1 - Azure Sentinel から、Hunting を選択します。
2 - 戦術別にフィルタリングします。
3 - 「すべてのクエリを実行」を選択します。

参照：
https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/respond-machine-alerts?view=o365-worldwide
https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/network-devices?view=o365-worldwide

説明
[証拠と対応] タブには、インシデントのアラートでサポートされているすべてのイベントと疑わしいエンティティが表示されます。
参考: https://docs.microsoft.com/en-us/microsoft-365/security/defender/investigate-incidents

参照：
https://docs.microsoft.com/ja-jp/cloud-app-security/異常検出ポリシー
トピック3、アダタム株式会社
概要
Adatum Corporation は、ニューヨーク、シカゴ、サンフランシスコに地域オフィスを持つ、米国を本拠地とする金融サービス会社です。
オンプレミスネットワークには、corp.adatum.com という Active Directory Domain Services (AD DS) フォレストが含まれており、このフォレストは adatum.com という Azure AD テナントと同期しています。すべてのユーザーおよびグループの管理タスクは、corp.adatum.com で実行されます。corp.adatum.com ドメインには、adatum.com と同期する Group! というグループが含まれています。
Adatum のすべてのユーザーには、Microsoft 365 E5 ライセンスと Azure Active Directory Perineum 92 ライセンスが割り当てられています。
クラウド環境には、Microsoft 365 サブスクリプション、adatum.com テナントにリンクされた Azure サブスクリプション、および次の表に示すリソースが含まれています。

オンプレミス ネットワークには、次の表に示すリソースが含まれています。
<e ip="b7bd88815fb2bb64b26686de49bcfd51.jpg"></e>Adatum は以下の変更を
実行する予定です。
* 次の KQL クエリを含む、rulequery1 という名前のクエリを実装します。

* rulequery1 に基づいてインシデントを生成する Microsoft Sentinel スケジュール ルールを実装します。
Adatum では、次の Microsoft Defender for Cloud の要件を特定しています。
* Group1 のメンバーは、Defender for Cloud プランを有効にし、規制コンプライアンス イニシアチブを適用できる必要があります。
* すべての Azure 仮想マシンで Microsoft Defender for Servers プラン 2 を有効にする必要があります。
* Server2 はエージェントレス スキャンから除外する必要があります。
Adatum は、次の Microsoft Sentinel 要件を特定しています。
* Infoblox1 からの NXDOMAIN 応答をもたらす DNS 要求の数を返す Advanced Security Information Model (ASIM) クエリを実装します。
* 1 人のユーザーが Azure Cloud Shell を複数回起動したことに応じて rulequery1 によって生成される複数のアラートが 1 つのインシデントとして統合されるようにします。
* Microsoft Sentinel の AMA コネクタ経由で Wi​​ndows セキュリティ イベントを実装し、Server1 のセキュリティ イベント ログを監視するように構成します。
* 会社の SecOps チームによって Azure Cloud Shell が起動された場合、rulequery1 によって生成されたインシデントが自動的に閉じられることを確認します。
* Webapp1 からデータを動的に取得するためのクエリを含む、Workbook1 という名前のカスタム Microsoft Sentinel ブックを実装します。
* 指定された緊急アカウントへのサインインを検出する Microsoft Sentinel ニアリアルタイム (NRT) 分析ルールを実装します。
* Azure ポータルの Microsoft Sentinel の Hunting ページにアクセスしたときに、HuntingQuery1 が自動的に実行されることを確認します。
* corp.adatum.com ユーザー アカウントのパスワード リセットが通常よりも多く検出されることを確認します。
* ASIM パーサーを使用するクエリに関連するオーバーヘッドを最小限に抑えます。
* Group1 のメンバーがプレイブックを作成および編集できることを確認します。
* 可能な場合は組み込みの ASIM パーサーを使用します。
Adatum では次のビジネス要件が特定されています。
* 可能な限り、最小権限の原則に従ってください。
* 可能な限り管理作業を最小限に抑えます。
ディレクトリ会陰92ライセンス。