第1回 問題集（全般）
全120問 ／ すべての問題の解答・解説を無料で閲覧できます
SC-200 問題集 おすすめの使い方
目次
Microsoft Sentinelを利用するために最初に必要なAzureリソースは何ですか？
解答・解説を見る
正解: A. A. Log Analyticsワークスペース
正解の根拠・詳細解説
Microsoft SentinelはLog Analyticsワークスペース上に構築されるクラウドネイティブのSIEM/SOARソリューションです。利用開始にはまずLog Analyticsワークスペースを作成し、その上でMicrosoft Sentinelを有効化します。
Microsoft SentinelのデータをLog Analyticsワークスペースに取り込む際、課金の単位として用いられるのは次のうちどれですか？
解答・解説を見る
正解: A. A. 取り込んだデータ量（GB）
正解の根拠・詳細解説
Microsoft Sentinelの料金は、主にLog Analyticsワークスペースに取り込まれるデータ量（GB/日）に基づく従量課金、またはコミットメントティアによって決まります。
Microsoft Sentinelで、組織のセキュリティ製品からログを取り込むためのコンポーネントを何と呼びますか？
解答・解説を見る
正解: A. A. データコネクタ
正解の根拠・詳細解説
データコネクタは、Microsoft Defender、Azure AD、AWS、各種オンプレミス機器などからログをMicrosoft Sentinelに取り込むための仕組みです。
Microsoft Sentinelで、ユーザーがインシデントの調査・管理はできるが、データソースの構成やワークスペース設定の変更ができないロールは何ですか？
解答・解説を見る
正解: A. A. Microsoft Sentinel Responder
正解の根拠・詳細解説
Sentinel Responderはインシデントの割り当てやステータス変更などの対応作業が可能ですが、ワークスペースやデータコネクタなどの構成変更は行えません。構成変更にはContributor以上の権限が必要です。
Microsoft Sentinelのワークブック機能の主な用途は何ですか？
解答・解説を見る
正解: A. A. 収集したログデータを可視化・モニタリングするダッシュボードを作成する
正解の根拠・詳細解説
ワークブックは、KQLクエリの結果をグラフやテーブルとして可視化し、セキュリティ状況をモニタリングするためのダッシュボード機能です。Azure Monitorのワークブックと共通の基盤を使用しています。
KQL（Kusto Query Language）で、ログのうち直近24時間のデータのみを取得するために使用する演算子はどれですか？
解答・解説を見る
正解: A. A. where TimeGenerated > ago(24h)
正解の根拠・詳細解説
KQLでは `ago()` 関数を使って相対的な時間範囲を指定します。`where TimeGenerated > ago(24h)` で過去24時間のレコードに絞り込めます。
Microsoft Sentinelで、同じ攻撃に関連する複数のアラートを1つのインシデントにまとめる機能を何と呼びますか？
解答・解説を見る
正解: A. A. アラートグルーピング（インシデント作成ルール）
正解の根拠・詳細解説
分析ルールの設定で「アラートグルーピング」を有効にすると、同一のエンティティ（IPアドレスやユーザーなど）に関連する複数のアラートを1つのインシデントとして自動的にまとめることができます。
Microsoft Sentinelの「ウォッチリスト」機能の用途として正しいものはどれですか？
解答・解説を見る
正解: A. A. IPアドレスや従業員リストなどの外部データをクエリで参照できるようにする
正解の根拠・詳細解説
ウォッチリストは、許可リスト/拒否リストのIPアドレス、特権ユーザー一覧などの外部データをアップロードし、KQLクエリ内で `\_GetWatchlist()` 関数を使って参照できる機能です。
Microsoft Sentinelの「コンテンツハブ」で提供されるものは何ですか？
解答・解説を見る
正解: A. A. データコネクタ、分析ルール、ワークブック、プレイブックなどがまとまったソリューションパッケージ
正解の根拠・詳細解説
コンテンツハブは、特定の製品やシナリオに対応したデータコネクタ・分析ルール・ワークブック・プレイブックなどを「ソリューション」としてまとめてインストールできる機能です。
Microsoft Sentinelで複数のワークスペースをまたいでクエリを実行する際に使用する関数はどれですか？
解答・解説を見る
正解: A. A. workspace()
正解の根拠・詳細解説
`workspace(“ワークスペース名”)` 関数を使うことで、異なるLog Analyticsワークスペースのテーブルを参照するクロスワークスペースクエリを記述できます。
Microsoft Defender XDR（旧称: Microsoft 365 Defender）が統合的に管理するセキュリティ製品の組み合わせとして正しいものはどれですか？
解答・解説を見る
正解: A. A. Defender for Endpoint、Defender for Office 365、Defender for Identity、Defender for Cloud Apps
正解の根拠・詳細解説
Microsoft Defender XDRは、Defender for Endpoint・Defender for Office 365・Defender for Identity・Defender for Cloud Appsなどのシグナルを統合し、組織全体の脅威を一元的に可視化・対応するプラットフォームです。
Microsoft Sentinelのログ保持期間（Retention）の初期設定について正しい説明はどれですか？
解答・解説を見る
正解: A. A. Analyticsログは無料で90日間保持され、それ以降は追加コストが発生する
正解の根拠・詳細解説
Log AnalyticsワークスペースのAnalyticsログは、デフォルトで90日間は追加コストなしで保持されます。それ以降の長期保持はアーカイブ機能や追加課金が必要です。
Microsoft Sentinelで、特定のエンティティ（ユーザーやホストなど）に関するアラートやイベントの情報をまとめて確認できる機能は何ですか？
解答・解説を見る
正解: A. A. エンティティページ
正解の根拠・詳細解説
エンティティページでは、特定のユーザー・ホスト・IPアドレスなどに関連するアラート、インシデント、行動の履歴をタイムラインで確認できます。インシデント調査の際に有効です。
Azure AD（Microsoft Entra ID）のサインインログをMicrosoft Sentinelに取り込むために使用するデータコネクタはどれですか？
解答・解説を見る
正解: A. A. Microsoft Entra ID（Azure Active Directory）コネクタ
正解の根拠・詳細解説
Azure ADのサインインログ・監査ログをSentinelに取り込むには、専用の「Microsoft Entra ID」データコネクタを有効化し、SigninLogsやAuditLogsテーブルにデータを送信します。
オンプレミスのLinuxサーバーのログをMicrosoft Sentinelに取り込む場合、一般的に使用するエージェント／プロトコルはどれですか？
解答・解説を見る
正解: A. A. Azure Monitor エージェント（AMA）経由のSyslog
正解の根拠・詳細解説
オンプレミスやAzure以外のLinuxサーバーのログは、Azure Monitor エージェント（AMA）をインストールし、Syslog経由でLog Analyticsワークスペースに送信するのが一般的な構成です。
Microsoft Sentinelの分析ルールのうち、機械学習を用いて異常な挙動を検出するルールの種類は何ですか？
解答・解説を見る
正解: A. A. Fusion（異常検知）ルール
正解の根拠・詳細解説
Fusionルールは機械学習を用いて、複数の低忠実度シグナルを関連付け、高度な多段階攻撃の可能性を検出する分析ルールです。
