変更要約: Professional Security Operations Engineer 第5章を新規作成（ドメイン5「インシデント対応」: 証拠収集/フォレンジックイメージ・アーティファクト/アラート観測(SCC・SecOps)/スコープ分析(Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoring)/影響サービスの隔離/フォレンジック分析(Hash・IP・URL・バイナリ＝GTI)/根本原因分析(SecOps SIEM)、SOAR プレイブック/自動化する対応ステップ/高価値エンリッチ優先/統合/新プロセス設計/新プレイブック提案/通知/ケース管理ライフサイクル(対応ステージ・エスカレーション・ハンドオフ)）。
5.2対応プレイブックとケース管理
自動化に適した対応ステップの決定、脅威プロファイルに基づく高価値なエンリッチメントの優先、プレイブックで活用する統合の評価、最近のインシデントから特定した新たな攻撃パターンへの新プロセス設計、ギャップに基づく新しいオーケストレーション/自動化プレイブックの提案（Google SecOps SOAR）、アナリスト/ステークホルダーへの通知、ケース管理ライフサイクル（対応ステージへの割り当て・エスカレーションのワークフロー・ハンドオフの有効性評価）を理解します。
繰り返しの対応は自動化し、人は判断に集中します。プレイブックとケース管理で、対応を速く・一貫させ・抜け漏れなく回します。
5.2.1SOAR プレイブックと自動化
対応の自動化は Google SecOps SOAR の プレイブック で行います。まず 自動化に適した対応ステップ（IOC のエンリッチ、関連ログ収集、隔離、チケット作成、通知など定型で安全に自動化できるもの）を見極めます。脅威プロファイルに基づき 高価値なエンリッチメント を優先し（重要資産/高リスク IOC を厚く）、外部ツールとの 統合（EDR・チケット・通知・脅威インテリジェンス）を評価してプレイブックに組み込みます。最近のインシデントで見つかった 新しい攻撃パターン には 新プロセスを設計 し、現状のギャップから 新しいオーケストレーション/自動化プレイブックを提案します。アナリスト/ステークホルダーへの通知 も自動化に含めます。「定型の対応を自動化＝SOAR プレイブック」「対応の抜け漏れをギャップから補う＝新プレイブックの提案」を結びます。
5.2.2ケース管理ライフサイクル
インシデントは ケース として管理します＝検知から終結まで、ケースを適切な 対応ステージ（トリアージ/調査/封じ込め/復旧/終結）に割り当て、進捗を追跡します。深刻度や専門性に応じて エスカレーションのワークフロー を整備し（Tier1→Tier2、専門チームへの引き継ぎ）、ハンドオフ（担当交代/シフト交代/チーム間引き継ぎ）の 有効性 を評価して情報の欠落を防ぎます。これにより SOC は一貫した品質で、抜け漏れなくインシデントを処理できます。「対応の段階管理と引き継ぎ＝ケース管理ライフサイクル」を押さえます。
「要件 → 手段」が頻出。例：「定型の対応（エンリッチ/隔離/チケット/通知）を自動化」＝Google SecOps SOAR のプレイブック、「重要資産/高リスクのエンリッチを厚く」＝脅威プロファイルに基づく優先、「対応の抜け漏れを補う新しい自動化」＝ギャップに基づく新プレイブックの提案、「インシデントを段階管理し引き継ぐ」＝ケース管理ライフサイクル（対応ステージ/エスカレーション/ハンドオフ）。
混同に注意：
①SOAR（対応の自動化/オーケストレーション）と SIEM（検出/調査）は別機能＝両輪で使う。
②何でも自動化すればよいわけではない＝安全で定型的なステップを選ぶ（誤対応の自動化は危険）。
③ハンドオフでの情報欠落は対応失敗の原因＝ケース管理で引き継ぎの有効性を評価。
5.2.3この節のまとめ
- 定型の対応を自動化＝Google SecOps SOAR のプレイブック、安全に自動化できるステップを選ぶ
- 脅威プロファイルで高価値なエンリッチを優先、外部統合をプレイブックに組み込む
- ケース管理ライフサイクル＝対応ステージ割り当て/エスカレーション/ハンドオフの有効性評価
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. IOC のエンリッチ・関連ログ収集・隔離・通知などの定型的な対応を自動化したい。最適なのはどれですか？
Q2. 対応ステップを自動化する際、どれを自動化対象に選ぶのが最も適切ですか？
Q3. 深刻度や専門性に応じて、Tier1 から Tier2 や専門チームへ案件を引き継ぐ流れを整備したい。何の一部ですか？
Q4. 担当交代やチーム間の引き継ぎ（ハンドオフ）で情報が欠落しないようにしたい。最も適切な取り組みはどれですか？
Q5. 最近のインシデントで新しい攻撃パターンが判明し、現状の自動化では対応に抜けがある。最も適切な対処はどれですか？