在两个认证之间选择

应该考 Centri BTL1 还是 Microsoft SC-200？

如果您在 Microsoft 安全技术栈中工作或想进入这类环境，选 SC-200；如果您想证明自己能从原始证据出发完成一次调查，不论使用什么工具，选 BTL1。SC-200 考的是平台，BTL1 考的是分析师。

BTL1 详情 SC-200 详情
重叠之处

共同点

两者都面向安全运维分析师，也都涵盖事件响应。SC-200 通过 Microsoft Sentinel 和 Defender XDR 来考查，并把 KQL 作为实际工作要求；BTL1 则在实验环境中通过钓鱼分析、SIEM 检索、数字取证和威胁情报来考查。

  • BTL1 是实验环境，SC-200 是限时考试BTL1 提供 24 小时的实验环境访问，您需要根据找到的证据回答 20 道任务型题目，70% 才能通过。SC-200 的考核时间为 100 分钟，题型包括选择题、拖放题和案例分析题，满分 1000，700 分及格。
  • SC-200 绑定单一厂商SC-200 涵盖管理安全运维环境、配置防护与检测、事件响应和威胁狩猎，全部在 Microsoft 的安全工具中完成。BTL1 与厂商无关：它教的是调查本身，用到的工具在任何 SOC 里都可能见到。
  • BTL1 开卷，SC-200 有监考BTL1 无人监考，允许使用课程资料、笔记和搜索引擎，但不允许使用 AI 助手。SC-200 需在 Pearson VUE 考试中心或通过在线监考参加。
  • 重考规则不同每次购买 BTL1 都包含两次考试机会，未通过后需等待 10 天。Microsoft 规定 SC-200 首次未通过后需等待 24 小时，之后每次重考间隔 14 天，12 个月内最多五次，且每次重考都要付费。
先后顺序

按顺序考取

先按工作环境来选。在使用 Microsoft 技术栈的团队里，SC-200 是更能立刻派上用场的证书，BTL1 则可以在此之外证明您的实操能力。如果您还不知道下一任雇主用什么工具，BTL1 证明的是可以迁移的技能。预约前请查看 Centri 和 Microsoft 的最新条款。

试做三道题，弄懂每个答案。

英文原创练习示例，答案和解析就在本页，无需账户。这些是独立的教学示例，不是官方考试真题，也不是泄露的考试题库。

BTL1 是一项实操调查考试。这些选择题示例用于演练分析决策，并不复现其实操考试形式。

第 1 题，共 3 题 · BTL1 · Phishing and security operations

A forensic image is transferred to an analysis workstation. Its filename and size match the source image, but its verification hash differs from the recorded acquisition hash. Which conclusion is justified?

答案与解析

最佳答案：Integrity is unverified and the mismatch needs investigation

The mismatch means this copy has not passed integrity verification. Preserve the acquisition record and investigate the transfer or obtain a verified copy before relying on it.

其他选项为何不够合适

Names and sizes can remain unchanged when bytes differ. Silently replacing the acquisition hash conceals the discrepancy and undermines the evidence record.

NIST: forensic techniques and evidence handling

第 2 题，共 3 题 · SC-200 · Microsoft Sentinel investigations

A Sentinel scheduled rule produces alerts from verified query matches, but no incidents appear. Ingestion and rule execution are healthy. Which focused check should come before changing data collection?

答案与解析

最佳答案：The rule incident-creation and grouping settings

Scheduled analytics can generate alerts while incident creation is disabled or configured differently. Check that part of the rule because query execution and ingestion are already confirmed.

其他选项为何不够合适

Alert severity and scheduling frequency do not enable incident creation. Reinstalling a connector is not justified when the relevant events already arrive and the rule produces alerts.

Microsoft: scheduled analytics rules

第 3 题，共 3 题 · BTL1 · Phishing analysis

A suspicious email displays a familiar company name, but its Reply-To points to an unrelated domain and its link leads to a different hostname. What is the strongest next analytical step?

答案与解析

最佳答案：Preserve the message and inspect headers and destinations in the approved analysis environment

Preserve the original message and inspect the actual addressing and destinations safely. The discrepancies support investigation without requiring a risky visit from a normal workstation.

其他选项为何不够合适

A display name is not proof of origin. Opening the link on production exposes the user. Mass forwarding spreads potentially harmful content and can alter the evidence context.

CISA: recognize and report phishing

选择您的下一步

免费练习题：BTL1 25 道；SC-200 20 道。无需账户，无需银行卡；只有想在所有设备上保存学习进度时，才需要创建免费账户。

免费试做 25 道 BTL1 题想先做个简短测评？试试 10 题的 BTL1 诊断测试。
免费试做 20 道 SC-200 题想先做个简短测评？试试 10 题的 SC-200 诊断测试。

题库付费使用权为一次性购买，无需循环订阅。官方考试报名、考试券和机构实验环境均与 CertSprint 练习分开。

继续比较

SC-200 练习测试 · Centri BTL1 · Microsoft SC-200 · 全部六个认证 · CertSprint 如何运作

CySA+ vs SC-200 · BTL1 vs CySA+ · Security+ vs SC-200 · BTL1 vs Security+