変更要約: SC-200 第4章を新規作成（ドメイン2: Defender XDR のインシデント調査/修復(Defender for Office 365/Purview/Defender for Cloud ワークロード保護/Defender for Cloud Apps/Entra ID Protection/Defender for Identity/Sentinel の守備範囲)、複雑な攻撃(多段階/多ドメイン/横移動)・攻撃ストーリー(インシデントグラフ)・埋め込み Microsoft Security Copilot(エージェント型 AI)・ケース管理、Defender for Endpoint の対応(デバイスタイムライン/ライブレスポンス/調査パッケージ収集/証拠・エンティティ調査/自動アタックディスラプション)、M365 調査(Purview Audit/Purview eDiscovery コンテンツ検索/Microsoft Graph アクティビティログ)）。
4.3Defender for Endpoint でのデバイス対応
Microsoft Defender for Endpoint でのデバイスタイムラインの調査、デバイス操作（ライブレスポンス・調査パッケージの収集）、証拠とエンティティの調査、自動アタックディスラプションで特定されたインシデントの対応を理解します。
侵害が疑われるデバイスでは、何が起きたかを時系列で追い、必要なら遠隔で操作して封じ込めます。Defender for Endpoint は EDR としてこれらを提供します。
4.3.1デバイスタイムラインと証拠調査
デバイスタイムライン は、そのデバイス上のプロセス・ファイル・ネットワーク・レジストリ等のイベントを時系列で示し、攻撃の経緯を再構成します。インシデントの 証拠（evidence）とエンティティ（ファイル/プロセス/IP/ユーザー）を調べ、悪性かどうかを判定します。アナリストはタイムラインから影響範囲を特定し、修復の要否を判断します。
4.3.2デバイス操作とアタックディスラプション
遠隔対応として ライブレスポンス（デバイスにシェル接続してファイル取得・プロセス停止・スクリプト実行）や 調査パッケージの収集（フォレンジック用の情報一括取得）、デバイスの隔離・ファイルのブロック等を行います。自動アタックディスラプション（第1章）が既にデバイスを隔離/封じ込めている場合、アナリストはその結果を確認し、根本原因を調査して、安全確認後に隔離を解除します。
決め手：「デバイス上の出来事を時系列で追う」＝デバイスタイムライン。「遠隔でシェル接続しファイル取得/プロセス停止/スクリプト実行」＝ライブレスポンス。「フォレンジック情報を一括取得」＝調査パッケージの収集。「進行中攻撃を自動封じ込め済み」＝自動アタックディスラプションの結果を確認して対応。
混同に注意：
①ライブレスポンス（対話的な遠隔操作）と調査パッケージ収集（フォレンジック一括取得）は別操作。
②デバイスタイムライン（時系列の出来事）と Advanced Hunting（横断クエリ）は別。
③ディスラプションによる隔離は安全確認後に解除する。
4.3.3この節のまとめ
- デバイスタイムラインで時系列の出来事を追い、証拠/エンティティを調査して影響範囲を特定
- ライブレスポンス(遠隔シェル)・調査パッケージ収集(フォレンジック一括)・隔離で対応
- 自動アタックディスラプションの封じ込め結果を確認し、根本原因調査後に隔離解除
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 侵害が疑われるデバイスに遠隔でシェル接続し、ファイルの取得やプロセスの停止、スクリプト実行を行いたい。最適なのはどれですか？
Q2. あるデバイス上で起きたプロセス/ファイル/ネットワークの出来事を時系列で追い、攻撃の経緯を再構成したい。最適なのはどれですか？
Q3. フォレンジック分析のため、デバイスから関連情報を一括で取得したい。最適なのはどれですか？
Q4. ライブレスポンスと調査パッケージ収集の違いとして正しいのはどれですか？
Q5. 自動アタックディスラプションが既にデバイスを隔離している。アナリストの最適な対応はどれですか？