Microsoft SentinelのNRT（Near-Real-Time）ルールの特徴として正しいものはどれですか？
解答・解説を見る
正解: A. A. 通常のスケジュールクエリより短い間隔（最短1分）でほぼリアルタイムに評価される
正解の根拠・詳細解説
NRTルールは、通常のスケジュールクエリルールよりも高頻度（最短1分間隔）で評価され、緊急性の高い脅威をほぼリアルタイムに検出するために使用します。
Microsoft Sentinelのオートメーションルールの主な目的は何ですか？
解答・解説を見る
正解: A. A. インシデント作成時にタグ付け・担当者割り当て・プレイブック実行などの対応を自動化する
正解の根拠・詳細解説
オートメーションルールは、インシデントが作成・更新された際に、自動でタグ付け、担当者割り当て、ステータス変更、プレイブックの起動などを行うための仕組みです。
Microsoft Sentinelの「プレイブック」は何によって実装されますか？
解答・解説を見る
正解: A. A. Azure Logic Apps
正解の根拠・詳細解説
プレイブックはAzure Logic Appsをベースに作成され、Sentinelのインシデントやアラートをトリガーとして、通知送信・チケット作成・ユーザー無効化などのアクションを自動実行できます。
Microsoft Sentinelでロールベースアクセス制御（RBAC）を構成する際、最小権限の原則に最も合致するのはどれですか？
解答・解説を見る
正解: A. A. アナリストにはSentinel Responderロールを割り当て、管理者のみにContributorロールを割り当てる
正解の根拠・詳細解説
最小権限の原則に基づき、日常的な調査・対応を行うアナリストにはSentinel Responder、構成変更が必要な管理者にはContributor、閲覧のみのユーザーにはReaderロールを割り当てるのが適切です。
Microsoft Sentinelの「ハンティング」機能の目的は何ですか？
解答・解説を見る
正解: A. A. 既存のアラートに依存せず、KQLクエリを使って未知の脅威を能動的に調査する
正解の根拠・詳細解説
ハンティング機能は、分析ルールがまだ存在しない、または検出されていない脅威の兆候を、アナリストが仮説に基づいてKQLクエリで能動的に探索するための機能です。
Microsoft Sentinelで、ハンティングクエリの実行結果から気になるイベントを保存し、後で調査・インシデント化できるようにする機能は何ですか？
解答・解説を見る
正解: A. A. ブックマーク
正解の根拠・詳細解説
ブックマークは、ハンティング中に見つけた気になるログエントリを保存し、後で他の情報と関連付けたり、インシデントとしてエスカレーションしたりするための機能です。
Microsoft Sentinelのコストを最適化するために、低優先度のログをフル保持せずに長期間安価に保持する機能は何ですか？
解答・解説を見る
正解: A. A. アーカイブログ（Archive）/ 基本ログ（Basic Logs）
正解の根拠・詳細解説
Basic Logs（基本ログ）やアーカイブ機能を使うことで、詳細な分析が不要な大量ログを低コストで保持しつつ、必要時に復元（Search/Restore）して調査できます。
Microsoft Sentinelのワークスペースで、特定のテーブルへのアクセスをユーザーごとに制限する機能は何ですか？
解答・解説を見る
正解: A. A. テーブルレベルRBAC（リソースコンテキストRBAC）
正解の根拠・詳細解説
Log Analyticsのテーブルレベルアクセス制御（リソースコンテキストRBACなど）を利用すると、特定のテーブル（例: セキュリティイベントのみ）への参照権限をユーザーやグループ単位で制御できます。
Microsoft Defender XDRポータル（security.microsoft.com）で、複数のMicrosoft Defenderサービスをまたいだ高度なハンティングを行う際に使用するクエリ言語は何ですか？
解答・解説を見る
正解: A. A. KQL（Kusto Query Language）
正解の根拠・詳細解説
Microsoft Defenderの高度なハンティング（Advanced Hunting）は、Microsoft Sentinelと同様にKQLを使用してログデータを検索・分析します。
Microsoft Sentinelとオンプレミスのセキュリティ機器を連携させる際、汎用的にログを受信するために利用できるコネクタはどれですか？
解答・解説を見る
正解: A. A. Common Event Format（CEF）コネクタ
正解の根拠・詳細解説
CEF（Common Event Format）コネクタは、多くのサードパーティ製ファイアウォールやセキュリティ機器が出力するログ形式に対応した汎用コネクタで、Syslogサーバー経由でログを受信します。
Microsoft Sentinelの料金プランのうち、予測可能な月額コストでデータ取り込み量の上限を設定できるプランは何ですか？
解答・解説を見る
正解: A. A. コミットメントティア
正解の根拠・詳細解説
コミットメントティア（Commitment Tier）は、1日あたりのデータ取り込み量をあらかじめコミットすることで、従量課金よりも割安な単価が適用される料金プランです。
Microsoft Sentinelの分析ルールテンプレートを自分の組織向けにカスタマイズして有効化する際、最初に行う操作はどれですか？
解答・解説を見る
正解: A. A. コンテンツハブまたは分析ルールのテンプレート一覧からルールを選択し、ルールウィザードで設定を確認・調整する
正解の根拠・詳細解説
分析ルールは、コンテンツハブや「分析」メニューのテンプレート一覧から選択し、ルールウィザードでクエリ・スケジュール・アラートの重大度・グルーピング設定などを確認・調整してから有効化します。
Microsoft Sentinelで、SOC内の複数のアナリスト間でインシデントの対応状況を共有するために更新するべき項目はどれですか？
解答・解説を見る
正解: A. A. インシデントのステータス・担当者・タグ・コメント
正解の根拠・詳細解説
インシデントのステータス（New/Active/Closed）、担当者（Owner）、タグ、コメントを適切に更新することで、SOC内のアナリスト間で対応状況を共有し、二重対応や対応漏れを防げます。
Microsoft Sentinelのワークスペースをセキュリティ運用の中心に据える設計として適切なものはどれですか？
解答・解説を見る
正解: A. A. 組織のセキュリティ製品（Defender XDR、Azure AD、ファイアウォールなど）のログを各種データコネクタで集約し、分析ルールとオートメーションルールで検出・対応を自動化する
正解の根拠・詳細解説
Microsoft Sentinelはクラウドネイティブなセキュリティ情報イベント管理（SIEM）とセキュリティオーケストレーション自動化対応（SOAR）を担うサービスで、Log Analyticsワークスペースの上に構築されます。設計の中心となるのは、Microsoft Defender XDRやMicrosoft Entra IDのサインインログ、ファイアウォールやプロキシといったオンプレミス機器のログをデータコネクタで一元的に取り込み、共通のテーブルに対してKQLで横断的な相関分析を行える状態を作ることです。取り込んだデータに対しては分析ルールで検出ロジックを定義し、一致した結果からアラートとインシデントを生成、オートメーションルールとプレイブックで担当者への通知やタグ付け、初期対応を自動化します。ワークブックで可視化し、ハンティングクエリで能動的な調査も行えます。製品ごとに個別のコンソールを確認する運用では、複数製品にまたがる攻撃の連鎖を捉えられません。なお、ログの取り込み量が課金に直結するため、必要なデータソースの取捨選択も設計上の重要な論点です。
Microsoft Defender for Endpointで、エンドポイントのリスクレベルに基づいて自動的に調査・対応を行う機能は何ですか？
解答・解説を見る
