【GCP資格】Professional Security Operations Engineerの用語整理

はじめに

Professional Security Operations Engineerの学習用に、Google SecOpsやSecurity Command Centerまわりの用語をまとめました。

名前だけでは、製品なのか、機能なのか、データの形式なのか分かりにくいものもあります。意味だけでなく、ほかの用語との関係も確認できるように整理しています。

模擬問題を解いた後や、公式ドキュメントを読み直すときの用語集として使ってもらえればと思います。

対象範囲

公式の資格ページでは、次の6分野が挙げられています。右側は、この記事で扱う用語との対応です。

試験の分野	この記事で扱う内容
Platform operations	製品の役割、認証、アクセス制御
Data management	データの取り込み、Parser、UDM
Threat hunting	検索、エンティティの情報、脅威情報
Detection engineering	YARA-L、検知ルール、過去データへの検知
Incident response	Alert、Case、Playbook
Observability	取り込みの監視、ログの途絶、監査ログ

出典：Professional Security Operations Engineer

全体像

まず、次の3つは種類が違います。

用語	種類	ほかの用語との関係
Google SecOps	製品・サービス	データの収集、検索、検知、調査、対応を行う基盤
UDM	データモデル	Google SecOpsでデータを共通の構造にそろえるための形式
YARA-L	言語	Google SecOpsで検索や検知の条件を書くための言語

Google SecOpsがUDM形式のデータを扱い、そのデータに対する条件をYARA-Lで書く、という関係です。Raw logからUDMへの変換はParserが担当します。

出典：Google SecOps architecture and data flows、Get Started: YARA-L 2.0 in SecOps

用語整理

製品・サービス

用語	役割
Google Security Operations（Google SecOps）	セキュリティデータの収集、検索、検知、調査、対応を扱う運用基盤。SIEMとSOARの機能を持つ
Security Command Center（SCC）	クラウド環境の設定不備、脆弱性、脅威を検出し、リスクを管理するサービス
Google Threat Intelligence（GTI）	Google、Mandiant、VirusTotalの知見を使った脅威情報サービス。IP、ドメイン、ファイルなどの評価や攻撃者の調査に使う
Cloud IDS	ミラーリングされたネットワークトラフィックから不審な通信を検知するサービス。Cloud IDS自体が通信を遮断するわけではない

出典：Google SecOps architecture and data flows、Security Command Center overview、Google Threat Intelligence、Cloud IDS overview

SIEM・SOAR

用語	正式名称	分類	主な役割
SIEM	Security Information and Event Management	機能分野（製品名ではない）	ログなどのデータを集約・分析し、脅威を検知・調査する
SOAR	Security Orchestration, Automation and Response	機能分野（製品名ではない）	外部製品との連携や対応手順の自動化、調査・対応の管理を行う

出典：Google SecOps architecture and data flows

データの取り込み・正規化

取り込むための仕組み

用語	分類	内容
Bindplane	収集・転送	サーバーやオンプレミス環境などからデータを収集し、Google SecOpsへ転送するために利用する
Feed	取り込み設定	Cloud Storageなどのストレージ、外部サービスのAPI、Webhookなどからデータを取り込むための設定
Chronicle API	API	Google SecOpsを操作するAPI（ドキュメントやメソッド名にはChronicleという名称が使われる）。取り込み用のメソッドでは、Raw log、UDMイベント、エンティティ情報などを送信できる
Google SecOps Forwarder	従来の転送コンポーネント	顧客環境からログなどを転送するもの。廃止予定が案内されており、移行先としてBindplaneが推奨されている

出典：Data ingestion overview、Chronicle API ingestion methods、Product deprecations

取り込んだデータを変換する仕組み

用語	分類	内容
Log type	ログの種別	ログを出力した製品・形式を識別する情報。利用するParserとの対応がある
Parser	変換処理	元のログを解析し、UDMのフィールドに値を対応づける（対応づけられていない値はUDM Searchでは検索できない）
Prebuilt parser	Parserの種類	Googleが用意するParser
Custom parser	Parserの種類	独自の形式や要件に合わせて作成するParser
Parser extension	Parserの拡張	既存のParserにフィールドの抽出・変換の定義を追加するもの。Parser全体を置き換えるものではない
Normalization（正規化）	処理	製品ごとに異なるログを、UDMの共通構造へそろえること

