変更要約: MS-102 第3章を新規作成（ドメイン: Defender XDR 前半）。Defender XDR の調査と対応（Security Exposure Management/Secure Score の事前姿勢・インシデント=複数アラートの相関とトリアージ・advanced hunting KQL・Defender Threat Intelligence）、Defender for Office 365（脅威ポリシー anti-phishing/spam/malware・Safe Attachments 添付爆破/Safe Links URLクリック時再評価・アラートポリシー・Threat Explorer 調査・攻撃シミュレーション トレーニング・restricted entities 解除）。
3.1Defender XDR の調査と対応
Microsoft Security Exposure Management と Secure Score による姿勢評価、Defender XDR のインシデントとアラートのトリアージ、advanced hunting（KQL）、Microsoft Defender Threat Intelligence を理解します。
セキュリティ運用は「事前の姿勢を高める」層と「事後に検知・対応する」層に分かれます。Microsoft Defender XDR は複数の Defender 製品のシグナルを 統合 します。
3.1.1露出管理と Secure Score
Microsoft Security Exposure Management は組織の 攻撃面/露出 を可視化し、重要資産への攻撃経路を把握します。Microsoft Secure Score は構成上の 推奨改善アクションをスコア化 し、優先度づけて姿勢を底上げします。どちらも「まだ侵害される前に弱点を減らす」事前の姿勢管理であり、発生したインシデント対応とは層が異なります。
3.1.2インシデントとアラート
Defender XDR のインシデント は、関連する 複数のアラートを 1 つの攻撃ストーリーに相関 した単位です。アナリストは インシデントをトリアージ し、影響範囲（デバイス・ユーザー・メールボックス）を確認して対応（自動修復の承認、デバイス隔離など）します。個々の アラート は単一の検知で、インシデントはそれらをまとめた上位概念です。
3.1.3advanced hunting と Threat Intelligence
advanced hunting は KQL（Kusto 照会言語） で raw のテレメトリ（デバイス・メール・サインイン等）を 能動的に探索 し、未検知の脅威やカスタム検出を作ります。Microsoft Defender Threat Intelligence は 脅威アクター・IOC・脅威分析レポート など外部脅威情報を提供し、観測した痕跡を既知の攻撃と突き合わせます。advanced hunting＝自分で探す照会、Threat Intelligence＝既知の脅威情報、と役割が違います。
決め手：「攻撃面/露出と攻撃経路の可視化」＝Exposure Management。「構成改善の推奨スコア」＝Secure Score。「複数アラートを1つに相関した対応単位」＝インシデント。「KQLで能動的に脅威を探索」＝advanced hunting。「脅威アクター/IOC/脅威分析」＝Defender Threat Intelligence。
混同に注意：
①Exposure Management/Secure Score(事前の姿勢)とインシデント/アラート(事後の検知対応)を取り違えない。
②インシデント(相関した攻撃ストーリー)と単一アラートは粒度が別。
③advanced hunting(自分で書くKQL照会)とThreat Intelligence(提供される脅威情報)は別物。
3.1.4この節のまとめ
- Exposure Management=攻撃面/露出・Secure Score=推奨改善スコア(事前の姿勢)
- インシデントは複数アラートを相関した対応単位・トリアージして対応
- advanced hunting=KQLで能動探索・Threat Intelligence=脅威アクター/IOC/脅威分析
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 複数の関連アラートが 1 つの攻撃として相関され、影響範囲をまとめて調査・対応できる単位はどれですか？
Q2. raw のテレメトリに対して KQL で独自のクエリを書き、まだ検知されていない脅威を能動的に探索したい。最適なのはどれですか？
Q3. まだ侵害される前に、構成上の弱点を優先度づけて改善し全体のセキュリティ姿勢を底上げしたい。最適なのはどれですか？
Q4. 観測した IP やハッシュなどの痕跡を、既知の脅威アクターや脅威分析レポートと突き合わせたい。最適なのはどれですか？
Q5. 組織の攻撃面と重要資産への攻撃経路を可視化し、どこが露出しているかを把握したい。最適なのはどれですか？