変更要約: SC-200 第1章を新規作成（ドメイン1前半: Defender XDR の通知/アラートチューニング(抑制)/相関、Defender for Endpoint(高度な機能/カスタムデータ収集/ASR ルール/デバイスグループ/権限/自動化レベル)、AIR(自動調査と応答)/アクションセンター/自動アタックディスラプション、Sentinel のオートメーションルール(宣言的トリアージ)/プレイブック(Logic Apps・SOAR)）。
1.1Defender XDR の通知とアラートの調整
Microsoft Defender XDR のメール通知（インシデント/アクション/threat analytics）とアラート通知の設定、アラートのチューニング・抑制・相関を理解します。
SOC アナリストの最初の仕事は「正しいシグナルを、正しい人に、ノイズなく届ける」ことです。Microsoft Defender XDR は、ID/エンドポイント/メール/SaaS のアラートを相関しインシデント化します。本節では通知とアラート品質の運用を設計します。
1.1.1通知の設定
メール通知 は、新規インシデント・実行されたアクション（自動修復等）・threat analytics（脅威レポート）について、対象者へ送ります。重大度・デバイスグループ・受信者を絞り、運用に合った通知を設計します。アラート自体の通知もチューニング対象で、過剰な通知は「アラート疲れ」を生むため、優先度の高いものに集中させます。
1.1.2アラートのチューニング・抑制・相関
誤検知や既知の良性アクティビティには アラートチューニング（旧アラート抑制ルール）を作り、条件に合うアラートを自動的に解決/抑制します。相関（correlation） は、関連する複数のアラートを 1 つの インシデント に束ね、攻撃の全体像を 1 件として扱えるようにします。アナリストは「ノイズを下げつつ本物の脅威を見逃さない」バランスを、抑制条件の精度で実現します。
決め手：「新規インシデント/実行アクション/脅威レポートを担当者へメール」＝Defender XDR のメール通知。「誤検知/既知良性を自動解決」＝アラートチューニング（抑制）。「関連アラートを1件にまとめる」＝相関→インシデント。過剰通知は絞ってアラート疲れを防ぐ。
混同に注意：
①メール通知（誰に知らせるか）とアラートチューニング（何を抑制するか）は別設定。
②抑制は広すぎると本物を見逃す＝条件を厳密に。
③相関でインシデント化されるため、個々のアラートでなくインシデント単位で対応する。
1.1.3この節のまとめ
- Defender XDR のメール通知＝新規インシデント/実行アクション/threat analytics を対象者へ。重大度/デバイスグループで絞る
- アラートチューニング（抑制）で誤検知/既知良性を自動解決、相関で関連アラートをインシデント化
- 過剰通知はアラート疲れの元＝優先度の高いものに集中
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 特定の既知の良性アクティビティが繰り返しアラートを生成し、SOC のノイズになっている。最適な対処はどれですか？
Q2. 新しいインシデントや自動修復アクション、脅威レポートを担当チームにメールで知らせたい。最適なのはどれですか？
Q3. 複数の関連アラートが 1 件のインシデントにまとめられている理由として正しいのはどれですか？
Q4. アラート抑制ルールを設計する際の注意として最も適切なのはどれですか？
Q5. メール通知とアラートチューニングの違いとして正しいのはどれですか？