変更要約: Professional Security Operations Engineer 第5章を新規作成（ドメイン5「インシデント対応」: 証拠収集/フォレンジックイメージ・アーティファクト/アラート観測(SCC・SecOps)/スコープ分析(Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring)/影響サービスの隔離/フォレンジック分析(Hash・IP・URL・バイナリ＝GTI)/根本原因分析(SecOps SIEM)、SOAR プレイブック/自動化する対応ステップ/高価値エンリッチ優先/統合/新プロセス設計/新プレイブック提案/通知/ケース管理ライフサイクル(対応ステージ・エスカレーション・ハンドオフ)）。
5.1インシデントの封じ込めと調査
インシデントのスコープに関する証拠収集（フォレンジックイメージ・アーティファクト）、セキュリティツール（SCC・Google SecOps）でのアラート観測/分析、ツール（Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring）によるスコープ分析、他チームとの連携、影響を受けたサービス/プロセスの隔離、フォレンジック分析（Hash・IP・URL・バイナリ＝GTI）、セキュリティツール（SCC・Google SecOps SIEM）による根本原因分析を理解します。
インシデント対応は「被害を最小化し、原因を突き止める」ことが目的です。封じ込めを最優先し、証拠を保全しながら調査します。
5.1.1封じ込めと証拠収集
インシデントを検知したら、まず被害の拡大を止めます＝影響を受けた サービス/プロセスを隔離（分離・無効化・ネットワーク遮断）して攻撃の拡散を防ぎます。並行して 証拠を収集 します＝メモリ/ディスクの フォレンジックイメージ や アーティファクト（ログ・プロセス・接続）を、改ざんしないよう保全します（後の分析・法的対応のため）。SCC や Google SecOps で アラートを観測・分析し、Logs Explorer/Log Analytics/BigQuery/Cloud Logging/Cloud Monitoring で スコープ（どこまで侵害されたか）を分析します。「拡散を止める＝影響サービスの隔離」「後で分析できるよう保全＝フォレンジックイメージ/アーティファクト」を結びます。
5.1.2フォレンジック分析と根本原因
収集したアーティファクト（Hash・IP・URL・バイナリ）は フォレンジック分析 で評価し、GTI に照合して既知の悪性かどうか・どの攻撃者/キャンペーンに紐づくかを判定します。最終的に 根本原因分析（RCA）を Google SecOps SIEM や SCC で行い、「どの入口から・どう侵入し・何をしたか」を時系列で解明します。他のエンジニアリングチームと 連携 し、検出の改善と長期的な 恒久対策（remediation） につなげます。「アーティファクトの悪性判定＝GTI 照合」「侵入の全体像を解明＝根本原因分析（SecOps SIEM）」を押さえます。
「要件 → 手段」が頻出。例：「攻撃の拡散を止める」＝影響サービス/プロセスの隔離、「後の分析/法的対応のため保全」＝フォレンジックイメージ/アーティファクト収集、「Hash/IP/URL が既知の悪性か判定」＝GTI 照合、「どこまで侵害されたか」＝スコープ分析（Logs Explorer/BigQuery 等）、「侵入の全体像を解明」＝根本原因分析（Google SecOps SIEM）。
混同に注意：
①封じ込め（拡散を止める）が最優先で、原因究明はその後でも被害を抑えられる。
②証拠は改ざんせず保全＝隔離/対処の前後で証拠を破壊しない。
③スコープ分析（被害範囲）と根本原因分析（原因）は別の問い＝両方を行う。
5.1.3この節のまとめ
- まず影響サービス/プロセスを隔離して拡散を止め、フォレンジックイメージ/アーティファクトを保全
- スコープ分析＝Logs Explorer/Log Analytics/BigQuery/Cloud Logging/Cloud Monitoring
- アーティファクトは GTI 照合、根本原因分析は Google SecOps SIEM/SCC で時系列に解明
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 進行中のインシデントで、まず取るべき行動として最も適切なのはどれですか？
Q2. 後の詳細分析や法的対応に備え、メモリ/ディスクの状態やアーティファクトを改ざんせず保全したい。これは何ですか？
Q3. 収集した Hash/IP/URL/バイナリが既知の悪性か、どの攻撃者に紐づくかを判定したい。最適なのはどれですか？
Q4. 「どの入口からどう侵入し何をしたか」を時系列で解明したい。最適なのはどれですか？
Q5. 「侵害がどこまで及んだか（スコープ）」を分析するのに適したツールの組み合わせはどれですか？