正解: A. A. 自動調査と対応（AIR：Automated Investigation and Response）
正解の根拠・詳細解説
AIR（自動調査と対応）は、検出されたアラートに対して自動的に調査を行い、悪意のあるファイルの隔離やプロセスの停止などの修復アクションを自動・半自動で実行する機能です。
Microsoft Defender for Endpointのオンボーディング方法として利用できないものはどれですか？
解答・解説を見る
正解: D. D. Microsoft Excelのマクロのみ
正解の根拠・詳細解説
Defender for EndpointのオンボーディングはIntune、GPO、Configuration Manager、ローカルスクリプト、VDIスクリプトなど複数の方法で行えます。Excelマクロのみでのオンボーディングは存在しません。
Microsoft Defender for Endpointで、特定のファイルやプロセスを許可・ブロックするために使用する機能はどれですか？
解答・解説を見る
正解: A. A. インジケーター（Indicators）
正解の根拠・詳細解説
「インジケーター」機能では、ファイルハッシュ、IPアドレス、URL/ドメイン、証明書などを登録し、許可・ブロック・警告のアクションを設定できます。
Microsoft Defender for Endpointの「攻撃面の削減（ASR）ルール」の目的は何ですか？
解答・解説を見る
正解: A. A. マルウェアがよく使用する手法を悪用される前にブロックする
正解の根拠・詳細解説
ASR（Attack Surface Reduction）ルールは、Officeアプリからの子プロセス作成やスクリプトの不審な動作など、マルウェアによく利用される攻撃手法をブロックし、攻撃面を減らすための設定群です。
Microsoft Defender for Office 365の「Safe Attachments」機能の役割は何ですか？
解答・解説を見る
正解: A. A. メール添付ファイルをサンドボックスで検査し、悪意のある添付ファイルからユーザーを保護する
正解の根拠・詳細解説
Safe Attachmentsは、メールに添付されたファイルを仮想環境（サンドボックス）で実行・検査し、マルウェアが検出された場合は配信をブロックまたは保留する機能です。
Microsoft Defender for Office 365の「Safe Links」機能の役割は何ですか？
解答・解説を見る
正解: A. A. メールやOfficeドキュメント内のURLをクリック時にリアルタイムでスキャンし、悪意のあるサイトへのアクセスをブロックする
正解の根拠・詳細解説
Safe Linksは、メール本文やOfficeファイル内のリンクをクリックした際にリアルタイムでURLをチェックし、フィッシングサイトなど悪意のあるサイトへのアクセスをブロックします。
Microsoft Defender for Office 365で、特定の送信者・ドメイン・受信者に対してフィルタリングのルールを上書きする設定は何ですか？
解答・解説を見る
正解: A. A. テナント許可/ブロックリスト
正解の根拠・詳細解説
テナント許可/ブロックリストでは、特定のドメイン、メールアドレス、URL、ファイルを明示的に許可またはブロックし、標準のフィルタリング判定を上書きできます。
Microsoft Defender for Identityがオンプレミスのドメインコントローラーの動作を監視するために導入するコンポーネントは何ですか？
解答・解説を見る
正解: A. A. Defender for Identityセンサー
正解の根拠・詳細解説
Defender for IdentityセンサーをドメインコントローラーやAD FSサーバーに導入することで、認証トラフィックやイベントログを分析し、不審なアクティビティを検出します。
Microsoft Defender for Identityが検出する典型的な攻撃手法はどれですか？
解答・解説を見る
正解: A. A. Pass-the-Hash、Pass-the-Ticket、ゴールデンチケット攻撃
正解の根拠・詳細解説
Defender for Identityは、Pass-the-Hash、Pass-the-Ticket、ゴールデンチケット攻撃などの認証情報の不正利用や、横展開（ラテラルムーブメント）に関連する攻撃を検出します。
Microsoft Defender for Cloud Appsの「クラウドディスカバリー」機能の役割は何ですか？
解答・解説を見る
正解: A. A. 組織内で利用されているクラウドアプリ（シャドーIT）を可視化する
正解の根拠・詳細解説
クラウドディスカバリーは、ファイアウォールやプロキシのログを分析し、組織内で利用されている（IT部門が把握していない場合もある）クラウドアプリの利用状況を可視化する機能です。
Microsoft Defender for Cloud Appsで、リアルタイムにユーザーのアクションを制御（ブロック・監視）するために使用する機能は何ですか？
解答・解説を見る
正解: A. A. 条件付きアクセスアプリ制御（セッションポリシー）
正解の根拠・詳細解説
条件付きアクセスアプリ制御は、Azure ADの条件付きアクセスと連携し、リバースプロキシ経由でセッションを監視・制御することで、ダウンロードのブロックや読み取り専用アクセスなどをリアルタイムに適用します。
Microsoft Defender for Cloudの「セキュアスコア」が示すものは何ですか？
解答・解説を見る
正解: A. A. 環境全体のセキュリティ態勢を数値化した推奨事項の達成度
正解の根拠・詳細解説
セキュアスコアは、Defender for Cloudが提示するセキュリティ推奨事項のうち、どれだけ対応済みかをパーセンテージで示し、組織のセキュリティ態勢を改善するための指標として使われます。
Microsoft Defender for Cloudで、サーバーへのネットワークアクセスを必要なときだけ一時的に許可する機能は何ですか？
解答・解説を見る
正解: A. A. JIT（Just-In-Time）VMアクセス
正解の根拠・詳細解説
JIT VMアクセスを有効にすると、RDPやSSHなどの管理用ポートへのアクセスを必要な時間・IPアドレスからのみ一時的に許可し、攻撃対象領域を縮小できます。
Microsoft Sentinelの分析ルールで、検出時の重大度（Severity）を設定する目的は何ですか？
解答・解説を見る
正解: A. A. インシデントの優先度判定とアナリストの対応順序の決定に利用する
正解の根拠・詳細解説
分析ルールにはLow/Medium/High/Informationalなどの重大度を設定でき、生成されたインシデントの優先度を示します。SOCはこれを基に対応の優先順位を決定します。
Microsoft Sentinelで、同じアラートが短時間に多数発生し誤検知が多い場合の対処として適切なものはどれですか？
解答・解説を見る
正解: A. A. 分析ルールのクエリやしきい値を調整し、抑制（サプレッション）やグルーピング設定を見直す
正解の根拠・詳細解説
誤検知が多い場合は、分析ルールのクエリ条件・しきい値・除外条件（exclusion）を調整したり、アラートグルーピングや抑制設定を見直すことでノイズを減らします。
Microsoft Defender for Endpointの「脆弱性管理（Threat and Vulnerability Management）」が提供する情報は何ですか？
解答・解説を見る
正解: A. A. デバイスにインストールされたソフトウェアの脆弱性と推奨される修正アクション
正解の根拠・詳細解説
脆弱性管理機能は、デバイス上のOSやアプリケーションの既知の脆弱性を検出し、CVSSスコアやエクスポージャレベルに基づいた優先度付きの修正推奨を提供します。
Microsoft Defender XDRで、複数のDefenderコンポーネントからのアラートを統合して1つの攻撃ストーリーとして可視化する機能は何ですか？
解答・解説を見る
正解: A. A. インシデント（統合インシデント）
正解の根拠・詳細解説
Defender XDRのインシデント機能は、Endpoint・Office 365・Identity・Cloud Appsなど複数の製品からのアラートを関連付け、1つの攻撃の全体像（インシデント）として表示します。