出典：Parsers overview

データモデル・フィールド

データの形式と、記録する対象

用語	分類	内容
Raw log	元のデータ	発生元の製品が出力した、元の形式のログ
UDM（Unified Data Model）	データモデル・スキーマ	異なる製品のデータを、共通のフィールドと意味で表現するための構造
Event	出来事の記録	ログイン、通信、ファイル操作など、起きた活動を表す
Entity	対象となる実体	ユーザー、端末、IPアドレス、ドメインなど、活動に関係する対象

出典：UDM overview、Entity Context Graph overview、Chronicle API ingestion methods

UDMの主なフィールド

principalやtargetは、イベントの中でその対象がどの役割なのかを表します（例：ファイルAをファイルBへコピーする操作では、操作者がprincipal、コピー元がsrc、コピー先がtarget）。

フィールド	表すもの
principal	活動の主体。操作を行ったユーザー、端末、プロセスなど
src	操作される元の対象。コピー元のファイルと、それが置かれた端末など（通信の送信元とは限らない）
target	活動の対象。接続先、コピー先、操作を受けるプロセスなど
intermediary	活動の途中に介在するもの。プロキシや中継サーバーなど
observer	活動に直接介在せず、観測・報告するシステム
about	上記の役割には当てはまらない、イベント内のその他の参照対象
metadata	イベント種別、時刻、発生元製品などの基本情報
security_result	検知内容や、許可・拒否などのセキュリティ上の判定結果

出典：UDM field dictionary reference

背景情報の付与・関連づけ

用語	分類	内容
Entity context	背景情報	ユーザーや端末についての属性など、個々のイベントを補う情報
Aliasing	識別子の関連づけ	ホスト名とIPアドレスなどを関連づけ、イベント内の対象を把握しやすくする（例：IPからホスト名を補う）
Enrichment	情報の付与	エンティティ情報や脅威情報などを使って、イベントに調査・検知のための情報を補う
Entity Context Graph（ECG）	エンティティのデータモデル	複数の情報源（IdP、資産管理など）から属性や関係を集め、エンティティの情報をまとめて扱う仕組み

出典：Configure aliasing、Configure enrichment、Entity Context Graph overview

検索・検知

検索機能と検知ルール

用語	分類	内容
UDM Search	検索機能	UDMのフィールドを使って、正規化されたデータを検索する
Raw Log Scan	検索機能	元の形式のログを検索する。UDMに抽出されていない内容の確認にも使う
YARA-L 2.0	言語	Google SecOpsで検索・検知の条件やイベント間の相関を記述する言語
Rule	検知ロジック	YARA-Lで定義した検知条件の単位
Curated detections	提供済みの検知ルール群	Googleが提供する検知コンテンツ。ルールごとに必要なデータや前提がある
Retrohunt	過去データへの検知実行	保存済みの過去データにルールを実行し、条件に合う活動がなかったか調べる（ログの再取り込みではない）

出典：Google SecOps overview、Get Started: YARA-L 2.0 in SecOps、Apply curated detections、Run a rule against historical data

ルールから参照するデータ

用語	データの形	用途
Reference list	値のリスト	IPアドレスやドメインなどをまとめ、検索・検知の条件で参照する（登録のみで通信の遮断は行わない。Data tableへ移行・廃止予定）
Data table	複数の列を持つ表	IPアドレスと属性などを同じ行で管理し、検索・検知時に照合する（登録のみで通信の遮断は行わない）

出典：Reference lists、Search data tables、Product deprecations

YARA-Lのルール内のセクション

ここからは製品や機能の名前ではなく、ルールの中に書く項目です。すべてのルールに全セクションが必要なわけではありません。

セクション	役割
meta	説明、作成者など、ルールについての情報
events	対象とするイベントの条件や、フィールドと変数の対応
match	グルーピングするキーと時間窓
outcome	検知結果に持たせる値。集計値やリスクスコアなど（端末隔離などの対応操作は含まない）
condition	検知を成立させる最終的な条件
options	ルールの動作を調整するオプション

