SC-200 203問：正解・日本語解説・参考資料つき

okonomiyaki

最初に

SC-200 の問題集を探すと、すぐに気づくことがあります。

まともな日本語の教材がほとんどない、ということです。

英語の問題集はいくつか存在します。ですが、「正解はどれか」はわかっても「なぜその選択肢が正解なのか」「他の選択肢がなぜ間違いなのか」まで踏み込んで解説しているものは少ない。ましてや日本語で丁寧に書かれたものとなると、ほぼ見当たりません。

この記事はその空白を埋めるために作りました。

この問題集でできること

  • SC-200 の実践問題を 203 問、まとめて演習できる

  • すべての問題に 日本語の解説がついており、「なぜ正解か・なぜ不正解か」まで読める

  • 解説の根拠となった 公式ドキュメントへのリンクを各問に掲載しているため、深く調べたいときにすぐ参照できる

  • Microsoft Sentinel、Defender for Cloud、Defender for Endpoint、KQL、Defender XDR など SC-200 の全範囲をカバーしている

問題の構成

各問は以下の形式で統一されています。

  • 問題文

  • 選択肢

  • 正解

  • 解説（日本語、根拠つき）

  • 頻出テーマ

  • 参考資料（公式ドキュメントへのリンク）

選択式だけでなく、ドロップダウン選択・複数選択・順序並び替えなど、試験本番に近い形式の問題も収録しています。

無料で読める範囲と有料の範囲

質問 1〜50 → 無料

まず 50 問を通して読んでみてください。解説の詳しさと参考資料の充実度を確かめてから、続きを判断できます。

質問 51〜203 → 有料

残り 153 問は有料パートです。頻出テーマの山場となる問題が多く含まれており、ここからが試験の核心に触れる内容になります。

SC-200 の出題傾向として、特定のテーマ（Sentinel のエンティティ・KQL・オートメーション・Defender for Cloud の推奨事項など）が繰り返し問われます。有料パートではこれらのテーマが集中して登場するため、同じ概念を複数の角度から問われることで理解が定着します。

こんな方に向いています

  • SC-200 の受験を 1〜2 か月以内に控えている方

  • 公式ドキュメントを読んでも内容が定着しにくいと感じている方

  • 問題を解きながら、理由まで含めて体系的に学びたい方

  • 英語の問題集を使ってきたが、解説が薄くて理解が追いついていない方

学習方法の提案

まず解説は見ずに問題を解き、自分の答えを出してみます。その後に解説を開き、正解・不正解の理由を確認します。間違えた問題には印をつけておき、1 週間後に再挑戦すると記憶への定着率が上がります。

あわせて、頻出サブテーマを整理した記事（無料）も公開しています。問題集と並行して読むと、どのテーマが重点的に問われているかの全体像を把握しながら演習できます。


質問 1

問題

Microsoft Defender for Cloud が構成された環境があります。
このサービスからセキュリティアラートを受信しています。そのアラートに対処するために推奨事項を確認する必要があります。
提案された解決策: 規制コンプライアンスのページからレポートをダウンロードします。
この解決策で目的を達成できますか？

選択肢

  • (A) はい

  • (B) いいえ

正解

B

解説

規制コンプライアンスダッシュボード/レポートは、リソース全体の標準ベースのコンプライアンス状態と関連する推奨事項を表示するものであり、特定のアラートに対する修復手順を提供するものではありません。Defender for Cloud（旧 Azure Security Center）の特定アラートの修復方法を確認するには、アラートを開いて「対応策を実施する」→「脅威を軽減する」を確認します。したがって、規制コンプライアンスレポートのダウンロードはこの目標を達成しません。

頻出テーマ

大分類

  • Microsoft Defender for Cloud

  • アラート管理

  • デバイスコンプライアンス

中分類（サブテーマ）

  • Defender for Cloud - セキュリティ推奨事項

  • Defender for Cloud - 規制コンプライアンス

  • Defender for Cloud - アラート修復

参考資料

質問 2

問題

次の表に示すリソースがあります。

  • Server1：Server、File server that runs Windows Server、On-premises

  • Server2：Virtual machine、Application server that runs Linux、Amazon Web Services (AWS)

  • Server3：Virtual machine、Domain controller that runs Windows Server、Azure

  • Server4：Server、Domain controller that runs Windows Server、On-premises

Microsoft Defender for Cloud を使用する Azure サブスクリプションがあります。
各リソースで Microsoft Defender ロット サーバーを有効にする必要があります。
Azure Arc エージェントのインストールが必要なリソースはどれですか?

選択肢

  • (A) サーバー 3 のみ

  • (B) Server1 および 5erver4 のみ

  • (C) サーバー 1。サーバー 2。 Server4 のみ

  • (D) サーバー 1、Servec2、サーバー 3。とセイバー4

正解

C

解説

Microsoft Defender for Servers は、Azure とハイブリッド・マルチクラウド環境の両方で Windows/Linux サーバーに以下を提供します（C）:

  • 脅威保護（マルウェア検出・行動分析）

  • 脆弱性管理（Microsoft Defender 脆弱性管理との統合）

  • セキュリティ推奨事項（設定ミスや脆弱性の修復ガイダンス）

オンプレミスサーバー（Azure Arc 経由）・AWS・GCP の


質問 3

問題

Microsoft Sentinel のワークスペースがあります。
Microsoft SharePoint Online と OneDrive のデータをダッシュボード上で可視化する計画があります。
そのための KQL クエリを作成しなければなりません。クエリは以下の条件をすべて満たす必要があります。

  • すべてのワークロードを一度の操作で選択できること

  • Operations と Users という 2 種類のパラメーターを組み込むこと

  • 空白のサイト URL を結果から除外すること
    クエリの空欄はどのように埋めるべきですか？回答エリアで適切な選択肢を選んでください。注意: 正解ごとに 1 ポイントが付与されます。

選択肢

OfficeActivity
[ドロップダウン選択1] 
| where OfficeWorkload in ('OneDrive', 'SharePoint') 
[ドロップダウン選択2] 
| summarize Number = count() by Site_Url, UserId, Operation, TimeGenerated

ドロップダウン選択1の選択肢:

  • `| where Operation in ((Operations))`

  • `| where Operation in ({Operations})`

  • `| where Operation == {Operations}`

  • `| where ("{Operations:label}" == "All" or Operation in ({Operations}))`

ドロップダウン選択2の選択肢:

  • `| project Site_Url`

  • `where Operation != "`

  • `where Site_Url != "`

  • `where Site_Url =~ "`

正解

ドロップダウン選択1:
`| where ("{Operations:label}" == "All" or Operation in ({Operations}))`

ドロップダウン選択2:
`where Site_Url != ''`

解説

Microsoft Sentinel ワークブックでは、KQL クエリ内でパラメーターを `{パラメーター名}` の形式で直接参照できます。

「すべて選択」オプションを含む複数選択パラメーターの場合、推奨パターンは以下の通りです。

| where ("{Operations:label}" == "All" or Operation in ({Operations}))

  • `{Operations:label}` が `"All"` のとき → フィルターせず全件を返す

  • それ以外のとき → 選択された操作値で絞り込む

空のサイト URL を除外するには `| where Site_Url != ''` を使います。

完成したクエリ例:

OfficeActivity
| where ("{Operations:label}" == "All" or Operation in ({Operations}))
| where OfficeWorkload in ('OneDrive','SharePoint')
| where UserId in ({Users})
| where Site_Url != ''
| summarize Number = count() by Site_Url, UserId, Operation, TimeGenerated

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • ワークブック (Workbook)

  • Microsoft Sentinel

中分類（サブテーマ）

  • Sentinel - KQL / ワークブックパラメーター

  • KQL - ワークブックパラメーター構文

  • Sentinel - ワークブック

参考資料

質問 4

問題

Microsoft 365 サブスクリプションがあります。このサブスクリプションには、User1・User2・User3 の 3 名のユーザーと、以下のリソースが含まれています。

  • Device1：User1（DevGroup1）

  • Device2：User2（DevGroup1）

  • Device3：User3（DevGroup2）

以下の設定が適用された Rule1 という Microsoft Defender XDR カスタム検出ルールが存在します。

  • スコープ: DevGroup1

  • ファイルハッシュ: File1.exe

  • 実行アクション

    • デバイスへの操作: 調査パッケージを収集

    • ユーザーへの操作: 侵害済みとしてマーク

    • ファイルへの操作: ブロック

各ユーザーが自分のデバイスで File1.exe の実行を試みたとします。
以下の各文について、正しければ「はい」、誤りであれば「いいえ」を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • File1.exe will be blocked on Device3.：○

  • User2 will be marked with a risk level of medium.：○

  • An investigation package will be collected from Device1.：○

正解

  • File1.exe will be blocked on Device3.：No

  • User2 will be marked with a risk level of medium.：No

  • An investigation package will be collected from Device1.：Yes

解説

Microsoft Defender XDR のカスタム検出ルールは、デバイスまたはデバイスグループをスコープとしており、そのスコープに含まれるデバイスに対してのみ、デバイス関連のアクションを実行します。ドキュメントにも記載されているとおり、「スコープ内のデバイスからのデータのみがクエリの対象となります。また、アクションはそれらのデバイスに対してのみ実行されます。」 したがって、DevGroup1をスコープとするルールは、DevGroup1内のデバイス（Device1およびDevice2）に対してのみアクションを適用します。Device3はDevGroup2に属しているため、このルールはDevice3には適用されません。ファイルのブロックは、ルールによってトリガーされるファイルレベルのアクションですが、ブロックはルールがスコープ内にある場合にのみ適用されます。
その結果、Device3（スコープ外）では File1.exe はブロックされません。ユーザーアクションについては、ルールの「ユーザーを侵害済みとしてマーク」アクションは、明示的に「Microsoft Entra ID でユーザーのリスクレベルを'高'に設定する」ものであり、中程度のリスクに設定するものではありません。したがって、User2 がリスクレベル「中」としてマークされるという記述は誤りであり、ドキュメントに記載されている結果は「高」リスクのマークです。最後に、デバイスアクションには「調査パッケージの収集」が含まれており、これらはルールが一致した際にDeviceIdの結果に対して適用されます。Device1はDevGroup1（スコープ内）にあり、ルールでは一致したデバイスから調査パッケージを収集するよう指定されているため、ルールが発動した際にDevice1から調査パッケージが収集されます。

