変更要約: Professional Security Operations Engineer 第5章を新規作成（ドメイン5「インシデント対応」: 証拠収集/フォレンジックイメージ・アーティファクト/アラート観測(SCC・SecOps)/スコープ分析(Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring)/影響サービスの隔離/フォレンジック分析(Hash・IP・URL・バイナリ＝GTI)/根本原因分析(SecOps SIEM)、SOAR プレイブック/自動化する対応ステップ/高価値エンリッチ優先/統合/新プロセス設計/新プレイブック提案/通知/ケース管理ライフサイクル(対応ステージ・エスカレーション・ハンドオフ)）。
5.1インシデントの封じ込めと調査
インシデントのスコープに関する証拠収集（フォレンジックイメージ・アーティファクト）、セキュリティツール（SCC・Google SecOps）でのアラート観測/分析、ツール（Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring）によるスコープ分析、他チームとの連携、影響を受けたサービス/プロセスの隔離、フォレンジック分析（Hash・IP・URL・バイナリ＝GTI）、セキュリティツール（SCC・Google SecOps SIEM）による根本原因分析を理解します。
インシデント対応は「被害を最小化し、原因を突き止める」ことが目的です。封じ込めを最優先し、証拠を保全しながら調査します。
5.1.1封じ込めと証拠収集
インシデントを検知したら、まず被害の拡大を止めます＝影響を受けた サービス/プロセスを隔離（分離・無効化・ネットワーク遮断）して攻撃の拡散を防ぎます。並行して 証拠を収集 します＝メモリ/ディスクの フォレンジックイメージ や アーティファクト（ログ・プロセス・接続）を、改ざんしないよう保全します（後の分析・法的対応のため）。SCC や Google SecOps で アラートを観測・分析し、Logs Explorer/Log Analytics/BigQuery/Cloud Logging/Cloud Monitoring で スコープ（どこまで侵害されたか）を分析します。「拡散を止める＝影響サービスの隔離」「後で分析できるよう保全＝フォレンジックイメージ/アーティファクト」を結びます。
5.1.2フォレンジック分析と根本原因
収集したアーティファクト（Hash・IP・URL・バイナリ）は フォレンジック分析 で評価し、GTI に照合して既知の悪性かどうか・どの攻撃者/キャンペーンに紐づくかを判定します。最終的に 根本原因分析（RCA）を Google SecOps SIEM や SCC で行い、「どの入口から・どう侵入し・何をしたか」を時系列で解明します。他のエンジニアリングチームと 連携 し、検出の改善と長期的な 恒久対策（remediation） につなげます。「アーティファクトの悪性判定＝GTI 照合」「侵入の全体像を解明＝根本原因分析（SecOps SIEM）」を押さえます。