Microsoft Sentinelで、特定の条件に一致するイベントが発生した際に即座にメール通知やチケット起票を行いたい場合、最も適した分析ルールの種類はどれですか？
解答・解説を見る
正解: A. A. スケジュールクエリルール（またはNRTルール）+ オートメーションルール/プレイブック
正解の根拠・詳細解説
条件に一致するイベントを検出するスケジュールクエリルール（緊急性が高い場合はNRTルール）でインシデントを生成し、オートメーションルールやプレイブックでメール通知・チケット起票などのアクションを自動実行します。
Microsoft Defender for Office 365における「フィッシングシミュレーション」機能の目的は何ですか？
解答・解説を見る
正解: A. A. 従業員のフィッシング耐性をテストし、セキュリティ意識向上トレーニングにつなげる
正解の根拠・詳細解説
Attack simulation trainingでは、フィッシングメールを模したシミュレーションを従業員に送信し、クリック率などを測定して、セキュリティ意識向上トレーニングの対象者を特定できます。
Microsoft Defender for Cloud Appsで、ユーザーの行動パターンから異常（不審なログイン地点、大量ダウンロードなど）を検出する機能は何ですか？
解答・解説を見る
正解: A. A. 異常検出ポリシー
正解の根拠・詳細解説
異常検出ポリシーは、ユーザーの通常の行動パターンを学習し、通常と異なる地点からのログインや大量のファイルダウンロードなどの異常な挙動を検出してアラートを生成します。
Microsoft Defender for Identityで、攻撃者がActive Directoryのドメイン管理者権限を持つアカウントの認証情報をメモリから抽出しようとする攻撃を検出する機能は何ですか？
解答・解説を見る
正解: A. A. 資格情報の窃取に関する検出（例: LSASSメモリへのアクセス検出）
正解の根拠・詳細解説
Defender for Identityは、LSASSプロセスへの不審なアクセスなど、資格情報窃取（Credential Theft）に関連する活動を検出し、アラートとして通知します。
Microsoft Sentinelの分析ルールで「エンティティマッピング」を設定する目的は何ですか？
解答・解説を見る
正解: A. A. アラート内のフィールド（IPアドレス、ユーザー名など）をエンティティとして識別し、関連付けやエンティティページでの追跡を可能にする
正解の根拠・詳細解説
エンティティマッピングにより、クエリ結果の特定フィールドをアカウント・ホスト・IPアドレスなどのエンティティ型として認識させ、インシデントの関連付けやエンティティページでの調査を可能にします。
Microsoft Defender for Endpointで、感染が疑われるデバイスをネットワークから隔離しつつ、Defenderとの通信のみを許可する対応アクションは何ですか？
解答・解説を見る
正解: A. A. デバイスの分離（Isolate device）
正解の根拠・詳細解説
「デバイスの分離」を実行すると、対象デバイスはMicrosoft Defenderとの通信を除くすべてのネットワーク通信が制限され、被害の拡大（横展開）を防ぎつつ調査を継続できます。
Microsoft Defender for Cloudにおける「クラウドセキュリティポスチャ管理（CSPM）」の役割は何ですか？
解答・解説を見る
正解: A. A. クラウド環境の設定ミスやコンプライアンス違反を継続的に評価し、改善提案を行う
正解の根拠・詳細解説
CSPMは、Azure・AWS・GCPなどのクラウド環境のリソース構成を継続的にスキャンし、セキュリティのベストプラクティスや規制基準（CISベンチマーク等）への準拠状況を評価します。
Microsoft Sentinelで分析ルールの「除外（Exclusion）」条件を追加する主な目的は何ですか？
解答・解説を見る
正解: A. A. 既知の正常な活動（誤検知の原因）をアラート対象から除外し、ノイズを減らす
正解の根拠・詳細解説
除外条件を追加することで、業務上正常な活動（例：管理者の定期メンテナンス作業）が誤ってアラート化されることを防ぎ、SOCのアラート疲れを軽減できます。
Microsoft Defender for Office 365における「テナント許可/ブロックリスト」で、特定のURLを常にブロック対象にしたい場合の設定はどれですか？
解答・解説を見る
正解: A. A. URLをブロックエントリとして登録する
正解の根拠・詳細解説
テナント許可/ブロックリストにURLのブロックエントリを追加することで、そのURLを含むメールやリンクを標準フィルタリングの判定にかかわらず常にブロックできます。
Microsoft Defender for Endpointの「ライブレスポンス」機能でできることは何ですか？
解答・解説を見る
正解: A. A. リモートデバイスに対してコマンドを実行し、ファイルの収集や削除、プロセスの終了などを行う
正解の根拠・詳細解説
ライブレスポンスは、調査対象のデバイスにリアルタイムで接続し、コマンド実行・ファイルの取得/削除・プロセスの終了などの詳細な調査・対応操作を行うための機能です。
Microsoft Sentinelで、組織独自の脅威インテリジェンス（既知の悪性IPアドレスやドメインなど）を取り込み、分析ルールやハンティングで活用するために使用する機能はどれですか？
解答・解説を見る
正解: A. A. 脅威インテリジェンス（Threat Intelligence）コネクタ/管理画面
正解の根拠・詳細解説
脅威インテリジェンス機能では、TAXIIフィードやMicrosoft Defender Threat Intelligenceなどから侵害指標（IOC）を取り込み、分析ルールやハンティングクエリと関連付けて検出に利用できます。
Microsoft Defender for Cloud Appsで、サンクションされていない（許可されていない）クラウドアプリの利用をブロックするために連携できる仕組みは何ですか？
解答・解説を見る
正解: A. A. 条件付きアクセスアプリ制御 + ネットワーク機器・プロキシとの連携によるブロック
正解の根拠・詳細解説
クラウドディスカバリーで検出した未承認アプリを「サンクション解除」とマークし、ファイアウォール/プロキシやSecure Web Gatewayと連携してアクセスをブロックする運用が可能です。
Microsoft Sentinelの分析ルールにおいて、検出条件に一致した場合に自動で「インシデントを作成」する設定をオフにすると何が起こりますか？
解答・解説を見る
正解: A. A. アラートは生成されるがインシデントとして表示されず、SOCのワークフローに乗らない
正解の根拠・詳細解説
Microsoft Sentinelのスケジュール分析ルールには、検出結果からインシデントを自動生成するかどうかを制御する「インシデントの作成」の設定があります。これを無効にすると、ルール自体は設定した間隔で実行され続けアラートは生成・記録されますが、インシデントとしては起票されないため、インシデントページに表示されず、担当者への割り当てや状態管理、インシデントをトリガーとするオートメーションルールによる対応といった通常のSOCのワークフローに乗らなくなります。結果として、検出は行われているのに誰も対応していないという状態が生まれかねない点が最大のリスクです。この設定を意図的に無効化するのは、別のルールや上位の相関ロジック側でインシデントを作成しており重複した起票を避けたい場合や、生成したアラートを他の分析や調査の材料としてのみ利用する場合に限られます。なお、この設定はデータコネクタの有効・無効やワークスペースの存続、課金額とは一切関係がなく、インシデント生成の可否だけを制御するものです。
Microsoft Sentinelでインシデントを受け取ったアナリストが最初に行うべき作業として適切なものはどれですか？
解答・解説を見る
正解: A. A. インシデントの詳細・関連エンティティ・アラートのタイムラインを確認し、対応の優先度を判断する
正解の根拠・詳細解説