頻出テーマ

大分類

  • 調査パッケージ

  • Microsoft Defender XDR

  • カスタム検出ルール

中分類（サブテーマ）

参考資料

質問 5

問題

Microsoft Defender for Cloud が設定された環境があります。
このサービスからセキュリティアラートを受信しています。そのアラートに対処するために推奨事項を確認する必要があります。
提案された解決策: [セキュリティアラート] から対象のアラートを開き、[アクションの実行] をクリックして [今後の攻撃の防止] セクションを展開します。
この手順で目的を達成できますか？

選択肢

  • (A) はい

  • (B) いいえ

正解

A

解説

Microsoft Defender for Cloud でセキュリティアラートを調査・解決するには、対象のアラートを選択し「アクションの実行」→「脅威を軽減する」の手順で推奨事項を確認します。

この操作フローは Microsoft 公式ドキュメントに記載されたアラート調査プロセスと一致しており、設問の解決策（アラートを選択し「対応策を実施する」を選ぶ）は目標を達成します。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Cloud

  • セキュリティ推奨事項

中分類（サブテーマ）

  • Defender for Cloud - セキュリティ推奨事項

  • Defender for Cloud - アラート修復

参考資料

質問 6

問題

Microsoft Defender XDR を使用する Microsoft 365 サブスクリプションがあります。
Microsoft Defender for Endpoint が頻繁に使用される実行可能ファイルに対して大量のアラートを発行しており、アラート疲れが生じています。アラートを調整する必要があります。
アラートチューニングルールを使って実行できる操作として正しいものを 2 つ選んでください。各選択肢は独立した完全な解決策です。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • (A) 削除

  • (B) 隠す

  • (C) 解決する

  • (D) merge

  • (E) 割り当てる

正解

B、C

解説

Microsoft Defenderのアラートチューニング機能（以前はサプレッションと呼ばれていました）は、定義された条件に一致するアラートの処理方法を変更することでアラートノイズを削減します。「アラートをチューニング」ペインを開くと条件を定義してアクションを選択できます。選択できるアクションはアラートを「解決済み」または「非表示」にすることですが、「削除」オプションはありません。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Endpoint (MDE)

  • Microsoft Defender XDR

中分類（サブテーマ）

  • アラート - サプレッション / 誤検知抑制

参考資料

質問 7

問題

Azure サブスクリプションがあります。User1 というゲストユーザーと workspace1 という Microsoft Sentinel ワークスペースが存在します。
User1 が workspace1 上で Microsoft Sentinel のインシデントをトリアージできるよう設定する必要があります。最小権限の原則を遵守してください。
User1 に付与すべきロールはどれですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • Azure role:

    • Microsoft Sentinel Contributor

    • Microsoft Sentinel Automation Contributor

    • Microsoft Sentinel Contributor

    • Microsoft Sentinel Responder

  • Azure AD role:

    • Directory readers

    • Attribute assignment reader

    • Directory readers

    • Global reader

正解

  • Azure role: Microsoft Sentinel Responder

  • Azure AD role: Directory readers

解説

インシデントのトリアージ（表示・割り当て・ステータス更新）のみを行うには Microsoft Sentinel Responder ロールで十分です。Contributor は分析ルールの作成・変更なども含むため、最小権限の原則に反します。

Azure AD ロール（Directory Readers） は、インシデント調査時にユーザー ID やグループメンバーシップを照会するための読み取り専用アクセスを提供します。Global Reader は過剰な権限です。

  • Azure ロール: Microsoft Sentinel Responder

  • Azure AD ロール: Directory Readers

頻出テーマ

大分類

  • Microsoft Sentinel

  • インシデント管理

  • Microsoft Entra ID / Azure AD

中分類（サブテーマ）

  • Sentinel - ワークブック

  • Sentinel - データコネクタ

  • Sentinel - プレイブック（インシデントトリガー）

参考資料

質問 8

問題

Microsoft Defender for Endpoint を使用する Microsoft 365 E5 サブスクリプションがあります。
マルウェアアラートを発生させたデバイスを特定し、そのアラートに関連する証拠を収集する必要があります。また、収集した情報をもとに影響を受けたデバイスの隔離を開始できることも要件です。
Microsoft Defender XDR ポータルで使用すべき機能は何ですか？

選択肢

  • (A) インシデント

  • (B) 調査

  • (C) 高度なハンティング

  • (D) 修復

正解

B

解説

Microsoft Defender for Endpointでは、調査（自動調査と応答：AIR）がアラートに関連する証拠を収集し、デバイスの動作を分析し、デバイスの隔離・ファイルの検疫・修復などの応答アクションを可能にします。インシデントは複数のアラートをまとめますが、証拠収集やフォレンジックアーティファクトの収集は調査（Investigation）が提供します。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Endpoint (MDE)

  • インシデント管理

中分類（サブテーマ）

  • インシデント - コメント / 証拠添付

  • MDE - デバイス分離

参考資料

質問 9

問題

Microsoft Sentinel ワークスペースがあります。
以下に示す Query1 というクエリが存在します。

OfficeActivity
| where TimeGenerated > ago(1h)
| where Operation contains 'delete'
| project TimeGenerated, UserId, Operation, OfficeWorkload, RecordType, _ResourceId
| sort by TimeGenerated desc nulls last

Parser1 という名前のカスタムパーサーを作成し、Query1 を組み込む予定です。
Parser1 を作成する前に、まず何を行う必要がありますか？

選択肢

  • (A) 行 2 を削除します。

  • (B) 4 行目で、TimeGenerated 述語を削除します。

  • (C) 5 行目を削除します。

  • (D) 3 行目で、'contains 演算子を !has 演算子に置き換えます。

正解

C

解説

Microsoft Sentinel（Azure Monitor Logs）でカスタムパーサーを作成する場合、パーサーのKQLクエリはデータの変換・再形成のみを行い、sort by、take、明示的な時間フィルタリング（where TimeGenerated ...）などの表示制御コマンドを含めることができません。

ASIM カスタムパーサーはテーブル参照を含むことができません。`OfficeActivity` のようなテーブル名を直接含むクエリはパーサーとして使用できないため、そのまま利用する選択肢 A は不正解です。カスタムパーサーは所定のスキーマに合わせた変換ロジックのみを含む必要があります。一部のAIツールが A と回答する場合がありますが、Microsoft の公式ドキュメントに基づくと C が正解です。

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • Microsoft Sentinel

  • ワークブック (Workbook)

中分類（サブテーマ）

  • Sentinel - KQL / ワークブックパラメーター

  • KQL - 時系列・時間フィルター

  • Sentinel - ワークブック

参考資料

質問 10

問題

ハイブリッド Azure AD 環境に接続された Microsoft 365 E5 サブスクリプションがあります。
過去 30 日間に Domain Admins グループに加えられたすべての変更を洗い出す必要があります。
どのツールまたは機能を使用すべきですか？

選択肢

  • (A) Azure Active Directory プロビジョニング分析ワークブック

  • (B) インサイダー リスク管理の概要設定

  • (C) Microsoft Defender for Identity の機密グループの変更レポート

  • (D) Microsoft Defender for Cloud Apps の ID セキュリティ体制評価

正解

C

解説

Microsoft 365 E5 のハイブリッド Azure AD 環境では、Domain Admins などの特権 AD グループへの変更の監視は Microsoft Defender for Identity が担当します。

「機密グループへの変更」レポートにより、機密 AD グループへのすべての変更を可視化できます。このレポートは Defender for Identity のポータルから確認可能です。

頻出テーマ

大分類

  • Microsoft Entra ID / Azure AD

  • Microsoft Defender for Identity

  • Microsoft Defender for Cloud

中分類（サブテーマ）

参考資料

質問 11

問題

Microsoft Defender for Endpoint に登録された Windows 10 デバイスが 200 台ある Microsoft 365 E5 サブスクリプションがあります。
セキュリティ担当者が Microsoft Defender XDR ポータルからリモートシェル接続でデバイスに直接アクセスできるよう設定する必要があります。最小権限の原則を適用してください。
ポータルで実施すべき操作はどれですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

To configure Microsoft Defender for Endpoint:

  • Turn on endpoint detection and response (EDR) in block mode

  • Turn on Live Response

  • Turn off Tamper Protection

To configure the devices:

  • Add a network assessment job

  • Create a device group that contains the devices and set Automation level to Full

  • Create a device group that contains the devices and set Automation level to No automated response

正解

  • To configure Microsoft Defender for Endpoint: Turn on Live Response

  • To configure the devices: Create a device group that contains the devices and set Automation level to Full

解説

１: ライブレスポンスを有効にする
ライブレスポンスは、リモートシェル接続を使用してデバイスに即座にアクセスできる機能です。これにより、詳細な調査を実施し、即座に対応措置を講じることが可能になります。

２: ネットワーク評価ジョブを追加する
ネットワーク評価ジョブを使用すると、定期的にスキャンしてデバイスインベントリに追加するネットワークデバイスを選択できます。

頻出テーマ

大分類

  • ライブ応答 (Live Response)

  • Microsoft Defender for Endpoint (MDE)

  • デバイスグループ

中分類（サブテーマ）

  • MDE - ライブ応答

  • MDE - デバイスグループ / RBAC

参考資料

質問 12

問題

Microsoft Defender XDR を使用し、User1 というユーザーが含まれる Microsoft 365 サブスクリプションがあります。
User1 のアカウントが侵害されたという通知を受けました。
User1 がサインインしたデバイスで発生したアラートを調査する必要があります。
KQL クエリの空欄を正しく補完するにはどうすればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

