変更要約: SC-200 第5章を新規作成（ドメイン3: Defender XDR でのハンティング(KQL テーブル選択 DeviceProcessEvents 等/KQL で脅威特定/Advanced Hunting クエリ作成/threat analytics の解釈)、ハンティンググラフ(blast radius)/Sentinel Graph でのエンティティ間の関係分析、Sentinel プラットフォーム(ハンティングクエリ/ブックマーク/Data lake の KQL ジョブ/Summary rule テーブル/Notebooks・Sentinel MCP Server 接続)）。
5.1Defender XDR でのハンティングと KQL
KQL クエリで使う適切なテーブルの選択、Kusto Query Language（KQL）による脅威の特定、Advanced Hunting クエリの作成、Microsoft Defender XDR の threat analytics の解釈を理解します。
脅威ハンティング は、アラートを待たずに「侵害の仮説」を立て、能動的にデータを探す活動です。Defender XDR の Advanced Hunting は、KQL（Kusto Query Language） でテーブルを横断クエリし、脅威を特定します。
5.1.1テーブルの選択と KQL
KQL では、まず「何を探すか」に合った テーブル を選ぶことが肝心です＝デバイス上のプロセスは DeviceProcessEvents、ネットワーク接続は DeviceNetworkEvents、サインインは IdentityLogonEvents、メールは EmailEvents など。間違ったテーブルを選ぶと探している痕跡は見つかりません。クエリは where（絞り込み）・project（列選択）・summarize（集計）・join（結合）等で組み立て、仮説を検証します。
5.1.2threat analytics の解釈
threat analytics は、Microsoft のセキュリティリサーチが提供する脅威レポートで、進行中のキャンペーンや新しい攻撃手法について、影響を受けた資産・推奨対応・関連する検知/ハンティングクエリを示します。アナリストは threat analytics を読み、自組織が影響を受けているかを確認し、提示されたハンティングクエリで能動的に探します。これにより、最新の脅威に対する備えを素早く点検できます。
決め手：「能動的に KQL で痕跡を探す」＝Advanced Hunting（まず正しいテーブルを選ぶ＝プロセスは DeviceProcessEvents 等）。「Microsoft 提供の脅威レポートで自組織の影響を確認し推奨クエリで探す」＝threat analytics。ハンティングは検出ルール（繰り返し検知）とは別の能動的探索。
混同に注意：
①テーブル選択を誤ると痕跡が見つからない＝目的に合うテーブルを選ぶ。
②Advanced Hunting（能動探索）とカスタム検出ルール（繰り返し検知への昇格）は別。
③threat analytics（脅威レポート）と分析ルール（検知）は別物。
5.1.3この節のまとめ
- Advanced Hunting＝KQL で能動探索。目的に合うテーブル選択が肝(プロセス:DeviceProcessEvents/NW:DeviceNetworkEvents/サインイン:IdentityLogonEvents)
- threat analytics＝Microsoft 提供の脅威レポート。自組織の影響を確認し推奨クエリで探す
- ハンティング(能動探索)は検出ルール(繰り返し検知)とは別の活動
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. デバイス上で実行されたプロセスの痕跡を Advanced Hunting で探したい。最初に選ぶべきテーブルとして最も適切なのはどれですか？
Q2. Microsoft が提供する脅威レポートで、進行中のキャンペーンに自組織が影響を受けているか確認し、推奨クエリで能動的に探したい。最適なのはどれですか？
Q3. KQL クエリで「探している痕跡が見つからない」とき、最初に疑うべきことは何ですか？
Q4. 脅威ハンティングとカスタム検出ルールの関係として正しいのはどれですか？
Q5. サインイン（ログオン）に関する痕跡を Advanced Hunting で探すのに適したテーブルはどれですか？