変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.2Exposure Management と外部攻撃面（EASM）
Microsoft Security Exposure Management（攻撃パス・攻撃面の縮小・セキュリティインサイト・イニシアチブ）と Microsoft Defender External Attack Surface Management（Defender EASM）による posture 管理プロセスの要件と優先順位を理解します。
構成スコアだけでは「結局どこから侵入され、どこまで到達されるか」は分かりません。アーキテクトは攻撃者の視点で露出（exposure）を捉え、最も危険な経路から優先的に塞ぐプロセスを設計します。
4.2.1Security Exposure Management と攻撃パス
Microsoft Security Exposure Management は、ID・エンドポイント・クラウド・データの情報を統合し、攻撃パス（外部の入口から重要資産＝「crown jewels」までの到達経路）を可視化します。攻撃面の縮小（attack surface reduction）・セキュリティインサイト・イニシアチブ（テーマ別の改善目標）を通じて、「単発の構成ミス」ではなく「致命的な経路上のチョークポイント」を優先的に潰す posture プロセスを支えます。アーキテクトは「重要資産への到達経路を断つ優先順位」をここで定義します。
4.2.2Defender EASM：外部攻撃面の発見
組織は自分が把握していない外部資産（放置されたサブドメイン・期限切れ証明書・シャドー IT の公開ホスト）を抱えがちです。Microsoft Defender External Attack Surface Management（Defender EASM）は、インターネット側から組織の公開資産を継続的に発見・インベントリ化し、未知の露出を洗い出します。アーキテクトは「外部から見える攻撃面を継続的に把握/縮小したい」要件に Defender EASM を据えます。Exposure Management（内部からの攻撃パス）と EASM（外部からの資産発見）は補完的です。