DeviceInfo
| where LoggedOnUsers contains 'user1'
| distinct DeviceId
| [ドロップダウン1] kind=inner AlertEvidence on DeviceId
| project AlertId
| join AlertInfo on AlertId
| [ドロップダウン2] AlertId, Timestamp, Title, Severity, Category

ドロップダウン1の選択肢:

  • extend

  • join

  • project

ドロップダウン2の選択肢:

  • project

  • summarize

  • take

正解

DeviceInfo
| where LoggedOnUsers contains 'user1'
| distinct DeviceId
| **join** kind=inner AlertEvidence on DeviceId
| project AlertId
| join AlertInfo on AlertId
| **project** AlertId, Timestamp, Title, Severity, Category

解説

[ドロップダウン1]：join
理由: クエリのこの段階では、直前の行で特定した「User1 が使用したデバイスの ID（DeviceId）」と、アラートの証拠データが格納されている AlertEvidence テーブルを紐付ける必要があります。
詳細: 2つの異なるテーブル（この場合は DeviceInfo から抽出したリストと AlertEvidence）を共通の列（DeviceId）で結合し、関連する行を組み合わせるには join 演算子を使用します。
[ドロップダウン2]：project
理由: 最終的に出力する特定の列（AlertId, Timestamp, Title など）を指定して、結果セットを整理（選択）する必要があるためです。
詳細: project 演算子は、データセットから必要な列のみを選択し、不要な列を非表示にするために使用されます。
summarize はデータの集計（カウントや平均など）に使用します。
take は指定した行数だけをランダムに取得するために使用します。

頻出テーマ

大分類

  • アラート管理

  • ハンティング / Threat Hunting

  • Microsoft Defender XDR

中分類（サブテーマ）

  • アラート - 重要度・ステータス管理

参考資料

質問 13

問題

Microsoft Defender XDR を使用し、Device1 という Windows デバイスが含まれる Microsoft 365 E5 サブスクリプションがあります。
Device1 で不審なアクティビティを調査していたところ、File1.exe という怪しいファイルを発見しました。Device1 から調査パッケージを取得しました。
以下のフォレンジックに関する疑問について、調査パッケージ内のどのフォルダーを確認すればよいですか？回答エリアで適切な選択肢を選択してください。

確認すべき項目:

  • 攻撃者が現時点で Device1 にリモートアクセスしているか

  • File1.exe が最初に実行された日時

選択肢

各データポイントについて以下から選択:

  • Autoruns

  • Installed programs

  • Network connections

  • Prefetch files

  • Scheduled tasks

  • Services

  • Security event log

正解

  • Is an attacker currently accessing Device1 remotely?：Network connections

  • When was File1.exe first executed?：Prefetch files

解説

Microsoft Defender for Endpoint の調査パッケージには、調査に必要なフォレンジックデータが含まれています。

データポイント1: デバイスがリモートから攻撃者にアクセスされているか

  • 確認先: ネットワーク接続ファイル（NetworkConnections.txt）

  • 調査パッケージには、収集時点でアクティブなネットワーク接続の一覧が含まれます。リモート IP アドレス・ポート・関連プロセスを確認することで、不審なリモートアクセスセッションを特定できます。

データポイント2: File1.exe が最初に実行された日時

  • 確認先: プリフェッチファイル（Prefetch フォルダー）

  • Windows プリフェッチは、実行されたアプリケーションのメタデータ（初回・最終実行時刻、実行回数、パスなど）を記録するフォレンジックアーティファクトです。File1.exe の最初の実行タイムスタンプを特定するのに使用します。

頻出テーマ

大分類

  • 調査パッケージ

  • Microsoft Defender for Endpoint (MDE)

  • Microsoft Defender XDR

中分類（サブテーマ）

  • MDE - 調査パッケージの収集

参考資料

質問 14

問題

Microsoft Sentinel の要件を満たすために、どの分析ルールの設定を構成する必要がありますか？

選択肢

  • (A) [ルール ロジックの設定] から、抑制をオフにします。

  • (B) 分析ルールの詳細から、戦術を構成します。

  • (C) ルール ロジックの設定から、エンティティをマップします。

  • (D) 分析ルールの詳細から、重大度を構成します。

正解

C

解説

Microsoft Sentinelでは、エンティティマッピングが重要な設定であり、検出されたイベントとアラートが調査グラフ・インシデント・ハンティングエクスペリエンスで正しく表示されることを保証します。

Microsoft Sentinel の分析ルールでインシデントを正しく生成するには、エンティティマッピング（Entity Mapping）の設定が必要です。エンティティマッピングを設定することで、アラートからユーザー・デバイス・IP などのエンティティが自動抽出され、インシデントの調査グラフに表示されます。C の構成でエンティティマッピングを含めるのが要件を満たす正しい選択です。

【補足】
Microsoft Sentinel の分析ルールでは、
インシデントを正しく生成し、デバイス・ユーザー・IP などのエンティティを関連付けることが要件として求められています。

頻出テーマ

大分類

  • 分析ルール (Analytics Rule)

  • Microsoft Sentinel

  • インシデント管理

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

  • Sentinel - ハンティングクエリ

  • インシデント - 調査グラフ / エンティティ関連付け

参考資料

質問 15

問題

Microsoft Exchange Online と Microsoft Defender for Office 365 を使用する Microsoft 365 テナントがあります。
ゼロ時間自動パージ（ZAP）によってユーザーのメールボックスからメッセージが移動されたかどうかを確認するには、どのツールを使用すればよいですか？

選択肢

  • (A) Microsoft Defender for Office 365 の脅威保護ステータス レポート

  • (B) Exchange のメールボックス監査ログ

  • (C) Microsoft Defender for Office 365 の安全な添付ファイルのファイルの種類のレポート

  • (D) Exchange のメール フロー レポート

正解

A

解説

ZAPがメッセージを移動したかどうかを確認するには、「脅威保護状態」レポートまたは「脅威エクスプローラー」（およびリアルタイム検出）を使用します。

頻出テーマ

大分類

  • Microsoft Defender for Office 365

中分類（サブテーマ）

参考資料

質問 16

問題

Microsoft Defender for Cloud が有効になっており、Windows Server を実行する仮想マシンが 100 台含まれる Azure サブスクリプションがあります。
Defender for Cloud を通じて仮想マシンのイベントデータを収集する構成を行う必要があります。管理コストと運用負荷をできる限り抑えてください。
実施すべき操作を 2 つ選択してください。各選択肢はそれぞれ解決策の一部です。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • (A) Defender for Cloud によって作成されたワークスペースから、データ収集レベルを Common に設定します。

  • (B) Microsoft エンドポイント マネージャー管理センターから、自動登録を有効にします。

  • (C) Azure portal から、Azure Event Grid サブスクリプションを作成します。

  • (D) Defender for Cloud によって作成されたワークスペースから、データ収集レベルを [すべてのイベント] に設定します。

  • (E) Azure portal の Defender for Cloud から、仮想マシンの自動プロビジョニングを有効にします。

正解

A、E

解説

Microsoft Defender for CloudはVMからのセキュリティデータをLog Analyticsワークスペースに接続することで収集します。管理オーバーヘッドとコストを最小化するには、自動プロビジョニングと適切なデータ収集レベルの設定が最も効率的です。

自動プロビジョニング（Auto Provisioning）を有効にすると、Defender for Cloud は Log Analytics エージェント（または AMA）をサブスクリプション配下の VM に自動でデプロイします（A）。さらに収集するイベントのレベルを設定する必要があり（E）、これによりセキュリティイベントログを適切に取り込めます。自動プロビジョニングが対象とするのはエージェント（ログ収集の仕組み）であり、ログのフィルタリングレベルは別途設定が必要です。

頻出テーマ

大分類

  • Microsoft Defender for Cloud

  • Log Analytics

中分類（サブテーマ）

  • Log Analytics - コスト管理

参考資料

質問 17

問題

Azure サブスクリプションがあります。
以下の 2 つの要件を満たすよう、適切な権限を委任する必要があります。

  • Microsoft Defender for Cloud の高度な機能を有効または無効にする

  • セキュリティ推奨事項をリソースへ適用する
    最小権限の原則に基づき、各要件に対してどの Defender for Cloud ロールを割り当てるべきですか？回答エリアで適切なロールを対応する要件にドラッグしてください。各ロールは 1 回、複数回、または使用しないこともできます。
    注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • Resource Group Owner

  • Security Admin

  • Subscription Contributor

  • Subscription Owner

正解

  • Microsoft Defender for Cloud の高度な機能を有効または無効にする：Security Admin

  • セキュリティ推奨事項を適用する：Resource Group Owner

解説

各要件に対応する最小権限ロール:

  • Defender for Cloud の高度な機能を有効または無効にする：Security Admin（Defender for Cloud のプラン設定・セキュリティポリシー管理が可能）

  • セキュリティ推奨事項をリソースに適用する：Resource Group Owner（リソースへの書き込み権限が必要なため。Subscription Owner は権限が過剰）

頻出テーマ

大分類

  • Microsoft Defender for Cloud

  • セキュリティ推奨事項

中分類（サブテーマ）

  • Defender for Cloud - セキュリティ推奨事項

参考資料

質問 18

問題

Active Directory との ID 統合のために Microsoft Defender for Identity を設定しています。
Microsoft Defender for Identity ポータルから、攻撃者が不審なアクセスを試みた際に検知できるよう、いくつかのアカウントをデコイとして構成する必要があります。
提案された解決策: 各アカウントを機密アカウントとして追加します。
この解決策で目的を達成できますか？

選択肢

  • (A) はい

  • (B) いいえ

正解

A

解説

Microsoft Defender for Identity には、攻撃者のデコイとして機能する**ハニートークン（Honeytoken）**アカウントを設定する機能があります。ハニートークンに設定されたアカウントに対して認証が試みられると、Defender for Identity が即座に検知してアラートを発生させます。

