変更要約: Professional Security Operations Engineer 第3章を新規作成（ドメイン3「スレットハンティング」: 横断クエリ/ユーザー行動分析/Logs Explorer・Log Analytics・BigQuery・Google SecOps による調査/IOC/インシデント対応連携/仮説立案、GTI の IOC 過去ログ検索/SCC トキシックコンビネーション/エンティティリスクスコア/リトロハント(Google SecOps ルールエンジン・BigQuery・Cloud Logging)/能動的探索）。
3.1環境横断のスレットハンティング
環境のログを横断して異常な活動を見つけるクエリの開発、ユーザー行動の分析による異常検知、Google Cloud ツール（Logs Explorer・Log Analytics・BigQuery・Google SecOps）を用いたネットワーク/エンドポイント/サービスの調査と IOC の特定、インシデント対応チームとの連携、行動/脅威インテリジェンス/ポスチャ/インシデントデータに基づく仮説の立案を理解します。
スレットハンティングは「アラートを待つ」のではなく、仮説を立てて能動的に脅威を探す活動です。ログを横断し、異常を見つけ、隠れた侵害をあぶり出します。
3.1.1横断クエリと調査ツール
ハンティングは 環境横断のクエリ から始めます。Google Cloud のログは Logs Explorer（対話的検索）、大量ログの SQL 分析は Log Analytics や BigQuery、横断的なセキュリティ検索は Google SecOps（UDM 検索・大規模/長期保管のテレメトリ）を使います。ユーザー行動の分析 で通常から外れた活動（深夜の大量ダウンロード、見慣れない地域からのアクセス）を見つけ、ネットワーク/エンドポイント/サービス を調べて IOC（侵害指標＝悪性 IP/ドメイン/ハッシュ）や攻撃パターンを特定します。「Google Cloud ログの対話検索＝Logs Explorer」「大規模/長期のセキュリティ検索＝Google SecOps」「SQL で大量ログ分析＝BigQuery/Log Analytics」を結びます。
3.1.2仮説立案と連携
良いハンティングは 仮説 から始まります＝過去の インシデントデータ、脅威インテリジェンス（GTI の攻撃者 TTP）、ポスチャ（SCC の設定リスク）、観測された 行動 をもとに「もし攻撃者がここを狙うなら、このログにこの痕跡が残るはず」という検証可能な仮説を立て、クエリで検証します。能動的に脅威を探す過程で インシデント対応チームと連携 し、活動中の脅威を特定して封じ込めにつなげます。「データに基づく検証可能な仮説＝ハンティングの起点」を押さえます。
「要件 → ツール」が頻出。例：「Google Cloud のログを対話的に検索」＝Logs Explorer、「大量ログを SQL で分析」＝BigQuery/Log Analytics、「長期保管の横断的セキュリティ検索」＝Google SecOps、「IOC（悪性 IP/ドメイン/ハッシュ）を特定」＝ログ調査＋GTI、「能動的に脅威を探す起点」＝データに基づく仮説立案。
混同に注意：
①スレットハンティング（能動的・仮説駆動）とアラート対応（受動的）は別＝ハンティングはアラートを待たない。
②Logs Explorer（対話検索）と Google SecOps（大規模/長期の SIEM 検索）を用途で選ぶ。
③仮説なしの闇雲な検索は非効率＝データに基づく仮説を立てる。
3.1.3この節のまとめ
- ツール＝Logs Explorer（対話）/Log Analytics・BigQuery（SQL）/Google SecOps（大規模・長期）
- ユーザー行動分析で異常を見つけ、ネット/エンドポイント/サービスで IOC を特定
- インシデント/脅威インテリジェンス/ポスチャ/行動に基づく検証可能な仮説から始める
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. スレットハンティングの本質として最も正しいものはどれですか？
Q2. Google Cloud のログを対話的に検索・フィルタして調査したい。最適なのはどれですか？
Q3. 数か月分の大量セキュリティテレメトリを横断的に検索し、長期保管されたログから脅威を探したい。最適なのはどれですか？
Q4. 大量のログに対して SQL で柔軟に集計・分析し、異常パターンを探したい。最適なのはどれですか？
Q5. 効果的なスレットハンティングを始める起点として最も適切なのはどれですか？