変更要約: Professional Security Operations Engineer 第4章を新規作成（ドメイン4「検出エンジニアリング」: 脅威インテリジェンスと活動の突合/検出ルール(YARA-L)/リファレンスリスト/リスク値/Risk Analytics/キュレーション済み検出ルール/SCC Security Health Analytics・ポスチャ管理/低頻度プロセス・ドメイン・IP/エンティティグラフ/SCC Event Threat Detection カスタム検出、IOC リスクによるアラートスコアリング/最新 IOC のテレメトリ検索/反復アラートの頻度測定による誤検知削減）。
4.2検出への脅威インテリジェンス活用と誤検知の削減
IOC のリスクレベルに基づくアラートのスコアリング、最新の IOC を用いた取り込み済みセキュリティテレメトリ内の検索、反復的なアラートの頻度測定による誤検知の特定と削減を理解します。
検出は「出せばよい」のではありません。脅威情報でアラートに優先順位を付け、誤検知を減らして、本当に重要な脅威に集中します。
4.2.1IOC によるアラートのスコアリング
アラートは IOC のリスクレベル に基づいて スコアリング し、高リスクの IOC（既知の C2 サーバー、悪名高いマルウェアのハッシュ等）に紐づくアラートを優先処理します。最新の脅威情報を活かすため、最新の IOC を 取り込み済みのセキュリティテレメトリ 内で検索し、過去・現在に潜む一致を見つけます。アナリストの時間は有限なので、リスクで並べて「効く順」に対応します。「高リスク IOC に紐づくアラートを優先＝IOC リスクでスコアリング」を結びます。
4.2.2誤検知の特定と削減
ノイズの多い検出はアナリストを疲弊させ、本物の脅威を見逃させます。反復的なアラートの頻度を測定 して恒常的に鳴る 誤検知（false positive） を特定し、ルールの チューニング（条件の絞り込み、既知の正常を除外、リファレンスリストでの許可リスト化、しきい値調整）で削減します。誤検知率を下げることは検出の「精度」を上げることであり、本当に重要なアラートへ集中できるようにします。「鳴りっぱなしのアラートを測って減らす＝誤検知の削減」を押さえます。
「要件 → 手段」が頻出。例：「高リスクの IOC に紐づくアラートを優先処理」＝IOC リスクでアラートをスコアリング、「最新の脅威情報を過去/現在のテレメトリに当てる」＝最新 IOC でのテレメトリ検索、「同じアラートが鳴り続けてアナリストが疲弊」＝反復アラートの頻度測定→ルールのチューニングで誤検知削減。
混同に注意：
①検出を増やすこと自体は目的でない＝誤検知が増えると逆効果（アラート疲労）。
②IOC のリスクは均一でない＝高リスク IOC を優先。
③誤検知の削減は「検出を消す」のではなく条件を絞って精度を上げること。
4.2.3この節のまとめ
- アラートは IOC のリスクレベルでスコアリングし高リスクを優先
- 最新の IOC を取り込み済みテレメトリ内で検索し一致を見つける
- 反復アラートの頻度を測定し、ルールをチューニングして誤検知を削減
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 大量のアラートを、どれから対応すべきか優先順位付けしたい。最も適切な基準はどれですか？
Q2. 新たに判明した最新の IOC を、すでに取り込み済みのセキュリティテレメトリ内で検索したい。目的として正しいのはどれですか？
Q3. 同じ検出ルールが恒常的に大量のアラートを出し、アナリストが疲弊している。最も適切な対処はどれですか？
Q4. 誤検知（false positive）の削減として正しい考え方はどれですか？
Q5. 検出を「とにかく多く出す」ことのリスクとして最も適切なのはどれですか？