Professional Security Operations Engineer

Question 41

あなたの組織は最近、独自のSOCとセキュリティツールを持つA社を買収しました。あなたはすでにA社のセキュリティテレメトリーの取り込みを設定し、検出ルールをGoogle Security Operations (SecOps) に移行済みです。次に、A社のアナリストがGoogle SecOpsでケースを処理できるようにする必要があります。A社のアナリストが以下の条件を満たすようにしなければなりません。 - A社以外から発生したケースデータにはアクセスできないこと。 - あなたの組織の従業員が以前に開発したプレイブックを再利用できること。ソリューションを実装するための労力を最小限に抑える必要があります。最初に行うべきステップは何ですか？

A社用に2つ目のGoogle SecOps SOARテナントを取得する。

A社用に新しいサービスアカウントをプロビジョニングする。

A社用に新しいSOCロールを定義する。

A社用にGoogle SecOps SOAR環境を作成する。

Question 42

あなたの組織は最近、Security Command Center Enterprise (SCCE) を導入してGoogle Cloudの利用を開始し、現在、組織のSOCとの統合を進めています。あなたはレスポンスプロセスを自動化し、既存のSOCチケットシステムと統合したいと考えています。この機能はどのように実装すべきですか？

SCCコンソール内で各イベントを評価します。検出結果ごとにチケットシステムでチケットを作成し、修復手順を含めます。

SCC通知フィードを使用してアラートをPub/Subに送信します。関連するSIEMコネクタを使用してこれらのフィードを取り込みます。

SCC通知フィードを構成して、アラートにPub/Subを使用するようにします。トピックにイベントが到着したときにトリガーされるCloud Run関数を作成し、SOCチケットシステムのAPIエンドポイントを呼び出してチケットを生成します。

Google Security Operations (SecOps) SOARの一般的なポスチャー検出プレイブックを無効にし、チケットシステム用のプレイブックを有効にします。イベントタイプに基づいてチケットを生成するステップをGoogle SecOps SOARプレイブックに追加します。

Question 43

あなたの会社では、従業員のID管理にCloud Identityを使用しており、Google Security Operations (SecOps) がGoogle Cloudプロジェクトにリンクされています。あなたは、外部のGoogleアカウントを持つユーザーを含む特定のGoogleグループに対して、プロジェクトレベルで `roles/chronicle.viewer` IAMロールを割り当てました。この外部グループのユーザーはGoogle Cloudへの認証には成功しますが、Google SecOpsにアクセスできません。同じロールを付与された内部ユーザーはGoogle SecOpsにアクセスできます。外部ユーザーがGoogle SecOpsにアクセスできない原因として最も可能性が高いGoogle Cloudの設定はどれですか？

IAMロールを有効にするには、外部ユーザーをGoogle Cloud Directory Sync (GCDS) を使用してCloud Identityに同期する必要があります。

Google SecOpsは、組織のプライマリドメイン外のIDからのサインインを本質的にブロックします。

組織のポリシー `constraints/iam.allowedPolicyMemberDomains` が、IAMロールの割り当てを自社のドメイン内のIDのみに制限しています。

`roles/chronicle.viewer` IAMロールは、外部IDを含むGoogleグループに付与された場合、正しく適用されません。

Question 44

あなたの組織では、ID プロバイダ (IdP) として Cloud Identity を使用しており、Google Security Operations (SecOps) を利用しています。あるユーザーグループに対し、検出エンジンルールを含むすべてのリソースへの読み取り専用アクセス権を Google SecOps インスタンスに付与する必要があります。どのように構成すべきですか？

Google グループを作成し、必要なユーザーを追加します。Google SecOps インスタンスに関連付けられたプロジェクトで、そのグループに `roles/chronicle.Viewer` IAM ロールを付与します。

Google グループを作成し、必要なユーザーを追加します。Google SecOps インスタンスに関連付けられたプロジェクトで、そのグループに `roles/chronicle.limitedViewer` IAM ロールを付与します。

組織レベルで Workforce Identity プールを作成します。Google SecOps インスタンスに関連付けられたプロジェクトで、`principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID` プリンシパルセットに `roles/chronicle.editor` IAM ロールを付与します。

Question 45

あなたの会社では最近 Security Command Center (SCC) を導入しましたが、Google Security Operations (SecOps) は使用していません。組織には数千のアクティブなプロジェクトが存在します。特定のログイベントや高度な計算に基づき、一定期間のデータをウィンドウ処理および集計することで、Google Cloud 環境における異常な振る舞いを検出する必要があります。また、アナリストがアラートをトリアージするためのインターフェースを提供する必要もあります。この機能はどのように構築すべきでしょうか？

ログを Cloud SQL に送信し、Cloud Run のスケジュールされたジョブを使用してこれらのイベントに対してスケジュールされたクエリを実行します。集約ログフィルタを設定して、イベント駆動のログを Pub/Sub トピックにストリーミングします。新しいイベントがこのフィードに送信されたときにメールアラートを送信するトリガーを設定します。

ログを BigQuery にシンクし、Cloud Run 関数を設定して定期的なジョブを実行し、検出結果として正規化されたアラートを Pub/Sub トピックに生成します。ログベースのメトリクスを使用してイベント駆動のアラートを生成し、これらのアラートを Pub/Sub トピックに送信します。SCC API を使用して、アラートを検出結果として書き込みます。

ログベースのメトリクスを使用して、検出シナリオに対するイベント駆動のアラートを生成します。Cloud Monitoring のアラートポリシーを設定して、セキュリティオペレーションチームにメールアラートを送信します。

必要な検出結果ごとに一連の集約ログシンクを作成し、正規化された検出結果を JSON ファイルとして Cloud Storage に送信します。書き込みイベントを使用してアラートを生成します。