Professional Security Operations Engineer

Question 11

あなたの会社では、セキュリティに対してよりプロアクティブなアプローチを採用することになりました。環境内でバイナリハッシュが初めて出現したときにアラートを生成するには、どうすればよいですか？

キュレーションされた検出で、Applied Threat Intelligence - Curated Prioritization ルールセットを有効にする。

Google Security Operations (SecOps) の [アラートと IOC] ページに移動します。ハッシュをターゲットとし、現在の日付を除外する first_seen_time 値を指定するフィルタを作成します。

エンティティグラフ内のハッシュの派生コンテキストと結合する、ファイル関連のイベントを調査するルールを作成します。ハッシュのタイムスタンプを first_seen_time フィールドと比較します。

Google Security Operations (SecOps) の検索で統計情報を使用して、当日のファイル関連イベントを調査するテーブルを作成します。first_seen_time の値が当日より前であることを確認します。

Question 12

あなたの組織は最近、自社環境に対するペネトレーションテストを実施しました。あなたには、成功した攻撃チェーンを特定するタスクが与えられました。必要なログソースは Google Security Operations (SecOps) に取り込まれています。調査の結果、外部ドメインへの異常なアウトバウンドトラフィックを発見し、これがC2（コマンド＆コントロール）インフラストラクチャへの通信であると疑っています。過去14日間で最も発生頻度の低いネットワーク通信を特定するには、どうすればよいでしょうか？

Google SecOps SIEM の UDM 検索を実行し、過去14日間にわたってターゲットドメインのローリングプレバレンスが低い NETWORK_CONNECTION または NETWORK_HTTP イベントを探す。

Google SecOps SIEM の UDM 検索を実行し、過去14日間にわたってプリンシパルドメインのローリングプレバレンスが低い NETWORK_CONNECTION または NETWORK_HTTP イベントを探す。

Google SecOps SOAR の検索を実行し、過去14日間にわたって NETWORK_CONNECTION または NETWORK_HTTP イベントのローリングプレバレンスが低いケースを探す。

Google SecOps SIEM の生ログ検索を実行し、過去14日間のファイアウォールとプロキシのログで、NETWORK_CONNECTION または NETWORK_HTTP を含むローリングプレバレンスが低いドメインを探す。

Question 13

あなたは、キャンペーン固有のインフラストラクチャを展開することで、標的型で斬新な攻撃を行うことで知られる高度な脅威グループのスレットハンティングを行っています。その脅威グループがあなたの組織を攻撃したかどうかを効果的に検出できるように、その脅威グループの行動に基づいた検出ルールを開発したいと考えています。何をすべきですか？

組織で使用されている公開されたテクノロジーや製品を特定し、悪用の兆候を検索するための検出ルールを開発する。

Google Threat Intelligenceで脅威アクターに関連するインテリジェンスレポートを見つけ、過去のキャンペーンでの彼らの行動を特定し、その過去の行動を使用してGoogle Security Operations (SecOps)で検出ルールを設計する。

Google Threat Intelligenceで脅威アクターを検索し、その脅威アクターに関連するIOC（侵害の痕跡）をGoogle Security Operations (SecOps)のリストにエクスポートし、このリストを参照する検出ルールを開発する。

Google Threat Intelligenceで脅威アクターを検索し、その脅威アクターの戦術、技術、手順（TTP）を確認し、そのTTPに基づいてGoogle Security Operations (SecOps)で検出ルールを設計する。

Question 14

あなたは、アプリケーションを実行するために、Google Cloud の Compute Engine インスタンスで Google マネージドイメージを使用しています。アプリケーションのログ出力を Google Security Operations (SecOps) に取り込む必要があります。ログ出力は標準的なもので、Google SecOps には有効なラベルとパーサーがあります。あなたのソリューションは、このデータを Google SecOps に移動するために必要なコストと時間を最小限に抑える必要があります。どうすべきですか？

Compute Engine イメージに組み込まれている Ops Agent を使用して、ログを Cloud Logging に取り込みます。Google Cloud から Google SecOps にログを取り込むために、直接取り込みメカニズムを使用します。

イメージに Bindplane エージェントをデプロイして、ログを収集し Google SecOps に送信します。

ワークロード上でログを読み取り、Google SecOps Ingestion API を使用して Google SecOps にプッシュするスクリプトを作成します。

Compute Engine イメージに組み込まれている Ops Agent を使用して、ログを Cloud Storage バケットに取り込みます。Google SecOps でフィードを作成してログを取り込みます。

Question 15

あなたは、自社のアナリストチームと協力して、メールの受信箱から Google Security Operations (SecOps) SOAR に直接取り込まれるフィッシングアラートの調査を自動化する作業を行っています。現在、アナリストチームは SIEM クエリを使用して関連情報を検索しています。新しいコードを一切書かずに、このクエリ結果を Google SecOps のケースに自動的に含めるソリューションを設計する必要があります。どうすればよいですか？

Google SecOps IDE でカスタムアクションを作成し、プレイブックから API 呼び出しを介して SIEM クエリを実行し、その結果を返すようにする。

SIEM の検出ルールを変更して、クエリ結果を検出の一部として含めるようにする。

Google SecOps SOAR のデフォルトのケースビューにウィジェットを追加し、アナリストチームがそのウィジェットから直接クエリを実行できるようにする。

プレイブックに、SIEM クエリを実行して結果を返すアクションを追加する。