インシデント対応の第一歩は、インシデントの概要、重大度、関連するエンティティ（ユーザー・ホスト・IPなど）、アラートのタイムラインを確認し、対応の優先度と次のアクションを判断することです。
Microsoft Sentinelのインシデントページで、調査の進行状況を他のアナリストと共有するために更新すべき項目はどれですか？
解答・解説を見る
正解: A. A. ステータス（New/Active/Closed）と担当者（Owner）
正解の根拠・詳細解説
インシデントのステータスと担当者を適切に更新することで、チーム内で誰がどのインシデントに対応中かを共有でき、対応の重複や漏れを防止できます。
Microsoft Sentinelでインシデントをクローズする際に選択する「分類（Classification）」の例として正しいものはどれですか？
解答・解説を見る
正解: A. A. True Positive（真陽性）、False Positive（誤検知）、Benign Positive（無害な真陽性）
正解の根拠・詳細解説
インシデントをクローズする際は、True Positive（実際の脅威）、Benign Positive（無害だが想定通りの動作）、False Positive（誤検知）などの分類を選択し、理由をコメントに記載することが推奨されます。
Microsoft Sentinelの「インシデントの調査グラフ（Investigation graph）」が示すものは何ですか？
解答・解説を見る
正解: A. A. インシデントに関連するエンティティ（ユーザー・ホスト・IPなど）とアラートの関連性を視覚的に表示する
正解の根拠・詳細解説
調査グラフは、インシデントに関連するエンティティやアラート間の関係性をノードとエッジで可視化し、攻撃の全体像や横展開の経路を把握しやすくします。
Microsoft Sentinelのインシデントに対して、関連する追加のログをKQLで調査したい場合に使用する機能はどれですか？
解答・解説を見る
正解: A. A. ログ（Logs）ページでのKQLクエリ実行、またはインシデントからのディープリンク
正解の根拠・詳細解説
インシデント調査では、関連するエンティティやタイムスタンプを基にLogsページでKQLクエリを実行し、追加の証拠やコンテキストを収集します。インシデント画面から関連ログへのディープリンクも利用できます。
Microsoft Sentinelのオートメーションルールで、特定の条件（例: 重大度が「高」）のインシデントが作成された場合に、自動的にプレイブックを実行する設定はどこで行いますか？
解答・解説を見る
正解: A. A. オートメーションルールの「アクション」でプレイブックを実行するよう設定する
正解の根拠・詳細解説
オートメーションルールでは、トリガー条件（インシデント作成時など）とアクション（タグ付け、担当者割り当て、プレイブックの実行など）を組み合わせて、対応フローを自動化します。
Microsoft Sentinelのプレイブックが、侵害されたユーザーアカウントを自動的に無効化するために連携するサービスはどれですか？
解答・解説を見る
正解: A. A. Microsoft Entra ID（Azure Active Directory）
正解の根拠・詳細解説
プレイブック（Logic Apps）からMicrosoft Graph APIやAzure ADコネクタを利用して、侵害が疑われるユーザーアカウントを自動的に無効化したり、パスワードリセットを要求したりできます。
Microsoft Sentinelで、複数のインシデントが同一の攻撃キャンペーンに関連していると判断した場合の適切な対応はどれですか？
解答・解説を見る
正解: A. A. 関連するインシデントを「マージ」または相互に関連付け、まとめて調査・対応する
正解の根拠・詳細解説
同一キャンペーンに関連する複数のインシデントは、マージ機能や関連付けによって一括管理することで、対応の重複を避け、攻撃の全体像を把握しやすくなります。
Microsoft Defender XDRポータルで、エンドポイント・メール・ID・クラウドアプリにまたがる統合インシデントを調査する際、最初に確認すべき情報は何ですか？
解答・解説を見る
正解: A. A. インシデントの攻撃ストーリー（Attack story）とアラートのタイムライン
正解の根拠・詳細解説
Defender XDRの統合インシデントページでは、関連するアラートを時系列で表示する「攻撃ストーリー」が提供され、攻撃の全体像（侵入経路から影響範囲まで）を素早く把握できます。
Microsoft Sentinelで、ハンティングクエリの結果から見つけた疑わしいアクティビティを正式な調査対象として記録するために行う操作は何ですか？
解答・解説を見る
正解: A. A. ブックマークとして保存し、必要に応じてインシデントに関連付ける（またはインシデントを作成する）
正解の根拠・詳細解説
ハンティング中に見つけた疑わしいイベントはブックマークとして保存し、関連する他の証拠と紐付けたうえで、必要であれば新規インシデントとしてエスカレーションします。
Microsoft Sentinelのプレイブックで、SOCチームのTeamsチャネルにインシデント情報を通知するアクションを実装する際に使用するコネクタはどれですか？
解答・解説を見る
正解: A. A. Microsoft Teamsコネクタ（Logic Apps）
正解の根拠・詳細解説
Logic AppsにはMicrosoft Teamsへの投稿アクションを行うコネクタが用意されており、プレイブックからインシデント発生時に自動でTeamsチャネルへ通知を送信できます。
Microsoft Sentinelのインシデントに対して「シミュレーション（Simulate）」機能を使う目的は何ですか？
解答・解説を見る
正解: A. A. 分析ルールやプレイブックが期待通りに動作するかをテストする
正解の根拠・詳細解説
シミュレーション機能を使うことで、実際のインシデントを発生させずに分析ルールやプレイブックの動作を検証し、誤検知や設定ミスを事前に発見できます。
KQLで、特定のユーザーが過去7日間にサインインした回数を国別に集計するために使用する演算子はどれですか？
解答・解説を見る
正解: A. A. summarize count() by Country
正解の根拠・詳細解説
`summarize count() by <フィールド>` を使うことで、指定したフィールド（ここでは国）ごとにレコード数を集計できます。インシデント調査で異常な地点からのアクセスを特定する際に有用です。
Microsoft Sentinelのインシデント対応において、フィッシング攻撃の調査で確認すべき主なポイントはどれですか？
解答・解説を見る
正解: A. A. 送信者・送信元IP・添付ファイル/URLの有無・受信者のクリック状況
正解の根拠・詳細解説
フィッシング調査では、送信者情報、送信元IP、メール内の添付ファイルやURL、そして実際にユーザーがクリック・開封したかどうかをDefender for Office 365の情報と合わせて確認します。
Microsoft Sentinelのプレイブックを手動でトリガーする方法はどれですか？
解答・解説を見る
正解: A. A. インシデント画面から「プレイブックの実行」を選択する
正解の根拠・詳細解説
インシデントやアラートの詳細画面から、登録済みのプレイブックを選択して手動で実行（On-demand）することができます。自動トリガーに加えて、必要時に手動実行も可能です。
Microsoft Sentinelで、インシデント対応の効率を測る指標としてよく使われるものはどれですか？
解答・解説を見る
正解: A. A. MTTD（平均検出時間）・MTTR（平均対応時間）
正解の根拠・詳細解説
MTTD（Mean Time to Detect）やMTTR（Mean Time to Respond）は、脅威の検出から対応完了までの時間を測る代表的なSOC運用指標であり、プレイブックによる自動化はこれらの短縮に寄与します。
Microsoft Sentinelのインシデント調査中に、攻撃者が使用したと思われるIPアドレスをウォッチリストに追加する目的は何ですか？
解答・解説を見る
正解: A. A. 今後の検出ルールやハンティングクエリでこのIPアドレスを参照しやすくする
