从零到通过SC-900：60天每日任务清单，错过再等半年

第一章：SC-900认证全景解读

认证概述与目标受众

SC-900认证，全称为Microsoft Security, Compliance, and Identity Fundamentals，是微软面向信息安全初学者和IT入门人员推出的基础级技术认证。该认证旨在帮助考生建立在安全、合规性和身份管理领域的核心知识体系，特别适合系统管理员、安全工程师、合规顾问以及希望进入信息安全行业的技术人员。通过学习，考生将掌握Azure Active Directory、Microsoft Defender、Microsoft 365合规中心等关键服务的基本原理与应用场景。

核心知识域解析

SC-900考试涵盖三大核心模块：安全概念、合规性框架与身份管理机制。考生需理解零信任安全模型的基本原则，并能识别不同类型的威胁防护解决方案。此外，还需熟悉GDPR、HIPAA等国际合规标准在Microsoft云平台中的实现方式。身份管理部分重点考察Azure AD的基础功能，包括多因素认证（MFA）、条件访问策略和用户生命周期管理。

1. 理解零信任安全架构的核心理念
2. 掌握Azure AD中用户与组的管理方法
3. 识别Microsoft 365中数据丢失防护（DLP）策略的作用
4. 了解合规中心如何执行审计日志与保留策略

学习路径与备考建议

官方推荐通过Microsoft Learn平台完成模块化学习。典型的学习路径包括：

• 完成“Explore security, compliance, and identity”系列学习模块
• 动手实践Azure门户中的安全设置配置
• 使用免费Azure账户进行真实环境演练

主题	权重
安全概念	40%
身份与访问管理	25%
合规性与治理	35%

graph TD A[开始学习] --> B{掌握基础概念} B --> C[练习Azure AD配置] B --> D[理解合规工具] C --> E[模拟测试] D --> E E --> F[参加正式考试]

第二章：安全、合规与身份基础构建

2.1 理解微软安全模型与零信任架构

在现代企业IT环境中，微软安全模型已从传统的边界防御转向以身份为核心的零信任架构。该模型遵循“永不信任，始终验证”的原则，确保每个访问请求都经过严格的身份认证和设备健康检查。

核心组件与策略执行

零信任的实施依赖于多个关键服务的协同，包括Azure Active Directory（AAD）、Microsoft Intune和Microsoft Defender for Cloud。

• Azure AD：提供统一身份认证与多因素验证（MFA）
• Intune：管理设备合规性与条件访问策略
• Defender for Cloud：实现持续威胁监测与自动响应

条件访问策略示例

{
  "displayName": "Require MFA for Admin Access",
  "conditions": {
    "users": { "includeGroups": ["Administrators"] },
    "applications": { "includeApplications": ["Office 365"] },
    "clientAppTypes": ["all"]
  },
  "grantControls": {
    "operator": "AND",
    "builtInControls": ["mfa", "compliantDevice"]
  }
}

上述JSON定义了一条条件访问策略：管理员组成员在访问Office 365时必须启用多因素认证且使用合规设备。其中mfa强制双重验证，compliantDevice确保终端符合组织安全标准。

2.2 Azure Active Directory核心概念精讲

身份与访问管理基石

Azure Active Directory（Azure AD）是微软提供的基于云的身份和访问管理服务，核心功能包括用户身份认证、单点登录（SSO）、多因素认证（MFA）和应用访问控制。它采用OAuth 2.0和OpenID Connect等标准协议实现安全的身份验证。

核心组件解析

• 用户（User）：代表可登录系统的个体，支持云用户、同步用户和社交身份。
• 组（Group）：用于批量管理权限，分为安全组和Microsoft 365组。
• 应用程序注册（App Registration）：定义第三方或自研应用如何与Azure AD集成。