出典：Get Started: YARA-L 2.0 in SecOps、Detection rules overview

調査・対応

検知結果と調査の単位

用語	分類	内容
Detection	検知結果	ルールに一致して見つかった結果。アラート化されていないものもある（ルールの有効化設定とアラート生成設定は別）
Alert	調査・対応の対象	検知から生成されるアラートや、外部のセキュリティ製品から取り込まれるアラート
Case	調査・対応の管理単位	関連するアラートや調査情報をまとめ、担当者、進捗、対応履歴などを管理するもの（Alertの別名ではない）

出典：Apply curated detections、Investigation and case management overview

SOARの外部連携

Integrationが連携機能のまとまりで、その中にConnector、Action、Jobなどの部品があります。

用語	分類	内容
Integration	連携パッケージ	外部製品と連携するための機能をまとめたもの
Connector	取り込み部品	外部製品のアラートやイベントをSOARへ取り込む
Action	操作の部品	IPの情報照会、端末の隔離、メール送信などを実行する
Job	定期処理の部品	外部製品との同期など、定期的な処理を実行する

出典：Configure response integrations、Playbook and automation overview

対応手順の自動化

用語	分類	内容
Playbook	ワークフロー	Actionなどを組み合わせた調査・対応の一連の手順を定義したもの（人の確認を挟む構成もあり、常に無人実行とは限らない）
Trigger	開始条件	Playbookを実行するきっかけや条件
Flow	流れの制御	条件分岐など、処理の進め方を制御するもの
Playbook block	再利用する処理群	複数のPlaybookから使えるようにまとめた処理

出典：Playbook and automation overview、Work with playbook blocks、Assign actions and playbook blocks

脅威情報・リスク分析

脅威情報を使うもの

用語	分類	内容
IOC（Indicator of Compromise）	脅威の手がかり	不審な活動との関連を調べるためのIP、ドメイン、ファイルハッシュなど
Applied Threat Intelligence（ATI）	脅威情報を適用する機能	Mandiantなどの脅威情報に含まれるIOCと自組織のデータを照合し、検知・調査に利用するGoogle SecOpsの機能

出典：Applied Threat Intelligence overview

振る舞いやリスクを見るもの

用語	分類	内容
UEBA（User and Entity Behavior Analytics）	分析の考え方	ユーザーや端末などの振る舞いを分析し、異常な活動を見つける
Risk Analytics	分析機能	エンティティの振る舞いや関連する検知をまとめ、リスクを確認する
Entity risk score	評価値	ユーザーや端末に関係する検知などをもとに算出するリスク（単一アラートの重大度とは別軸の指標）
Watchlist	対象の一覧	Risk Analyticsで、組織内のリスク評価などに基づくエンティティを確認する一覧
Prevalence	観測状況の指標	エンティティが環境内のデータでどの程度観測されているかを表す情報（低いことだけで悪性と判断する材料にはならない）

出典：Identify unusual behavior and entity risk、Risk Analytics overview、Entity Context Graph overview

クラウド環境のリスク管理

ここは主にSecurity Command Centerの用語です。

検出するサービス

用語	主に見るもの	内容
Security Health Analytics（SHA）	クラウドリソースの設定	攻撃につながる可能性がある設定不備などを検出する（検出範囲はSCCのサービスティア・有効化レベルによって異なる）
Event Threat Detection（ETD）	ログ	ログを分析し、不審な活動や脅威を検出する
Container Threat Detection（CTD）	コンテナの実行時の挙動	コンテナで発生する不審な動作を検出する
Virtual Machine Threat Detection（VM Threat Detection／VMTD）	VM	マイニングやルートキットなど、VM上の脅威を検出する
Compliance Manager	規制・標準への適合状況	セキュリティ・規制上の要件に沿った構成の定義・展開、適合状況の確認を行う機能

出典：Overview of Security Health Analytics、Threat detection in Security Command Center、Compliance Manager overview

検出設定と検出結果

用語	分類	内容
Custom module（ETD）	検知設定の拡張	独自のIPアドレスやドメインなどを使って、ETDの検知を拡張するもの（Google SecOpsのYARA-Lルールとは別の仕組み）
Source	検出元	Findingを生成するサービス・情報源
Finding	検出結果	設定不備、脆弱性、脅威などを表す記録

出典：Overview of custom modules for Event Threat Detection、Security Command Center overview

