変更要約: SC-200 第5章を新規作成（ドメイン3: Defender XDR でのハンティング(KQL テーブル選択 DeviceProcessEvents 等/KQL で脅威特定/Advanced Hunting クエリ作成/threat analytics の解釈)、ハンティンググラフ(blast radius)/Sentinel Graph でのエンティティ間の関係分析、Sentinel プラットフォーム(ハンティングクエリ/ブックマーク/Data lake の KQL ジョブ/Summary rule テーブル/Notebooks・Sentinel MCP Server 接続)）。
5.1Defender XDR でのハンティングと KQL
KQL クエリで使う適切なテーブルの選択、Kusto Query Language（KQL）による脅威の特定、Advanced Hunting クエリの作成、Microsoft Defender XDR の threat analytics の解釈を理解します。
脅威ハンティング は、アラートを待たずに「侵害の仮説」を立て、能動的にデータを探す活動です。Defender XDR の Advanced Hunting は、KQL（Kusto Query Language） でテーブルを横断クエリし、脅威を特定します。
5.1.1テーブルの選択と KQL
KQL では、まず「何を探すか」に合った テーブル を選ぶことが肝心です＝デバイス上のプロセスは DeviceProcessEvents、ネットワーク接続は DeviceNetworkEvents、サインインは IdentityLogonEvents、メールは EmailEvents など。間違ったテーブルを選ぶと探している痕跡は見つかりません。クエリは where（絞り込み）・project（列選択）・summarize（集計）・join（結合）等で組み立て、仮説を検証します。
5.1.2threat analytics の解釈
threat analytics は、Microsoft のセキュリティリサーチが提供する脅威レポートで、進行中のキャンペーンや新しい攻撃手法について、影響を受けた資産・推奨対応・関連する検知/ハンティングクエリを示します。アナリストは threat analytics を読み、自組織が影響を受けているかを確認し、提示されたハンティングクエリで能動的に探します。これにより、最新の脅威に対する備えを素早く点検できます。