変更要約: SC-100 第4章を新規作成（ドメイン3「インフラのセキュリティ設計」: Defender for Cloud(CSPM/CWPP)/Secure Score/MCSB/Azure Arc/マルチクラウド posture、Security Exposure Management(攻撃パス/attack surface reduction/イニシアチブ)/Defender EASM、サーバ/エンドポイント(ベースライン/Defender for Endpoint/Intune/Windows LAPS)/OT・ICS・IoT(Defender for IoT)/コンテナ(Defender for Containers)/Azure AI services security、ネットワーク(マイクロセグメンテーション/Private Link/Azure Bastion)/SSE(Entra Internet Access/Entra Private Access/Global Secure Access)）。
4.2Exposure Management と外部攻撃面（EASM）
Microsoft Security Exposure Management（攻撃パス・攻撃面の縮小・セキュリティインサイト・イニシアチブ）と Microsoft Defender External Attack Surface Management（Defender EASM）による posture 管理プロセスの要件と優先順位を理解します。
構成スコアだけでは「結局どこから侵入され、どこまで到達されるか」は分かりません。アーキテクトは攻撃者の視点で露出（exposure）を捉え、最も危険な経路から優先的に塞ぐプロセスを設計します。
4.2.1Security Exposure Management と攻撃パス
Microsoft Security Exposure Management は、ID・エンドポイント・クラウド・データの情報を統合し、攻撃パス（外部の入口から重要資産＝「crown jewels」までの到達経路）を可視化します。攻撃面の縮小（attack surface reduction）・セキュリティインサイト・イニシアチブ（テーマ別の改善目標）を通じて、「単発の構成ミス」ではなく「致命的な経路上のチョークポイント」を優先的に潰す posture プロセスを支えます。アーキテクトは「重要資産への到達経路を断つ優先順位」をここで定義します。
4.2.2Defender EASM：外部攻撃面の発見
組織は自分が把握していない外部資産（放置されたサブドメイン・期限切れ証明書・シャドー IT の公開ホスト）を抱えがちです。Microsoft Defender External Attack Surface Management（Defender EASM）は、インターネット側から組織の公開資産を継続的に発見・インベントリ化し、未知の露出を洗い出します。アーキテクトは「外部から見える攻撃面を継続的に把握/縮小したい」要件に Defender EASM を据えます。Exposure Management（内部からの攻撃パス）と EASM（外部からの資産発見）は補完的です。
決め手：「入口から重要資産への到達経路（攻撃パス）を可視化し優先的に断つ」＝Security Exposure Management。「インターネット側から未知の公開資産を発見/インベントリ化」＝Defender EASM。「単発構成ミスの評価/スコア」＝CSPM（Secure Score・前節）。
混同に注意：
①Exposure Management（攻撃パス＝内部からの到達経路）と EASM（外部資産の発見）は別観点＝補完する。
②EASM は脆弱性を「直す」ものではなく「未知の露出を見つける」発見ツール。
③攻撃パスの優先順位は単一スコアより「重要資産への到達可否」で判断する。
4.2.3この節のまとめ
- Security Exposure Management＝攻撃パスを可視化し、重要資産への到達経路のチョークポイントを優先的に断つ
- Defender EASM＝インターネット側から未知の公開資産を発見/インベントリ化し外部攻撃面を縮小
- 両者は補完（内部からの到達経路＋外部からの資産発見）。CSPM の単発評価と役割が違う
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 外部の入口から重要資産（crown jewels）への到達経路を可視化し、致命的な経路から優先的に塞ぎたい。最適なのはどれですか？
Q2. 把握していない外部公開資産（放置サブドメイン・期限切れ証明書等）をインターネット側から継続的に発見したい。最適なのはどれですか？
Q3. Exposure Management と Defender EASM の関係として正しいのはどれですか？
Q4. posture 管理プロセスの優先順位付けとして最も適切な考え方はどれですか？
Q5. Defender EASM の役割として正しいのはどれですか？