変更要約: SC-100 第2章を新規作成（ドメイン2 前半「セキュリティ運用」: Defender XDR/Sentinel(SIEM)/XDR＋SIEM 統合/Defender for Endpoint・Identity・Office 365・Cloud Apps、SOAR/オートメーションルール/プレイブック(Logic Apps)/脅威ハンティング(KQL)/UEBA、集中ログ/Microsoft Purview Audit(Standard・Premium)/マルチクラウド監視/保持と分離、MITRE ATT&CK(Enterprise/Mobile/ICS)/検知カバレッジ/インシデント対応ワークフロー）。
2.3集中ログ・監査と多環境の監視
Microsoft Purview Audit を含む集中ログと監査、ハイブリッド/マルチクラウドを支える監視設計、ログの取り込み・保持・分離の考え方を理解します。
検知・対応・調査・コンプライアンスはすべて「信頼できるログ」が前提です。アーキテクトは「何を・どこに・どれだけの期間・誰が改ざんできない形で」記録するかを設計します。
2.3.1Microsoft Purview Audit
Microsoft Purview Audit は、Microsoft 365/Entra のユーザー/管理者操作の監査ログを集中的に記録します。Audit (Standard) は基本的な記録、Audit (Premium) は長期保持（既定で延長）と、侵害調査に重要な高価値イベント（例：メール項目へのアクセス＝MailItemsAccessed）を提供します。アーキテクトは「インシデント後にどこまで遡って何が起きたかを追える状態」を要件に、Purview Audit の適切なレベルと保持を設計します。
2.3.2ハイブリッド/マルチクラウドの監視
監視は Microsoft 環境にとどまりません。Microsoft Sentinel のデータコネクタで AWS（CloudTrail/GuardDuty）・GCP・オンプレ機器のログを取り込み、全社で相関します。インフラの構成リスクは Microsoft Defender for Cloud がマルチクラウドで評価し、脅威は Defender XDR/Sentinel が検知します。アーキテクトは「ログの保持期間（コストと調査要件のバランス）」「本番から分離した改ざん耐性のある保管」「規制が要求する保持」を設計判断として整理します。
決め手：「M365/Entra の操作監査・侵害調査用の高価値イベント・長期保持」＝Purview Audit（Premium）。「AWS/GCP/オンプレも集めて相関」＝Sentinel コネクタ。「クラウド構成の posture をマルチクラウドで評価」＝Defender for Cloud。
混同に注意：
①Purview Audit（操作の監査ログ）と Sentinel（SIEM の相関/検知）は補完関係＝役割が違う。
②ログは「取得」だけでなく改ざん耐性・分離・保持期間まで設計する。
③コンプライアンスの保持要件と調査の実用性（コスト）を両立させる。
2.3.3この節のまとめ
- Purview Audit＝M365/Entra の操作監査。Premium は長期保持＋侵害調査用の高価値イベント
- マルチクラウド監視＝Sentinel コネクタで AWS/GCP/オンプレを集約、Defender for Cloud で構成 posture を評価
- ログは改ざん耐性・本番から分離・規制の保持要件まで設計する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 侵害調査でメール項目へのアクセス（MailItemsAccessed）など高価値イベントを長期に追えるようにしたい。最適なのはどれですか？
Q2. AWS の CloudTrail とオンプレのファイアウォールのログを、Microsoft 365 のシグナルと併せて相関したい。最適なのはどれですか？
Q3. クラウドインフラの構成リスク（posture）を AWS/GCP も含めて評価したい。最適なのはどれですか？
Q4. 集中ログ設計で最も重要な考慮はどれですか？
Q5. Purview Audit と Microsoft Sentinel の関係として正しいのはどれですか？