Professional Security Operations Engineer

Question 131

ハントチームは複合的なリスク要因に基づいてエンティティの優先度を付けたいと考えています。SecOps のどの機能がこれを自動化しますか？

Risk Analytics。行動異常・アラート・Watchlist ブーストにまたがるエンティティレベルのリスクスコアを集約する。

Cloud Monitoring。

BigQuery UDM ストレージ。

Cloud Audit Logs。

Question 132

異常な親子プロセス関係（例: winword.exe が powershell.exe を起動）をハントしたいと考えています。有効なアプローチはどれですか？

principal.process.file.names = winword.exe かつ target.process.file.names = powershell.exe の PROCESS_LAUNCH イベントにマッチする YARA-L ルールを書き、Precise モードで有効化する。

winword.exe を全社でブロックする。

パーサー拡張を書く。

PowerShell を無効化する。

Question 133

YARA-L ルールで必須のセクションはどれですか？

match

outcome

meta、events、condition

options

Question 134

YARA-L ルールにおいて、`match: $user over 1h` の式は何を行いますか？

1 時間のスライディングウィンドウ内でマッチイベントを $user プレースホルダでグループ化する（SQL の GROUP BY with time bucketing に相当）。

ルールを 1 時間ごとに実行することを要求する。

ルール実行を最大 1 時間に制限する。

検知の 1 時間後にアラートを送信する。

Question 135

YARA-L ルールの condition における `#fail > 10` は何をチェックしますか？

$fail イベント変数にマッチしたイベント数が 10 を超えていること。

fail の重大度が 10 以上であること。

ルールが 10 回以上失敗していること。

fail という名前のファイルが 10 バイトより大きいこと。