変更要約: SC-100 第2章を新規作成（ドメイン2 前半「セキュリティ運用」: Defender XDR/Sentinel(SIEM)/XDR＋SIEM 統合/Defender for Endpoint・Identity・Office 365・Cloud Apps、SOAR/オートメーションルール/プレイブック(Logic Apps)/脅威ハンティング(KQL)/UEBA、集中ログ/Microsoft Purview Audit(Standard・Premium)/マルチクラウド監視/保持と分離、MITRE ATT&CK(Enterprise/Mobile/ICS)/検知カバレッジ/インシデント対応ワークフロー）。
2.1XDR と SIEM による検知と対応
Microsoft Defender XDR（ID/エンドポイント/メール/SaaS の横断的な検知応答）と Microsoft Sentinel（クラウドネイティブ SIEM）の役割分担、両者を統合した検知応答（XDR＋SIEM）、ハイブリッド/マルチクラウド監視の設計を理解します。
セキュリティ運用（SecOps）の中核は「素早く検知し、素早く対応する」ことです。Microsoft は 2 つの補完的な製品を提供します＝領域横断で深く検知応答する Microsoft Defender XDR と、全ソースを集約し相関する SIEM の Microsoft Sentinel です。アーキテクトは両者の役割を取り違えず、統合した SOC を設計します。
2.1.1Microsoft Defender XDR：領域横断の検知応答
Microsoft Defender XDR（旧 Microsoft 365 Defender）は、Defender for Endpoint（端末）・Defender for Identity（オンプレ AD/ID）・Defender for Office 365（メール/コラボ）・Defender for Cloud Apps（SaaS）のシグナルを自動相関し、点在するアラートを 1 つの インシデント にまとめます。アーキテクトは「攻撃の連鎖を横断で可視化したい」「アラート疲れを減らしたい」要件に XDR を選びます。XDR は Microsoft エコシステム内の深い検知応答に強みがあります。
2.1.2Microsoft Sentinel：クラウドネイティブ SIEM
Microsoft Sentinel は、Microsoft 製品だけでなく AWS/GCP・オンプレ機器・サードパーティ（ファイアウォール等）のログまであらゆるソースを集約する SIEM です。データコネクタで取り込み、分析ルールで検知し、長期保管と全社横断のハンティングを可能にします。「組織全体・マルチクラウド・サードパーティを含めて集中監視/相関したい」要件には Sentinel を選びます。XDR は Sentinel のコネクタ経由でインシデントを取り込めるため、両者は競合でなく階層（XDR＝深い領域横断、Sentinel＝全社の集約）です。
決め手：「Microsoft の端末/ID/メール/SaaS を横断で深く検知・自動相関」＝Defender XDR。「AWS/GCP・オンプレ・サードパーティも含め全社で集約/相関/長期保管」＝Sentinel（SIEM）。多くの設計は「XDR を Sentinel に接続」して両取りする。
混同に注意：
①XDR≠SIEM。XDR は領域横断の検知応答、SIEM（Sentinel）は全ソース集約/相関。
②Defender XDR と Defender for Cloud（クラウドインフラの posture/CWPP）は別物。
③「サードパーティのログも取り込みたい」なら XDR 単独では不足＝Sentinel。
2.1.3この節のまとめ
- Defender XDR＝端末/ID/メール/SaaS のシグナルを自動相関しインシデント化（領域横断の検知応答）
- Sentinel＝クラウドネイティブ SIEM。AWS/GCP・オンプレ・サードパーティも集約/相関/長期保管
- 多くの設計は XDR を Sentinel に接続＝深い領域横断＋全社集約の両取り
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. AWS/GCP・オンプレ機器・サードパーティのファイアウォールも含め、全社のログを集約・相関し長期保管したい。最適なのはどれですか？
Q2. 端末・ID・メール・SaaS にまたがる攻撃の連鎖を自動相関し、1 つのインシデントとして可視化したい。最適なのはどれですか？
Q3. Defender XDR と Sentinel を組み合わせる一般的な設計はどれですか？
Q4. オンプレ Active Directory に対する攻撃（横移動・Pass-the-Hash 等）の検知を担う Defender コンポーネントはどれですか？
Q5. XDR と SIEM の違いとして正しいのはどれですか？