Google Cloud Professional Security Operations Engineer参考書
Google SecOps（SIEM/SOAR）と Security Command Center で脅威の検出・ハンティング・調査・対応を担うプロフェッショナル資格（Professional Security Operations Engineer）。
Google Cloud Professional Security Operations Engineer（GCP-PSOE）について
Google Cloud Professional Security Operations Engineer（GCP-PSOE）は、Google Cloud が提供するプロフェッショナル・エキスパートレベルの認定資格です。このページでは、試験範囲を全 6 章・12 節の参考書として体系的に解説し、本番形式の練習問題で理解度を確認できます。下の章一覧から順に読み進め、「問題集で演習する」で実力を試すのが効率的な学習の流れです。
試験で問われる分野（出題範囲の目安）
- プラットフォーム運用約 14%
- データ管理約 14%
- スレットハンティング約 19%
- 検出エンジニアリング約 22%
- インシデント対応約 21%
- 可観測性約 10%
配点は本番試験の目安です。各分野は下の章・節で詳しく解説しています。
公式の試験情報：https://cloud.google.com/learn/certification/security-operations-engineer
1プラットフォーム運用
- 1.1検出・対応の強化とツール統合
テレメトリソースの優先順位付け（Security Command Center [SCC]・Google SecOps・Google Threat Intelligence [GTI]・Cloud IDS）、複数ツールの統合による検出力の向上、機能が重複するツールの使い分けの正当化、既存ツールのカバレッジギャップ評価、検出/対応プロセスを高度化する自動化/クラウドツールの評価を理解します。
- 1.2アクセスの構成と監査
セキュリティツール（SCC・Google SecOps）へのユーザー/サービスアカウント認証、IAM ロール/権限による機能アクセスとデータアクセスの認可、監査ログ（Cloud Audit Logs・データアクセスログ）の構成と分析、自動化のための API アクセス（サービスアカウント・API キー・SCC/SecOps/GTI）、Workforce Identity Federation による ID プロビジョニングを理解します。
2データ管理
- 2.1セキュリティツールへのログ取り込み
セキュリティツール（SCC・Google SecOps）でのデータ取り込みアプローチの決定、取り込みツール/機能の構成、検出/対応に必要なログ（自動化ソース含む・SCC Event Threat Detection）の評価、Google SecOps のパーサーの評価とパーサーの変更/拡張、ログソースのデータ正規化（UDM）、新しいラベルの評価、ログと取り込みコストの管理を理解します。
- 2.2ユーザー・資産・エンティティのコンテキスト
企業環境における関連する脅威インテリジェンス情報の特定、イベントデータとエンティティデータのログソースの区別（Cloud Audit Logs・Active Directory の組織コンテキスト）、エイリアシングフィールドを用いたイベント/エンティティデータのマッチによるエンリッチメントの評価を理解します。
3スレットハンティング
- 3.1環境横断のスレットハンティング
環境のログを横断して異常な活動を見つけるクエリの開発、ユーザー行動の分析による異常検知、Google Cloud ツール（Logs Explorer・Log Analytics・BigQuery・Google SecOps）を用いたネットワーク/エンドポイント/サービスの調査と IOC の特定、インシデント対応チームとの連携、行動/脅威インテリジェンス/ポスチャ/インシデントデータに基づく仮説の立案を理解します。
- 3.2脅威インテリジェンスの活用とリトロハント
過去ログ内での IOC 検索、脅威インテリジェンスとリスク評価（GTI・検出ルール・SCC のトキシックコンビネーション）を用いた新しい攻撃パターン/技術のリアルタイム特定、エンティティリスクスコアによる異常行動の分析、新たにエンリッチしたログでの過去イベントのリトロハント（Google SecOps ルールエンジン・BigQuery・Cloud Logging）、脅威インテリジェンスを用いた潜在的脅威の能動的探索を理解します。
4検出エンジニアリング
- 4.1検出メカニズムの開発と実装
脅威インテリジェンスとユーザー/資産活動の突合、ログ/イベントの分析による異常検知、検出ルールと各種タイムラインでの探索、リスク値を用いた検出ルール（Google SecOps リファレンスリスト）、リスク値の割り当て（Google SecOps Risk Analytics・キュレーション済み検出ルール）、ポスチャ/リスクプロファイル変化の検出（SCC Security Health Analytics・ポスチャ管理）、低頻度のプロセス/ドメイン/IP の特定（YARA-L ルール）、エンティティ/コンテキストデータの活用（SecOps エンティティグラフ）、SCC Event Threat Detection のカスタム検出を理解します。
- 4.2検出への脅威インテリジェンス活用と誤検知の削減
IOC のリスクレベルに基づくアラートのスコアリング、最新の IOC を用いた取り込み済みセキュリティテレメトリ内の検索、反復的なアラートの頻度測定による誤検知の特定と削減を理解します。
5インシデント対応
- 5.1インシデントの封じ込めと調査
インシデントのスコープに関する証拠収集（フォレンジックイメージ・アーティファクト）、セキュリティツール（SCC・Google SecOps）でのアラート観測/分析、ツール（Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring）によるスコープ分析、他チームとの連携、影響を受けたサービス/プロセスの隔離、フォレンジック分析（Hash・IP・URL・バイナリ＝GTI）、セキュリティツール（SCC・Google SecOps SIEM）による根本原因分析を理解します。
- 5.2対応プレイブックとケース管理
自動化に適した対応ステップの決定、脅威プロファイルに基づく高価値なエンリッチメントの優先、プレイブックで活用する統合の評価、最近のインシデントから特定した新たな攻撃パターンへの新プロセス設計、ギャップに基づく新しいオーケストレーション/自動化プレイブックの提案（Google SecOps SOAR）、アナリスト/ステークホルダーへの通知、ケース管理ライフサイクル（対応ステージへの割り当て・エスカレーションのワークフロー・ハンドオフの有効性評価）を理解します。
6可観測性
- 6.1ダッシュボードとレポート
主要なセキュリティ分析指標（メトリクス・KPI・トレンド）の特定、セキュリティテレメトリ・取り込みメトリクス・検出・アラート・IOC を可視化するダッシュボードの実装（Google SecOps SOAR・SIEM・Looker Studio）、レポートの生成とカスタマイズを理解します。
- 6.2ヘルス監視とアラート
ヘルス監視/アラートのための重要メトリクスの特定、メトリクスを集約するダッシュボードの作成、特定メトリクスのしきい値アラートの作成、Google Cloud ツール（Cloud Monitoring）による通知の構成、Google Cloud ツール（Cloud Logging）によるヘルス問題の特定、サイレントソース検出の構成を理解します。