正解の根拠・詳細解説
調査で判明した悪性IPアドレスなどをウォッチリストに登録することで、今後の分析ルールやハンティングクエリで `\_GetWatchlist()` を使って簡単に参照・関連付けができ、同様の攻撃の再検出に役立ちます。
Microsoft Defender for Endpointのインシデント調査で、感染したデバイス上で実行されたプロセスの親子関係を確認するために使用する画面はどれですか？
解答・解説を見る
正解: A. A. プロセスツリー（タイムラインまたはプロセスツリービュー）
正解の根拠・詳細解説
デバイスのタイムラインやプロセスツリービューでは、実行されたプロセスの親子関係や実行順序を時系列で確認でき、マルウェアの侵入経路や挙動の把握に役立ちます。
Microsoft Sentinelで、インシデント対応中に「このアラートは別のインシデントにも関連している」と判断した場合の適切な操作はどれですか？
解答・解説を見る
正解: A. A. 関連するインシデント同士をリンクまたはマージし、重複対応を避ける
正解の根拠・詳細解説
関連性のある複数のインシデントはリンクまたはマージすることで、SOC全体で重複した調査・対応が行われることを防ぎ、攻撃の全体像を一元的に管理できます。
Microsoft Sentinelのプレイブックで、インシデントの重大度に応じて通知先（メール・Teams・チケットシステムなど）を分岐させる場合に使用するLogic Appsの機能はどれですか？
解答・解説を見る
正解: A. A. 条件分岐（Condition）アクション
正解の根拠・詳細解説
Logic Appsの「条件」アクションを使うことで、インシデントの重大度などの値に応じて異なる通知先・処理に分岐するプレイブックを構築できます。
Microsoft Sentinelのインシデント対応において、ランサムウェア感染が疑われる場合に最優先で行うべき対応はどれですか？
解答・解説を見る
正解: A. A. 感染が疑われるデバイスをネットワークから分離し、被害の拡大を防ぐ
正解の根拠・詳細解説
ランサムウェアなど横展開のリスクが高い脅威では、まず感染デバイスをネットワークから分離（Isolate）し、他のシステムへの感染拡大を防ぐことが最優先の対応となります。
Microsoft Sentinelで、インシデントのクローズ後に再発防止のために実施すべきこととして適切なものはどれですか？
解答・解説を見る
正解: A. A. インシデントの根本原因を分析し、必要に応じて分析ルールやプレイブックを改善する（教訓の記録）
正解の根拠・詳細解説
クローズ後のレビュー（ポストインシデントレビュー）では、根本原因を分析し、検出ルールの精度向上やプレイブックの改善、ドキュメント化などの再発防止策を実施することが重要です。
Microsoft Sentinelで、ハンティングクエリをスケジュール実行し、結果に応じて自動的にアラートを生成したい場合の対処として正しいものはどれですか？
解答・解説を見る
正解: A. A. ハンティングクエリを分析ルール（カスタムルール）として保存し、スケジュール実行を設定する
正解の根拠・詳細解説
効果的だと判断したハンティングクエリは、そのままカスタム分析ルールとして保存し、スケジュール実行とアラート生成条件を設定することで、継続的な検出に組み込めます。
Microsoft Sentinelのインシデント対応で、内部関係者（インサイダー）による不正アクセスが疑われる場合、確認すべき情報源として適切なものはどれですか？
解答・解説を見る
正解: A. A. Azure ADのサインインログ・操作ログ、Defender for Cloud Appsの活動ログ
正解の根拠・詳細解説
インサイダー脅威の調査では、Azure ADのサインイン・監査ログや、Defender for Cloud Appsが記録するファイルアクセス・ダウンロードなどの活動ログを確認し、通常と異なる操作がないかを調べます。
Microsoft Sentinelのプレイブックで、外部の脅威インテリジェンスサービス（例: VirusTotal）にIPアドレスやハッシュ値を問い合わせ、結果に応じてインシデントにタグ付けする処理を実装する場合、必要なものは何ですか？
解答・解説を見る
正解: A. A. HTTPコネクタまたは該当サービスのカスタムコネクタ・APIキー
正解の根拠・詳細解説
外部脅威インテリジェンスサービスのAPIを呼び出すには、Logic AppsのHTTPコネクタやカスタムコネクタを使用し、サービスのAPIキーなどの認証情報を設定する必要があります。
Microsoft Sentinelで、複数のインシデントに共通するIOC（侵害指標）を素早く特定するために有効な機能はどれですか？
解答・解説を見る
正解: A. A. エンティティページでの関連インシデントの確認、または脅威インテリジェンスとの関連付け
正解の根拠・詳細解説
エンティティページでは、特定のIPアドレスやファイルハッシュが他のどのインシデントやアラートに関連しているかを確認でき、IOCの横断的な特定に役立ちます。
Microsoft Sentinelのインシデント対応において、「コメント」機能を活用する目的は何ですか？
解答・解説を見る
正解: A. A. 調査の進捗・判断理由・対応内容を記録し、チーム内で共有する
正解の根拠・詳細解説
インシデントのコメント機能を使って調査の経過や判断理由を記録することで、引き継ぎやレビュー時に他のアナリストが状況を正確に把握できます。
Microsoft Sentinelのプレイブックで、誤って実行された場合の影響を抑えるためのベストプラクティスはどれですか？
解答・解説を見る
正解: A. A. 破壊的なアクション（アカウント無効化など）の前に承認ステップ（Approval）を組み込む
正解の根拠・詳細解説
アカウントの無効化やデバイスの分離など、影響の大きいアクションを実行するプレイブックには、Teamsなどでの承認ステップを組み込み、誤動作によるビジネスへの影響を抑えることが推奨されます。
Microsoft Defender XDRで、攻撃者が複数のデバイスに侵入した形跡が見つかった場合、優先して調査すべき情報はどれですか？
解答・解説を見る
正解: A. A. 侵入の最初の地点（Initial access）と横展開（Lateral movement）の経路
正解の根拠・詳細解説
複数デバイスへの侵入が確認された場合は、最初に侵入された地点（Initial access）を特定し、そこからどのように横展開（Lateral movement）したかを追跡することで、影響範囲全体を把握できます。
Microsoft Sentinelにおけるインシデント対応の自動化（SOAR）を導入する最大のメリットは何ですか？
解答・解説を見る
正解: A. A. 定型的な対応作業を自動化し、アナリストが高度な分析に集中できる時間を増やす
正解の根拠・詳細解説
Microsoft SentinelでSOARを実現する主な手段は、オートメーションルールとLogic Appsを基盤としたプレイブックです。インシデントの生成をトリガーとして、重大度に応じたタグ付けや所有者の割り当て、Teamsやメールによる通知、脅威インテリジェンスを用いたIPアドレスやファイルハッシュの評価、既知の誤検知パターンの自動クローズ、必要に応じたユーザーアカウントの無効化や端末の隔離といった定型作業を自動的に実行できます。これにより初動対応の時間が大幅に短縮され、担当者ごとに手順がばらつくことも避けられます。最大の価値は、単純作業に費やしていた時間をアナリストがより高度な調査や脅威ハンティング、検出ロジックの改善に振り向けられるようになる点にあり、アラート疲れの緩和にもつながります。一方で自動化はデータの保持期間や料金体系を変えるものではなく、また、内容を確認せずにすべてのインシデントをクローズするような使い方をすれば、かえって検出の意味を失わせてしまいます。
Microsoft Defender for Cloudで、Azure・AWS・GCPなど複数のクラウド環境を一元的に保護するために必要な構成はどれですか？
解答・解説を見る
正解: A. A. 各クラウドプロバイダーの環境をDefender for Cloudにコネクタとして接続する
正解の根拠・詳細解説
