変更要約: SC-200 第1章を新規作成（ドメイン1前半: Defender XDR の通知/アラートチューニング(抑制)/相関、Defender for Endpoint(高度な機能/カスタムデータ収集/ASR ルール/デバイスグループ/権限/自動化レベル)、AIR(自動調査と応答)/アクションセンター/自動アタックディスラプション、Sentinel のオートメーションルール(宣言的トリアージ)/プレイブック(Logic Apps・SOAR)）。
1.2Defender for Endpoint の構成と ASR
Microsoft Defender for Endpoint の高度な機能、ルール設定、カスタムデータ収集、攻撃面の減少（ASR）ルールを含むセキュリティポリシー、デバイスグループ・権限・自動化レベルの構成を理解します。
Microsoft Defender for Endpoint（DfE）は、エンドポイントの検知/対応（EDR）の中核です。SOC アナリストは、検知の質と自動対応の範囲を、ポリシーとデバイスグループで設計します。
1.2.1高度な機能と ASR ルール
DfE の 高度な機能（自動調査・ライブレスポンス・ブロック許可リスト等）を有効化し、検知に必要な カスタムデータ収集 を設定します。攻撃面の減少（ASR）ルール は、ランサムウェアや悪用の常套手段（Office の子プロセス生成・難読化スクリプト・資格情報窃取等）をブロックする予防的な設定です。アナリストは ASR を「監査モードで影響確認 → ブロックモードで適用」と段階的に展開し、誤検知を抑えます。
1.2.2デバイスグループ・権限・自動化レベル
デバイスグループ でデバイスを分類し、グループごとに 権限（RBAC） と 自動化レベル を変えます。自動化レベルは「修復を自動承認するか、人手の承認を待つか」を決めます＝重要サーバーは 半自動（承認待ち）、一般端末は 完全自動 のように、リスクに応じて設計します。これにより、自動調査と応答（AIR・次節）の影響範囲を制御します。
決め手：「ランサム等の常套手段を予防的にブロック」＝ASR ルール（監査→ブロックの段階展開）。「デバイスごとに権限と自動修復の範囲を変える」＝デバイスグループ＋自動化レベル。「重要サーバーは承認待ち」＝半自動、「一般端末は自動」＝完全自動。
混同に注意：
①ASR ルール（予防的ブロック）と検知ルール（検知）は別。
②ASR はいきなりブロックせず監査モードで影響を確認。
③自動化レベルはデバイスグループ単位＝重要資産は承認待ちにして誤修復の被害を抑える。
1.2.3この節のまとめ
- DfE の高度な機能/カスタムデータ収集を有効化。ASR ルールで常套手段を予防的にブロック（監査→ブロック）
- デバイスグループごとに権限（RBAC）と自動化レベルを設定（重要資産=半自動、一般=完全自動）
- 自動化レベルが AIR の自動修復範囲を制御する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ランサムウェアの常套手段（Office アプリからの子プロセス生成や資格情報窃取）を予防的にブロックしたい。最適なのはどれですか？
Q2. 重要サーバーでは自動修復を承認待ちにし、一般端末では完全自動にしたい。最適なのはどれですか？
Q3. ASR ルールを本番適用する前に、業務への影響を確認したい。最適な手順はどれですか？
Q4. デバイスグループの主な用途として正しいのはどれですか？
Q5. ASR ルールと検知ルールの違いとして正しいのはどれですか？