トピック4、ミックス質問
ミックス質問
このケーススタディにおけるSC-200のミックス質問
Fabrikam. Inc. は金融サービス会社です。
この会社には、ニューヨーク、ロンドン、シンガポールに支社があります。Fabrikam には世界中にリモート ユーザーがいます。リモート ユーザーは、支社への VPN 接続を使用して、クラウド リソースを含む会社のリソースにアクセスします。
ネットワークには、fabrikam.com という名前の Active Directory Domain Services (AD DS) フォレストが含まれており、fabrikam.com という名前の Azure AD テナントと同期します。フォレストを同期するために、Fabrikam は、パススルー認証が有効で、パスワード ハッシュ同期が無効になっている Azure AD Connect を使用します。
fabrikam.com フォレストには、Group1 と Group2 という名前の 2 つのグローバル グループが含まれています。
Fabrikam のすべてのユーザーには、Microsoft 365 E5 ライセンスと Azure Active Directory Premium Plan 2 ライセンスが割り当てられています。Fabrikam は、Microsoft Defender for Identity と Microsoft Defender for Cloud Apps を実装し、ログ コレクターを有効にしています。
Fabrikam には、次の表に示すリソースを含む Azure サブスクリプションがあります。

Fabrikam には、Account1 という名前の Amazon Web Services (AWS) アカウントがあります。Account1 には、カスタム Windows Server 2022 を実行する 100 個の Amazon Elastic Compute Cloud (EC2) インスタンスが含まれています。イメージには Microsoft SQL Server 2019 が含まれており、エージェントはインストールされていません。
ユーザーが VPN 接続を使用すると、Microsoft 365 Defender は誤検知であるあり得ない移動アラートを大量に生成します。Defender for Identity は誤検知である DCSync 攻撃の疑いアラートを大量に生成します。
Fabrikam は以下のサービスを実装する予定です。
* クラウド向け Microsoft Defender
* マイクロソフトセンチネル
Fabrikam では、次のビジネス要件を特定しています。
* 可能な限り、最小権限の原則を適用します。
♦ 管理上の労力を最小限に抑えます。
Fabrikam は、Microsoft Defender for Cloud Apps の要件を次のように特定しています。
* 不可能な移動アラート ポリシーが各ユーザーの過去のアクティビティに基づいていることを確認します。
* 誤検知によるあり得ない移動アラートの量を減らします。
誤検知アラートの調査に必要な管理作業を最小限に抑えます。
Fabrikam は、Microsoft Defender for Cloud の要件を次のように特定しています。
* Group2 のメンバーがセキュリティ ポリシーを変更できることを確認します。
* Group1 のメンバーが Azure サブスクリプション レベルで規制コンプライアンス ポリシー イニシアチブを割り当てることができることを確認します。
* Azure Arc 対応サーバー用の Azure Connected Machine エージェントの、Account1 の既存および将来のリソースへの展開を自動化します。
* 誤検知アラートの調査に必要な管理作業を最小限に抑えます。
Fabrikam は、次の Microsoft Sentinel 要件を特定しています。
* 組み込みの Advanced Security Information Model (ASIM) 統合パーサーを使用して、過去 7 日間の NXDOMAIN DNS 要求を照会します。
* AWS EC2 インスタンスから、ローカル グループ メンバーシップの変更を含む Windows セキュリティ イベント ログ エントリを収集します。
* ユーザーおよびエンティティの動作分析 (UEBA) を使用して、Azure AD ユーザーの異常なアクティビティを識別します。
* UEBA を使用して、侵害された Azure AD ユーザー資格情報の潜在的な影響を評価します。
* App1 が Microsoft Sentinel 自動化ルールで使用可能であることを確認します。
* 過去 30 日間に発生したインシデントのトリアージにかかる平均時間を特定します。
* 過去 30 日間に発生したインシデントをクローズするまでの平均時間を特定します。
* グループ 1 のメンバーがプレイブックを作成して実行できることを確認します。
* Group1 のメンバーが分析ルールを管理できることを確認します。
* Jupyter ノートブックを使用して、Pool! でハンティング クエリを実行します。
* グループ2のメンバーがインシデントを管理できることを確認します。
* データクエリのパフォーマンスを最大化します。
* 収集するデータの量を最小限に抑えます。