Microsoft Sentinel のドキュメントによると、自動化ルールは、インシデントが作成されるとすぐに、自動的に割り当て、タグ付け、またはクローズするために使用されます。自動化ルールは、アラート名、重大度、ソースなどの属性に基づいてインシデントをフィルタリングし、ユーザーまたはグループへのインシデントの割り当てなどの特定のアクションを実行できます。
このシナリオでは、Rule1 によって 2 つの異なる AD DS ドメイン（contoso.com と fabrikam.com）からインシデントが生成され、それぞれを特定のセキュリティ グループにルーティングしてトリアージする必要があります。最も効率的なアプローチは、2 つの自動化ルールを作成し、それぞれドメイン（contoso.com 用と fabrikam.com 用）ごとにインシデントをフィルタリングし、それぞれを Group1 と Group2 に自動的に割り当てることです。このアプローチでは、自動化ルールのメンテナンスが容易で、プレイブックのような複雑な手順を必要としないため、管理オーバーヘッドを最小限に抑えることができます。
プレイブック（ロジックアプリ）でも技術的には同じ結果を達成できますが、管理、権限、メンテナンスの負担が増大します。そのため、Microsoft Sentinel のベストプラクティスに従い、複数の自動化ルールを使用することで、インシデント割り当てのための軽量かつ直接的な自動化レイヤーを構築できます。
# 正解: C. ルール1に割り当てられた2つの自動化ルール

Explanation:
表: DeviceFileEvents
集計関数: count()
Microsoft Defender XDRの高度なハンティングでは、DeviceFileEvents、DeviceProcessEvents、CloudAppEventsなどのデータテーブルを使用して、さまざまな種類のアクティビティを調査します。このクエリはファイルアクティビティに関連する問題の調査、特にファイルが繰り返しアクセス、変更、または作成されたタイミングを特定することを目的としているため、適切なデータソーステーブルはDeviceFileEventsです。このテーブルには、Defender for Endpointセンサーによって記録されたファイルレベルのアクティビティに関する情報（ファイルパス、ファイル名、アクションの種類、関連するユーザーアカウントなど）が含まれています。
画像に示されている KQL 構造は、標準的なハンティング クエリ構文に従います。
デバイスファイルイベント
| タイムスタンプ > ago(2d)
| ActivityCount = count() を FolderPath、FileName、ActionType、AccountDisplayName で集計します
| アクティビティカウント > 5
理由は次のとおりです。
* where Timestamp > ago(2d) 句は、即時の調査に典型的な期間である過去 2 日間の結果をフィルタリングします。
* 集計演算子は、FolderPath、FileName、ActionType、および AccountDisplayName ごとにイベントをグループ化し、count() を使用して各ファイルが操作された回数を判断します。
* 最後に、activityCount > 5 の場合は、疑わしいファイル操作や自動ファイル操作を示している可能性のある、異常に高頻度のアクティビティのみを表示するようにフィルター処理されます。
Microsoft Defender XDR のドキュメントでは、DeviceFileEvents がファイル アクティビティの調査に適したスキーマであること、DeviceProcessEvents がプロセスの作成と実行に重点を置き、CloudAppEvents がクラウド アプリケーションの使用を対象としていることが強調されています。
したがって、検証され文書化された正しい完了は次のとおりです。
表: DeviceFileEvents
集計関数: count()

参照：
https://docs.microsoft.com/ja-jp/cloud-app-security/異常検出ポリシー

説明
ステップ 1: ロジック アプリ デザイナーからロジック アプリを作成します。
ロジック アプリを作成し、自動的に実行するタイミングを定義します。
1. Defender for Cloud のサイドバーから、「ワークフロー自動化」を選択します。
2. 新しいワークフローを定義するには、「ワークフロー自動化を追加」をクリックします。新しい自動化のオプションパネルが開きます。

ここで入力できる内容:
自動化の名前と説明。
この自動ワークフローを開始するトリガー。例えば、「SQL」を含むセキュリティアラートが生成されたときにロジックアプリを実行するように設定できます。
トリガー条件が満たされたときに実行されるロジック アプリ。
3. [アクション] セクションで、[Logic Apps ページにアクセス] を選択して、Logic Apps の作成プロセスを開始します。
4. その他
手順 2: ロジック アプリ デザイナーからトリガーを実行します。
ロジック アプリを手動でトリガーする
セキュリティ アラートや推奨事項を表示しているときに、Logic Apps を手動で実行することもできます。
ステップ 3: Defender for cloud のワークフロー自動化から、ワークフロー自動化を追加します。
提供されたポリシーを使用して大規模なワークフロー自動化を構成する
組織の監視およびインシデント対応プロセスを自動化すると、セキュリティ インシデントの調査と軽減にかかる時間が大幅に短縮されます。

参考: https://docs.microsoft.com/en-us/azure/defender-for-cloud/workflow-automation