参照：
https://docs.microsoft.com/en-us/azure/governance/policy/concepts/effects
https://docs.microsoft.com/ja-jp/azure/セキュリティセンター/ワークフロー自動化

説明/参照:
参照：
https://docs.microsoft.com/en-us/azure/security-center/defender-for-key-vault-usage

説明
ステップ 1: ロジック アプリ デザイナーからロジック アプリを作成します。
ロジック アプリを作成し、自動的に実行するタイミングを定義します。
1. Defender for Cloud のサイドバーから、「ワークフロー自動化」を選択します。
2. 新しいワークフローを定義するには、「ワークフロー自動化を追加」をクリックします。新しい自動化のオプションパネルが開きます。

ここで入力できる内容:
自動化の名前と説明。
この自動ワークフローを開始するトリガー。例えば、「SQL」を含むセキュリティアラートが生成されたときにロジックアプリを実行するように設定できます。
トリガー条件が満たされたときに実行されるロジック アプリ。
3. [アクション] セクションで、[Logic Apps ページにアクセス] を選択して、Logic Apps の作成プロセスを開始します。
4. その他
手順 2: ロジック アプリ デザイナーからトリガーを実行します。
ロジック アプリを手動でトリガーする
セキュリティ アラートや推奨事項を表示しているときに、Logic Apps を手動で実行することもできます。
ステップ 3: Defender for cloud のワークフロー自動化から、ワークフロー自動化を追加します。
提供されたポリシーを使用して大規模なワークフロー自動化を構成する
組織の監視およびインシデント対応プロセスを自動化すると、セキュリティ インシデントの調査と軽減にかかる時間が大幅に短縮されます。

参考: https://docs.microsoft.com/en-us/azure/defender-for-cloud/workflow-automation

悪意のあるアクティビティを示唆する可能性のある国/地域からのアクティビティ。このポリシーは環境のプロファイリングを行い、組織内のユーザーが最近または一度も訪問したことのない場所からのアクティビティが検出された場合、アラートをトリガーします。同じユーザーが、2つの場所間の想定される移動時間よりも短い期間内に、異なる場所でアクティビティを行った場合。これは資格情報の侵害を示している可能性がありますが、ユーザーの実際の場所がVPNの使用などによって隠されている可能性もあります。
参照：
https://docs.microsoft.com/ja-jp/cloud-app-security/異常検出ポリシー

1 - Amazon Web Servicesコネクタを追加する
2 - Azure Sentinel の分析から、スケジュールされたクエリを使用するカスタム分析ルールを作成します。
3 - アラートロジックを設定する
参照：
https://docs.microsoft.com/en-us/azure/sentinel/detect-threats-custom