変更要約: SC-100 第2章を新規作成（ドメイン2 前半「セキュリティ運用」: Defender XDR/Sentinel(SIEM)/XDR＋SIEM 統合/Defender for Endpoint・Identity・Office 365・Cloud Apps、SOAR/オートメーションルール/プレイブック(Logic Apps)/脅威ハンティング(KQL)/UEBA、集中ログ/Microsoft Purview Audit(Standard・Premium)/マルチクラウド監視/保持と分離、MITRE ATT&CK(Enterprise/Mobile/ICS)/検知カバレッジ/インシデント対応ワークフロー）。
2.2SOAR とインシデント対応の自動化
Microsoft Sentinel と Defender XDR を用いた SOAR（オーケストレーションと自動応答）、オートメーションルールとプレイブック、インシデント対応・脅威ハンティング・インシデント管理のワークフロー設計、UEBA を理解します。
検知の次は「対応の速度と一貫性」です。アナリストの手作業に頼ると遅く、ばらつきます。SOAR（Security Orchestration, Automation and Response）は、対応を自動化された手順に落とし込み、人は判断に集中できるようにします。
2.2.1Sentinel の SOAR：ルールとプレイブック
Microsoft Sentinel は SOAR を オートメーションルール（インシデントのトリアージ/割当/タグ付け/抑制を宣言的に）と プレイブック（Azure Logic Apps ベースの自動ワークフロー）で実現します。例えば「危険なサインインを検知したらユーザーを無効化し、チケットを起票し、Teams へ通知する」を自動化します。アーキテクトは「反復的な一次対応を自動化し、平均対応時間（MTTR）を下げたい」要件に Sentinel の SOAR を設計します。Defender XDR 側にも自動調査と修復（自動対応）があり、両者を役割分担します。
2.2.2脅威ハンティングと UEBA
脅威ハンティング は、アラートを待たずに「侵害の仮説」を立て、クエリ（Sentinel の KQL ハンティングクエリやブックマーク）で能動的に探す活動です。UEBA（User and Entity Behavior Analytics）は、ユーザー/エンティティの平常からの逸脱を機械学習で検知し、内部脅威や乗っ取りの兆候を浮かび上がらせます。アーキテクトは「未知の脅威・内部不正を早期に見つけたい」要件に、ハンティングと UEBA を運用設計へ組み込みます。
決め手：「インシデントに自動で一連の対応（無効化/起票/通知）を実行」＝Sentinel プレイブック（Logic Apps）。「トリアージ/割当/抑制を宣言的に」＝オートメーションルール。「アラートを待たず能動的に探索」＝ハンティング（KQL）。「平常からの逸脱で内部脅威を検知」＝UEBA。
混同に注意：
①プレイブック（Logic Apps の自動ワークフロー）とオートメーションルール（インシデント運用の宣言的ルール）を取り違えない。
②SOAR は検知（SIEM/XDR）の後段＝検知そのものではない。
③自動対応は誤検知時の影響が大きい操作（一括無効化等）に承認/ガードを設計する。
2.2.3この節のまとめ
- SOAR＝対応の自動化。Sentinel はオートメーションルール（宣言的トリアージ）＋プレイブック（Logic Apps）で実現
- ハンティング＝アラートを待たず KQL で能動探索。UEBA＝平常からの逸脱で内部脅威/乗っ取りを検知
- Defender XDR の自動調査/修復と Sentinel SOAR を役割分担し MTTR を下げる
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 危険なサインイン検知時に「ユーザー無効化→チケット起票→Teams 通知」を自動実行したい。最適なのはどれですか？
Q2. インシデントのトリアージ・割当・重複抑制を、コードを書かず宣言的に自動化したい。最適なのはどれですか？
Q3. アラートを待たずに侵害の仮説を立て、KQL で能動的にログを探索したい。これはどの活動ですか？
Q4. 正規ユーザーの「平常からの逸脱」を機械学習で捉え、内部脅威やアカウント乗っ取りを検知したい。最適なのはどれですか？
Q5. SOAR の自動対応を設計する際の注意として最も適切なのはどれですか？