セクション：[なし]
説明/参照：
https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/rbac?view=o365-worldwide

参照：
https://techcommunity.microsoft.com/t5/azure-security-center/suppression-rules-for-azure-security-center-alerts-are-now/ba-p/1404920

参照：
https://docs.microsoft.com/en-us/azure/key-vault/general/secure-your-key-vault

参照：
https://docs.microsoft.com/en-us/azure/security-center/security-center-provide-security-contact-details

参照：
https://docs.microsoft.com/en-us/azure/security-center/azure-defender
トピック1、Contoso Ltd
既存の環境
エンドユーザー環境
ContosoのすべてのユーザーはWindows10デバイスを使用しています。各ユーザーはMicrosoft365のライセンスを取得しています。さらに、iOSデバイスはContosoの営業チームのメンバーに配布されます。
クラウドとハイブリッドインフラストラクチャ
すべてのContosoアプリケーションはAzureにデプロイされます。
Microsoft CloudAppSecurityを有効にします。
ContosoとFabrikamには、異なるAzure Active Directory（Azure AD）テナントがあります。Fabrikamは最近Azureサブスクリプションを購入し、サポートされているすべてのリソースタイプに対してAzureDefenderを有効にしました。
現在の問題
Contosoのセキュリティチームは、多数のサイバーセキュリティアラートを受信します。セキュリティチームは、どのサイバーセキュリティアラートが正当な脅威であり、どれがそうでないかを特定するのに多くの時間を費やしています。
Contosoの営業チームはiOSデバイスのみを使用しています。営業チームのメンバーは、さまざまなサードパーティツールを使用して顧客とファイルを交換します。過去に、営業チームはデバイスに対してさまざまな攻撃を経験しました。
Contosoのマーケティングチームには、外部ベンダーと協力するためのMicrosoftSharePointOnlineサイトがいくつかあります。マーケティングチームには、ベンダーがマルウェアを含むファイルをアップロードするという事件がいくつかありました。
Contosoのエグゼクティブチームは、セキュリティ違反を疑っています。エグゼクティブチームは、Microsoft Cloud App Securityで保護されたアプリケーションのデータアクセス、ダウンロード、削除など、過去48時間に5つを超えるアクティビティがあったファイルを特定するように要求します。
要件
計画された変更
Contosoは、両社のセキュリティ運用を統合し、すべてのセキュリティ運用を一元管理することを計画しています。
技術要件
Contosoは、次の技術要件を識別します。
Azure仮想マシンがブルートフォース攻撃を受けている場合にアラートを受信します。
Azure Sentinelを使用して、環境に対するアクティブな攻撃を迅速に修正することにより、組織のリスクを軽減します。
ContosoとFabrikamのAzureADテナント間でデータを相互に関連付けるAzureSentinelクエリを実装します。
外部の攻撃者や独自のAzureADアプリケーションの潜在的な侵害が発生した場合に備えて、FabrikamのKeyVaultアラート用のAzureDefenderを修正する手順を開発します。
特定の国から初めてAzureリソースにサインインできなかったユーザーのすべてのケースを特定します。ジュニアセキュリティ管理者は、次の不完全なクエリを提供します。
BehaviorAnalytics
| ここで、ActivityType == "FailedLogOn"
| ここで、________ == True