変更要約: SC-200 第3章を新規作成（ドメイン1後半: Defender XDR の Advanced Hunting からのカスタム検出ルール作成/管理(頻度/応答アクション/entity)、Sentinel 分析ルール(スケジュール/NRT/脅威インテリジェンス/機械学習 Fusion)と異常(anomalies)、MITRE ATT&CK カバレッジビューで戦術/技術のカバレッジ分析と検知の穴の特定）。
3.3MITRE ATT&CK でカバレッジを分析
MITRE ATT&CK マトリクスを用いて、分析ルール・ハンティングクエリによる攻撃ベクトルのカバレッジを分析し、検知の穴を可視化することを理解します。
「うちの検知は十分か」を主観でなく共通言語で測るために、Sentinel は MITRE ATT&CK のマトリクスを用います。
3.3.1カバレッジビューと検知の穴
Sentinel の MITRE ATT&CK カバレッジビュー は、有効な分析ルールとハンティングクエリを ATT&CK の 戦術（tactics） と 技術（techniques） にマッピングし、どの攻撃段階をどれだけ検知できているかをマトリクス上で可視化します。アナリストは色の薄い（カバレッジの低い）戦術段階を見つけ、その技術を検知するルールやデータソースを補強します。これにより、検知エンジニアリングの優先順位を共通言語で議論できます。
決め手：「分析ルール/ハンティングのカバレッジを戦術/技術で評価し検知の穴を可視化」＝Sentinel の MITRE ATT&CK カバレッジビュー。薄い段階＝検知不足→ルール/データソースを補強。ATT&CK は評価フレームワークで検知製品そのものではない。
混同に注意：
①MITRE ATT&CK（カバレッジ評価フレームワーク）と分析ルール（実際の検知）は別。
②薄い段階は「データソース不足」か「ルール不足」かを切り分けて補強する。
③カバレッジは有効なルール/クエリのみが反映される＝無効化したものは数えない。
3.3.2この節のまとめ
- MITRE ATT&CK カバレッジビュー＝分析ルール/ハンティングを戦術/技術にマッピングし検知の穴を可視化
- 薄い段階の技術を検知するルール/データソースを補強し、優先順位を共通言語で議論
- ATT&CK は評価フレームワーク＝検知製品そのものではない
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 自組織の分析ルールとハンティングクエリが、攻撃のどの戦術/技術をどれだけカバーしているかを可視化し、検知の穴を見つけたい。最適なのはどれですか？
Q2. MITRE ATT&CK のカバレッジビューで、ある戦術段階の検知が薄いと分かった。最適な次の一手はどれですか？
Q3. MITRE ATT&CK の位置づけとして正しいのはどれですか？
Q4. カバレッジビューに反映されるものとして正しいのはどれですか？
Q5. 検知の穴を補強する際、まず切り分けるべきことは何ですか？