一方、アカウントを機密アカウントとして設定する機能は、そのアカウントへのアクセスや変更をより詳細に監視するためのものであり、デコイとして機能するものではありません。

この設問の目的はハニートークンアカウントの設定であるため、「機密アカウントとして追加する」という解決策では要件を達成できません。ハニートークンとして設定するには、Microsoft Defender for Identity ポータルの設定画面から「ハニートークン」として明示的に指定する必要があります。

頻出テーマ

大分類

  • Microsoft Defender for Identity

中分類（サブテーマ）

参考資料

質問 19

問題

Sub1 という Azure サブスクリプションがあり、以下のリソースが含まれています。

  • WS1：Microsoft Sentinel workspace（RG1）、Rule1 という名前のスケジュールクエリルールを含む

  • LApp1：Azure ロジックアプリ（RG2）、Microsoft Sentinel のインシデントトリガーを持つ

Rule1 でインシデントが生成されたとき、LApp1 が自動的に起動するよう構成する予定です。
最小権限の原則に従い、WS1 に付与すべき RBAC ロールとそのスコープを提案してください。
回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Role:

  • Microsoft Sentinel Automation Contributor

  • Logic App Operator

  • Microsoft Sentinel Automation Contributor

  • Microsoft Sentinel Playbook Operator

Scope:

  • LApp1

  • RG1

  • RG2

  • Sub1

正解

  • Role: Microsoft Sentinel Automation Contributor

  • Scope: RG2

解説

Microsoft Sentinel がプレイブック（Logic App）を実行するには Microsoft Sentinel Automation Contributor ロールが必要です。このロールは、Sentinel がプレイブックを呼び出す際に使用するマネージド ID またはサービスプリンシパルに付与します。

スコープは呼び出し先の Logic App が存在するリソースグループ（RG2）に限定することで最小権限を実現できます。サブスクリプション全体へのスコープは権限が過剰です。

頻出テーマ

大分類

  • Microsoft Sentinel

  • プレイブック / Playbook

  • RBAC (ロールベースアクセス制御)

中分類（サブテーマ）

  • Sentinel - 分析ルール（スケジュール型）

参考資料

質問 20

問題

Microsoft Defender XDR を使用し、Device1 という Windows デバイスが含まれる Microsoft 365 サブスクリプションがあります。
ライブ応答セッションを開始して、Proc1 という不審なプロセスを調査しています。
以下の操作を実行する必要があります。

  • Proc1 を停止する

  • Proc1 をさらなる分析のために送信する

各操作に対して使用すべきライブ応答コマンドはどれですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

各アクションの選択肢:

  • analyze

  • getfile

  • library

  • processes

  • putfile

  • registry

  • remediate

正解

  • Stop Proc1：remediate

  • Send Proc1 for further review：analyze

解説

Microsoft Defender for Endpoint のライブ応答（Live Response）では、デバイスにインタラクティブにログインすることなく、以下のコマンドで調査・対応を実行できます。

  • Proc1 を停止する：remediate（悪意のあるプロセスを終了し、関連ファイルや レジストリエントリをクリーンアップする）

  • Proc1 をさらなる調査のために送信：analyze（指定したファイルを Microsoft のクラウドサンドボックスに送信して詳細分析を行う）

その他の主なライブ応答コマンド:

  • `getfile`: ファイルを手動分析のためにダウンロード

  • `putfile`: ファイルをデバイスにアップロード

  • `processes`: 実行中のプロセス一覧を表示

  • `registry`: レジストリキーを参照・編集

頻出テーマ

大分類

  • ライブ応答 (Live Response)

  • Microsoft Defender for Endpoint (MDE)

中分類（サブテーマ）

  • MDE - ライブ応答

参考資料

質問 21

問題

Azure サブスクリプションに WS1 という Microsoft Sentinel ワークスペースがあります。WS1 には Azure アクティビティコネクタと Microsoft Entra ID コネクタが設定されています。
最もアラートが多発しているアカウントを特定し、各アラートに関連するインシデント情報を調査する必要があります。管理作業を最小限に抑えることが条件です。
WS1 で最初に実施すべき手順は何ですか？

選択肢

  • (A) ユーザーおよびエンティティ行動分析 (UEBA) を有効にします。

  • (B) コンテンツ ハブから、Cloud Identity Threat Protection Essentials をインストールします。

  • (C) コンテンツ ハブから、Microsoft Purview インサイダー リスク管理ソリューションをインストールします。

  • (D) ユーザーおよびエンティティの動作分析 (UEBA) を使用して異常を検出します。

正解

B

解説

特定のアカウントが最もアラートを生成しているかを調査し、インシデントデータと相関させるには、Microsoft Sentinel コンテンツハブの「Cloud Identity Threat Protection Essentials」ソリューションが最適です。

このソリューションは UEBA ベースの ID 分析ルールとワークブックを提供し、アカウントごとのアラート発生状況や行動異常を可視化します。

頻出テーマ

大分類

  • UEBA

  • Microsoft Sentinel

  • アラート管理

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

  • Sentinel - UEBA

  • Sentinel - ワークブック

参考資料

質問 22

問題

Microsoft SharePoint Online を使用する Microsoft 365 E5 サブスクリプションがあります。
ユーザーをサブスクリプションから削除しました。
削除前の 1 か月間に、そのユーザーが SharePoint Online サイトから大量のドキュメントをダウンロードしていた場合に通知を受け取りたい場合、どの機能を使えばよいですか？

選択肢

  • (A) Microsoft Defender for Cloud Apps のファイル ポリシー

  • (B) アクセスレビューポリシー

  • (C) Microsoft Defender for Office 365 のアラート ポリシー

  • (D) インサイダー リスク ポリシー

正解

C

解説

アラートポリシーを使用すると、アラートの分類・組織全体への適用・閾値の設定・メール通知の受け取りを設定できます。デフォルトのアラートポリシーには、異常なファイル活動などが含まれます。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Cloud

  • Microsoft Defender for Office 365

中分類（サブテーマ）

参考資料

質問 23

問題

Azure Sentinel の要件を満たす分析ルールを作成してください。
どのように構成すればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Create the rule of type:

  • Fusion

  • Microsoft incident creation

  • Scheduled

Configure the playbook to include:

  • Diagnostics settings

  • A service principal

  • A trigger

正解

  • Create the rule of type: Scheduled

  • Configure the playbook to include: A trigger

解説

Microsoft Security Operations (SecOps) および Azure Sentinel のドキュメントによると、カスタム KQL クエリを実行してプレイブックを自動的に開始する分析ルールを作成する必要がある場合、正しい設定は「スケジュールされたルール」を作成し、そのプレイブックにトリガーが含まれていることを確認することです。
その理由は以下の通りです：

  • Microsoft Sentinel（Microsoft Defender XDR ポータル）の「スケジュールされた分析ルール」は、定義された間隔（たとえば、1時間ごとや数分ごと）でカスタム KQL クエリを実行し、不審なアクティビティの特定のパターンを検出するように設計されています。ルールの条件が満たされると、Sentinel はアラートを生成し、それによって対応や自動化のためのプレイブックが自動的にトリガーされます。

  • Sentinel のプレイブックは、インシデントやアラートへの対応を自動化する Azure Logic App です。プレイブックを分析ルールに接続するには、トリガー（具体的には「Microsoft Sentinel アラート」または「インシデント トリガー」）を含める必要があります。これにより、定義された条件が満たされたときに、ルールが自動的にプレイブックを開始できるようになります。
    その他の選択肢が正しくない理由は次のとおりです。

  • フュージョン ルールは組み込み機能であり、Microsoft の機械学習を使用してシグナルを自動的に相関させます。カスタム クエリには使用できません。

  • Microsoft インシデント作成ルールも組み込み機能であり、アラートからインシデントへのグループ化ロジックを処理するもので、カスタム クエリの実行には使用できません。

  • アクセス許可（例: admin1 によるプレイブックの構成）にはサービス プリンシパルが必要ですが、プレイブック内部では必要ありません。

  • 診断設定はログの収集と保持に適用されるものであり、ルールの自動化には適用されません。

頻出テーマ

大分類

  • プレイブック / Playbook

  • 分析ルール (Analytics Rule)

  • アラート管理

中分類（サブテーマ）

  • アラート - グループ化

参考資料

質問 24

問題

ネットワーク環境に、Azure AD と同期しているオンプレミスの Active Directory ドメインサービス（AD DS）ドメインがあります。
Microsoft Defender XDR を使用する Microsoft 365 E5 サブスクリプションがあります。
財務部門のユーザーによるすべての対話型認証試行を特定する必要があります。
KQL クエリの空欄を正しく補完するには何を選択すればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

[ドロップダウン1]
| where Department == 'Finance'
| project-rename objid = AccountObjectId
| join [ドロップダウン2] on $left.objid == $right.AccountObjectId

ドロップダウン1の選択肢:

  • BehaviorAnalytics

  • IdentityInfo

  • IdentityQueryEvents

  • (その他)

ドロップダウン2の選択肢:

  • AuditLogs

  • IdentityLogonEvents

  • SignInLogs

正解

ドロップダウン1: IdentityInfo

ドロップダウン2: IdentityLogonEvents

解説

IdentityQueryEvents テーブルには `Department` 列が存在しません。`Department` 列を持つのは IdentityInfo テーブルです。IdentityInfo にはユーザーの部門情報（所属部署など）が格納されています。

IdentityLogonEvents テーブルには `AccountObjectId` 列が含まれており、IdentityInfo の `AccountObjectId` と結合（join）することができます。一方、AuditLogs テーブルには `AccountObjectId` が存在しないため、結合キーとして使用できません。

そのため、部署情報を持つユーザーのサインインイベントを検索するには、IdentityLogonEvents と IdentityInfo を `AccountObjectId` で結合するクエリが正解となります。

