変更要約: SC-200 第3章を新規作成（ドメイン1後半: Defender XDR の Advanced Hunting からのカスタム検出ルール作成/管理(頻度/応答アクション/entity)、Sentinel 分析ルール(スケジュール/NRT/脅威インテリジェンス/機械学習 Fusion)と異常(anomalies)、MITRE ATT&CK カバレッジビューで戦術/技術のカバレッジ分析と検知の穴の特定）。
3.1Defender XDR のカスタム検出ルール
Microsoft Defender XDR の Advanced Hunting を用いたカスタム検出ルールの作成と管理を理解します。
組み込みの検知だけでは、組織固有の脅威や独自の振る舞いを捉えきれません。Defender XDR では、Advanced Hunting の KQL クエリを カスタム検出ルール に昇格し、自動で繰り返し検知させます。
3.1.1Advanced Hunting からルール化
アナリストは Advanced Hunting で脅威を表す KQL クエリを作り、検証後に「カスタム検出ルールの作成」でスケジュール実行されるルールに昇格します。ルールには実行頻度・対象・重大度・MITRE ATT&CK のマッピング・応答アクション（デバイス隔離・ファイル隔離・ユーザー無効化等）を設定できます。クエリは アラート/インシデント を生成する形（適切な entity 列を返す）にする必要があります。作成済みルールは一覧から管理（編集/無効化/実行履歴確認）します。
決め手：「Defender XDR で独自の KQL を繰り返し検知＋応答アクション」＝Advanced Hunting からカスタム検出ルール化。「Sentinel 側で繰り返し検知」＝Sentinel 分析ルール（次節）＝対象プラットフォームで使い分ける。クエリは entity 列を返す。
混同に注意：
①Advanced Hunting の単発クエリ（探索）と、それを昇格したカスタム検出ルール（繰り返し検知）は別。
②Defender XDR のカスタム検出ルールと Sentinel の分析ルールは別プラットフォームの機能。
③検出ルール化にはクエリが entity（DeviceId/AccountSid 等）を返す必要がある。
3.1.2この節のまとめ
- Advanced Hunting の KQL をカスタム検出ルールへ昇格＝スケジュール実行で繰り返し検知＋応答アクション
- 頻度/重大度/MITRE マッピング/応答(隔離/無効化)を設定、クエリは entity 列を返す
- Defender XDR のカスタム検出ルールと Sentinel 分析ルールはプラットフォームで使い分け
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Defender XDR で、組織固有の脅威を表す KQL クエリを繰り返し自動で検知させ、ヒット時にデバイスを隔離したい。最適なのはどれですか？
Q2. カスタム検出ルールにする KQL クエリが満たすべき要件はどれですか？
Q3. 単発の Advanced Hunting クエリとカスタム検出ルールの違いとして正しいのはどれですか？
Q4. Defender XDR のカスタム検出ルールと Sentinel の分析ルールの関係として正しいのはどれですか？
Q5. 作成済みのカスタム検出ルールに対してできることとして正しいのはどれですか？