変更要約: SC-200 第4章を新規作成（ドメイン2: Defender XDR のインシデント調査/修復(Defender for Office 365/Purview/Defender for Cloud ワークロード保護/Defender for Cloud Apps/Entra ID Protection/Defender for Identity/Sentinel の守備範囲)、複雑な攻撃(多段階/多ドメイン/横移動)・攻撃ストーリー(インシデントグラフ)・埋め込み Microsoft Security Copilot(エージェント型 AI)・ケース管理、Defender for Endpoint の対応(デバイスタイムライン/ライブレスポンス/調査パッケージ収集/証拠・エンティティ調査/自動アタックディスラプション)、M365 調査(Purview Audit/Purview eDiscovery コンテンツ検索/Microsoft Graph アクティビティログ)）。
4.4Microsoft 365 アクティビティの調査
Microsoft Purview Audit、Microsoft Purview eDiscovery のコンテンツ検索、Microsoft Graph アクティビティログを用いて、Microsoft 365 のアクティビティから脅威を調査することを理解します。
攻撃者は M365（メール・SharePoint・OneDrive・Teams）の中で動きます。アナリストは、誰が何にアクセス/操作したかを Purview と Graph のログで追跡します。
4.4.1Purview Audit と eDiscovery
Microsoft Purview Audit は、M365/Entra のユーザー/管理者の操作の監査ログ（誰がいつ何をしたか）を提供します＝メール項目へのアクセス、ファイル共有、ロール変更など、侵害調査の核になります（Premium は長期保持と高価値イベント）。一方 Microsoft Purview eDiscovery のコンテンツ検索 は、メール/ドキュメントなどコンテンツそのものを横断検索し、影響を受けたデータ（持ち出された機密等）を特定します。「操作の記録」は Audit、「中身の検索」は eDiscovery と使い分けます。
4.4.2Microsoft Graph アクティビティログ
Microsoft Graph アクティビティログ は、テナントに対する Graph API の呼び出し（どのアプリ/ユーザーがどのリソースに API アクセスしたか）を記録します。OAuth アプリの悪用や、API 経由の不審なデータアクセスを調査するのに使います。これらのログは Sentinel に取り込んで分析ルールやハンティングと組み合わせられます。
決め手：「誰がいつ何をしたか（操作の監査記録）」＝Purview Audit。「メール/文書など中身を横断検索し影響データ特定」＝eDiscovery のコンテンツ検索。「Graph API 呼び出しの記録（OAuth アプリ悪用/API 経由アクセス）」＝Microsoft Graph アクティビティログ。
混同に注意：
①Purview Audit（操作の記録）と eDiscovery コンテンツ検索（中身の検索）は用途が違う。
②Graph アクティビティログ（API 呼び出し）はサインインログ（認証イベント）とは別。
③高価値イベントや長期保持は Audit (Premium) が前提のことがある。
4.4.3この節のまとめ
- Purview Audit＝M365/Entra の操作の監査記録（誰がいつ何を）。Premium は長期保持/高価値イベント
- eDiscovery のコンテンツ検索＝メール/文書の中身を横断検索し影響データを特定
- Microsoft Graph アクティビティログ＝Graph API 呼び出しの記録（OAuth 悪用/API 経由アクセス調査）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 侵害調査で「誰がいつメール項目にアクセスし、どのファイルを共有したか」という操作の監査記録を追いたい。最適なのはどれですか？
Q2. 攻撃で持ち出された可能性のある機密文書を、メールや SharePoint の中身を横断検索して特定したい。最適なのはどれですか？
Q3. 不審な OAuth アプリが Graph API 経由でどのリソースにアクセスしたかを調査したい。最適なのはどれですか？
Q4. Purview Audit と eDiscovery のコンテンツ検索の違いとして正しいのはどれですか？
Q5. Microsoft Graph アクティビティログとサインインログの違いとして正しいのはどれですか？