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • ハンティング / Threat Hunting

  • Microsoft Entra ID / Azure AD

中分類（サブテーマ）

  • Entra ID - サインインログ / 監査ログ

  • KQL - 集計・結合クエリ

参考資料

質問 25

問題

Microsoft Sentinel で、rulesquery1 によって発生したインシデントを指定の要件どおりに処理できるよう設定する必要があります。
最初に作成すべきものは何ですか？

選択肢

  • (A) インシデントトリガーを含むプレイブック

  • (B) エンティティ トリガーを含むプレイブック

  • (C) Azure Automation ルール

  • (D) アラートトリガーのあるプレイブック

正解

A

解説

Microsoft Sentinelのプレイブックは、アラート・インシデント・エンティティなど様々なイベントによってトリガーできます。要件がrulequery1によって生成された「インシデント」の自動処理を指定しているため、インシデントトリガーを使用したプレイブックが正しいアプローチです。

頻出テーマ

大分類

  • プレイブック / Playbook

  • インシデント管理

  • Microsoft Sentinel

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

  • Sentinel - オートメーションルール

  • Sentinel - プレイブック（インシデントトリガー）

参考資料

質問 26

問題

Microsoft 365 サブスクリプションがあり、Windows 10 デバイスが 1,000 台含まれています。すべてのデバイスに Microsoft Office 365 がインストールされています。
以下の脅威に対する防護策を設定してください。

  • 信頼されていない Web サイトからのスクリプトダウンロード（Microsoft Excel マクロ経由）

  • Microsoft Outlook で実行可能な添付ファイルを開くユーザーの行動

  • Outlook のルールとフォームを悪用した攻撃
    どのセキュリティ機能を使用すべきですか？

選択肢

  • (A) Microsoft Defender ウイルス対策

  • (B) Microsoft Defender for Endpoint の攻撃対象領域削減ルール

  • (C) Windows Defender ファイアウォール

  • (D) Azure Defender の適応型アプリケーション制御

正解

B

解説

Microsoft Defender for Endpoint公式ドキュメントによると、攻撃表面縮小（ASR）ルールは悪意のあるマクロの実行・信頼されていないソースからのスクリプトダウンロード・Officeアプリケーションの悪用など、マルウェアやランサムウェアが一般的に使用する動作をブロックするように設計されています。

頻出テーマ

大分類

  • Microsoft Defender for Endpoint (MDE)

  • マルウェア

中分類（サブテーマ）

  • MDE - 攻撃面の縮小（ASR）

参考資料

質問 27

問題

Microsoft Sentinel を使用する Azure サブスクリプションがあります。
サインインデータを時系列で視覚的に確認できるカスタムレポートを作成する必要があります。
最初に作成すべきものは何ですか？

選択肢

  • (A) ワークブック

  • (B) ハンティング クエリ

  • (C) ノートブック

  • (D) プレイブック

正解

A

解説

ワークブックはMicrosoft Sentinelのデータドリブン型インタラクティブレポートです。Azureサブスクリプションのデータに基づいてカスタムレポートを作成するために使用できます。

頻出テーマ

大分類

  • ワークブック (Workbook)

  • Microsoft Sentinel

  • ハンティング / Threat Hunting

中分類（サブテーマ）

  • Sentinel - ワークブック

  • Sentinel - ハンティングクエリ

参考資料

質問 28

問題

Azure AD データコネクタが設定された Microsoft Sentinel ワークスペースがあります。
脅威ハンティング中に作成したブックマークを、Azure AD に関連するインシデントに紐付ける必要があります。
どの手順で実施すればよいですか？回答エリアで適切なブレードを正しいタスクにドラッグしてください。各ブレードは 1 回、複数回、またはまったく使わないこともできます。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Blades（ブレード）

  • Hunting blade

  • Incident blade

  • Logs blade

Answer Area（回答エリア）

  • Create a bookmark by using the（ブックマークを作成するために使用するブレード：）：

  • Associate a bookmark with the incident by using the（ブックマークをインシデントに関連付けるために使用するブレード：）：

正解

  • ブックマークの作成: Hunting ブレード

  • インシデントとの関連付け: Incident ブレード

解説

Microsoft Sentinel において、ブックマークとは、アナリストが調査の支援に利用できるイベントやクエリ結果の保存記録のことです。ブックマークは通常、事前の脅威ハンティングや調査活動中に作成され、後の相関分析やインシデントの詳細情報の補完に備えて証拠を収集・保持するために使用されます。
Microsoft Sentinel のドキュメントによると、「Hunting」ブレードは、アナリストがデータソース全体に対して Kusto Query Language (KQL) クエリを実行し、異常や不審な活動を特定できるワークスペースを提供します。不審なイベントやパターンが見つかった場合、アナリストは「Hunting」ブレードから直接ブックマークを作成できます。このブックマークには、後の調査で使用するために、クエリの詳細、時間範囲、およびコンテキスト情報が保存されます。
ブックマークが作成されると、Sentinel内の特定のインシデントに関連付けることができます。この関連付けは、アナリストがアラート、インシデント、および調査の詳細を管理する「インシデント」ブレードを通じて行われます。「インシデント」ブレードから、既存のブックマークを添付またはリンクすることで、追加の証拠やコンテキストを提供し、調査記録を充実させ、インシデント管理ライフサイクルにおける追跡可能性を向上させることができます。
要約すると：

  • ハンティング・ブレード # プロアクティブな検索やハンティング・クエリからブックマークを作成するために使用します。

  • インシデント・ブレード # 調査の相関分析のために、ブックマークを進行中のインシデントに関連付けるために使用します。
    したがって、正しい手順は次のとおりです：
    ハンティング・ブレードを使用してブックマークを作成し、インシデント・ブレードを使用してそれをインシデントに関連付けます。

頻出テーマ

大分類

  • ハンティング / Threat Hunting

  • インシデント管理

  • KQL (Kusto Query Language)

中分類（サブテーマ）

  • インシデント - コメント / 証拠添付

参考資料

質問 29

問題

アプリケーション開発中に、複数の Azure Function App から利用される Azure ストレージアカウントがあります。
このストレージアカウントに対して Defender for Cloud が発生させるアラートを抑制する必要があります。
抑制ルールに使用すべきエンティティタイプとフィールドは何ですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Entity type:

  • IP address

  • Azure Resource

  • Host

  • User account

Field:

  • Name

  • Resource Id

  • Address

  • Command line

正解

  • Entity type: Azure Resource

  • Field: Resource Id

解説

Microsoft Defender for Cloud でアラートの抑制ルールを設定する際は、繰り返し発生する予期されたアラートを抑制するために、対象のエンティティタイプとフィールド値を指定します。

このシナリオでは、開発中の Azure Functions アプリが頻繁にアクセスする特定の Azure Storage アカウント に関するアラートを抑制したいため:

  • エンティティタイプ: Azure リソース（Azure Resource）

  • フィールド: リソース ID（Resource Id）

ストレージアカウントなどの Azure リソースは「Azure Resource」エンティティタイプで表されます。リソース ID を指定することで、そのストレージアカウントからのアラートのみを正確に抑制できます。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Cloud

中分類（サブテーマ）

  • アラート - サプレッション / 誤検知抑制

参考資料

質問 30

問題

サードパーティの SIEM ソリューションを使用して Microsoft Defender for Cloud のアラートを確認する予定があります。
MITRE ATT&CK の「権限昇格（Privilege Escalation）」戦術に対応するアラートを探す必要があります。
参照すべき JSON キーはどれですか？

選択肢

  • (A) 意図

  • (B) 説明

  • (C) 拡張プロパティ

  • (D) エンティティ

正解

A

解説

Microsoft Defender for Cloud のアラートには、MITRE ATT&CK の戦術（Privilege Escalation・Persistence・Credential Access など）にマッピングされたキルチェーンインテントフィールドが含まれています。

このフィールドを条件に検索することで、特権昇格（Privilege Escalation）戦術のアラートのみをフィルタリングしてサードパーティ SIEM にエクスポートできます。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Cloud

  • SIEM

中分類（サブテーマ）

参考資料

質問 31

問題

SW1 という Microsoft Sentinel ワークスペースがあります。
SW1 で現在有効になっている異常検出ルールを確認する必要があります。
Microsoft Sentinel のどこを参照すればよいですか？

選択肢

  • (A) 設定

  • (B) エンティティの動作

  • (C) 分析

  • (D) コンテンツハブ

正解

C

解説

Microsoft Sentinelワークスペースで有効になっている異常ルールを特定するには、ポータルのSentinelアナリティクス設定を確認します。異常ルールは分析セクションに表示されます。

頻出テーマ

大分類

  • Microsoft Sentinel

  • 分析ルール (Analytics Rule)

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

参考資料

質問 32

問題

Azure Sentinel を設定しています。
サインインリスクイベントに関するインシデントが Azure Sentinel で作成されるたびに、Microsoft Teams の指定チャンネルへメッセージを送信する必要があります。
Azure Sentinel で実施すべき操作を 2 つ選んでください。各選択肢はそれぞれ解決策の一部です。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • (A) エンティティの動作分析を有効にします。

  • (B) インシデントをトリガーした分析ルールにプレイブックを関連付けます。

  • (C) Fusion ルールを有効にします。

  • (D) プレイブックを追加します。

  • (E) ワークブックを作成します。

正解

B、D

解説

インシデント（サインインリスクなど）がアクティブになったときにMicrosoft Teamsメッセージを自動的に送信するには、Logic Appsプレイブックを使用する必要があります。手順：

  • D: プレイブック（Logic App）を追加・作成し、Teamsへの投稿ワークフローを定義する

  • B: オートメーションルールを作成し、インシデントがアクティブになったときにプレイブックを実行するよう設定する

頻出テーマ

大分類

  • プレイブック / Playbook

  • インシデント管理

  • Microsoft Sentinel

中分類（サブテーマ）

  • Sentinel - オートメーションルール

  • Sentinel - プレイブック（インシデントトリガー）

  • Sentinel - ワークブック

参考資料

質問 33

問題

Microsoft Defender for Cloud for Key Vault のアラートへの対応はあなたの担当です。
調査中に、Tor 出口ノードからキーコンテナーへの不正アクセスの試みが検出されました。
この脅威を軽減するために設定すべき項目は何ですか？

