問題のあるVMインスタンスを削除すると、関連するSHA検出結果がSecurity Command Center（SCC）で自動的に非アクティブとしてマークされます。これは、手動で検出項目をミュートまたは無効化することなく、検出結果を修正するための適切かつ効率的な方法であり、問​​題が適切に解決され、追跡されることを保証します。

包括的かつ詳細な説明
正しい解決策はオプション D です。問題は、既知の信頼できるプリンシパル (バックアップ ツールのサービス アカウント) が、ルールがキャッチするように設計されている疑わしい動作に似ている正当なアクション (storage.objects.list) を実行していることです。
悪意のある行為者を捕捉するルールの能力を弱めることなく、これらの誤検知を減らす最も正確で効果的な方法は、信頼できるプリンシパルに対して例外を作成することです。
YARA-L ルールのイベントまたは条件セクションに principal.user.email != "[email protected]" (または同等の principal.user.userid) を追加すると、ルールは、アクターが既知の正常なバックアップ ボットではないイベントのみを評価するようになります。
* オプション A は誤検知の優先度を下げるだけで、誤検知の生成を止めるわけではないため、正しくありません。
* オプション B は不正解です。正規のツールでも繰り返し呼び出しが実行され、同じ誤検知が発生する可能性があるためです。
* オプション C は、api.service_name = "storage.googleapis.com" が api よりも具体的ではないため、正しくありません。
operation = "storage.objects.list" であり、ストレージ API 呼び出しをトリガーすることで誤検知の数が増加する可能性があります。
Google セキュリティ オペレーション ドキュメントからの正確な抜粋:
誤検知の削減：検出ルールが既知の無害なアクティビティ（管理スクリプトや自動化ツールなど）によって誤検知を生成する場合、ベストプラクティスとしては、ルールに「not」条件を追加して、信頼されたエンティティを除外することが推奨されます。8 UDMフィールドでフィルタリングすることで例外を作成できます。例えば、特定のサービスアカウントからのアクティビティに対してルールが実行されないようにするには、イベントセクションに次のような条件を追加します。
そして、$e.principal.user.userid != "[email protected]" この手法は、「許可リスト」または「抑制」とも呼ばれ、不明または信頼されていないプリンシパルのみに焦点を当てることで、ルールの精度を向上させます。
参考文献:
Google Cloud ドキュメント: Google セキュリティ オペレーション > ドキュメント > 検出 > YARA-L 2.0 言語の概要 > 誤検知を防ぐための not 条件の追加

正しいアプローチは、Cloud Monitoring で SecOps 収集エージェントのサイレントソース通知を設定し、データソースが15分以内にサイレント状態になった場合にアラートを受け取るようにすることです。次に、Cloud Monitoring ダッシュボードを作成し、取り込みスループットと解析エラーを可視化します。これにより、Bindplane エージェントのネイティブモニタリングが活用され、取り込みの健全性をリアルタイムで可視化できます。

正しいアプローチは、検出ルールに例外を追加し、サンドボックス環境とテスト環境のアセットグループからの一致を除外することです。これにより、本番環境以外の環境からのノイズを抑制し、アラート疲れを防ぐと同時に、完全な可視性を維持し、同じIOCが本番環境のテレメトリで再び出現した場合にアラートを発報できます。

最も効果的かつ効率的なアプローチは、脅威インテリジェンス プラットフォーム（TIP）のログを取り込み、Google SecOps でマルチイベント ルールを作成し、NDR ログで見つかったドメインと TIP の既知の悪意のあるドメインを相関させることです。この方法により、検出範囲を信頼性の高い IOC に迅速に絞り込み、ノイズを削減し、手動によるエンリッチメントや追加の監視サービスと比較してコストと複雑さを最小限に抑えることができます。