Microsoft Security Operations Analyst のナレッジマップ
Microsoft Security Operations Analyst の主要概念 36 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（36）
Microsoft Defender XDR
端末/メール/ID/SaaSアプリの防御を統合し、領域横断でシグナルを相関して検知・対応する（Endpoint/Office 365/Identity/Cloud Apps）。
Microsoft Sentinel
クラウドネイティブな SIEM＋SOAR。各所のログを収集し脅威を検知・調査・自動対応する。
脅威防御と脅威インテリジェンス
攻撃の検知・分析・対応を支える仕組み。Microsoft Defender XDR が複数の領域のシグナルを統合し、拡張検知と対応（XDR）を提供する。
自動化レベル（Defender for Endpoint）
Defender for Endpoint のデバイスグループごとに、自動調査で見つかった修復アクション（ファイル隔離・プロセス停止等）を自動承認して実行するか、人手の承認を待って Action center に溜めるかを決める設定。フルオート寄りにするほど対応は速いが誤修復のリスクも上がる。
関連: アラートチューニング
Microsoft Defender for Cloud
リソースのセキュリティ状態を採点（セキュアスコア）し、設定不備や脅威を検出して改善を促す。
ライブレスポンス
Microsoft Defender for Endpoint でデバイスへ遠隔シェル接続し、ファイル取得・プロセス停止・スクリプト実行などをその場で行う対話的なインシデント対応機能。RBAC でライブレスポンス権限を分離でき、操作ログはすべて記録され事後監査できる。
自動調査と応答（AIR）
Defender XDR で、アラートをトリガーに自動で調査を実行し、影響エンティティを特定して修復アクション（隔離・プロセス停止等）を提案/実行する機能。修復の自動承認/承認待ちは自動化レベルで決まり、保留はアクションセンターで承認する。
カスタム検出ルール（Defender XDR）
Advanced Hunting の KQL クエリを昇格し、スケジュール実行で繰り返し検知＋応答アクション（隔離・無効化等）を行う Defender XDR のルール。クエリはアラート/インシデント生成のため適切な entity 列を返す必要がある。Sentinel の分析ルールとは別プラットフォーム。
前提: Microsoft Defender XDR、高度なハンティング（KQL）、Microsoft Sentinel
Data lake 階層（Sentinel）
大量データを長期・低コストで保管し、後からの探索に使う Sentinel のデータ保持階層。高頻度の検知/相互調査に使う高コストの Analytics 階層と使い分ける。KQL ジョブでバッチ的に探索する。
高度なハンティング（KQL）
Defender XDR / Sentinel で KQL を使い、横断的なテレメトリから脅威を能動的に探索する。クエリを分析ルール化して自動検知につなげる。
アラートチューニング
Microsoft Defender XDR で、既知の良性アクティビティや誤検知パターンに一致するアラートを条件付きで自動的に解決・抑制するルール（旧称：抑制ルール）。組織固有の正当な挙動（承認済みツール等）によるノイズを減らし、アナリストの注意を真の脅威へ集中させる。
Microsoft Entra ID
クラウドのID/アクセス管理サービス（旧Azure AD）。MFA・SSO・条件付きアクセスを提供。オンプレのAD DSとは別物。
ハンティンググラフ
Microsoft Defender の高度なハンティング（advanced hunting）に含まれる公式機能「Hunting graph（ハンティンググラフ）」。エンティティ（デバイス・ユーザー・IPアドレス等）とその関係性をノードとエッジで可視化し、脅威シナリオをインタラクティブなグラフとして表示することで攻撃の連鎖を辿りやすくする。KQL クエリの結果を可視化する補助機能で、侵害の広がりを人手で追跡しやすくする。
KQL（Kusto Query Language）
ログ/時系列データを高速に検索・集計する読み取り専用のクエリ言語。Eventhouse/KQL データベースで使う。
Log Analytics ワークスペース
各種リソースのログ・メトリックを集約して保持するデータストア。KQL（Kusto Query Language）でクエリして分析でき、Microsoft Sentinel や Azure Monitor アラートの土台にもなる。ワークスペース単位でアクセス制御と保持期間（既定30日、延長可）を設定する。
Microsoft Teams
チャット・会議・通話・チームワークを集約したコラボレーションのハブ。ファイルは裏で SharePoint/OneDrive に保存。
前提: OneDrive
関連: SharePoint
Azure Monitor Agent（AMA）
ログ収集の標準エージェント（旧 MMA/Log Analytics エージェントの後継）。収集対象はデータ収集規則（DCR）で宣言的に定義する。Windows セキュリティイベントは Windows Security Events via AMA、構造化機器ログは CEF via AMA、一般 Syslog は Syslog via AMA で取り込む。