選択肢

  • (A) Key Vault ファイアウォールと仮想ネットワーク

  • (B) Azure Active Directory (Azure AD) のアクセス許可

  • (C) キー コンテナーのロールベースのアクセス制御 (RBAC)

  • (D) キー コンテナーのアクセス ポリシー設定

正解

A

解説

Microsoft Defender for Cloud for Key Vault が Tor 出口ノードなどの疑わしい IP からの不正アクセスを検出した場合、推奨される対策は Key Vault ファイアウォールと仮想ネットワーク を使用して、信頼されたネットワークへのアクセスを制限することです。

これにより不審な IP アドレスからのアクセスをネットワーク層でブロックでき、根本的な脅威の軽減が可能です。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Entra ID / Azure AD

  • Microsoft Defender for Cloud

中分類（サブテーマ）

  • Defender for Cloud - アラート修復

参考資料

質問 34

問題

オンプレミスの Linux サーバーが 5 台あります。
Microsoft Defender for Cloud を使用する Azure サブスクリプションがあります。
この Linux サーバーを Defender for Cloud で保護するには、最初に何をインストールする必要がありますか？

選択肢

  • (A) 依存関係エージェント

  • (B) Log Analytics エージェント

  • (C) Azure Connected Machine エージェント

  • (D) ゲスト構成拡張機能

正解

B

解説

オンプレミスの Linux サーバーを Defender for Cloud で保護するには、Log Analytics エージェント（旧称: MMA） をインストールします（B）。

Log Analytics エージェントは Azure 外部（オンプレミス・AWS 等）でホストされているハイブリッドマシンからのログ・パフォーマンスデータの収集に使用します。インストール後、Defender for Cloud にサーバーが表示され、Azure リソースと同様の推奨事項が生成されます。

注意: Log Analytics エージェント（MMA）は現在非推奨となっており、新規環境では Azure Monitor Agent（AMA） への移行が推奨されています。本問は既存手順の文脈での出題です。

頻出テーマ

大分類

  • Microsoft Defender for Cloud

  • Log Analytics

  • セキュリティ推奨事項

中分類（サブテーマ）

  • Defender for Cloud - セキュリティ推奨事項

参考資料

質問 35

問題

SW1 という Microsoft Sentinel ワークスペースがあります。
SW1 では、以下のエンティティに関連するインシデントを調査しています。

  • ホスト

  • IP アドレス

  • ユーザーアカウント

  • マルウェア名
    インシデントページから直接、侵害インジケーター（IoC）としてタグ付けできるエンティティはどれですか？

選択肢

  • (A) マルウェア名

  • (B) ホスト

  • (C) ユーザーアカウント

  • (D) IP アドレス

正解

D

解説

Microsoft Sentinelでインシデントを調査する際、インシデントページから特定のエンティティ（IPアドレス・URL・ファイルハッシュ・ドメインなど）を侵害の指標（IOC）として直接ラベル付けできます。

頻出テーマ

大分類

  • インシデント管理

  • Microsoft Sentinel

  • マルウェア

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

  • インシデント - 調査グラフ / エンティティ関連付け

参考資料

質問 36

問題

Microsoft Defender for Cloud が有効な Azure サブスクリプションがあります。
AWS（Amazon Web Services）上でホストされ、Windows Server 2022 を実行する Server1 という仮想マシンがあります。
Defender for Cloud を使ってログを収集し、Server1 の脆弱性を修正する必要があります。
Server1 に最初にインストールすべきものは何ですか？

選択肢

  • (A) Microsoft 監視エージェント

  • (B) Azure Arc エージェント

  • (C) Azure Monitor エージェント

  • (D) Azure Pipelines エージェント

正解

B

解説

Azure 外部（AWS・GCP・オンプレミスなど）にあるサーバーを Microsoft Defender for Cloud で保護・監視するには、Azure Arc（Connected Machine エージェント） 経由で Azure に接続する必要があります（B）。

Azure Arc にサーバーを登録することで、Azure のリソースとして管理・監視できるようになり、Defender for Cloud の推奨事項・アラート・保護機能を適用できます。

頻出テーマ

大分類

  • Microsoft Defender for Cloud

中分類（サブテーマ）

参考資料

質問 37

問題

Microsoft Sentinel ワークスペースには、以下の ASIM（Advanced Security Information Model）パーサーが存在します。

  • _Im_ProcessCreate

  • imProcessCreate

  • vimProcessCreate

新しいソース固有のパーサーを作成しました。
以下の要件を満たすために、既存のパーサーを更新する必要があります。

  • すべての ProcessCreate パーサーを呼び出す

  • フィールドをプロセススキーマに標準化する

各要件を満たすには、どのパーサーを修正すればよいですか？回答エリアで適切なパーサーを正しい要件にドラッグしてください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • _Im_ProcessCreate

  • imProcessCreate

  • vimProcessCreate

正解

  • Call all the ProcessCreate parsers：_Im_ProcessCreate

  • Standardize fields to the Process schema：vimProcessCreate

解説

Microsoft Sentinel の ASIM（Advanced Security Information Model）では、パーサーに以下の階層構造があります。

  • 統合（マスター）パーサー：すべてのソース別パーサーを集約して呼び出す（`Im<スキーマ名>`（例: `_Im_ProcessCreate`））

  • フィルタリングパーサー：パラメーターでフィルタリングしつつ全ソースを対象（`Im<スキーマ名>`（パラメーター付き））

  • ソース別パーサー：特定データソースのログを正規化（`ASim<スキーマ名>_<ソース名>`）

  • すべての ProcessCreate パーサーを呼び出す → 統合パーサー `_Im_ProcessCreate` を使用

  • パラメーターでフィルタリング → フィルタリングパーサー（`_Im_ProcessCreate` にパラメーターを渡す）

ASIM パーサーは `Im` プレフィックスが現在の正式命名規則です（旧形式の `im` プレフィックスは非推奨）。

頻出テーマ

大分類

  • ハンティング / Threat Hunting

  • Microsoft Sentinel

  • 分析ルール (Analytics Rule)

中分類（サブテーマ）

  • Sentinel - ハンティングクエリ

参考資料

質問 38

問題

Windows Server を実行するオンプレミスサーバーがあります。
SW1 という Microsoft Sentinel ワークスペースがあります。SW1 は Azure Monitor エージェントのデータコネクタを使用して、このサーバーから Windows セキュリティログを収集するよう設定されています。
収集対象をイベント ID 4624 と 4625 のみに絞り込む予定です。
フィルターの構文を検証するための PowerShell スクリプトを完成させるには、空欄に何を入れればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

$events = [ドロップダウン1]
Get-WinEvent -LogName 'Security' [ドロップダウン2] $events

ドロップダウン1

  • `@{Log='Security';EventType='System';EventID='4624','4625'}`

  • `<Security><System><EventID>4624</EventID><EventID>4625</EventID></System></Security>`

  • `Security!*[System[(EventID=4624 or EventID=4625)]]`

ドロップダウン2

  • -FilterHashtable

  • -FilterXml

  • -FilterXPath

正解

$events = 'Security!*[System[(EventID=4624 or EventID=4625)]]'
Get-WinEvent -LogName 'Security' -FilterXPath $events

解説

XPath（XML Path Language）はイベントログのフィルタリングに使用するクエリ言語です。

構文の解説:

  • `Security!`: セキュリティ（Security）チャンネルを指定

  • `*[System[...]]`: System 要素内の条件を指定

  • `EventID=4624 or EventID=4625`: ログオン成功（4624）またはログオン失敗（4625）を対象

$events = 'Security!*[System[(EventID=4624 or EventID=4625)]]'
Get-WinEvent -FilterXPath $events

この XPath クエリを `wevtutil`・Windows Event Forwarding・AMA のデータ収集ルール（DCR）に使用することで、特定のイベント ID のみを効率的に収集できます。

頻出テーマ

大分類

  • Microsoft Sentinel

中分類（サブテーマ）

参考資料

質問 39

問題

Microsoft Defender for Cloud を使用する Azure サブスクリプションがあります。
Defender for Cloud を使用して、以下のリスクに対処する必要があります。

  • アプリケーションのソースコードに含まれる脆弱性

  • IaC テンプレート（宣言型テンプレート）内の悪用可能な設定

  • 悪意のある IP アドレスからの通信

  • 漏えいしたシークレット情報
    使用すべき Defender for Cloud サービスを 2 つ選択してください。各選択肢はそれぞれ解決策の一部です。
    注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • (A) API 用 Microsoft Defender

  • (B) リソース マネージャー用 Microsoft Defender

  • (C) App Service 向け Microsoft Defender

  • (D) DevOps 向け Microsoft Defender

  • (E) サーバー向け Microsoft Defender

正解

B、D

解説

Microsoft Defender for Cloud の各 Defender プランと保護対象:

  • Defender for DevOps（B）: GitHub・Azure DevOps などの CI/CD システムと統合し、ソースコードの脆弱性・公開シークレット・安全でない依存関係を特定します

  • Defender for Resource Manager（D）: Azure Resource Manager 上での操作を監視し、悪意のある IP からの操作・異常なデプロイ・不審な管理操作を検出します

設問の 2 つのリスク（アプリケーションのソースコード脆弱性・Resource Manager の異常操作）にはこの 2 つのプランが対応します。

頻出テーマ

大分類

  • Microsoft Defender for Cloud

中分類（サブテーマ）

  • Defender for Cloud - Defenderプランの有効化

参考資料

質問 40

問題

Microsoft Defender for Cloud Apps の要件を満たすように構成する必要があります。
どのように設定すればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Set the sensitivity level of the impossible travel alert policies to:

