変更要約: 各節に図（figure）を追加＝cert-figure-retrofit。SC-500 第4章を新規作成（ドメイン4「態勢の管理と監視」: Defender for Cloud=CSPM(推奨/セキュアスコア/攻撃パス/規制コンプライアンス)・CWP プラン・マルチクラウド(AWS/GCP)・Defender 脆弱性管理・EASM、Microsoft Sentinel=ワークスペース/ロール/コンテンツハブ/データコネクタ/Syslog・CEF/Windows イベント(DCR・WEF)/カスタムテーブル/オートメーション規則・プレイブック/データ保持/Defender XDR の Purview 監査、Microsoft Security Copilot=ワークスペース/権限・ロール/プラグイン/Microsoft・Security Store エージェント）
4.2Microsoft Sentinel によるイベント収集と自動対応
クラウドネイティブな SIEM/SOAR である Microsoft Sentinel のワークスペースとロール、コンテンツハブ、データコネクタ、Syslog/CEF と Windows セキュリティイベント（データ収集規則・WEF）、カスタムログテーブル、オートメーション規則とプレイブック、データ保持、そして Defender XDR での Purview 監査クエリを学びます。
態勢の「監視」の中心が Microsoft Sentinel です。SIEM（セキュリティ情報・イベント管理＝ログを集約・相関分析し脅威を検知）と SOAR（セキュリティ オーケストレーション・自動化・対応＝検知後の対応を自動化）をクラウドネイティブに提供します。基盤は Log Analytics ワークスペース で、ここに様々なソースのログを集めて KQL で分析します。
4.2.1ワークスペース・ロール・コンテンツハブ・データコネクタ
Sentinel は Log Analytics ワークスペース の上に有効化します。アクセスは Sentinel のロール（Reader/Responder/Contributor など）で最小特権に割り当てます。コンテンツハブ からは、製品ごとのソリューション（コネクタ＋分析ルール＋ブック＋プレイブックのまとまり）を導入できます。ログ取り込みは データコネクタ で行い、Azure リソースや Microsoft 365、各種クラウド/オンプレのソースを接続します。
4.2.2Syslog/CEF・Windows セキュリティイベント・カスタムテーブル
Linux/ネットワーク機器などからは Syslog や CEF（Common Event Format） を収集します。Windows からは データ収集規則（DCR） を使って Windows セキュリティイベント を取り込み、多数のサーバーは Windows イベント転送（WEF） で集約してから送る構成も使えます。標準テーブルに合わないログは カスタムログテーブル を作成して格納します。「どのソースを・どの方式で・どのテーブルに」入れるかを設計するのがポイントです。