前提: データ収集規則（DCR）
Sentinel 分析ルールのタイプ
スケジュール（柔軟な KQL を定期実行・大半の検知）、準リアルタイム（NRT・約1分間隔）、脅威インテリジェンス（取り込んだ IOC をログと照合）、機械学習（Fusion で多段階攻撃を相関）の4タイプ。平常からの逸脱を捉える異常（anomalies）も併用する。
攻撃ストーリー（インシデントグラフ）
Defender XDR で、多段階・多ドメイン・横移動を含む複雑な攻撃の侵入→横移動→持ち出しの連鎖を可視化する機能。エンティティ中心に全体像を素早く把握でき、Security Copilot の要約と併用する。
前提: Microsoft Defender XDR、インシデント管理と調査、Microsoft Security Copilot
Summary rules（Sentinel）
大量の生ログを事前に集約して小さな要約テーブルを作る Sentinel の仕組み。頻繁に使うクエリを高速・低コストに保つ。脅威を検知する分析ルールとは役割が異なる。
threat analytics（Defender XDR）
Microsoft のセキュリティリサーチが提供する脅威レポート。進行中キャンペーンや新しい攻撃手法について、影響を受けた資産・推奨対応・関連する検知/ハンティングクエリを示す。自組織が影響を受けているかを確認し能動的に探すのに使う。
データ収集規則（DCR）
Microsoft Sentinel/Azure Monitor で、どのソースから何を収集するかを定義する規則。Windows セキュリティイベントの収集に用い、多数のサーバーは Windows イベント転送（WEF）で集約してから送る構成もとれる。
UEBA と脅威インテリジェンス
UEBA（ユーザー/エンティティの行動分析）で平常からの逸脱を検知し、脅威インテリジェンス（IoC・MITRE ATT&CK）と突き合わせて高度な攻撃を特定する。
前提: 脅威防御と脅威インテリジェンス
診断設定
各リソースのログ・メトリックの送付先（Log Analytics ワークスペース／ストレージアカウント＝長期保管／Event Hub＝外部 SIEM 連携）を指定する構成。診断設定をしない限りリソースログは既定では集約されない点に注意（アクティビティログはサブスクリプション単位で自動記録される）。データ収集ルール（DCR）で収集対象や変換を細かく制御できる。
Microsoft Entra ID Protection
漏洩資格情報やあり得ない移動などからユーザーリスク/サインインリスクを算出し、条件付きアクセスと連携する。
調査パッケージ
Defender for Endpoint でデバイスからフォレンジック用の情報（プロセス一覧・ネットワーク接続・レジストリ・自動起動項目・ログ等）を一括収集する機能。ライブレスポンスの対話的操作と異なり、あらかじめ決まった項目を非対話でまとめて取得する調査用の一括収集操作。
前提: ライブレスポンス
Microsoft Defender for Cloud Apps
クラウドアプリの利用やシャドー IT を可視化・制御する CASB（クラウドアクセスセキュリティブローカー）。
OneDrive
個人のクラウドファイル保存と同期。自分のファイルを保管し必要に応じて共有する（SharePoint は組織共有）。
前提: SharePoint
自動アタックディスラプション
ランサムウェアや BEC など高信頼度で進行中の攻撃を検知した瞬間に、被害拡大を止める対応（侵害デバイスの隔離・侵害アカウントの無効化）を自動実行する Defender XDR の機能。XDR の横断シグナルで高確信度を得るため人手の承認を待たない。
KQL ジョブ（Data lake）
Data lake 階層の大量データに対し、対話実行ではなくバッチ的に大規模な KQL クエリを実行して結果を保存する仕組み。安価な Data lake で広く探索したいときに使う。
Sentinel Graph
Sentinel に集約された全社のデータをまたいで、エンティティ（ユーザー/デバイス/IP 等）間の関係をグラフとして分析する仕組み。単一テーブルの KQL では見えにくい横断的なつながりを明らかにする。
SOC 最適化（SOC optimization）
Microsoft Sentinel が「使われていない取り込みのコスト」と「脅威に対する検知カバレッジの穴」を分析し、データやルールの最適化を推奨する機能。コスト効率と検知カバレッジを継続改善する。
Windows Event Forwarding（WEF）
多数の Windows サーバーのイベントをコレクター（WEC）に転送して集約し、そこから AMA で Sentinel に取り込む構成。各サーバーに個別エージェントを入れる代わりに、規模に応じて集約してから収集する。
インシデント管理と調査
関連アラートをインシデントに相関付け、エンティティ・タイムライン・攻撃ストーリーで調査し、トリアージ→封じ込め→修復の対応を進める。
Microsoft Security Copilot
セキュリティ運用（SecOps）に生成 AI を活用するツール。ワークスペース（容量＝SCU）と権限・ロールで構成し、プラグインでデータソース/製品に接続、Microsoft/Security Store エージェントで SecOps タスクを半自律実行する。ユーザーの既存権限の範囲内で最小特権に統制する。