Professional Security Operations Engineer

Question 81

あなたは Google Security Operations (SecOps) のアラートを調査しています。あるエンティティについて、過去のエンリッチメント属性と関連する履歴ケースを、最小限のステップで表示するにはどうすればよいですか？

SIEM 検索を開始してエンティティをクエリする。

SOAR 検索を開始してエンティティをクエリする。

Entity Highlights ウィジェットでエンティティの [詳細を表示] を選択する。

Entity Highlights ウィジェットでエンティティ識別子を選択して Entity Explorer を開く。

Question 82

あなたは、本番環境で複数の Compute Engine インスタンスを実行している大規模な国際企業に勤務しています。`compliance=pci` タグが付与され、かつ外部 IP アドレスが割り当てられている Compute Engine インスタンスに対して、モニタリングとアラートを設定する必要があります。どうすればよいですか？

`compliance=pci` タグを持つ Compute Engine インスタンスに外部 IP アドレスが割り当てられたときにアラートを出す、カスタムの Event Threat Detection モジュールを作成する。

`compute.vmExternalIpAccess` 組織ポリシー制約をデプロイして、`compliance=pci` タグを持つ特定のプロジェクトやフォルダが、外部 IP アドレスを持つ Compute Engine インスタンスを作成できないようにする。

カスタムの Security Health Analytics (SHA) モジュールを作成する。検出ロジックを構成して、Cloud Asset Inventory データをスキャンして `compute.googleapis.com/Instance` アセットを探し、`compliance=pci` タグを検索する。

`PUBLIC_IP_ADDRESS` Security Health Analytics (SHA) 検出器を使用して、外部 IP アドレスを持つ Compute Engine インスタンスを特定する。それらのインスタンスに `compliance=pci` タグが存在するかどうかを確認する。

Question 83

あなたの組織では Google Security Operations (SecOps) を使用しています。共有ワークスペースから短時間のうちにファイルが頻繁にダウンロードされていることを発見しました。これらの不審なイベントを特定し、繰り返される異常に対してより高いリスクスコアを割り当てるルールを Google SecOps で設定する必要があります。どうすればよいですか？

時間枠に関係なく、ファイルダウンロードイベントに最高のリスクスコアを付けてフラグを立てるルールを設定する。

リスク結果スコアを割り当て、定義された時間枠内で複数の不審なダウンロードが発生した場合にトリガーされる、頻度ベースの YARA-L 検出ルールを作成する。

リスク結果スコアを割り当て、ユーザーが 24 時間以内に多数のファイルをダウンロードした場合にトリガーされる、単一イベントの YARA-L 検出ルールを設定する。

デフォルトのキュレートされた検出を有効にし、単一のファイルダウンロードイベントに対して自動アラートを使用する。

Question 84

あなたは、Google Security Operations (SecOps) Enterprise、Security Command Center Enterprise (SCCE)、Google Threat Intelligence (GTI) を利用している企業のセキュリティアナリストです。脅威インテリジェンスを活用して脅威ハンティング能力を向上させ、自社のGoogle Cloud環境を標的とする、新規かつ発生しつつある攻撃パターンを、ほぼリアルタイムでプロアクティブに特定する必要があります。何をすべきでしょうか？

SCCE の Event Threat Detection に組み込まれている脅威インテリジェンスを使用して、関連する脅威を検出する。

Google SecOps で Applied Threat Intelligence Fusion Feed を構成し、取り込まれた Google Cloud テレメトリからこのインテリジェンスに一致するパターンを検索するための YARA-L 検出ルールを開発する。

すべての Google Cloud ログを専用の BigQuery データセットにルーティングし、キュレーションされたオープンソースの脅威インテリジェンスフィードを使用してスケジュールされたクエリを実行する。

事前構成された Web アプリケーションファイアウォール (WAF) ルールセットを使用して Google Cloud Armor セキュリティポリシーを構成し、Adaptive Protection を有効にして GTI を使用する。

Question 85

あなたは、組織のインシデント対応担当者として、監視と調査に Google Security Operations (SecOps) を使用しています。金融取引を処理する重要な本番サーバーで、不正なファイル変更と不審なIPアドレスからのネットワークスキャンが検知されました。永続化メカニズムがインストールされている疑いがあります。フォレンジックデータを調査のために利用可能な状態に保ちつつ、脅威を直ちに封じ込める必要があります。最初に行うべきことは何ですか？

ファイアウォール連携を使用して、そのマシンからのインターネットアクセスを禁止するために、IPアドレスをネットワークブロックリストに登録する。

緊急パッチを適用し、サーバーを再起動して悪意のある永続化を削除する。

EDR連携を使用して、侵害されたアセットを隔離する。

VirusTotal を使用して IP アドレスをエンリッチし、ドメインを取得する。そのドメインをプロキシのブロックリストに追加する。