskontrollen nach ihrer Erstellung zu Reportingzwecken in Defender for Cloud erscheinen?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "As a custom standard in the regulatory compliance dashboard",
          "de": "Als benutzerdefinierter Standard im Dashboard für regulatorische Compliance"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "As a Safe Links policy",
          "de": "Als Safe-Links-Richtlinie"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "As a bookmark in Sentinel",
          "de": "Als Lesezeichen in Sentinel"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "As an incident tag only",
          "de": "Nur als Vorfallstag"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Custom initiatives can be surfaced as custom regulatory standards so organizations can track internal control compliance alongside built-in frameworks.",
      "de": "Benutzerdefinierte Initiativen können als benutzerdefinierte regulatorische Standards dargestellt werden, sodass Organisationen die Einhaltung interner Kontrollen zusammen mit integrierten Frameworks nachverfolgen können."
    },
    "hint": {
      "en": "Internal standards show up through custom compliance mapping.",
      "de": "Interne Standards erscheinen über benutzerdefinierte Compliance-Zuordnung."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/regulatory-compliance-dashboard"
  },
  {
    "id": "sc200-205",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "medium",
    "scenario": null,
    "question": {
      "en": "What happens when a just-in-time VM access request is approved?",
      "de": "Was passiert, wenn eine Anfrage für Just-in-Time-VM-Zugriff genehmigt wird?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Management ports are opened only for the approved source and time window",
          "de": "Verwaltungsports werden nur für die genehmigte Quelle und das genehmigte Zeitfenster geöffnet"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "The VM is permanently exposed to the internet",
          "de": "Die VM wird dauerhaft dem Internet ausgesetzt"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "All NSG rules are deleted",
          "de": "Alle NSG-Regeln werden gelöscht"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "A watchlist is created automatically",
          "de": "Es wird automatisch eine Watchlist erstellt"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "JIT works by temporarily allowing management access under controlled conditions rather than leaving ports open permanently.",
      "de": "JIT funktioniert, indem Verwaltungszugriff unter kontrollierten Bedingungen temporär erlaubt wird, anstatt Ports dauerhaft offen zu lassen."
    },
    "hint": {
      "en": "Temporary, scoped access is the core behavior.",
      "de": "Temporärer, eingegrenzter Zugriff ist das Kernverhalten."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/just-in-time-access-overview"
  },
  {
    "id": "sc200-206",
    "type": "single",
    "domain": {
      "en": "Mitigate Threats Using Microsoft Defender for Cloud",
      "de": "Bedrohungen mit Microsoft Defender for Cloud mindern"
    },
    "difficulty": "hard",
    "scenario": null,
    "question": {
      "en": "Which Defender for Cloud feature provides graph-based exploration of security relationships and findings across cloud resources?",
      "de": "Welche Funktion in Defender for Cloud bietet eine graphbasierte Untersuchung von Sicherheitsbeziehungen und Befunden über Cloudressourcen hinweg?"
    },
    "options": [
      {
        "id": "A",
        "text": {
          "en": "Cloud Security Explorer",
          "de": "Cloud Security Explorer"
        }
      },
      {
        "id": "B",
        "text": {
          "en": "Safe Attachments",
          "de": "Safe Attachments"
        }
      },
      {
        "id": "C",
        "text": {
          "en": "Attack simulation training",
          "de": "Angriffssimulationstraining"
        }
      },
      {
        "id": "D",
        "text": {
          "en": "Automation rules",
          "de": "Automatisierungsregeln"
        }
      }
    ],
    "correct": [
      "A"
    ],
    "explanation": {
      "en": "Cloud Security Explorer is designed for graph-style exploration of assets, relationships, and security findings across cloud environments. It complements other Defender for Cloud posture features.",
      "de": "Cloud Security Explorer ist für die graphartige Untersuchung von Ressourcen, Beziehungen und Sicherheitsbefunden über Cloudumgebungen hinweg vorgesehen. Er ergänzt andere Funktionen von Defender for Cloud zur Sicherheitslage."
    },
    "hint": {
      "en": "Look for the feature focused on graph exploration across resources.",
      "de": "Suchen Sie nach der Funktion, die sich auf graphbasierte Untersuchung über Ressourcen hinweg konzentriert."
    },
    "reference": "https://learn.microsoft.com/en-us/azure/defender-for-cloud/concept-cloud-security-explorer"
  }
];
  if (window.ExamData && window.ExamData['sc-200']) {
    window.ExamData['sc-200'].questions = window.ExamData['sc-200'].questions.concat(extra);
  }
})();