{
  "displayName": "MyWebApp",
  "signInAudience": "AzureADandPersonalMicrosoftAccount",
  "requiredResourceAccess": [
    {
      "resourceAppId": "00000003-0000-0000-c000-000000000000",
      "resourceAccess": [
        {
          "id": "e1fe6dd8-ba31-4d61-89e7-88639da4683d",
          "type": "Scope"
        }
      ]
    }
  ]
}

上述JSON表示一个应用注册配置，signInAudience定义登录受众，requiredResourceAccess声明对Microsoft Graph的权限请求，用于获取用户基本信息。

2.3 身份验证机制与多因素认证实践

现代身份验证机制已从单一密码发展为多层次安全体系。传统密码认证易受暴力破解和钓鱼攻击，因此多因素认证（MFA）成为关键防线。

多因素认证的组成

MFA通常结合以下三类要素中的至少两种：

• 知识因素：如密码、PIN码
• 持有因素：如手机令牌、硬件密钥
• 生物因素：如指纹、面部识别

基于TOTP的实现示例

package main

import "github.com/pquerna/otp/totp"
import "time"

// 生成TOTP密钥
key, _ := totp.Generate(totp.GenerateOpts{
    Issuer:      "MyApp",
    AccountName: "user@example.com",
})
uri := key.URL()

// 验证一次性密码
valid := totp.Validate("123456", key.Secret())

上述代码使用Go语言的totp库生成时间型一次性密码（TOTP）密钥，并提供验证接口。参数Issuer标识服务来源，AccountName绑定用户账户，确保令牌上下文清晰。

认证方式对比

机制	安全性	用户体验
密码	低	高
SMS验证码	中	中
硬件密钥	高	低

2.4 合规性框架与监管标准入门解析

在企业数字化转型过程中，合规性框架成为保障数据安全与法律遵从的核心支柱。常见的国际标准如GDPR、HIPAA和ISO/IEC 27001为组织提供了结构化管理指南。

主流合规框架对比

标准	适用领域	核心要求
GDPR	个人数据保护（欧盟）	数据主体权利、数据最小化、 breach通知
HIPAA	医疗健康信息（美国）	访问控制、审计日志、传输加密

技术实现示例：日志审计配置

{
  "audit_level": "high",
  "retention_days": 365,
  "encryption_at_rest": true,
  "enabled_logs": ["auth", "access", "modification"]
}

该配置确保系统满足HIPAA对审计日志的保留周期与加密存储要求，audit_level设为high以捕获敏感操作，enabled_logs明确记录认证与数据变更行为。

2.5 使用Microsoft Purview进行数据分类演练

创建Purview资源实例

在Azure门户中部署Microsoft Purview账户，指定资源组、位置及托管标识。完成部署后，进入Purview Studio管理界面。

配置数据源扫描

添加Azure Storage作为数据源，输入存储账户名称与托管身份权限。通过以下PowerShell命令授权访问：

New-AzRoleAssignment -ObjectId <Purview-Managed-Identity> `
-RoleDefinitionName "Storage Blob Data Reader" `
-Scope "/subscriptions/<sub-id>/resourceGroups/<rg-name>/providers/Microsoft.Storage/storageAccounts/<storage-name>"

该命令为Purview托管标识赋予读取Blob数据的权限，确保扫描器可访问容器内容。

启动自动分类扫描

在Purview Studio中配置扫描规则，选择内置敏感信息类型（如信用卡号、身份证号）。系统将基于正则表达式和机器学习模型识别并标记敏感字段，生成分类报告。

第三章：威胁防护与安全管理

2.1 Microsoft Defender for Office 365原理与配置

Microsoft Defender for Office 365 通过云原生安全架构，深度集成于Exchange Online、Teams和SharePoint环境，实时检测钓鱼邮件、恶意附件与URL。其核心依赖威胁情报、机器学习模型与沙箱分析技术。

策略配置示例

New-AntiPhishPolicy -Name "HighConfidencePhish" `
  -HighConfidencePhishAction Quarantine `
  -EnableAntiPhish = $true `
  -TargetedUserProtectionAction Enable

