変更要約: Professional Security Operations Engineer 第2章を新規作成（ドメイン2「データ管理」: 取り込みアプローチ/取り込みツール・SCC Event Threat Detection・Google SecOps のパーサー(変更/拡張)・UDM 正規化・新ラベル・取り込みコスト管理、脅威インテリジェンス情報・イベントデータ vs エンティティデータ(Cloud Audit Logs/AD 組織コンテキスト)・エイリアシングフィールドによるエンリッチメント）。
2.1セキュリティツールへのログ取り込み
セキュリティツール（SCC・Google SecOps）でのデータ取り込みアプローチの決定、取り込みツール/機能の構成、検出/対応に必要なログ（自動化ソース含む・SCC Event Threat Detection）の評価、Google SecOps のパーサーの評価とパーサーの変更/拡張、ログソースのデータ正規化（UDM）、新しいラベルの評価、ログと取り込みコストの管理を理解します。
検出と調査の質は、取り込むログの質で決まります。必要なログを正しく取り込み、正規化し、コストを抑えます。
2.1.1ログの取り込みと正規化
Google SecOps や SCC への データ取り込み は、フィーダー（取り込みツール）やネイティブ機能で構成します。検出/対応に必要なログを評価し、クラウドの脅威検出は SCC Event Threat Detection（管理操作/データアクセスログ等から既知の脅威を検出）を有効化します。多様なログソースは パーサー で解析し、必要に応じて パーサーの変更/拡張 でカスタムフィールドを抽出します。Google SecOps は取り込んだログを UDM（Unified Data Model）に 正規化 し、ソースに依存しない統一スキーマで検索/検出できるようにします。検出/エンリッチに役立つ 新しいラベル も評価します。「ソース非依存の統一スキーマ＝UDM 正規化」「ログ解析の調整＝パーサーの変更/拡張」を結びます。
2.1.2取り込みコストの管理
ログは多いほど良いわけではありません。ログと取り込みコスト を管理し、検出/調査に価値のあるログを優先（ノイズの多い低価値ログは間引く/別保管）します。自動化ソース（Event Threat Detection や各種フィード）を含めて、必要なカバレッジを満たしつつコストを抑えるバランスを取ります。「価値の低い大量ログでコスト増＝優先順位とフィルタで最適化」を押さえます。
「要件 → 手段」が頻出。例：「ソースが異なるログを統一スキーマで検索/検出」＝UDM 正規化（Google SecOps）、「独自フォーマットのログから必要フィールドを抽出」＝パーサーの変更/拡張、「クラウドの管理操作/データアクセスから既知の脅威を検出」＝SCC Event Threat Detection、「取り込みコストを抑える」＝価値の低いログの優先順位付け/フィルタ。
混同に注意：
①UDM（正規化された統一スキーマ）とパーサー（生ログ→フィールド抽出）は段階が別。
②Event Threat Detection（SCC の組み込み検出）と Google SecOps の検出ルールは別レイヤー＝併用。
③全ログを無差別に取り込むとコストが膨らむ＝価値で優先順位を付ける。
ネットワークのテレメトリも重要なログソースです。VPC Flow Logs は VPC 内のネットワークフロー（送信元/宛先・ポート・バイト数・許可/拒否など）を記録します。Google SecOps へ取り込んで UDM に正規化すれば、横移動（ラテラルムーブメント）や不審な外向き通信の検出・スレットハンティングに活用できます。
2.1.3この節のまとめ
- 取り込み＝フィーダー/ネイティブ機能、クラウド脅威＝SCC Event Threat Detection
- Google SecOps はログを UDM へ正規化、独自ログはパーサーの変更/拡張で解析
- 取り込みコストは価値で優先順位付け・フィルタして最適化
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多様なソースのログを、ソースに依存しない統一スキーマで検索・検出できるようにしたい。Google SecOps の何ですか？
Q2. 独自フォーマットのログから、検出に必要なフィールドを正しく抽出したい。Google SecOps で行う作業はどれですか？
Q3. クラウドの管理操作ログやデータアクセスログから、既知の脅威（不審なログイン、権限昇格等）を自動検出したい。最適なのはどれですか？
Q4. ノイズが多く検出/調査に寄与しない大量ログが取り込みコストを押し上げている。最も適切な対処はどれですか？
Q5. UDM とパーサーの関係として正しいものはどれですか？