SC-900：Microsoft Security, Compliance, and Identity Fundamentals Microsoft セキュリティ ソリューションの機能 問6
Microsoft セキュリティ ソリューションの機能／Microsoft Sentinel の機能Microsoft Sentinel である種の分析ルールがインシデントを生成した際に、あらかじめ定義した手順に沿って該当ユーザーアカウントを自動的に無効化するなど、人手を介さずに対応処理を自動実行できるようにしたい。この自動化を実現する機能はどれか。
当サイトのオリジナル問題（SC-900：Microsoft Security, Compliance, and Identity Fundamentalsの出題範囲「Microsoft セキュリティ ソリューションの機能」に対応。実際の試験問題ではありません）
- Aプレイブック（Azure Logic Apps で実行する自動化処理）
- Bブック（データの可視化用ダッシュボード）
- C分析ルール（アラート生成条件の定義）
- Dハンティング クエリ（手動での脅威探索用クエリ）
正解：A
解説
Microsoft Sentinel では、自動化ルールとプレイブックは役割が異なります。自動化ルール（automation rule）は、インシデントやアラートの作成・更新を契機（トリガー）に、条件に応じてタグ付け・担当者割当・クローズ・プレイブックの実行などを行う『実行契機と条件』の仕組みです。プレイブック（playbook）は Azure Logic Apps のワークフローで、通知の送信、ユーザーアカウントの無効化、チケットの起票といった『実際の対応処理』を担います。本問のように、分析ルールが生成したインシデントを契機に、人手を介さずユーザーアカウントの無効化などを自動実行するには、自動化ルール（または Sentinel のインシデントトリガー）からプレイブックを呼び出して実現します。この自動対応の仕組み全体は SOAR（セキュリティオーケストレーション・自動化・対応）と呼ばれます。
選択肢ごとの解説
- A正しい。プレイブックは Azure Logic Apps のワークフローとして、ユーザーアカウントの無効化などの対応処理を実行する機能です。分析ルールが生成したインシデントを契機に、自動化ルールなどから呼び出して自動実行でき、SOAR（セキュリティオーケストレーション・自動化・対応）の役割を担います。
- B誤り。ブックはログデータを可視化するダッシュボードを作成する機能であり、インシデントへの自動対応処理を実行するものではありません。
- C誤り。分析ルールはログデータからインシデントを生成する条件を定義する機能であり、インシデント生成後の自動対応処理そのものではありません。
- D誤り。ハンティング クエリはアナリストが手動で脅威の兆候を探索するためのクエリであり、自動的な対応処理の実行とは異なります。