该命令创建反钓鱼策略，将高置信度钓鱼邮件隔离，并启用对重点用户的保护。参数 -HighConfidencePhishAction 定义处理动作，-TargetedUserProtectionAction 启用针对性保护机制。

关键防护组件

• 安全链接（Safe Links）：实时扫描URL，阻断恶意跳转
• 安全附件（Safe Attachments）：在隔离环境中验证文件行为
• 反钓鱼策略：基于用户画像识别伪装邮件

2.2 防御高级持续性威胁（APT）策略分析

多层纵深防御架构

防御APT攻击需构建涵盖网络、终端、应用与数据的多层防护体系。通过在网络边界部署下一代防火墙，在终端启用EDR（终端检测与响应）系统，结合SIEM平台实现日志集中分析，形成闭环响应机制。

威胁情报集成示例

{
  "indicator": "192.168.10.100",
  "type": "IPv4",
  "confidence": 0.95,
  "source": "internal_siem",
  "timestamp": "2025-04-05T08:00:00Z"
}

该JSON结构用于传递可疑IP情报，其中confidence字段表示威胁置信度，便于自动化系统判断是否触发阻断策略。

关键防护措施对比

措施	防护阶段	响应速度
沙箱分析	攻击驻留期	分钟级
行为基线监控	横向移动期	秒级

2.3 安全得分与攻击模拟训练实战

在现代云安全体系中，安全打得分为组织提供了量化评估风险暴露面的有效手段。通过集成各类日志与配置数据，系统可动态计算资产的薄弱环节。

攻击模拟训练流程

攻击模拟利用已知漏洞模式触发预设攻击链，验证防御机制有效性。典型步骤包括：

• 识别高价值目标资产
• 选择匹配的ATT&CK战术技术
• 执行非破坏性试探行为
• 收集检测响应结果

自动化评分代码示例

def calculate_security_score(metrics):
    # metrics: dict包含漏洞数、补丁延迟、IAM合规等
    base = 100
    base -= metrics['open_vulns'] * 2
    base -= metrics['patch_delay_days']
    return max(base, 0)

该函数以100分为基准，根据开放漏洞数量和补丁延迟天数进行扣减，确保得分反映真实风险水平。

第四章：云平台安全与治理实践

3.1 Azure安全中心部署与建议实施

Azure安全中心是Microsoft Azure平台的核心安全治理服务，提供统一的安全管理和高级威胁防护。通过集中策略配置，可实现对虚拟机、数据库及网络资源的持续监控。

启用标准层级并配置安全策略

建议在订阅级别启用标准层级以获得实时威胁检测和自动防护能力：

{
  "properties": {
    "state": "Enabled",
    "pricingTier": "Standard"
  }
}

上述JSON用于设置安全中心定价层为“Standard”，确保所有受支持资源类型启用高级保护功能，包括JIT（Just-In-Time）访问控制和自适应应用控制。

推荐实施措施

• 为关键工作负载启用磁盘加密与网络安全组审计
• 集成Azure Sentinel实现SIEM/SOAR联动响应
• 定期审查安全分数并修复高风险项以提升整体防护水平

3.2 网络安全组与Azure防火墙策略配置

在Azure环境中，网络安全组（NSG）和Azure防火墙共同构建分层防御体系。NSG负责子网或网络接口级别的流量过滤，而Azure防火墙提供集中化、高级别的出站防护。

网络安全组规则配置

NSG规则按优先级顺序评估，支持允许/拒绝入站和出站流量。以下为典型NSG规则定义示例：

{
  "name": "Allow-HTTP",
  "priority": 100,
  "sourceAddressPrefix": "*",
  "destinationAddressPrefix": "10.0.1.0/24",
  "destinationPortRange": "80",
  "protocol": "Tcp",
  "access": "Allow",
  "direction": "Inbound"
}

