変更要約: SC-200 第4章を新規作成（ドメイン2: Defender XDR のインシデント調査/修復(Defender for Office 365/Purview/Defender for Cloud ワークロード保護/Defender for Cloud Apps/Entra ID ID Protection/Defender for Identity/Sentinel の守備範囲)、複雑な攻撃(多段階/多ドメイン/横移動)・攻撃ストーリー(インシデントグラフ)・埋め込み Microsoft Security Copilot(エージェント型 AI)・ケース管理、Defender for Endpoint の対応(デバイスタイムライン/ライブレスポンス/調査パッケージ収集/証拠・エンティティ調査/自動アタックディスラプション)、M365 調査(Purview Audit/Purview eDiscovery コンテンツ検索/Microsoft Graph アクティビティログ)）。
4.4Microsoft 365 アクティビティの調査
Microsoft Purview Audit、Microsoft Purview eDiscovery のコンテンツ検索、Microsoft Graph アクティビティログを用いて、Microsoft 365 のアクティビティから脅威を調査することを理解します。
攻撃者は M365（メール・SharePoint・OneDrive・Teams）の中で動きます。アナリストは、誰が何にアクセス/操作したかを Purview と Graph のログで追跡します。
4.4.1Purview Audit と eDiscovery
Microsoft Purview Audit は、M365/Entra のユーザー/管理者の操作の監査ログ（誰がいつ何をしたか）を提供します＝メール項目へのアクセス、ファイル共有、ロール変更など、侵害調査の核になります（Premium は長期保持と高価値イベント）。一方 Microsoft Purview eDiscovery のコンテンツ検索 は、メール/ドキュメントなどコンテンツそのものを横断検索し、影響を受けたデータ（持ち出された機密等）を特定します。「操作の記録」は Audit、「中身の検索」は eDiscovery と使い分けます。
4.4.2Microsoft Graph アクティビティログ
Microsoft Graph アクティビティログ は、テナントに対する Graph API の呼び出し（どのアプリ/ユーザーがどのリソースに API アクセスしたか）を記録します。OAuth アプリの悪用や、API 経由の不審なデータアクセスを調査するのに使います。これらのログは Sentinel に取り込んで分析ルールやハンティングと組み合わせられます。