ある企業が Microsoft Sentinel を使用しており、インシデント調査において同じ攻撃者から発生した複数のアラート（異なるデータソース由来）を 1 つのインシデントに自動統合したいと考えています。Sentinel でアラートをインシデントにグループ化する際のグルーピング条件として正しくないものはどれか。

正解: A

Microsoft Sentinel のインシデントグルーピング設定では、同じエンティティ共有・同じ分析ルール由来・指定時間ウィンドウ内という条件でアラートをインシデントにまとめることができます。しかし「同じ重大度を持つ」という条件はグルーピングの条件として提供されておらず、正しくありません。重大度は個々のアラートの属性であり、異なる攻撃から発生した高重大度アラートをすべて同一インシデントにまとめることは調査上も不適切です。Dはエンティティベースのグルーピングとして正しい。Cはルールベースのグルーピングとして正しい。Bは時間ウィンドウベースのグルーピングとして正しい。