変更要約: SC-200 第2章を新規作成（ドメイン1中盤: Sentinel ロール/データ保持(Analytics・Data lake・XDR 階層)/ワークブック/SOC 最適化、データコネクタ選択/Windows Security Events via AMA/Azure Monitor Agent(AMA)/データ収集規則(DCR)/Windows Event Forwarding(WEF)、Syslog via AMA・CEF via AMA/Azure アクティビティ(リソース診断設定・Azure Policy)/脅威インジケータ(IOC・脅威インテリジェンスコネクタ)/カスタムログテーブル）。
2.2データコネクタと Windows イベントの収集
データソース要件に基づくデータコネクタの選択、Windows Security Events via AMA（データ収集規則 DCR）による収集、Windows Event Forwarding（WEF）の計画と構成を理解します。
SIEM は「正しいデータが入って初めて」機能します。アナリストは、各データソースに合った データコネクタ を選び、何をどれだけ集めるかを データ収集規則 で精密に設計します。
2.2.1データコネクタの選択
データコネクタ は、Microsoft 製品（Defender XDR・Entra ID・Defender for Cloud 等）・Azure・AWS/GCP・サードパーティ機器など、ソースごとに用意されています。アナリストはデータソース要件（何を検知/調査したいか、ログ形式）に基づきコネクタを選びます。Windows のセキュリティイベントを集めるには、Azure Monitor Agent（AMA） を使う Windows Security Events via AMA コネクタが標準です。
2.2.2AMA・DCR と WEF
Azure Monitor Agent（AMA） は旧 MMA/Log Analytics エージェントの後継で、収集対象を データ収集規則（DCR） で宣言的に定義します（例：すべての/監査ポリシー準拠/最小限の Windows セキュリティイベント）。多数のサーバーを集約する場合は Windows Event Forwarding（WEF） でイベントをコレクター（WEC）に転送し、そこから AMA で取り込む構成を計画します。「個々のサーバーにエージェントを入れる」か「WEF で集約してから集める」かを、規模で判断します。
決め手：「ソース要件に合う取り込み口を選ぶ」＝データコネクタ。「Windows セキュリティイベントを各サーバーから収集」＝Windows Security Events via AMA（収集対象は DCR で定義）。「多数のサーバーをまず集約してから取り込む」＝WEF（→WEC→AMA）。AMA は MMA/Log Analytics エージェントの後継。
混同に注意：
①AMA（エージェント）と DCR（何を集めるかの規則）を取り違えない。
②WEF は「サーバー集約の転送」、AMA は「Sentinel への取り込み」＝役割が違い、併用する。
③旧 MMA/Log Analytics エージェントは非推奨＝AMA を使う。
2.2.3この節のまとめ
- データソース要件に合うデータコネクタを選択。Windows セキュリティイベントは Windows Security Events via AMA
- AMA(エージェント・MMA後継)＋DCR(収集対象を宣言)で取り込む。多数サーバーは WEF で集約してから
- WEF(集約転送)と AMA(取り込み)は役割が違い併用する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多数の Windows サーバーのセキュリティイベントを、まず 1 か所に集約してから Sentinel に取り込みたい。最適なのはどれですか？
Q2. 個々のサーバーから Windows セキュリティイベントを Sentinel に収集する標準的な方法はどれですか？
Q3. AMA で「どのイベントをどれだけ集めるか」を宣言的に定義するものはどれですか？
Q4. AMA と DCR の関係として正しいのはどれですか？
Q5. 新規にエージェントを導入する際、非推奨で使うべきでないものはどれですか？