変更要約: Professional Security Operations Engineer 第3章を新規作成（ドメイン3「スレットハンティング」: 横断クエリ/ユーザー行動分析/Logs Explorer・Log Analytics・BigQuery・Google SecOps による調査/IOC/インシデント対応連携/仮説立案、GTI の IOC 過去ログ検索/SCC トキシックコンビネーション/エンティティリスクスコア/リトロハント(Google SecOps ルールエンジン・BigQuery・Cloud Logging)/能動的探索）。
3.2脅威インテリジェンスの活用とリトロハント
過去ログ内での IOC 検索、脅威インテリジェンスとリスク評価（GTI・検出ルール・SCC のトキシックコンビネーション）を用いた新しい攻撃パターン/技術のリアルタイム特定、エンティティリスクスコアによる異常行動の分析、新たにエンリッチしたログでの過去イベントのリトロハント（Google SecOps ルールエンジン・BigQuery・Cloud Logging）、脅威インテリジェンスを用いた潜在的脅威の能動的探索を理解します。
脅威インテリジェンスは「未知を既知に」変えます。新しい IOC を使って過去を遡り、リスクの高い組み合わせや異常を浮かび上がらせます。
3.2.1脅威インテリジェンスとリスク評価
最新の脅威情報は GTI から取り込み、IOC（悪性 IP/ドメイン/ハッシュ）を 過去ログ内で検索 して侵害の痕跡を探します。新しい攻撃パターン/技術は、脅威インテリジェンスと リスク評価 をリアルタイムに当てはめて特定します。SCC の トキシックコンビネーション（単体では低リスクでも組み合わさると致命的になる設定/権限の連鎖。例：公開バケット＋過剰権限 SA）を評価し、攻撃経路を先回りで塞ぎます。エンティティリスクスコア で「平常時より急にリスクが上がったユーザー/資産」を見つけて異常行動を分析します。「複数の弱点が連鎖して致命化＝トキシックコンビネーション」「急にリスクが上がった対象＝エンティティリスクスコア」を結びます。
3.2.2リトロハントと能動的探索
新しい検出ロジックや新たにエンリッチしたデータができたら、リトロハント（retrohunt）で 過去のイベントデータ に遡って適用し、見逃していた侵害を発見します（Google SecOps ルールエンジン で過去ログにルールを再適用、BigQuery/Cloud Logging でも遡及検索）。さらに、まだアラートになっていない 潜在的な脅威 を、脅威インテリジェンス（GTI・検出ルール）で 能動的に探索 します。「新ルール/新 IOC を過去に遡って適用＝リトロハント」を押さえます。
「要件 → 手段」が頻出。例：「最新の IOC を過去ログに当てて侵害痕跡を探す」＝IOC の過去ログ検索/リトロハント、「単体では低リスクでも連鎖で致命的な設定」＝SCC トキシックコンビネーション、「平常時より急にリスクが上がった対象」＝エンティティリスクスコア、「新しい検出ルールを過去イベントに再適用」＝Google SecOps ルールエンジンのリトロハント。
混同に注意：
①リトロハント（過去に遡る）とリアルタイム検出（これから）は時間方向が逆＝新 IOC は両方に効かせる。
②トキシックコンビネーション（連鎖リスク）と単体の脆弱性/設定ミスは別＝組み合わせを見る。
③エンティティリスクスコアは「相対的な急上昇」を見る＝絶対値だけで判断しない。
3.2.3この節のまとめ
- GTI の IOC を過去ログ検索、連鎖リスク＝SCC トキシックコンビネーション、急上昇＝エンティティリスクスコア
- 新ルール/新エンリッチを過去イベントへ＝リトロハント（SecOps ルールエンジン/BigQuery/Cloud Logging）
- 脅威インテリジェンスで潜在的脅威を能動的に探索
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 新たに判明した悪性 IP/ドメイン/ハッシュ（IOC）を、過去に取り込んだログに遡って適用し、見逃していた侵害を探したい。これは何ですか？
Q2. 単体では低リスクだが、組み合わさると致命的になる設定/権限の連鎖（例：公開バケット＋過剰権限 SA）を評価したい。SCC の何ですか？
Q3. 平常時と比べて急にリスクが高まったユーザーや資産を見つけて、異常行動を分析したい。最適なのはどれですか？
Q4. 最新の脅威インテリジェンスの IOC を、過去に取り込んだセキュリティテレメトリ内で検索したい。最も適切な手段はどれですか？
Q5. 能動的に潜在脅威を探す活動で、脅威インテリジェンスをどう使うのが適切ですか？