安全でないKerberos委任に関連するセキュリティリスクを軽減するには、公開エンティティとしてリストされているコンピュータオブジェクトのプロパティを変更する必要があります。具体的には、Kerberos委任設定を「すべてのサービスへの委任に対してこのコンピュータを信頼する」または「指定されたサービスへの委任に対してのみこのコンピュータを信頼する」に設定してください。これにより、コンピュータがKerberos委任を使用してネットワーク上の他のコンピュータにアクセスできなくなります。参考：https://docs.microsoft.com/en-us/windows
/security/identity-protection/microsoft-defender-for-identity/Kerberos 委任を構成する

参照：
https://docs.microsoft.com/ja-jp/cloud-app-security/異常検出ポリシー

どのアカウントが最も多くのアラートを生成するかを調査し、それらをインシデント データと相関させるには、Microsoft Sentinel には、ID に重点を置いた分析とワークブックを提供するソリューション パッケージが必要です。
Microsoft Sentinel コンテンツ ハブの Cloud Identity Threat Protection Essentials ソリューションは、次の機能を提供します。
* Azure アクティビティ、Entra ID ログ、Defender XDR アラートを統合した、事前に構築されたワークブックと分析ルール。
* 最も多くのアラートと関連インシデントが発生したユーザーを示す視覚化。
* UEBA の統合はオプションですが、このソリューションをインストールすると、最小限の構成で ID 中心の検出が自動的に提供されます。
UEBA（ユーザーおよびエンティティの行動分析）は単体では異常を検知しますが、アラート相関ダッシュボードは組み込まれていません。そのため、管理作業を最小限に抑えて要件を満たすには、事前に構築されたSentinelコンテンツパッケージをインストールするのが適切なステップです。
# 正解: B. コンテンツハブから、Cloud Identity Threat Protection Essentials をインストールします

Explanation:

Microsoft Sentinel（現在はMicrosoft Defender XDRの一部）では、Kustoクエリ言語（KQL）を使用して、ワークブック、分析ルール、ハンティングクエリ用のクエリを作成します。SecurityIncidentテーブルには、Sentinelで作成されたすべてのインシデント（タイムスタンプ、重大度、メタデータを含む）が含まれます。
要件を満たすには:
* 「インシデント番号別にすべてのインシデントを一覧表示する」# は、結果を IncidentNumber フィールド別にグループ化することを意味します。
* 「各インシデントの最新のログのみを含める」# は、各インシデントの最新のレコードのみを返す必要があることを意味します。
KQLでは、この目的に適した演算子はsummary arg_max()です。関数arg_max(LastModifiedTime, *)は、各グループ（この場合は各固有のIncidentNumber）のLastModifiedTimeが最大値である行（レコード）と、その他のすべての列（*で示される）を返します。
したがって、完全かつ正しいクエリは次のようになります。
セキュリティインシデント
| arg_max(LastModifiedTime, *) を IncidentNumber で集計する
* 指定されたグループ化キー (IncidentNumber) に基づいて集計レコードを集計します。
* arg_max() は LastModifiedTime に基づいて最新のレコードを選択します。
このクエリは、最後に変更されたインシデント エントリに対応する、IncidentNumber ごとに 1 つのレコードを返します。これにより、Sentinel ワークブック内の各ケースの最新のインシデント状態を表示するという要件が完全に満たされます。
# 正しい選択:
* 最初のドロップダウン: 要約
* 2番目のドロップダウン: arg_max

Microsoft Defender for Cloud のドキュメントによると、継続的エクスポートを使用すると、セキュリティアラートや推奨事項を他の監視システムや SIEM システムにストリーミングできます。アラートをリアルタイムでエクスポートする場合、Azure Event Hubs がサポートされるメカニズムです。Event Hubs は、Splunk、IBM QRadar、ArcSight などのサードパーティ製 SIEM ツールにイベントをフィードできるスケーラブルなデータストリーミングプラットフォームを提供します。Microsoft は、「セキュリティアラートや推奨事項のリアルタイムストリーミングを有効にするには、Azure Event Hubs への継続的エクスポートを構成します。そこから、外部の SIEM またはイベント処理ソリューションでデータを利用できます」と述べています。その他のオプションは、それぞれ異なる目的で使用されます。
* Azure Cosmos DB は NoSQL データベースであり、アラートのストリーミングには使用されません。
* Azure Event Grid は、リアクティブなイベント ドリブンの自動化を目的としていますが、継続的なログのエクスポートを目的としたものではありません。
* Azure Data Lake は、ストリーミングではなく、大規模なストレージと分析を目的としています。
したがって、Defender アラートを Azure Event Hubs にエクスポートすることは、サードパーティの SIEM ソリューションへの継続的なエクスポートに適したサポートされている構成です。