変更要約: Professional Security Operations Engineer 第4章を新規作成（ドメイン4「検出エンジニアリング」: 脅威インテリジェンスと活動の突合/検出ルール(YARA-L)/リファレンスリスト/リスク値/Risk Analytics/キュレーション済み検出ルール/SCC Security Health Analytics・ポスチャ管理/低頻度プロセス・ドメイン・IP/エンティティグラフ/SCC Event Threat Detection カスタム検出、IOC リスクによるアラートスコアリング/最新 IOC のテレメトリ検索/反復アラートの頻度測定による誤検知削減）。
4.1検出メカニズムの開発と実装
脅威インテリジェンスとユーザー/資産活動の突合、ログ/イベントの分析による異常検知、検出ルールと各種タイムラインでの探索、リスク値を用いた検出ルール（Google SecOps リファレンスリスト）、リスク値の割り当て（Google SecOps Risk Analytics・キュレーション済み検出ルール）、ポスチャ/リスクプロファイル変化の検出（SCC Security Health Analytics・ポスチャ管理）、低頻度のプロセス/ドメイン/IP の特定（YARA-L ルール）、エンティティ/コンテキストデータの活用（SecOps エンティティグラフ）、SCC Event Threat Detection のカスタム検出を理解します。
検出エンジニアリングは、脅威を「自動で見つける仕組み」を作る中核スキルです。ルールを書き、リスクで重み付けし、文脈で精度を上げます。
4.1.1検出ルールとリスク値
Google SecOps では 検出ルール（YARA-L 言語）で、ログ/イベントから不審な振る舞いを検出します。脅威インテリジェンスとユーザー/資産の活動を 突合 し、複数のタイムラインで探索します。既知の悪性値や監視対象は リファレンスリスト（reference list）に持たせ、ルールから参照して リスク値 で重み付けします。すぐ使える検出は キュレーション済み検出ルール（Google が提供）を有効化し、Risk Analytics で検出にリスクスコアを割り当て、リスクプロファイルに合う脅威を優先します。低頻度（新規/レアな）プロセス/ドメイン/IP は脅威情報に載っていなくても異常の兆候なので、YARA-L やダッシュボードで洗い出します。「不審な振る舞いの検出ルール＝YARA-L」「既知値/監視対象の一覧＝リファレンスリスト」「検出にリスクを付与＝Risk Analytics」を結びます。
4.1.2ポスチャ変化とコンテキストの活用
検出は振る舞いだけでなく ポスチャ/リスクプロファイルの変化 も対象にします＝SCC の Security Health Analytics（SHA・設定ミス検出）や ポスチャ管理 で、環境のセキュリティ姿勢が悪化（例：公開設定への変更、過剰権限付与）したら検出します。検出精度を上げるには エンティティ/コンテキストデータ を使います＝Google SecOps の エンティティグラフ でユーザー/資産/関係性を結びつけ、「重要資産に対する低頻度プロセスの実行」のように文脈込みで検出します。クラウド固有の IOC は SCC Event Threat Detection のカスタム検出 で補います。「環境の姿勢悪化を検出＝SHA/ポスチャ管理」「文脈で検出精度を上げる＝エンティティグラフ」を押さえます。