  • Low

  • Medium

  • High

To reduce the amount of false positive alerts:

  • Add IP address ranges

  • Enable leaked credential detection

  • Disable leaked credential detection

正解

  • Sensitivity level: Low

  • To reduce false positive alerts: Add IP address ranges

解説

「不可能な移動アラート」ポリシーの感度レベルを「低」に設定します。誤検知を減らすには、IP アドレスの範囲を追加します。Microsoft Defender for Cloud Apps（旧 Microsoft Cloud App Security）の「不可能な移動アラート」ポリシーは、ユーザーが地理的に離れた 2 つの場所から、その間を物理的に移動することが不可能な時間枠内でサインインしたことを検知します。これはアカウントが侵害された可能性を示す重要な指標ですが、適切に調整されていないと誤検知が発生する可能性があります。

  • 感度レベルを「低」に設定する：Microsoft Defender for Cloud Apps では、「Impossible travel」ポリシーの感度を「低」、「中」、「高」から選択して調整できます。

  • 感度を「高」に設定すると検出率は向上しますが、誤検知の可能性も高まります。

  • 「中」は両者のバランスが取れています。

  • 「低」に設定すると、最も明白で信頼性の高い異常のみに検出を限定することで、アラートの数を減らすことができます。アラートのノイズや誤検知を最小限に抑える運用要件を満たすためには、感度を「低」に設定する必要があります。

  • 誤検知の削減 - IP アドレス範囲の追加: Microsoft の公式な Defender for Cloud Apps ポリシー調整ガイドラインによると、Impossible travel アラートの誤検知を減らす主な方法は、信頼できる IP アドレス範囲（例：社内ネットワーク、VPN 出口ノード、プロキシゲートウェイ）を信頼済み IP リストに追加することです。これにより、企業内または既知のネットワーク範囲からのログインが異常としてフラグ付けされることを防ぎ、誤アラートを大幅に削減できます。

頻出テーマ

大分類

  • アラート管理

  • Microsoft Defender for Cloud Apps

  • Microsoft Defender for Cloud

中分類（サブテーマ）

  • アラート - サプレッション / 誤検知抑制

参考資料

質問 41

問題

Microsoft Defender for Endpoint を使用する Microsoft 365 E5 サブスクリプションがあります。以下の要件を満たすカスタム検出ルールを作成してください。

  • 重大な脆弱性を持つデバイスが過去 1 時間以内にアクティブだった場合にのみトリガーされる

  • クエリ結果の重複を抑制する
    KQL クエリの空欄はどのように埋めるべきですか？回答エリアで適切な選択肢を選択してください。
    注意: 正解ごとに 1 ポイントが付与されます。

選択肢

DeviceTvmSoftwareVulnerabilities
| where VulnerabilitySeverityLevel == 'Critical'
| [ドロップダウン1]
| join kind=inner DeviceInfo on DeviceId
| where Timestamp between (now(-1h)..now())
| [ドロップダウン2]

ドロップダウン1の選択肢:

  • distinct CveId

  • distinct DeviceId

  • project away CveId

  • project keep DeviceId

ドロップダウン2の選択肢:

  • project Timestamp, DeviceId

  • distinct DeviceId

  • distinct DeviceId, ReportId

  • project Timestamp, DeviceId, ReportId

  • summarize count() by DeviceId, ReportId

正解

ドロップダウン１，２も`distinct DeviceId`

解説

ドロップダウン 1・2 ともに `distinct DeviceId` が正しい選択です。

`DeviceInfo` テーブルには同一の `DeviceId` に対して複数行（例: 異なる OS バージョンのタイムスタンプ）が存在する場合があります。`distinct DeviceId` で重複を排除せずに `join` すると、結果に重複レコードが生じて正確なデバイス数が取得できません。

let VulnerableDevices = DeviceInfo
| where ... (脆弱性条件)
| distinct DeviceId;
DeviceInfo
| where DeviceId in (VulnerableDevices)
| distinct DeviceId

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • Microsoft Defender for Endpoint (MDE)

中分類（サブテーマ）

  • MDE - 脅威と脆弱性の管理（TVM）

  • KQL - 集計・結合クエリ

参考資料

質問 42

問題

Workspace1 という Microsoft Sentinel ワークスペースがあります。DNS スキームに基づいたカスタム ASIM パーサーが 200 個存在します。
これら 200 個のパーサーを Workspace1 で使用できるようにする必要があります。管理の手間を最小限に抑えてください。
最初に何をすべきですか？

選択肢

  • (A) パーサーを Azure Monitor ログ ページにコピーします。

  • (B) DNS テンプレートに基づいて JSON ファイルを作成します。

  • (C) DNS テンプレートに基づいて XML ファイルを作成します。

  • (D) DNS テンプレートに基づいて YAML ファイルを作成します。

正解

D

解説

Microsoft Sentinel の ASIM パーサーは YAML ベースのコンテンツファイルとして保存・展開されます。

200 個のカスタム DNS ASIM パーサーを一元管理するには、単一の YAML ファイルに複数のパーサーを定義して展開する方法が最も効率的です（選択肢 D）。

ASIM パーサーは Sysmon・Infoblox・Azure Firewall などの異なるログ形式を共通の ASIM スキーマに変換します。DNS の場合、`_Im_Dns` 統合パーサーが各ソース別パーサーを集約します。

頻出テーマ

大分類

  • Microsoft Sentinel

  • Azure Firewall

中分類（サブテーマ）

参考資料

質問 43

問題

Microsoft 365 E5 サブスクリプションがあります。
サードパーティのウイルス対策製品がインストールされており、Microsoft Defender ウイルス対策はパッシブモードで動作している Windows デバイスが 1,000 台あります。
すべてのデバイスは Microsoft Defender for Endpoint にオンボードされています。
サードパーティ製品が検出できなかった悪意のあるファイルやコードからデバイスを保護する必要があります。
提案された解決策: Live Response を有効にします。
この方法で要件を満たせますか？

選択肢

  • (A) はい

  • (B) いいえ

正解

B

解説

Live Response（ライブ応答）は、デバイスに直接ログインすることなくリモートでコマンドを実行し、ファイルの収集や調査を行うためのフォレンジック・調査ツールです。マルウェアの検出や防御を行う機能ではありません。

サードパーティ製ウイルス対策が検出できなかった脅威からデバイスを保護するには、EDR in block mode（ブロックモードの EDR） を有効にする必要があります。EDR in block mode を使用すると、Microsoft Defender for Endpoint のバックエンド保護機能が、パッシブモードで稼働していても悪意のあるアーティファクトを自動的にブロック・修復します。

Live Response を有効にしてもこの要件は満たされないため、正解は B（いいえ） です。

頻出テーマ

大分類

  • ライブ応答 (Live Response)

  • Microsoft Defender for Endpoint (MDE)

中分類（サブテーマ）

  • MDE - ライブ応答

  • MDE - デバイスオンボーディング

参考資料

質問 44

問題

Workbook1 という名前のカスタム Microsoft Sentinel ワークブックがあります。
このワークブックにグリッドを追加する必要があります。グリッドに表示する行数を最大 100 行に制限してください。
どのように設定すればよいですか？

選択肢

  • (A) クエリ エディター インターフェイスで、設定を構成します。

  • (B) クエリ エディター インターフェイスで、[詳細エディター] を選択します。

  • (C) グリッド クエリにプロジェクト演算子を含めます。

  • (D) グリッド クエリに take 演算子を含めます。

正解

D

解説

Microsoft Sentinel ワークブックでグリッドの表示行数を制限するには、KQL の `take` 演算子を使用します。

`take N` は出力を指定した件数に切り詰める演算子で、順序は保証されません（ランダムな N 件を取得）。

SecurityAlert
| take 100

`limit` は `take` の別名で同じ効果があります。`top N by <列>` はソート順で上位 N 件を取得する場合に使用します。

頻出テーマ

大分類

  • ワークブック (Workbook)

  • Microsoft Sentinel

  • KQL (Kusto Query Language)

中分類（サブテーマ）

  • Sentinel - ワークブック

  • Sentinel - KQL / ワークブックパラメーター

参考資料

質問 45

問題

App1 というバックグラウンドプロセスが稼働しており、Azure Connected Machine エージェントがインストールされたオンプレミスの Linux サーバーがあります。
WS1 という Microsoft Sentinel ワークスペースがあります。
App1 が出力するメッセージを収集するために、AMA コネクタ経由の Syslog を使用する DCR1（データ収集ルール）を設定する必要があります。以下の要件を満たしてください。

  • 優先度「重大（Critical）」のメッセージのみを対象とする

  • 収集するデータ量を最小限に抑える
    DCR1 に設定すべきファシリティとログレベルの組み合わせはどれですか？回答エリアで適切な選択肢を選択してください。
    注意: 正解ごとに 1 ポイントが付与されます。

選択肢

Facility:

  • LOG_AUTH

  • LOG_CRON

  • LOG_DAEMON

  • LOG_KERN

  • LOG_SYSLOG

Log level:

  • LOG_EMERG

  • LOG_DEBUG

  • LOG_ERR

  • LOG_WARN

正解

Facility：LOG_DAEMON
Log level：LOG_EMERG

解説

Microsoft Sentinel の Azure Monitor Agent (AMA) コネクタを使用して Syslog を構成する場合、どの Linux システムログを取り込むかは、データ収集ルール (DCR) によって決定されます。Syslog メッセージは、ファシリティ（メッセージを生成したサブシステム）と重大度レベル（優先度）に基づいてフィルタリングされます。
Microsoft の「Azure Monitor Agent を使用した Syslog データソースの収集」ドキュメントによると：
「Syslog ファシリティは、ログを生成したプロセスの種類（例: 認証、cron、デーモン）を定義し、ログレベルは重大度（0=緊急、1=警告、2=重大、3=エラーなど）を定義します。データの取り込みとコストを最小限に抑えるため、調査に必要なファシリティと最も高い重大度レベルのみを選択してください。」このシナリオでは：

