変更要約: Professional Security Operations Engineer 第2章を新規作成（ドメイン2「データ管理」: 取り込みアプローチ/取り込みツール・SCC Event Threat Detection・Google SecOps のパーサー(変更/拡張)・UDM 正規化・新ラベル・取り込みコスト管理、脅威インテリジェンス情報・イベントデータ vs エンティティデータ(Cloud Audit Logs/AD 組織コンテキスト)・エイリアシングフィールドによるエンリッチメント）。
2.2ユーザー・資産・エンティティのコンテキスト
企業環境における関連する脅威インテリジェンス情報の特定、イベントデータとエンティティデータのログソースの区別（Cloud Audit Logs・Active Directory の組織コンテキスト）、エイリアシングフィールドを用いたイベント/エンティティデータのマッチによるエンリッチメントの評価を理解します。
検出を「点」から「文脈ある線」にするのがエンティティコンテキストです。誰の・どの資産の行動かを結びつけて、アラートを意味あるものにします.
2.2.1イベントデータとエンティティデータ
ログは大きく二種類です。イベントデータ は「いつ何が起きたか」の行動記録（Cloud Audit Logs のログイン/API 呼び出し、ネットワーク通信など）、エンティティデータ は「誰/どの資産か」の文脈（Active Directory の組織コンテキスト＝ユーザーの所属/役職/グループ、資産の所有者/重要度など）です。両者を区別し、関連する 脅威インテリジェンス 情報（GTI の IOC・攻撃者 TTP）も企業環境に当てはめて評価します。「行動の記録＝イベントデータ」「誰/何かの文脈＝エンティティデータ」を結びます。
2.2.2エンリッチメントとエイリアシング
イベントとエンティティを マッチ させてイベントを エンリッチ すると、検出の精度と調査の速度が上がります（例：あるログインイベントに、そのユーザーの役職や端末の重要度、過去のリスクスコアを付与）。ただし同一ユーザー/資産が複数の識別子（ユーザー名/メール/UPN/ホスト名/IP）で現れるため、エイリアシングフィールド で名寄せ（同一エンティティとして関連付け）してから突合します。「イベントに文脈を付与＝エンティティでエンリッチ」「複数識別子の名寄せ＝エイリアシングフィールド」を押さえます。
「要件 → 手段」が頻出。例：「いつ何が起きたかの行動記録」＝イベントデータ（Cloud Audit Logs 等）、「誰/どの資産かの文脈（所属/重要度）」＝エンティティデータ（AD 組織コンテキスト）、「ログインイベントにユーザーの役職/リスクを付与」＝エンティティでエンリッチ、「ユーザー名/メール/UPN を同一人物として名寄せ」＝エイリアシングフィールド。
混同に注意：
①イベントデータ（行動）とエンティティデータ（文脈）を取り違えない＝検出はイベント、文脈付与はエンティティ。
②名寄せ（エイリアシング）をしないと同一人物/資産を別物として扱う＝検出漏れ/重複の原因。
③エンティティ文脈は検出ルールの精度向上にも使う（後章のエンティティグラフ）。
2.2.3この節のまとめ
- イベントデータ＝行動（Cloud Audit Logs 等）、エンティティデータ＝文脈（AD 組織コンテキスト）
- イベントをエンティティでエンリッチして検出精度/調査速度を上げる
- 複数識別子はエイリアシングフィールドで名寄せしてから突合
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 「いつ・誰が・何をしたか」の行動を記録するログはどちらに分類されますか？
Q2. ユーザーの所属・役職・グループや資産の所有者・重要度といった「誰/何か」の文脈はどちらですか？
Q3. 同一ユーザーがユーザー名・メール・UPN など複数の識別子で現れる。突合前に同一エンティティとして関連付けたい。使うのはどれですか？
Q4. あるログインイベントに、そのユーザーの役職・端末の重要度・過去のリスクスコアを付与して検出精度を上げたい。これは何ですか？
Q5. 企業環境に当てはめて活用すべき「関連する脅威インテリジェンス情報」の例として最も適切なのはどれですか？