変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.1Defender for Cloud による posture 管理
Microsoft Defender for Cloud（MCSB 含む）と Microsoft Secure Score による posture 評価、ハイブリッド/マルチクラウドの統合 posture、cloud workload protection（CWPP）の選定、Azure Arc によるハイブリッド/マルチクラウド統合を理解します。
インフラのセキュリティは 2 つの問い＝「構成は安全か（posture）」と「実行中の脅威を検知/防御できるか（workload protection）」に分けて考えます。Microsoft Defender for Cloud は両方を、Azure だけでなく AWS/GCP/オンプレ まで一元的に担います。
4.1.1CSPM と Secure Score
クラウドセキュリティ posture 管理（CSPM）は、構成のミス（公開ストレージ・暗号化無効・過剰権限など）を継続的に評価します。Defender for Cloud は MCSB を既定ベンチマークに環境を採点し、Secure Score（Defender for Cloud のインフラ posture スコア）として改善の優先順位を示します。アーキテクトは「クラウド構成のリスクを継続的に測り、優先順位を付けて下げたい」要件にこれを据えます。Defender CSPM プランでは attack path 分析 や agentless スキャンなど高度な分析も加わります。
4.1.2CWPP と Azure Arc
cloud workload protection（CWPP）は、実行中のワークロード（サーバ・コンテナ・ストレージ・データベース等）の脅威を検知/防御するプランです（Defender for Servers/Containers/Storage/Databases など）。Azure 外のサーバや他クラウドを同じ管理下に置くには Azure Arc でオンボードし、Arc 対応サーバに Defender や Azure Policy を適用します。アーキテクトは「オンプレと AWS/GCP のサーバも、Azure と同じ posture/保護で一元管理したい」要件に Arc＋Defender for Cloud を組み合わせます。
決め手：「構成ミスを継続評価・優先順位付け」＝CSPM（Secure Score）。「実行中ワークロードの脅威検知/防御」＝CWPP（Defender for Servers/Containers/Storage/Databases）。「オンプレ/他クラウドのサーバを Azure と同じ管理下に」＝Azure Arc。「クラウド構成の規制整合」＝規制コンプライアンスダッシュボード。
混同に注意：
①CSPM（構成 posture）と CWPP（実行時保護）は別レイヤ＝両方要る。
②Secure Score（Defender for Cloud＝インフラ posture）と Microsoft Secure Score（Defender XDR＝ID/M365 posture）を取り違えない。
③Arc は「マルチクラウドの管理土台」＝それ自体は脅威検知ではない（検知は Defender プラン）。
4.1.3この節のまとめ
- CSPM＝構成ミスを MCSB で継続評価し Secure Score で優先順位付け。Defender CSPM は attack path 分析も
- CWPP＝実行中ワークロードの脅威検知/防御（Servers/Containers/Storage/Databases）
- Azure Arc＝オンプレ/AWS/GCP を Azure と同じ posture/保護/ポリシーの管理下に統合
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. クラウドの構成ミス（公開ストレージ・暗号化無効等）を継続的に評価し、改善を優先順位付けして可視化したい。最適なのはどれですか？
Q2. オンプレと AWS のサーバを、Azure と同じ posture 評価・Defender 保護・Azure Policy の管理下に置きたい。最適なのはどれですか？
Q3. 実行中の VM・コンテナ・ストレージ・データベースに対する脅威の検知/防御を有効化したい。これはどの種類のプランですか？
Q4. Secure Score（Defender for Cloud）と Microsoft Secure Score（Defender XDR）の違いとして正しいのはどれですか？
Q5. インフラのセキュリティを「構成の安全性」と「実行時の脅威防御」に分けたとき、両者を一元的に担う製品はどれですか？