Professional Security Operations Engineer

Question 76

あなたの組織では、優先度の高いネットワークインジケーターを検出するために、Google Security Operations (SecOps) のキュレーションされた検出ルールセットを使用しています。オンプレミスのプロキシサーバーから大量の誤検知が発生していることが判明しました。アラートの数を減らすには、どうすればよいですか？

`network.asset.ip` フィールドに対してルール除外を設定する。

`principal.ip` フィールドに対してルール除外を設定する。

`target.domain` フィールドに対してルール除外を設定する。

`target.ip` フィールドに対してルール除外を設定する。

Question 77

あなたの Google Security Operations (SecOps) インスタンスで、最近脅威インテリジェンスフィードに登録された IP アドレスに関連するアラートが大量に発生しています。この IP アドレスは、複数のベンダーによって既知のコマンド＆コントロール (C2) サーバーとして特定されています。この IP アドレスは、マルウェア分析チームが使用するサンドボックスシステムやテスト環境から発信される、繰り返しの DNS クエリで確認されています。実際のプロダクション環境のテレメトリでこの IOC (侵害の痕跡) が再出現した場合の可視性は維持しつつ、アラート疲れを回避したいと考えています。どうすべきでしょうか？

脅威フィードで IOC が期限切れになるまで、不要なアラートを避けるためにルールを一時的に無効にする。

その IP アドレスを Google SecOps の参照リストに追加し、そのリストに対するアラートを抑制するようにルールを設定する。

任意の内部 IP アドレス範囲で IOC の一致が発生した場合に、ルール設定で重大度スコアを下げる。

特定のアセットグループから発信された一致を除外するために、検出ルールに例外を追加する。

Question 78

あなたは、所属する組織に Google Security Operations (SecOps) を導入しています。組織は独自の脅威インテリジェンスフィードを保有しており、Malware Information Sharing Platform (MISP) とのネイティブ統合によって Google SecOps に取り込まれています。現在、エンティティグラフに取り込まれたコマンド＆コントロール (C2) のインジケーターを活用するための検出ルールを作成しています。ドメインの侵害指標 (IOC) でフィルタリングするために、検出ルールに追加すべきコードはどれですか？

$ioc.graph.metadata.entity_type = "DOMAIN_NAME" $ioc.graph.metadata.source_type = "ENTITY_CONTEXT"

$ioc.graph.metadata.entity_type = "DOMAIN_NAME" $ioc.graph.metadata.source_type = "GLOBAL_CONTEXT"

$ioc.graph.metadata.entity_type = "DOMAIN_NAME" $ioc.graph.metadata.source_type = "DERIVED_CONTEXT"

$ioc.graph.metadata.entity_type = "DOMAIN_NAME" $ioc.graph.metadata.source_type = "SOURCE_TYPE_UNSPECIFIED"

Question 79

あなたの会社のアナリストチームは、Google Security Operations (SecOps) プラットフォームと統合された外部システムに必要な変更を加えるためにプレイブックを使用しています。このタスクを毎日決まった時間に1回実行するように自動化する必要があります。ソリューションでは、メンテナンスのオーバーヘッドを最小限に抑えたいと考えています。どうすべきでしょうか？

既存のプレイブックアクションのコードを使用して、IDEでカスタムのGoogle SecOps SOARジョブを作成する。

Google SecOps SOARリクエストと、ユーザーからのリクエストに一致して関連するアクションを持つプレイブックを開始するためのプレイブックトリガーを作成する。

このユースケースのためにCron Scheduled Connectorを作成する。コネクタによって作成されたケースに一致し、関連するアクションを持つプレイブックを実行するプレイブックトリガーを設定する。

VMを使用して、API呼び出し経由でプレイブックを実行するスクリプトをホストする。

Question 80

あなたは組織で Google Security Operations (SecOps) を導入しています。現在の検知ルールはノイズが多すぎることが判明しました。アラートが大量に発生するため、一部の真陽性が見逃される可能性があります。セキュリティ検知における誤検知を減らし、アラート全体の陽性率を向上させるために、追加のコンテキストソースを取り込みたいと考えています。どうすべきですか？

構成管理データベース (CMDB) システムから高価値資産 (HVA) データを取り込み、検知ルールで見つかった資産の機密性に基づいてアラートの優先度を上げます。

脅威インテリジェンスシステムからダークウェブフォーラムのハンドルネームを取り込み、検知ルール内でダークウェブの主体と照合します。

脅威インテリジェンスシステムから侵害の痕跡 (IOC) を取り込み、検知ルールでIPアドレス、ドメイン、ハッシュを検証します。

脅威インテリジェンスシステムから戦術、技術、手順 (TTP) を取り込み、検知ルールでプロセスとツールを検証します。