Professional Security Operations Engineer

Question 96

あるユーザーが Google SecOps でアラートは見えるが関連する生ログを閲覧できないと訴えています。スコープは log_type=AUDIT のみを許可しています。アラートには log_type=EDR のイベントが含まれています。原因は何ですか？

アラートのメタデータは global に可視化されるが、生の EDR イベントはユーザーのスコープで除外される（EDR は allow に含まれないため）。

ユーザーに chronicle.alerts.view 権限がない。

EDR ログには別のフィード構成が必要。

Risk Analytics が無効化されている。

Question 97

Google SecOps で新しい YARA-L 検知ルールをデプロイしようとしていますが、実際のアラートを発生させずに挙動を検証したいと考えています。最適なアプローチは何ですか？

ルールを本番に直接デプロイし、誤検知を監視する。

ルールをアラート発生なしモードで有効化し、過去データに対して retrohunt を実行してマッチイベントを確認する（ライブアラートは発生しない）。

ルールを Playbook にコピーしてそちらでテストする。

Raw Log Search で手動でログがマッチするか確認する。

Question 98

あなたの SOC マネージャは Google SecOps のパースエラー件数を日次で把握し、データ品質を評価したいと考えています。どうすればこの情報を取得できますか？

取り込みヘルス用の Curated Dashboard を利用し、パースエラーと取り込み指標を表示する。

パースエラーを検出する YARA-L ルールを書く。

Mandiant がパースエラーレポートをオンデマンド提供する。

SecOps ではパースエラーを監視できない。

Question 99

Google SecOps で 3 ヶ月間作業するサードパーティ SOC アナリストをオンボーディングしています。セキュリティと運用の簡素さのバランスが取れたアプローチはどれですか？

Google Workspace/Cloud Identity ドメインに有効期限付きユーザーを作成し、専用 Google グループに所属させて、Chronicle ロールとデータアクセススコープをグループに付与する。

既存アナリストの認証情報を期間中共有する。

サービスアカウントを作成してアナリストに渡す。

roles/owner を一時的に付与する。

Question 100

500 台のオンプレミス Windows サーバーから Google SecOps に Windows イベントログを取り込む必要があります。セキュリティチームはコレクタの集中管理を望んでいます。2026 年における推奨ソリューションは何ですか？

各サーバーに Forwarders をインストールし、config ファイルで管理する。

各 Windows サーバーに Bindplane Collector をデプロイし、Bindplane Server から集中管理する。

各サーバーから直接 Cloud Pub/Sub に書き込む。

Windows 上で Cloud Logging エージェントを利用する。