変更要約: MS-102 第3章を新規作成（ドメイン: Defender XDR 前半）。Defender XDR の調査と対応（Security Exposure Management/Secure Score の事前姿勢・インシデント=複数アラートの相関とトリアージ・advanced hunting KQL・Defender Threat Intelligence）、Defender for Office 365（脅威ポリシー anti-phishing/spam/malware・Safe Attachments 添付爆破/Safe Links URLクリック時再評価・アラートポリシー・Threat Explorer 調査・攻撃シミュレーション トレーニング・restricted entities 解除）。
3.2Defender for Office 365
脅威ポリシー（anti-phishing / anti-spam / anti-malware）、Safe Attachments と Safe Links、アラート ポリシー、Threat Explorer によるメール/コラボ脅威の調査、攻撃シミュレーション トレーニング、restricted entities を理解します。
Microsoft Defender for Office 365 はメール/コラボの 脅威保護 を担います。入口での防御、調査、ユーザー教育、事後対応 を組み合わせます。
3.2.1脅威ポリシーと Safe Attachments/Links
脅威ポリシー には anti-phishing（なりすまし/偽装の検出）・anti-spam・anti-malware があります。Safe Attachments は 添付ファイルをサンドボックスで実行（爆破） して未知のマルウェアを検出し、Safe Links は URL をクリック時に再評価 して悪意あるリンクをブロックします（時間差で武器化されるリンクにも有効）。「添付」なら Safe Attachments、「リンク/URL」なら Safe Links と覚えます。
3.2.2調査・教育・事後対応
アラート ポリシー で疑わしいアクティビティに通知を設定し、Threat Explorer（Explorer） で実際に届いた メール/コラボ脅威を調査（検出された脅威・配信状況・修復）します。攻撃シミュレーション トレーニング は 擬似フィッシングを送ってユーザーを訓練（教育目的で、実脅威の調査とは別）します。restricted entities は、スパム送信などで 送信を制限されたユーザー を確認し、原因に対処してから 制限を解除 します。
決め手：「添付をサンドボックス爆破」＝Safe Attachments。「URLをクリック時再評価」＝Safe Links。「なりすまし検出」＝anti-phishing。「届いた脅威メールの調査」＝Threat Explorer。「擬似フィッシングでユーザー訓練」＝攻撃シミュレーション。「送信制限されたユーザーの解除」＝restricted entities。
混同に注意：
①Safe Attachments(添付)とSafe Links(URL)を取り違えない。
②攻撃シミュレーション(教育の擬似フィッシング)と実脅威の調査(Threat Explorer)は目的が別。
③restricted entities(送信制限の解除)とConditional Access(サインイン制御)は別。
④anti-phishing/spam/malwareは脅威ポリシーの種類。
3.2.3この節のまとめ
- 脅威ポリシー=anti-phishing/spam/malware・Safe Attachments=添付爆破・Safe Links=URLクリック時再評価
- Threat Explorerで届いた脅威を調査・アラートポリシーで通知
- 攻撃シミュレーションはユーザー訓練・restricted entitiesは送信制限ユーザーの解除
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 受信メールの添付ファイルを安全な環境で実行して、未知のマルウェアを検出してからユーザーに届けたい。最適なのはどれですか？
Q2. メール内の URL を、ユーザーがクリックした瞬間に再評価して悪意あるサイトをブロックしたい。最適なのはどれですか？
Q3. 従業員のフィッシング耐性を高めるため、擬似的なフィッシング メールを送って結果に応じたトレーニングを割り当てたい。最適なのはどれですか？
Q4. アカウントが侵害されスパムを大量送信したため送信をブロックされたユーザーがいる。原因対処後に制限を解除したい。最適なのはどれですか？
Q5. 実際にテナントに届いたフィッシング メールの配信状況と影響範囲を調べ、必要なら一括で修復（削除）したい。最適なのはどれですか？