変更要約: SC-200 第1章を新規作成（ドメイン1前半: Defender XDR の通知/アラートチューニング(抑制)/相関、Defender for Endpoint(高度な機能/カスタムデータ収集/ASR ルール/デバイスグループ/権限/自動化レベル)、AIR(自動調査と応答)/アクションセンター/自動アタックディスラプション、Sentinel のオートメーションルール(宣言的トリアージ)/プレイブック(Logic Apps・SOAR)）。
1.3自動調査と応答・自動アタックディスラプション
Microsoft Defender XDR の自動調査と応答（AIR）機能の管理、自動アタックディスラプション（automatic attack disruption）の構成を理解します。
人手だけでは攻撃の速度に追いつけません。Defender XDR は、調査と封じ込めを自動化し、アナリストを判断に集中させます。本節では AIR と、進行中の攻撃を即座に止める 自動アタックディスラプション を学びます。
1.3.1自動調査と応答（AIR）
自動調査と応答（AIR） は、アラートをトリガーに自動で調査を実行し、影響を受けたエンティティを特定して、修復アクション（ファイル隔離・プロセス停止等）を提案/実行します。自動化レベル（前節）により、修復を自動承認するか、承認待ち（保留中のアクション） にするかが決まります。アナリストは アクションセンター で保留中の修復を承認/却下し、自動調査の結果をレビューします。
1.3.2自動アタックディスラプション
自動アタックディスラプション は、ランサムウェアや BEC（ビジネスメール詐欺）など高信頼度で進行中の攻撃を検知した瞬間に、被害拡大を止める対応を自動実行します＝侵害デバイスの隔離・侵害ユーザーアカウントの無効化など。XDR の横断シグナルにより高い確信度が得られるため、人手の承認を待たずに被害半径（blast radius）を抑えます。アナリストは中断後に詳細を調査し、必要なら手動で追加対応します。
決め手：「アラート起点で自動調査し修復を提案/実行・保留はアクションセンターで承認」＝AIR。「高信頼度で進行中の攻撃を即座に自動封じ込め（デバイス隔離/アカウント無効化）」＝自動アタックディスラプション。修復の自動/承認待ちは自動化レベルで制御。
混同に注意：
①AIR（アラート起点の自動調査/修復）と自動アタックディスラプション（高信頼度の進行中攻撃を即時封じ込め）は別機能。
②保留中の修復はアクションセンターで承認/却下。
③ディスラプションは XDR の横断シグナル前提＝単一製品では確信度が足りない。
1.3.3この節のまとめ
- AIR＝アラート起点で自動調査し修復を提案/実行。保留はアクションセンターで承認、自動/承認待ちは自動化レベル次第
- 自動アタックディスラプション＝高信頼度の進行中攻撃を即座に自動封じ込め（デバイス隔離/アカウント無効化）
- ディスラプションは XDR の横断シグナルで高確信度を得て blast radius を抑える
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ランサムウェアが進行中で、高信頼度の検知に基づき被害拡大を即座に止めたい（デバイス隔離やアカウント無効化を自動で）。最適なのはどれですか？
Q2. アラートをきっかけに自動で調査が走り、影響エンティティを特定して修復を提案した。重要サーバーのため修復は保留中になっている。承認はどこで行いますか？
Q3. 修復が自動承認されるか、人手の承認を待つかを決めるものはどれですか？
Q4. AIR と自動アタックディスラプションの違いとして正しいのはどれですか？
Q5. 自動アタックディスラプションが人手の承認を待たずに実行できる根拠として正しいのはどれですか？