変更要約: SC-200 第1章を新規作成（ドメイン1前半: Defender XDR の通知/アラートチューニング(抑制)/相関、Defender for Endpoint(高度な機能/カスタムデータ収集/ASR ルール/デバイスグループ/権限/自動化レベル)、AIR(自動調査と応答)/アクションセンター/自動アタックディスラプション、Sentinel のオートメーションルール(宣言的トリアージ)/プレイブック(Logic Apps・SOAR)）。
1.4Sentinel のオートメーションルールとプレイブック
Microsoft Sentinel のオートメーションルールとプレイブック（Azure Logic Apps ベース）の作成と構成、SOAR によるインシデント対応の自動化を理解します。
Microsoft Sentinel は SIEM に SOAR（オーケストレーションと自動応答）を備えます。Defender XDR の自動化が「製品内」なのに対し、Sentinel の自動化は「全社のインシデント運用」を束ねます。
1.4.1オートメーションルール
オートメーションルール は、インシデントのトリアージを宣言的に自動化します＝条件（重大度・タイトル・タクティク等）に応じて、所有者の割当・重大度変更・タグ付け・ステータス変更・プレイブックの実行を行います。複数の分析ルールにまたがる共通処理を一元化でき、運用の一貫性を保ちます。
1.4.2プレイブック（Logic Apps）
プレイブック は Azure Logic Apps ベースの自動ワークフローで、外部システムと連携した一連の対応を実行します＝Teams/メール通知、チケット起票（ServiceNow 等）、ユーザー無効化、IP のブロックなど。オートメーションルールからトリガーする（推奨）か、アラート/インシデント作成時に直接トリガーします。アナリストは「反復的な一次対応を自動化し、平均対応時間（MTTR）を下げる」設計を作ります。
決め手：「インシデントのトリアージ（割当/重大度/タグ/ステータス）を宣言的に自動化」＝オートメーションルール。「外部連携を含む一連の自動対応（通知/起票/無効化/ブロック）」＝プレイブック（Logic Apps）。プレイブックはオートメーションルールからトリガーするのが推奨。
混同に注意：
①オートメーションルール（宣言的トリアージ）とプレイブック（Logic Apps の実行ワークフロー）を取り違えない。
②Sentinel の SOAR（全社運用）と Defender XDR の自動化（製品内 AIR）は別レイヤ。
③影響の大きい自動操作（一括無効化等）は承認/ガードを設計。
1.4.3この節のまとめ
- オートメーションルール＝インシデントのトリアージ（割当/重大度/タグ/ステータス/プレイブック実行）を宣言的に自動化
- プレイブック＝Logic Apps の自動ワークフロー。通知/起票/無効化/ブロック等を外部連携で実行（ルールからトリガー推奨）
- Sentinel SOAR（全社運用）と Defender XDR の AIR（製品内）は別レイヤ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 危険なインシデントを検知したら「ユーザー無効化→チケット起票→Teams 通知」を外部システム連携で自動実行したい。最適なのはどれですか？
Q2. インシデントを、重大度やタイトルの条件に応じて自動で担当者へ割当・タグ付け・ステータス変更したい。最適なのはどれですか？
Q3. プレイブックをトリガーする推奨方法はどれですか？
Q4. オートメーションルールとプレイブックの違いとして正しいのはどれですか？
Q5. Sentinel の SOAR と Defender XDR の AIR の関係として正しいのはどれですか？