変更要約: AZ-500 第4章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
4.2Microsoft Sentinel（SIEM / SOAR）
クラウドネイティブな SIEM（セキュリティ情報イベント管理） かつ SOAR（自動対応） である Microsoft Sentinel を理解します。データコネクタで広く収集し、分析ルールで脅威を検知、プレイブックで自動対応します。
個々のログを見るだけでは、組織全体の攻撃を把握しきれません。Sentinel は多数のソースを横断して相関分析・検知・調査・自動対応を行うクラウド SIEM/SOAR です。
4.2.1Sentinel の構成要素
- データコネクタ：Entra・Microsoft 365・Defender・他クラウド/オンプレなど多様なソースを取り込む。
- 分析ルール：取り込んだログを相関して脅威を検知し、インシデントを生成する。
- 調査/ハンティング：インシデントのエンティティ相関や、KQL での能動的な脅威ハンティングを行う。
- プレイブック：Logic Apps による自動対応（SOAR）。通知・チケット起票・隔離などを自動化する。
「クラウドネイティブな SIEM＝Microsoft Sentinel」「多様なソースを取り込む＝データコネクタ」「相関して検知しインシデント化＝分析ルール」「自動対応（SOAR）＝プレイブック（Logic Apps）」 は AZ-500 で頻出です。Sentinel は Log Analytics ワークスペース上で動く点も押さえましょう。
Defender for Cloud がリソースの「態勢と保護」を担うのに対し、Sentinel は組織横断の「検知・調査・対応（SIEM/SOAR）」を担います。両者は補完関係です。
分析ルールにはいくつか種類があります。スケジュールクエリルール は KQL を定期実行してインシデントを作り、Microsoft セキュリティ ルールは Defender 系アラートをそのまま Sentinel のインシデントに昇格、Fusion は機械学習で複数の弱いシグナルを相関し多段攻撃を検知、異常検知（UEBA） はユーザー/エンティティの振る舞いから逸脱を見つけます。取り込みコストは課金に直結するため、生ログをそのまま入れず DCR（データ収集規則） や基本（Basic）ログ層で取り込み前にフィルタ/分類するのが実務的です。脅威の文脈づけには 脅威インテリジェンス コネクタ（TI フィード）や ウォッチリスト を使い、検知の網羅性は MITRE ATT&CK のマッピングで可視化します。SOAR の自動化は オートメーションルール（インシデント発生時の振り分け・タグ付け・担当割当）と、それが呼び出す プレイブック（Logic Apps の具体的なアクション）の二段構えで設計します。
| 役割 | Defender for Cloud | Microsoft Sentinel |
|---|---|---|
| 主目的 | 態勢管理＋ワークロード保護（CSPM/CWP） | 検知・調査・対応（SIEM/SOAR） |
| 対象範囲 | Azure/マルチクラウドのリソース | 組織横断（多様なソース） |
| 自動対応 | ワークフロー自動化（一部） | プレイブック（Logic Apps） |
シナリオ： 不審なサインインを検知したら、当該ユーザーを自動で一時無効化し SOC に通知したい。→ Sentinel の分析ルールで条件を定義してインシデント化し、オートメーションルールから Entra ID のユーザー無効化と Teams 通知を行うプレイブック（Logic Apps）を呼び出します。誤検知に備え、まずは通知のみで運用検証してから無効化を有効にします。
FAQ： Q. Sentinel は Log Analytics と別物ですか？ → A. Sentinel は Log Analytics ワークスペース上で動く機能群です。取り込んだログは同じワークスペースに入り、KQL で扱えます。Q. 取り込みコストを抑えるには？ → A. DCR や基本ログ層で取り込み前にフィルタし、不要な詳細ログは Storage アーカイブへ回します。
ひっかけ： 「プレイブック自体が脅威を検知する」は誤りです。検知は分析ルール（インシデント生成）の役割で、プレイブックはその後の自動対応（SOAR）を担います。また「Sentinel は Defender for Cloud の代わり」も誤り（態勢・保護は Defender、横断的な検知/対応は Sentinel で補完関係）。
4.2.2この節のまとめ
- Sentinel＝クラウド SIEM/SOAR（コネクタ→分析ルール→インシデント→プレイブック）
- SOAR の自動対応＝プレイブック（Logic Apps）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多様なソースのログを横断して相関分析し、脅威の検知・調査・自動対応を行うクラウドネイティブな SIEM/SOAR はどれですか？
Q2. Sentinel で検知したインシデントに対する自動対応（通知・隔離・チケット起票など）を実装するものはどれですか？
Q3. Sentinel に多様なソース（Entra・Microsoft 365・Defender 等）のログを取り込むために構成するものはどれですか？