変更要約: SC-200 第2章を新規作成（ドメイン1中盤: Sentinel ロール/データ保持(Analytics・Data lake・XDR 階層)/ワークブック/SOC 最適化、データコネクタ選択/Windows Security Events via AMA/Azure Monitor Agent(AMA)/データ収集規則(DCR)/Windows Event Forwarding(WEF)、Syslog via AMA・CEF via AMA/Azure アクティビティ(リソース診断設定・Azure Policy)/脅威インジケータ(IOC・脅威インテリジェンスコネクタ)/カスタムログテーブル）。
2.1Sentinel ロール・データ保持・SOC 最適化
Microsoft Sentinel のロール指定、XDR/Sentinel テーブルのデータ保持（Analytics・Data lake・XDR 階層）、ワークブックの作成、SOC 最適化（SOC optimization）の推奨を理解します。
Microsoft Sentinel は SOC の中枢となる SIEM です。アナリストは、誰が何をできるか（ロール）、ログをどの階層にどれだけ保持するか（コストと調査要件のバランス）、そして運用を継続改善する仕組みを設計します。
2.1.1ロールとデータ保持の階層
Sentinel ロール（Reader/Responder/Contributor 等）で最小権限を割り当てます。データは用途に応じて階層を選びます＝Analytics 階層（高頻度の検知/相互調査・短〜中期保持・高コスト）、Data lake 階層（大量データの長期・低コスト保管と後からの探索）、XDR 階層（Defender XDR のテーブル）。「リアルタイム検知に使う」なら Analytics、「監査/コンプラのため長期に安く保持」なら Data lake、と使い分けます。
2.1.2ワークブックと SOC 最適化
ワークブック（workbooks） は、取り込んだデータを可視化するダッシュボードで、サインイン傾向・検知のヒット・コネクタの健全性などを示します。SOC 最適化（SOC optimization） は、Sentinel が「無駄なコスト（使われていない取り込み）」と「カバレッジの穴（脅威に対する検知不足）」を分析し、データやルールの最適化を推奨します。アナリストはこれを使い、コスト効率と検知カバレッジを継続改善します。
決め手：「リアルタイム検知/相互調査に使う」＝Analytics 階層。「大量ログを長期に低コスト保管＋後から探索」＝Data lake 階層。「データの可視化ダッシュボード」＝ワークブック。「無駄な取り込み削減と検知カバレッジ穴の推奨」＝SOC 最適化。権限は Sentinel ロールで最小化。
混同に注意：
①Analytics 階層（高頻度検知・高コスト）と Data lake 階層（長期・低コスト）を取り違えない。
②ワークブック（可視化）と分析ルール（検知）は別。
③SOC 最適化は推奨を出すもので、適用はアナリストが判断する。
2.1.3この節のまとめ
- Sentinel ロールで最小権限。データ保持は Analytics(高頻度検知/高コスト)/Data lake(長期/低コスト)/XDR 階層を用途で選ぶ
- ワークブックで可視化、SOC 最適化で無駄な取り込み削減と検知カバレッジ穴を推奨
- Data lake は後からの探索向けの安価な長期保管
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 大量のログを監査/コンプラのため長期に低コストで保管し、必要時に後から探索したい。最適なデータ保持階層はどれですか？
Q2. リアルタイムの検知や頻繁な相互調査に使うログを置く階層はどれですか？
Q3. Sentinel が「使われていない取り込みのコスト」や「脅威に対する検知カバレッジの穴」を分析し最適化を推奨する機能はどれですか？
Q4. サインイン傾向やコネクタの健全性を可視化するダッシュボードを作りたい。最適なのはどれですか？
Q5. アナリストに Sentinel の最小権限を割り当てたい。最適なのはどれですか？