変更要約: SC-200 第3章を新規作成（ドメイン1後半: Defender XDR の Advanced Hunting からのカスタム検出ルール作成/管理(頻度/応答アクション/entity)、Sentinel 分析ルール(スケジュール/NRT/脅威インテリジェンス/機械学習 Fusion)と異常(anomalies)、MITRE ATT&CK カバレッジビューで戦術/技術のカバレッジ分析と検知の穴の特定）。
3.2Sentinel の分析ルールと異常
Microsoft Sentinel の分析ルール（スケジュール・準リアルタイム NRT・脅威インテリジェンス・機械学習）の構成と管理、Sentinel の異常（anomalies）を理解します。
Microsoft Sentinel の検知の中核は 分析ルール です。取り込んだログを評価してアラート/インシデントを生成します。アナリストは要件（検知速度・対象・誤検知許容度）に応じてルールのタイプを選びます。
3.2.1分析ルールの4タイプ
スケジュール（scheduled） は KQL クエリを定期実行する最も一般的なタイプ（柔軟・大半の検知に使用）。準リアルタイム（NRT） は約 1 分間隔で評価し、急を要する検知に使う（クエリ制約あり）。脅威インテリジェンス（TI） は取り込んだ脅威インジケータ（IOC）をログと自動照合する。機械学習（ML） は Microsoft 提供の Fusion（多段階攻撃の相関）等で高度な脅威を検知する。さらに 異常（anomalies） は UEBA 的に「平常からの逸脱」を検知するルールです。
決め手：「柔軟な KQL を定期実行（大半の検知）」＝スケジュール分析ルール。「約1分間隔で急ぎの検知」＝NRT。「取り込んだ IOC をログと自動照合」＝脅威インテリジェンス分析ルール。「多段階攻撃の相関など高度な検知」＝ML（Fusion）。「平常からの逸脱」＝異常（anomalies）。
混同に注意：
①スケジュール（柔軟・間隔広め）と NRT（約1分・クエリ制約）を取り違えない。
②TI ルールは IOC 照合専用＝任意の KQL ではない。
③ML/Fusion や異常は Microsoft 提供ロジックで、自前 KQL のスケジュールルールとは別。
3.2.2この節のまとめ
- 分析ルール＝scheduled(柔軟/大半)・NRT(約1分/急ぎ)・TI(IOC 照合)・ML(Fusion 高度)
- 異常(anomalies)＝平常からの逸脱を UEBA 的に検知
- 分析ルールが評価し、アラート/インシデントを生成する
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 取り込んだ脅威インジケータ（悪性 IP/ドメイン/ハッシュ）を、自社のログと自動的に照合して検知したい。最適な Sentinel 分析ルールのタイプはどれですか？
Q2. 急を要する検知のため、ほぼリアルタイム（約 1 分間隔）で評価したい。最適なのはどれですか？
Q3. 柔軟な KQL を定期実行して大半の検知を実装したい。最適なのはどれですか？
Q4. 多段階・多ドメインの攻撃を相関させて高度に検知する、Microsoft 提供のロジックはどれですか？
Q5. 正規ユーザー/エンティティの「平常からの逸脱」を検知する Sentinel の機能はどれですか？