セキュリティ要件の定義

次の3つは、Security postureサービス内の親子関係です。Postureの中にPolicy set、その中にPolicyがあります。

用語	内容
Posture	組織に必要な予防・検出の制御を、1つ以上のPolicy setとしてまとめたもの
Policy set	特定のセキュリティ要件などを満たすためのPolicyのまとまり
Policy	個別の制約や検出の定義。組織ポリシーの制約やSHAの検出設定など

出典：Security posture overview

攻撃経路とリスク評価

用語	分類	内容
Attack path	経路の分析結果	攻撃者が重要なリソースへ到達し得る経路。シミュレーションに基づく（実際の侵入記録ではない）
Toxic combination	リスクの組み合わせ	複数の問題が組み合わさり、重要なリソースへの攻撃経路などを生む状態
Attack exposure score	評価値	攻撃経路の分析をもとに、重要なリソースへの影響や対応の優先順位を判断するための値

出典：Overview of attack exposure scores and attack paths、Toxic combinations and chokepoints overview

認証・アクセス制御

外部のIDとの連携

用語	略称	主な対象	内容
Workforce Identity Federation	WIF	人	社員や協力会社の担当者などが、外部IdPのIDでGoogle Cloudへアクセスするための連携
Workload Identity Federation	WIF	アプリケーションなどのワークロード	外部環境のワークロードなどが、サービスアカウントキーに依存せずGoogle Cloudへアクセスするための連携

出典：Workforce Identity Federation、Workload Identity Federation

Google SecOps内のアクセス制御

用語	制御するもの
Feature RBAC	検索、ルールの作成・変更など、利用できる機能や操作（Google SecOpsではIAMを使って設定する）
Data RBAC	閲覧・利用できるデータ
Data scope	データラベルなどを使って定義する、アクセス可能なデータの範囲（例：検索機能は使えるが、担当部門以外のログは見られない、という制御に使う）

出典：Data RBAC overview

運用監視

用語	分類	確認するもの
Health Hub	監視画面	データソースやParserの状態、取り込みの失敗・遅延など
Silent-host monitoring（SHM）	監視の仕組み	ログが届かなくなったホストや収集元を、取り込み量などを使って確認する（脅威検知とは別軸の監視で、アラート無し＝正常とは判断できない）
Cloud Audit Logs	監査ログ	Google Cloud上で誰がどのリソースにどの操作を行ったか

出典：Monitor health of data sources、Configure silent-host monitoring、Cloud Audit Logs overview

混同しやすい用語

復習するときは、次の違いを確認すると整理しやすいです。詳しい定義と出典は、上の各表に載せています。

組み合わせ	違い
Google SecOps / SIEM / SOAR	Google SecOpsは製品。SIEMとSOARは、その製品が備える機能分野
Feed / Connector	Feedは主にSIEM側のデータ取り込み設定。ここでのConnectorはSOAR側でアラート・イベントを取り込む部品
Parser / UDM / YARA-L	Parserは変換処理、UDMはデータモデル、YARA-Lは検索・検知の条件を書く言語
principal / src / target	活動の主体、操作する元の対象、活動の対象。すべてが通信の送信元・宛先を表すわけではない
Rule / Detection / Alert / Case	検知条件、検知結果、調査・対応の対象、調査情報をまとめる管理単位
Integration / Action / Playbook	連携機能のパッケージ、個別の操作、その操作などを組み合わせた手順
GTI / ATI	GTIは脅威情報サービス。ATIは脅威情報を自組織のデータに適用するSecOpsの機能
Source / Finding	問題を検出する情報源と、検出された問題の記録
Entity risk score / Attack exposure score	前者は主にSecOpsでのユーザー・端末のリスク。後者はSCCでの攻撃経路に基づくリスク
Workforce / Workload Identity Federation	前者は人、後者はアプリケーションなどのワークロードの認証連携
Feature RBAC / Data RBAC	利用できる機能・操作と、アクセスできるデータの範囲

参考資料

各表の下に、定義の確認に使った公式ページを載せています。試験範囲や製品ドキュメント全体を確認する場合は、以下から参照できます。

• Professional Security Operations Engineer
• Google Security Operations documentation
• Security Command Center documentation
• Google SecOpsの廃止予定・移行情報