该规则允许外部访问Web服务器的HTTP端口，优先级100确保早于高数值规则执行。* 表示任意源地址，生产环境建议限制具体IP范围。

Azure防火墙策略结构

Azure防火墙通过中心化策略管理应用级和网络级规则。策略可跨多个虚拟网络复用，提升一致性。

字段	说明
Rule Collection Type	包括网络、应用和FQDN集合
Action	允许或拒绝流量
Priority	1-65500，数值越小优先级越高

3.3 存储加密与密钥管理服务（Key Vault）操作

在云环境中，数据安全的核心在于对静态数据的加密保护与密钥的集中化管理。Azure Key Vault 作为密钥管理服务，提供安全存储加密密钥、证书和机密的能力。

密钥的创建与访问控制

通过角色基础访问控制（RBAC），可精确授权应用对密钥的使用权限。例如，使用 Azure CLI 创建密钥：

az keyvault key create --name "AppEncryptionKey" \
  --vault-name "MyKeyVault" \
  --kty RSA \
  --size 2048

该命令在指定 Vault 中生成一个 2048 位 RSA 密钥，--kty 指定密钥类型，确保符合行业加密标准。

应用程序集成示例

应用通过托管身份认证从 Key Vault 获取密钥，避免硬编码。典型流程如下：

• 为虚拟机或应用服务启用系统托管身份
• 在 Key Vault 访问策略中授予该身份“Get”和“Wrap/Unwrap”权限
• 应用运行时动态获取密钥用于本地数据加密

3.4 利用策略（Policy）实现合规自动化控制

在云原生环境中，策略引擎是实现安全与合规自动化的核心组件。通过预定义的规则集，系统可在资源创建或变更时自动校验并执行纠正措施。

策略即代码：以OPA为例

Open Policy Agent（OPA）是广泛采用的通用策略引擎，其使用Rego语言定义策略逻辑：

package kubernetes.admission

violation[{"msg": msg}] {
  input.request.kind.kind == "Pod"
  not input.request.object.spec.securityContext.runAsNonRoot
  msg := "Pod必须配置runAsNonRoot: true"
}

上述策略检查所有新建Pod是否设置以非root用户运行。若未配置，则拒绝该创建请求，并返回指定提示信息。

策略执行流程

用户请求 → 准入控制器拦截 → OPA加载策略 → 评估输入对象 → 返回允许/拒绝

• 策略集中管理，支持版本控制与审计
• 与CI/CD集成，实现“左移”安全检测
• 支持Kubernetes、CI流水线、API网关等多场景嵌入

第五章：60天冲刺复习与考试策略

制定每日学习计划

在60天内高效备考，关键在于合理分配时间。建议采用“三阶段法”：前20天夯实基础，中间20天专项突破，最后20天全真模拟。每天安排3小时专注学习，配合番茄工作法（25分钟学习+5分钟休息）提升效率。

1. 第1-20天：系统回顾核心知识点，如操作系统原理、网络协议栈、数据库索引机制
2. 第21-40天：针对薄弱环节强化训练，重点攻克算法题与设计模式
3. 第41-60天：每周完成两套模拟题，严格计时并分析错题

高频考点代码实战

以下为常考的并发控制示例，需熟练掌握其原理与应用场景：

package main

import (
    "fmt"
    "sync"
)

func main() {
    var wg sync.WaitGroup
    var mu sync.Mutex
    counter := 0

    for i := 0; i < 10; i++ {
        wg.Add(1)
        go func() {
            defer wg.Done()
            mu.Lock()
            counter++ // 临界区
            mu.Unlock()
        }()
    }
    wg.Wait()
    fmt.Println("Final counter:", counter)
}

模拟考试环境设置

使用在线判题平台（如LeetCode或牛客网）进行限时训练。建议配置如下：

项目	建议配置
单次练习时长	90分钟
题目组合	2算法+1系统设计
调试限制	禁用IDE自动补全

错题复盘与知识闭环

建立专属错题本，记录每次练习中的错误原因。可按以下分类归档：

• 边界条件遗漏
• 锁粒度控制不当
• TCP重传机制理解偏差