  • バックグラウンドプロセス（カーネル、認証、cron 以外のプロセス）である App1 に関連するログを収集する必要があります。通常、このようなカスタムプロセスやアプリケーションレベルのプロセスは、設定に応じて LOG_AUTH または LOG_DAEMON にログを送信します。App1 が認証やセキュリティ機能を使用するアプリケーションである場合は、LOG_AUTH ファシリティが適切です。

  • 収集するのは、Syslogの深刻度2（critical）に相当する「critical」優先度のログのみとします。

LOG_AUTH は認証・ログイン関連のシステムプロセス（ssh、sudo など）に使用する Facility です。

LOG_DAEMON はバックグラウンドプロセス（デーモン）に使用する Facility です。設問の App1 はバックグラウンドプロセスとして実行されているため、LOG_DAEMON が正しい選択です。

頻出テーマ

大分類

  • Microsoft Sentinel

  • アラート管理

中分類（サブテーマ）

  • アラート - 重要度・ステータス管理

参考資料

質問 46

問題

Microsoft Sentinel ワークスペースを含む Azure サブスクリプションがあります。
以下の要件を満たすハンティングクエリを KQL で作成してください。

  • 同一のセキュリティプリンシパルによる NSG（ネットワークセキュリティグループ）ルールへの変更が異常に多い場合を検出する

  • 検出したセキュリティプリンシパルを Microsoft Sentinel のエンティティに自動的に関連付ける

以下のクエリの空欄をどのように埋めればよいですか？回答エリアで適切な選択肢を選択してください。
注意: 正解ごとに 1 ポイントが付与されます。

[ドロップダウン1]
| where OperationNameValue in~
("Microsoft.Network/networkSecurityGroups/securityRules/write")
| where ActivityStatusValue == "Succeeded"
| make-series dcount(ResourceId) default=0 on EventSubmissionTimestamp in range(ago(7d), now (), 1d) by Caller
| extend timestamp = todatetime(EventSubmissionTimestamp[0])
[ドロップダウン2] AccountCustomEntity = Caller

選択肢

ドロップダウン1（テーブル）の選択肢:

  • AuditLogs

  • AzureActivity

  • AzureDiagnostics

ドロップダウン2（演算子）の選択肢:

  • extend

  • parse-where

  • where

正解

AzureActivity
| where OperationNameValue in ("Microsoft.Network/networkSecurityGroups/securityRules/write")
| where ActivityStatusValue == "Succeeded"
| make-series dcount(ResourceId) default=0 on EventSubmissionTimestamp in range(ago(7d), now(), 1d) by Caller
| extend timestamp = todatetime(EventSubmissionTimestamp[0])
| extend AccountCustomEntity = Caller

解説

NSG（ネットワーク セキュリティ グループ）のルール変更は Azure Resource Manager の操作であり、`AzureActivity` テーブルに記録されます。

AzureActivity
| where OperationNameValue in ("Microsoft.Network/networkSecurityGroups/securityRules/write",
                               "Microsoft.Network/networkSecurityGroups/write")
| where ActivityStatusValue == "Success"
| summarize count() by Caller, OperationNameValue, TimeGenerated

`AuditLogs` は Azure AD の監査ログであり、NSG 変更は含まれません。`securityRules/write` 操作を `OperationNameValue` でフィルターすることで NSG 変更を特定できます。

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • ハンティング / Threat Hunting

  • Microsoft Entra ID / Azure AD

中分類（サブテーマ）

  • KQL - 集計・結合クエリ

  • Entra ID - サインインログ / 監査ログ

  • KQL - 時系列・時間フィルター

参考資料

質問 47

問題

Microsoft Defender XDR を使用する Microsoft 365 E5 サブスクリプションがあります。現在インシデントを調査中です。
そのインシデントで実行されたタスクの履歴を確認する必要があります。
インシデントページ上で参照できる機能はどれですか？

選択肢

  • (A) タスクのみ

  • (B) タスクとアクティビティログのみ

  • (C) タスクとアラートのタイムラインのみ

  • (D) タスク、アクティビティ ログ、アラート タイムライン

正解

D

解説

Microsoft Defender XDR のインシデントページでは、調査担当者がいつどのようなアクションが取られたかを完全に確認できます。

実行されたインシデントタスク・アクションの履歴は、インシデントページの「アクティビティログ」または「コメントと履歴」タブで確認できます（D）。

頻出テーマ

大分類

  • インシデント管理

  • Microsoft Defender XDR

  • アラート管理

中分類（サブテーマ）

  • インシデント - タスク管理

参考資料

質問 48

問題

Microsoft Sentinel ワークスペースがあります。
監査ログとサインインログを使用して UEBA（ユーザーおよびエンティティ行動分析）を有効化しました。Azure AD テナントで以下のエンティティが検出されています。
※アプリ名：App1

  • IP アドレス: 192.168.1.2

  • コンピュータ名: Device1
    ※使用クライアントアプリ：Microsoft Edge

  • メールアドレス: user1@company.com
    ※サインイン URL：https://www.company.com
    これらのうち、UEBA を使って調査できるエンティティはどれですか？

選択肢

  • (A) アプリ名、コンピューター名、IP アドレス、電子メール アドレス、および使用したクライアント アプリのみ

  • (B) IP アドレスと電子メール アドレスのみ

  • (C) クライアント アプリとアプリ名のみを使用

  • (D) IP アドレスのみ

正解

B

解説

Microsoft SentinelのUEBA（ユーザーとエンティティの動作分析）は、ユーザーとホスト（デバイス）に焦点を当てます。監査ログとサインインログを使用してUEBAを有効にした場合、サポートされるエンティティは：

  • ユーザーアカウント（メールアドレス）

  • ホストまたはデバイス

頻出テーマ

大分類

  • UEBA

  • Microsoft Sentinel

  • Microsoft Entra ID / Azure AD

中分類（サブテーマ）

  • Sentinel - エンティティ / 調査グラフ

  • Sentinel - UEBA

  • Entra ID - サインインログ / 監査ログ

参考資料

質問 49

問題

新規 Azure サブスクリプションに Azure Sentinel を展開しています。セキュリティイベントコネクタを設定中です。
コネクタのテンプレートから新しいルールを作成する際、イベントごとに個別のアラートを生成するよう設定しました。以下のルールクエリを使用しています。

SecurityEvent
| where EventID == 4624
| extend AccountCustomEntity = Account, HostCustomEntity = Computer

このアラートをインシデントとしてグループ化するために使用できるコンポーネントを 2 つ選択してください。各選択肢は独立した完全な解決策です。
注意: 正解ごとに 1 ポイントが付与されます。

選択肢

  • (A) ユーザー

  • (B) リソースグループ

  • (C) IP アドレス

  • (D) コンピュータ

正解

A、D

解説

Microsoft Sentinelで分析ルールを作成する際、アラートはキーエンティティに基づいてインシデントにグループ化できます。クエリ内のextendコマンドでカスタムエンティティマッピング（AccountとComputerをエンティティとして設定）を定義します。

頻出テーマ

大分類

  • KQL (Kusto Query Language)

  • アラート管理

  • インシデント管理

中分類（サブテーマ）

  • インシデント - グループ化ルール

  • アラート - グループ化

  • インシデント - 調査グラフ / エンティティ関連付け

参考資料

質問 50

問題

Device1 というオンプレミスの Windows 11 Pro デバイスがあり、Microsoft Defender for Endpoint にオンボードされています。また、Microsoft 365 サブスクリプションがあります。
Device1 で現在実行されているプロセスと、それらのプロセスが確立しているネットワーク接続を特定する必要があります。管理作業を最小限に抑えてください。
Microsoft Defender ポータルで順に実施すべき 4 つの操作はどれですか？回答エリアで正しい順序に並べ替えてください。

選択肢

  • Run the netstat utility.

  • From the Action center, invoke an action.

  • Select View Map.

  • Initiate a live response session.

  • Navigate to the device page for Device1.

  • Collect an investigation package.

  • Extract the contents of the ZIP file.

正解

  1. Navigate to the device page for Device1.

  2. Collect an investigation package.

  3. From the Action center, invoke an action.

  4. Extract the contents of the ZIP file.

解説

調査パッケージ（Investigation Package）を使用してプロセスとネットワーク接続を確認する手順は以下が正しい順序です:

  1. デバイスページに移動: Microsoft Defender ポータルで Device1 のデバイスページを開く

  2. 調査パッケージを収集: デバイスページから「調査パッケージを収集」を実行

  3. アクションセンターで確認: アクションセンターでパッケージ収集ジョブの完了を確認し、ダウンロードを実行

  4. ZIP を展開: ダウンロードした ZIP ファイルを展開してプロセスリスト・netstat 出力を確認

ライブ応答（Live Response）は設問の選択肢として使用可能ですが、`netstat` コマンドが選択肢になく、「管理作業を最小限に抑える」要件からも調査パッケージの方が適切です。
選択肢にはプロセス確認するコマンドがなかったことから、調査パッケージを使い、プロセスとネットワーク接続を確認することになりそう

https://learn.microsoft.com/ja-jp/defender-endpoint/respond-machine-alerts#investigation-package-contents-for-windows-devices

調査パッケージの取得方法は以下に記載されている

https://learn.microsoft.com/ja-jp/defender-endpoint/respond-machine-alerts#collect-investigation-package-from-devices

頻出テーマ

大分類

  • 調査パッケージ

  • ライブ応答 (Live Response)

  • Microsoft Defender for Endpoint (MDE)

中分類（サブテーマ）

  • MDE - 調査パッケージの収集

  • MDE - ライブ応答

  • MDE - デバイスオンボーディング

参考資料

ここから先は

146,965字

¥ 3,000

ログイン

この記事が気に入ったらチップで応援してみませんか？