変更要約: SC-200 第2章を新規作成（ドメイン1中盤: Sentinel ロール/データ保持(Analytics・Data lake・XDR 階層)/ワークブック/SOC 最適化、データコネクタ選択/Windows Security Events via AMA/Azure Monitor Agent(AMA)/データ収集規則(DCR)/Windows Event Forwarding(WEF)、Syslog via AMA・CEF via AMA/Azure アクティビティ(リソース診断設定・Azure Policy)/脅威インジケータ(IOC・脅威インテリジェンスコネクタ)/カスタムログテーブル）。
2.3Syslog/CEF・Azure アクティビティ・脅威インジケータ
Syslog via AMA と Common Event Format（CEF）via AMA コネクタ、Azure アクティビティ（Azure Policy・リソース診断設定）の収集、脅威インジケータの取り込み、カスタムログテーブルの作成を理解します。
Windows 以外にも、ファイアウォールやプロキシなどのアプライアンス、Azure リソースのログ、外部の脅威情報まで集めて初めて全体が見えます。本節ではそれらの取り込み口を整理します。
2.3.1Syslog/CEF と Azure アクティビティ
ネットワーク機器やアプライアンスは Syslog を出します。構造化された Common Event Format（CEF） を出す機器（多くのファイアウォール等）は CEF via AMA、それ以外の一般的な Syslog は Syslog via AMA コネクタで取り込みます。Azure リソースの操作/メトリックは、リソース診断設定 で Log Analytics（Sentinel）へ送り、Azure Policy でその診断設定を全リソースに強制できます。「ファイアウォールの構造化ログ」＝CEF、「Azure リソースのログを一括で Sentinel へ」＝診断設定＋Azure Policy です。
2.3.2脅威インジケータとカスタムログテーブル
外部の 脅威インジケータ（threat indicators / IOC）（悪性 IP/ドメイン/ハッシュ等）を 脅威インテリジェンスコネクタ（TAXII・プラットフォーム連携・Defender TI）で取り込むと、分析ルールやハンティングで自社ログと照合できます。標準テーブルに収まらない独自ログは、ワークスペースに カスタムログテーブル を作って格納します。これにより、どんなソースでも検知/調査の対象にできます。
決め手：「ファイアウォール等の構造化ログ（CEF 形式）」＝CEF via AMA、「一般的な Syslog」＝Syslog via AMA。「Azure リソースのログを Sentinel へ・全リソースに強制」＝リソース診断設定＋Azure Policy。「悪性 IP/ドメイン等の IOC を取り込み照合」＝脅威インジケータ（脅威インテリジェンスコネクタ）。「独自形式のログを格納」＝カスタムログテーブル。
混同に注意：
①CEF（構造化）と一般 Syslog を取り違えない＝コネクタが異なる。
②診断設定（リソース→Sentinel への送信）と Azure Policy（その設定の全社強制）は役割が違う。
③脅威インジケータは「検知の照合材料」＝それ自体は検知ルールではない。
2.3.3この節のまとめ
- 構造化ファイアウォールログ＝CEF via AMA、一般 Syslog＝Syslog via AMA
- Azure リソースログ＝リソース診断設定で Sentinel へ、Azure Policy で全社強制
- 脅威インジケータ(IOC)を取り込み照合、独自ログはカスタムログテーブルに格納
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. ファイアウォールが Common Event Format（CEF）形式の構造化ログを出力している。Sentinel への取り込みに最適なのはどれですか？
Q2. 多数の Azure リソースのログを Sentinel に送る設定を、全リソースに一貫して強制したい。最適なのはどれですか？
Q3. 外部の脅威情報（悪性 IP/ドメイン/ハッシュ）を取り込み、分析ルールやハンティングで自社ログと照合したい。最適なのはどれですか？
Q4. 標準テーブルに収まらない独自形式のログを Sentinel に格納したい。最適なのはどれですか？
Q5. CEF via AMA と Syslog via AMA の使い分けとして正しいのはどれですか？