Defender for Cloudでは、AWSやGCPのアカウントをマルチクラウドコネクタとして接続することで、Azure以外の環境も含めて統一的にセキュリティポスチャの評価や脅威検出を行えます。
Microsoft Defender for Cloudにおける「Defender for Servers」プランが提供する機能はどれですか？
解答・解説を見る
正解: A. A. 脆弱性評価、エンドポイント保護（Defender for Endpoint統合）、ジャストインタイムVMアクセス
正解の根拠・詳細解説
Defender for Serversプランを有効化すると、サーバーの脆弱性評価、Defender for Endpointの自動展開、JIT VMアクセスなど、サーバー向けの高度な保護機能が利用可能になります。
KQLのAdvanced Huntingで、特定のファイルハッシュ（SHA256）に関連するすべてのプロセス実行イベントを検索する際に使用するテーブルはどれですか？
解答・解説を見る
正解: A. A. DeviceProcessEvents
正解の根拠・詳細解説
DeviceProcessEventsテーブルには、デバイス上で実行されたプロセスの情報（ファイルハッシュ、コマンドラインなど）が記録されており、特定のハッシュに関連する実行履歴を検索できます。
Microsoft Defender Threat Intelligence（MDTI）が提供する情報として正しいものはどれですか？
解答・解説を見る
正解: A. A. 攻撃者グループ、インフラ、脆弱性に関する脅威インテリジェンス情報
正解の根拠・詳細解説
MDTIは、攻撃者（脅威アクター）、悪性インフラ（IPアドレス・ドメインなど）、脆弱性情報といった脅威インテリジェンスをカタログ化し、調査やハンティングに活用できる情報を提供します。
Microsoft Sentinelで、検出された脅威の重大度を評価する際に考慮すべき要素として適切なものはどれですか？
解答・解説を見る
正解: A. A. 影響を受ける資産の重要度、攻撃の進行段階、データの機密性
正解の根拠・詳細解説
脅威の重大度評価では、影響を受けるシステムやデータの重要度、攻撃が初期侵入段階か横展開・データ持ち出し段階かといった進行度、関連するデータの機密性などを総合的に考慮します。
Microsoft Defender for Cloudの「攻撃パス分析（Attack path analysis）」機能の目的は何ですか？
解答・解説を見る
正解: A. A. 攻撃者が悪用しうる経路をグラフで可視化し、優先的に対処すべき脆弱性を特定する
正解の根拠・詳細解説
攻撃パス分析は、クラウド環境内のリソース間の関係性とセキュリティ上の弱点を分析し、攻撃者が侵入から目的達成までに通る可能性のある経路をグラフで可視化することで、対処の優先順位付けを支援します。
KQLのAdvanced Huntingで、メールに関連するイベント（送受信者、件名、添付ファイルなど）を検索する際に使用するテーブルはどれですか？
解答・解説を見る
正解: A. A. EmailEvents
正解の根拠・詳細解説
EmailEventsテーブルには、Microsoft Defender for Office 365が処理したメールの送受信者、件名、配信状況などの情報が記録されており、フィッシング調査などに利用します。
Microsoft Sentinelで、外部の脅威インテリジェンスフィード（TAXII/STIX形式）を取り込む際に使用するコネクタはどれですか？
解答・解説を見る
正解: A. A. Threat Intelligence – TAXIIコネクタ
正解の根拠・詳細解説
TAXII/STIX形式の脅威インテリジェンスフィードは、「Threat Intelligence – TAXII」データコネクタを使ってMicrosoft Sentinelに取り込み、ThreatIntelligenceIndicatorテーブルに格納されます。
Microsoft Defender for Cloudで、コンテナ環境（Kubernetes）のセキュリティを強化するために提供されるプランはどれですか？
解答・解説を見る
正解: A. A. Defender for Containers
正解の根拠・詳細解説
Defender for Containersは、AKSなどのKubernetes環境に対して、脆弱性スキャン、ランタイムの脅威検出、構成評価などのセキュリティ機能を提供します。
KQLのAdvanced Huntingで、ネットワーク接続イベント（接続先IP、ポートなど）を検索する際に使用するテーブルはどれですか？
解答・解説を見る
正解: A. A. DeviceNetworkEvents
正解の根拠・詳細解説
DeviceNetworkEventsテーブルには、デバイスから発生したネットワーク接続（接続先IPアドレス、ポート、プロトコルなど）の情報が記録されており、不審な通信先の調査に使用します。
Microsoft Sentinelで、複数の脅威インテリジェンス指標（IOC）と実際のログデータを関連付けて検出を行う分析ルールの種類はどれですか？
解答・解説を見る
正解: A. A. Microsoft脅威インテリジェンスに基づく分析ルール（TI map系）
正解の根拠・詳細解説
脅威インテリジェンスに基づく分析ルール（例: 「TI map IP entity to … 」テンプレート）は、取り込んだIOC（悪性IPやドメインなど）とログデータを自動的に関連付けてアラートを生成します。
Microsoft Defender for Cloudのセキュアスコアにおいて、最も優先的に対応すべき推奨事項はどれですか？
解答・解説を見る
正解: A. A. スコアへの影響（重み）が大きく、かつ未対応の重要度が高い推奨事項
正解の根拠・詳細解説
セキュアスコアの各推奨事項には重み（スコアへの影響度）が設定されており、影響が大きく未対応のものから優先的に対応することで、効率的にセキュリティ態勢を改善できます。
Microsoft Sentinelのワークブックを使って、検出された脅威の種類別件数や時系列の傾向を可視化する目的は何ですか？
解答・解説を見る
正解: A. A. セキュリティ状況の全体像をSOCやマネジメント層に分かりやすく伝える
正解の根拠・詳細解説
ワークブックによる可視化は、検出傾向や対応状況をSOCチームやマネジメント層に分かりやすく示すために使われ、レポーティングや意思決定の材料となります。
Microsoft Defender for Cloudで、データベース（Azure SQLなど）に対する異常なクエリパターンや潜在的なSQLインジェクションを検出するプランはどれですか？
解答・解説を見る
正解: A. A. Defender for SQL
正解の根拠・詳細解説
Defender for SQLは、Azure SQL DatabaseやSQL Serverに対する異常なアクセスパターン、SQLインジェクションの試行、脆弱性などを検出し、アラートを生成します。
KQLのAdvanced Huntingで、検出されたアラートの詳細情報（重大度、カテゴリなど）を取得する際に使用するテーブルはどれですか？
解答・解説を見る
正解: A. A. AlertInfo
正解の根拠・詳細解説
AlertInfoテーブルには、生成されたアラートのID、タイトル、重大度、カテゴリ、検出元サービスなどの情報が記録されており、AlertEvidenceテーブルなどと結合して詳細な調査に利用します。
Microsoft Defender for Cloudで、ストレージアカウントへの不審なアクセス（異常なダウンロードパターンなど）を検出するプランはどれですか？
解答・解説を見る
正解: A. A. Defender for Storage
正解の根拠・詳細解説
Defender for Storageは、Azure Storageアカウントへの異常なアクセスパターン、マルウェアを含むファイルのアップロード、不審なアクセス元などを検出します。
Microsoft Sentinelで脅威インテリジェンス指標（IOC）の有効期限（Expiration）を設定する目的は何ですか？
解答・解説を見る
正解: A. A. 古くなった指標が誤って現在の検出に使用され続けることを防ぐ
