Professional Security Operations Engineer

Question 71

あなたの組織では、ミッションクリティカルな本番環境のCompute Engine VMを毎日監視しています。Google Security Operations (SecOps) でUDM検索を実行したところ、本番環境VMの1つから、見慣れない外部IPアドレスへのアウトバウンドネットワーク接続が過去48時間にわたって複数回発生していることを発見しました。Google SecOpsを使用して、この外部IPアドレスに関するコンテキストを迅速に収集し、その評判を評価する必要があります。どうすべきですか？

Google SecOpsのアセットビューで、当該の本番環境VMの詳細を調べる。

その外部IPアドレスからの将来のトラフィックに対してアラートを出す新しい検出ルールを作成する。

Google SecOpsの[アラートとIOC]ページで、その外部IPアドレスを検索する。

UDM検索を実行して、接続が発生したときに本番環境VMにログインしていた特定のユーザーアカウントを特定する。

Question 72

プロアクティブな脅威ハンティングの演習中に、重要な本番環境プロジェクトに、高度に特権的なIAMロールを持つ外部IDが存在することを発見しました。あなたはこれがより大規模な侵入の一部であると疑っており、このIDがどのくらいの期間アクセス権を持っていたかは不明です。すべてのログは有効化され、組織レベルで一元化されたCloud Loggingバケットにルーティングされており、履歴ログはBigQueryデータセットにエクスポートされています。あなたはこの外部IDによって環境内で何らかのアクションが実行されたかどうかを判断する必要があります。どうすべきですか？

Policy Analyzerを使用して、外部IDがアクセス可能なリソースを特定します。一元化されたCloud LoggingバケットとBigQueryデータセットで、これらのリソースに関連するログを調査します。

BigQueryにエクスポートされたVPCフローログを分析し、送信元IPアドレスを外部IDの潜在的なログインイベントと関連付けます。

外部IDに関連付けられたIAM Recommenderの分析情報とSecurity Command Center（SCC）の検出結果を分析します。

一元化されたCloud LoggingバケットとBigQueryデータセットに対してクエリを実行し、プリンシパルのメールアドレスが外部IDと一致するログをフィルタリングします。

Question 73

あなたは Google Security Operations (SecOps) でプロアクティブな脅威ハンティングを実施しています。短い時間内に、同じ `principal.user.userid` フィールドを持つ複数のログインイベントが、異なる国から発生していることを観測しました。このアカウントが侵害されているかどうかを検証する必要があります。どうすべきですか？

エンティティグラフを使用して、ユーザーのリスクスコアをリンクされたアセットと関連付け、アクティブなアラートを確認する。

ログインイベントとその関連する `principal.location.country` フィールドに対して YARA-L 2.0 検索を実行する。outcome フィールドを使用して、失敗したログインの数を集計する。

ログインイベントの UDM 検索を実行し、結果をユーザーと発生元の国でグループ化する。

複数のエンティティコンテキストを使用して複数のリージョンからログインしているユーザーを検出する YARA-L レトロハントルールを実行する。

Question 74

あなたは、Google Security Operations (SecOps) を利用している組織のセキュリティアナリストです。複数のユーザーアカウントで不審なログイン試行に気づきました。これらの試行が協調攻撃の一環であるかどうかを、できるだけ迅速に判断する必要があります。最初に取るべきアクションは何ですか？

デフォルトのキュレーションされた検出を有効にして、不審なIPアドレスを自動的にブロックします。

UDM検索を使用して、不審なログイン試行に関連する最近のIOC（侵害の痕跡）について履歴ログをクエリします。

無効なログイン試行を繰り返したユーザーアカウントを削除します。

リスク分析ダッシュボードで、影響を受けているユーザー間の相関関係を探します。

Question 75

あなたは、所属する組織のために Google Security Operations (SecOps) でのデータ取り込みの開発と設定を担当しています。組織では、複雑ですが安定しており一般的なログソースをパースするために、事前ビルド済みのパーサーを使用しています。このパーサーは正しく動作しています。しかし、組織は生ログから追加のフィールドをパースし、それらを UDM フィールドにマッピングするように設定を変更することを求めています。あなたはどうすべきですか？

カスタムパーサーを設計・開発する。

事前ビルド済みパーサーに保留中の更新を適用する。

事前ビルド済みパーサーの上にパーサー拡張を実装する。

基盤となるデータ構造を変更するためにミドルウェアを実装する。