変更要約: Professional Cloud Security Engineer 第4章を新規作成（ドメイン4「運用」: CI/CD の CVE スキャン(Artifact Analysis)/Binary Authorization(GKE/Cloud Run)/イメージのハードニング・VM パッチ管理/CSPM・カスタム組織ポリシー・Security Health Analytics カスタムモジュール、ネットワークログ(Cloud NGFW/VPC フローログ/Packet Mirroring/Cloud IDS/Log Analytics)・ロギング戦略・インシデント対応・ログへの安全なアクセス・外部 SIEM エクスポート・Cloud Audit Logs/データアクセスログ・ログシンク/集約シンク・Security Command Center）。
4.2ロギング・監視・脅威検知
ネットワークログの構成と分析（Cloud NGFW・VPC フローログ・Packet Mirroring・Cloud IDS・Log Analytics）、効果的なロギング戦略、セキュリティインシデントのログ/監視/対応/修復、ログへの安全なアクセス、外部セキュリティシステムへのログエクスポート、Cloud Audit Logs とデータアクセスログの構成/分析、ログエクスポート（ログシンク・集約シンク）、Security Command Center の構成と監視を理解します。
検知と対応は「正しいログを集め、脅威を見つけ、安全に保管・転送する」ことから成ります。監査ログとセキュリティ基盤を中心に設計します。
4.2.1監査ログとログエクスポート
「誰がいつ何をしたか」は Cloud Audit Logs で記録します。管理操作ログは既定で有効、機微な データアクセスログ は明示的に有効化します。長期保管・分析・SIEM 連携のため、ログシンク でログを BigQuery/Cloud Storage/Pub/Sub へエクスポートし、組織/フォルダ全体を一括で集約するには 集約シンク（aggregated sink）を使います。外部のセキュリティシステム（SIEM/SOAR）へは Pub/Sub 経由でエクスポートします。改ざんや削除を防ぐため、ログへのアクセスを最小化し、保管先を保護します。「組織全体のログを一括収集＝集約シンク」「監査の証跡＝Cloud Audit Logs（データアクセスは要有効化）」を結びます。
4.2.2脅威検知とインシデント対応
ネットワークの可視化は VPC フローログ・Cloud NGFW ログ・Packet Mirroring（完全複製）で行い、ネットワークレイヤの侵入検知は Cloud IDS（マネージド IDS）で行います。大量ログの高度分析は Log Analytics（BigQuery ベース）を使います。脅威の中枢は Security Command Center（SCC）＝設定ミス（Security Health Analytics）に加え、Event Threat Detection・Container Threat Detection などで脅威を検出し、検出から 対応/修復 までを回します。インシデントは「検知→トリアージ→封じ込め→修復」の流れで対応します。「ネットワーク層の侵入検知＝Cloud IDS」「脅威検出の中枢＝Security Command Center」を押さえます。
「要件 → 手段」が頻出。例：「誰がデータにアクセスしたか記録」＝Cloud Audit Logs のデータアクセスログ（要有効化）、「組織全体のログを一括で SIEM へ」＝集約シンク＋Pub/Sub、「ネットワーク層の侵入検知（マネージド）」＝Cloud IDS、「脅威・設定ミスを一元検出して対応」＝Security Command Center、「大量ログを SQL で分析」＝Log Analytics。
混同に注意：
①データアクセスログは既定で無効＝機微操作の証跡には明示的に有効化する。
②ログシンク（単一）と集約シンク（組織/フォルダ一括）を使い分ける。
③Cloud IDS（ネットワーク侵入検知）と Security Command Center（横断的な脅威/設定ミス検出）は守備範囲が別。
4.2.3この節のまとめ
- 証跡＝Cloud Audit Logs（データアクセスは要有効化）、組織一括収集＝集約シンク→BigQuery/Pub/Sub
- ネットワーク侵入検知＝Cloud IDS、可視化＝VPC フローログ/Packet Mirroring、分析＝Log Analytics
- 脅威・設定ミスの中枢＝Security Command Center、インシデントは検知→トリアージ→封じ込め→修復
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 機微なデータに「誰がいつアクセスしたか」の証跡を残したい。Cloud Audit Logs で前提として必要なのはどれですか？
Q2. 組織全体のログを一括で収集し、外部 SIEM へストリーミングしたい。最適な構成はどれですか？
Q3. ネットワーク層の侵入や既知の脅威シグネチャを、マネージドなサービスで検知したい。最適なのはどれですか？
Q4. 脅威・脆弱性・設定ミスを組織横断で一元的に検出・可視化し、対応につなげたい。中枢となるのはどれですか？
Q5. 蓄積した大量のログに対して、SQL で高度な分析（傾向・異常検出）を行いたい。最適なのはどれですか？