正解の根拠・詳細解説
脅威インテリジェンス指標には有効期限を設定でき、期限切れの古い指標が検出ロジックで使用され続けることによる誤検知やノイズの増加を防ぎます。
Microsoft Defender XDRの「脅威分析（Threat analytics）」レポートが提供する情報はどれですか？
解答・解説を見る
正解: A. A. 特定の脅威アクターや攻撃キャンペーンに関する分析情報と、自社環境への影響範囲
正解の根拠・詳細解説
脅威分析レポートでは、Microsoftのセキュリティ研究者がまとめた特定の脅威アクターやキャンペーンの手法に関する情報と、組織内でその脅威に関連する活動が検出されているかどうかが確認できます。
Microsoft Sentinelで、検出された脅威が「高度標的型攻撃（APT）」の可能性があると判断した場合、エスカレーションすべき対応はどれですか？
解答・解説を見る
正解: A. A. 重大度を最高に設定し、上位の対応チームやインシデント対応プロセスにエスカレーションする
正解の根拠・詳細解説
APTのような高度な脅威が疑われる場合は、通常のSOC対応フローを超えて、上位のインシデント対応チームやCSIRTへのエスカレーション、法的・広報部門との連携など、組織のインシデント対応計画に基づいた対応が必要です。
Microsoft Defender for Cloudの「規制コンプライアンス」ダッシュボードの役割は何ですか？
解答・解説を見る
正解: A. A. NIST、ISO27001、PCI DSSなどの規制基準への準拠状況を評価・追跡する
正解の根拠・詳細解説
規制コンプライアンスダッシュボードでは、組織の環境がNIST、ISO 27001、PCI DSSなどの業界標準・規制要件にどの程度準拠しているかを可視化し、未達項目への対応を支援します。
KQLのAdvanced Huntingで、複数のテーブル（例: DeviceProcessEventsとDeviceNetworkEvents）を組み合わせて分析する際に使用する演算子はどれですか？
解答・解説を見る
正解: A. A. join
正解の根拠・詳細解説
`join` 演算子を使うことで、共通のキー（例: DeviceIdやTimestamp）をもとに複数のテーブルを結合し、プロセス実行とネットワーク通信の関連性などを分析できます。
Microsoft Defender for Cloudで、推奨事項の中に「ただちに修正できないが将来対応する予定」のものがある場合に使用する機能は何ですか？
解答・解説を見る
正解: A. A. 免除（Exemptions）
正解の根拠・詳細解説
免除（Exemption）機能を使うことで、特定の推奨事項を一時的または永続的にセキュアスコアの計算対象から除外し、対応計画とともに記録できます。
Microsoft Sentinelで、脅威インテリジェンス指標と組織のログデータとのマッチングを可視化するために用意されているワークブックはどれですか？
解答・解説を見る
正解: A. A. Threat Intelligence ワークブック
正解の根拠・詳細解説
Threat Intelligenceワークブックでは、取り込まれたIOCの種類別件数や、ログデータとのマッチング状況を可視化し、脅威インテリジェンスの活用状況を把握できます。
Microsoft Defender for Cloudで、脆弱性スキャンの結果から「現在悪用が確認されている脆弱性（Exploit in the wild）」を優先的に対応するべき理由は何ですか？
解答・解説を見る
正解: A. A. 実際に攻撃者によって悪用されているため、悪用される前に対応する重要性が他より高い
正解の根拠・詳細解説
悪用が確認されている脆弱性（既知の悪用脆弱性）は、攻撃者によって実際に利用されているリスクが高く、CVSSスコアが同程度の他の脆弱性よりも優先的に修正すべき対象です。
Microsoft Sentinelの分析ルールで「MITRE ATT&CK」のタクティクスやテクニックをマッピングする目的は何ですか？
解答・解説を見る
正解: A. A. 検出内容を業界標準の攻撃フレームワークに対応付け、カバレッジや対応状況を把握しやすくする
正解の根拠・詳細解説
分析ルールにMITRE ATT&CKのタクティクス・テクニックをマッピングすることで、組織がどの攻撃手法に対する検出能力を持っているか（カバレッジ）を可視化し、ギャップ分析に活用できます。
Microsoft Defender for Cloudで、Key Vaultに対する異常なアクセス（大量のシークレット取得など）を検出するプランはどれですか？
解答・解説を見る
正解: A. A. Defender for Key Vault
正解の根拠・詳細解説
Defender for Key Vaultは、Azure Key Vaultに対する異常なアクセスパターム（不審なアプリケーションからの大量アクセスなど）を検出し、シークレット漏洩のリスクに対するアラートを生成します。
KQLのAdvanced Huntingで、過去に発生したインシデントと同様のパターンを持つイベントを継続的に監視したい場合の適切な対応はどれですか？
解答・解説を見る
正解: A. A. クエリをカスタム検出ルール（Custom detection rule）として保存し、定期的に実行・アラート生成する
正解の根拠・詳細解説
Advanced Huntingのクエリは「カスタム検出ルール」として保存することで、定期的に自動実行され、条件に一致した場合にアラートやインシデントを生成する継続的な監視に変えることができます。
Microsoft Defender for Cloudで、オンプレミスのサーバーをクラウドのセキュリティ管理に組み込む際に必要な構成はどれですか？
解答・解説を見る
正解: A. A. Azure Arcを使ってオンプレミスサーバーをAzureに接続し、Defender for Serversを適用する
正解の根拠・詳細解説
Azure Arcを利用することで、オンプレミスや他クラウドのサーバーをAzureリソースとして管理対象に含め、Defender for Serversなどのセキュリティ機能を適用できるようになります。
Microsoft Sentinelで脅威の重大度を「Informational」に設定したアラートが多数の場合、SOCの運用上どのような対応が考えられますか？
解答・解説を見る
正解: A. A. 定期的にレビューしつつ、本当に必要な情報か再評価し、不要であればルールを無効化・調整する
正解の根拠・詳細解説
Informationalレベルのアラートが過剰に生成されている場合は、SOCの負荷軽減のため、定期的にレビューして必要性を再評価し、不要なルールは無効化やしきい値調整を行うことが望まれます。
Microsoft SentinelとMicrosoft Defender for Cloudを統合的に運用するメリットとして最も適切なものはどれですか？
解答・解説を見る
正解: A. A. クラウドのセキュリティポスチャ管理（CSPM/CWP）の情報をSentinelに取り込み、SIEM/SOARの検出・対応フローと統合できる
正解の根拠・詳細解説
Microsoft Defender for Cloudはクラウド環境の構成ミスや脆弱性を評価するCSPMと、サーバーやコンテナ、データベースなどのワークロード保護（CWP）を担い、セキュアスコアやアラートという形でリスクを可視化する。一方Microsoft SentinelはSIEM/SOARとして、複数のソースから集めたログを相関分析し、インシデントとして集約したうえでプレイブックによる自動対応まで行う。両者をコネクタで接続すると、Defender for Cloudのアラートや推奨事項がSentinel側に取り込まれ、ID・エンドポイント・ネットワークといった他のシグナルと突き合わせた分析が可能になる。これにより、構成上の弱点と実際の攻撃検知を切り離さずに扱えるようになり、インシデントの優先度判断や調査の効率が向上する。統合の目的はあくまで検出と対応の一元化であり、料金が無料になる、データ保持期間が無制限になる、ユーザーライセンスが不要になるといった効果はない。Sentinelは取り込んだデータ量と保持期間に応じて課金される点も併せて押さえておきたい。
