変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。SC-500 第4章を新規作成（ドメイン4「態勢の管理と監視」: Defender for Cloud=CSPM(推奨/セキュアスコア/攻撃パス/規制コンプライアンス)・CWP プラン・マルチクラウド(AWS/GCP)・Defender 脆弱性管理・EASM、Microsoft Sentinel=ワークスペース/ロール/コンテンツハブ/データコネクタ/Syslog・CEF/Windows イベント(DCR・WEF)/カスタムテーブル/オートメーション規則・プレイブック/データ保持/Defender XDR の Purview 監査、Microsoft Security Copilot=ワークスペース/権限・ロール/プラグイン/Microsoft・Security Store エージェント）
4.2Microsoft Sentinel によるイベント収集と自動対応
クラウドネイティブな SIEM/SOAR である Microsoft Sentinel のワークスペースとロール、コンテンツハブ、データコネクタ、Syslog/CEF と Windows セキュリティイベント（データ収集規則・WEF）、カスタムログテーブル、オートメーション規則とプレイブック、データ保持、そして Defender XDR での Purview 監査クエリを学びます。
態勢の「監視」の中心が Microsoft Sentinel です。SIEM（セキュリティ情報・イベント管理＝ログを集約・相関分析し脅威を検知）と SOAR（セキュリティ オーケストレーション・自動化・対応＝検知後の対応を自動化）をクラウドネイティブに提供します。基盤は Log Analytics ワークスペース で、ここに様々なソースのログを集めて KQL で分析します。
4.2.1ワークスペース・ロール・コンテンツハブ・データコネクタ
Sentinel は Log Analytics ワークスペース の上に有効化します。アクセスは Sentinel のロール（Reader/Responder/Contributor など）で最小特権に割り当てます。コンテンツハブ からは、製品ごとのソリューション（コネクタ＋分析ルール＋ブック＋プレイブックのまとまり）を導入できます。ログ取り込みは データコネクタ で行い、Azure リソースや Microsoft 365、各種クラウド/オンプレのソースを接続します。
4.2.2Syslog/CEF・Windows セキュリティイベント・カスタムテーブル
Linux/ネットワーク機器などからは Syslog や CEF（Common Event Format） を収集します。Windows からは データ収集規則（DCR） を使って Windows セキュリティイベント を取り込み、多数のサーバーは Windows イベント転送（WEF） で集約してから送る構成も使えます。標準テーブルに合わないログは カスタムログテーブル を作成して格納します。「どのソースを・どの方式で・どのテーブルに」入れるかを設計するのがポイントです。
4.2.3オートメーション規則・プレイブック・データ保持
検知後の対応は SOAR で自動化します。オートメーション規則 はインシデントのトリアージ（割り当て・タグ・重大度変更・抑制）を行い、プレイブック（Azure Logic Apps ベース）は「該当アカウントを無効化」「IP をブロック」「チケット起票」などの実際のアクションを実行します。取り込んだデータの データ保持 は、分析対応の保持期間とアーカイブ（長期・低コスト）を設計します。さらに Defender XDR の高度なハンティングから Microsoft Purview 監査 をクエリし、横断的に調査できます。
| 目的 | 機能 | 要点 |
|---|---|---|
| ログ基盤と権限 | Log Analytics ワークスペース＋Sentinel ロール | 最小特権で割り当て |
| ソリューション導入 | コンテンツハブ | コネクタ＋ルール＋ブック＋プレイブック |
| Linux/機器のログ | Syslog / CEF | 標準フォーマットで収集 |
| Windows イベント | データ収集規則（DCR）／WEF | 多数サーバーは WEF で集約可 |
| インシデントのトリアージ | オートメーション規則 | 割り当て/タグ/重大度/抑制 |
| 対応アクションの実行 | プレイブック（Logic Apps） | 無効化/ブロック/起票など |
混同に注意：
①SIEM（収集・相関・検知＝Sentinel の分析）とSOAR（検知後の自動対応＝オートメーション規則/プレイブック）。
②オートメーション規則（インシデントのトリアージ／オーケストレーション）とプレイブック（Logic Apps で実アクション実行）。
③データコネクタ（取り込み経路）・DCR（Windows イベントの収集定義）・コンテンツハブ（ソリューション導入）は役割が別。
「要件 → 機能」：例「検知時にアカウントを自動無効化/IP をブロック」＝プレイブック、「インシデントを自動で担当割り当て/重大度変更」＝オートメーション規則、「Windows セキュリティイベントを収集」＝データ収集規則（多数なら WEF）、「Linux/機器のログ」＝Syslog/CEF、「製品のコネクタ＋ルール一式を導入」＝コンテンツハブ。
4.2.4この節のまとめ
- Sentinel＝クラウドネイティブな SIEM/SOAR。基盤は Log Analytics ワークスペース、権限は Sentinel ロールで最小特権
- 収集：データコネクタ・Syslog/CEF・Windows イベント（DCR/WEF）・カスタムテーブル。導入はコンテンツハブ
- 対応：オートメーション規則（トリアージ）＋プレイブック（実アクション）。保持は分析期間＋アーカイブ。Defender XDR で Purview 監査をクエリ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. Microsoft Sentinel を有効化する基盤となるのはどれですか？
Q2. 脅威の検知後に「該当アカウントの無効化」「IP のブロック」などの実際の対応アクションを自動実行する Sentinel の機能はどれですか？
Q3. 多数の Windows サーバーからセキュリティイベントを収集する際、収集内容を定義するために使うのはどれですか？
Q4. Microsoft Sentinel が提供する SIEM と SOAR の説明として正しいものはどれですか？
Q5. 製品ごとのコネクタ・分析ルール・ブック・プレイブックをまとめたソリューションを Sentinel に導入する場所はどれですか？
Q6. インシデントの担当割り当てやタグ付け・重大度変更・抑制といったトリアージを自動化する Sentinel の機能はどれですか？