[2026-03-28更新,81問] 無料Google Security-Operations-Engineer試験問題集、Security-Operations-Engineer的中率(ページ 16)

あなたはSOCマネージャーとして、既存のインシデント対応計画（IRP）をGoogleセキュリティオペレーション（SecOps）に導入する作業を指揮しています。ケースの各段階における所要時間のデータを取得する必要があります。ソリューションのメンテナンスオーバーヘッドを最小限に抑えたいと考えています。どうすればよいでしょうか？

A. 実行された特定のアクションを表示し、ケースがどのステージにあるかを識別し、ケースの開始からの経過時間を計算する Google SecOps ダッシュボードを作成します。

B. Google SecOps SOAR 設定でケースステージを構成し、ステージが変更されたときに時間指標をキャプチャするプレイブックのケースステージの変更アクションを使用します。

C. SIEM ルールと検出で検出ルールを構成し、関連するステージメトリックを使用して各ケースのイベントフィールドをキャプチャするロジックを含めます。

D. IDE で頻繁に実行され、各ケースの進行状況をチェックし、これらの変更が識別されたときにそれを反映するタイムスタンプでメモを更新するジョブを作成します。

正解: B

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティオペレーションエンジニアのドキュメントからの抜粋):
この要件は、Google SecOps SOAR プラットフォームの中核となる、すぐに使える機能です。メンテナンスのオーバーヘッドを最小限に抑えるソリューションは、常にネイティブに組み込まれたソリューションです。このプラットフォームは、ケースステージを追跡することで SOC KPI（MTTR など）を測定できるように設計されています。
SOCマネージャーはまず、組織のインシデント対応段階（例：「トリアージ」、「調査」、
SOAR設定で「修復」を選択します。プレイブックが作成されると、ワークフローに「ケースステージの変更」アクションが追加されます。プレイブックが実行されるとこのアクションがトリガーされ、SOARプラットフォームはケースが1つのステージから次のステージに移行した正確な瞬間を自動的にタイムスタンプで記録します。
これにより、メトリクスに必要な正確な時間間隔データが作成されます。このデータは、組み込みダッシュボードやレポートツール（オプションAで説明したように、オプションBの結果）で自動的に利用できるようになります。オプションD（カスタムIDEジョブ）とオプションC（検出ルール）は、SOARプラットフォームの基本的な機能であるタスクを実行する方法としては不適切であり、メンテナンスに手間がかかり、非標準的な方法です。
（参照: Google Cloud ドキュメント、「Google SecOps SOAR の概要」、「ダッシュボードとレポートから分析情報を取得する」、「プレイブックを管理する」）

組織では、セキュリティ分析と調査にGoogle Security Operations（SecOps）を利用しています。組織では、データ損失防止（DLP）イベントに関連するすべてのセキュリティケースを、Google SecOpsでクローズする際に、5種類のDLPイベントタイプのいずれかに固有の根本原因を定義して分類することを決定しました。どのようにすれば、この目標を達成できるでしょうか？

A. DLP イベントタイプを含めるようにケース名の形式をカスタマイズします。

B. Google SecOps SOAR でケースタグを作成します。各タグには 5 つの DLP イベントタイプそれぞれに固有の定義が含まれ、アナリストが手動でケースに割り当てます。

C. [ケースのクローズ] ダイアログをカスタマイズし、5 つの DLP イベントタイプを根本原因オプションとして追加します。

D. ケースタグを自動的に割り当てる Google SecOps SOAR プレイブックを作成します。各タグには、5 つの DLP イベントタイプのいずれかの一意の定義が含まれます。

正解: C

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティオペレーションエンジニアのドキュメントからの抜粋):
Google セキュリティオペレーション（SecOps）SOAR プラットフォームは、インシデントのライフサイクル終了時にデータ収集を強制するネイティブ機能を提供します。アナリストが「必ず分類」されるようにするための最も効果的かつ標準的な方法は、「ケースのクローズ」ダイアログをカスタマイズすることです。
この組み込み機能により、管理者はアナリストがUIの「ケースをクローズ」ボタンをクリックしたときに表示されるポップアップウィンドウを変更できます。このユースケースでは、管理者は「DLP根本原因」というタイトルのドロップダウンリストなどの新しいカスタムフィールドを追加します。すると、このフィールドには選択可能なオプションとして「5つのDLPイベントタイプ」が表示されます。
重要なのは、この新しいフィールドを必須としてマークできることです。この設定により、アナリストはケースを正常にクローズする前に、5つの定義済み根本原因のいずれかを選択する必要があります。この方法は、要件への100%の準拠を保証し、後続のレポートや指標のために構造化されたデータを取得するため、標準的でメンテナンスの手間が少ないソリューションです。タグの使用（オプションB）は必須ではなく、人為的エラーが発生しやすくなります。ケース名のカスタマイズ（オプションA）は構造化データフィールドではないため、強制適用できません。
（参照: Google Cloud ドキュメント、「Google SecOps SOAR の概要」、「ケースのクローズ理由のカスタマイズ」、「ケースとアラートのカスタマイズ」）

貴社で発生した高優先度のフィッシングインシデントにおいて、Googleセキュリティオペレーション（SecOps）がケースを作成し、Tier 1アナリストに割り当てました。アナリストはメールヘッダーを追加し、悪意のあるファイルを証拠として添付しましたが、ケースをエスカレーションしなかったため、社内SLAに違反しました。
フィッシング攻撃への対応に30分もかかりました。この遅延により、封じ込め措置が開始される前に複数のユーザーがファイルを開いてしまいました。今後の高優先度インシデントに備えて、ケース管理ワークフローを最適化したいと考えています。どうすればよいでしょうか？

A. 報告されたフィッシングメールを自動的に取り込み、脅威インテリジェンスでエンティティを強化し、影響を判断してケースをレビュー用に割り当てるプレイブックを構築します。

B. デフォルトのケース割り当てロジックを変更して、すべてのフィッシング警告を Tier 2 チームにルーティングします。

C. ケースが手動で再割り当てされるまで、5 分ごとに Tier 1 アナリスト、Tier 2 アナリスト、および SOC マネージャーにエスカレーション電子メールアラートを送信する SOAR 通知ループを構成します。

D. 手動での対応が行われなかった場合、60 分後にフィッシングケースを自動的に閉じるようにプレイブックを更新します。

あなたは最近、Google セキュリティオペレーション（SecOps）を既に導入している組織に SOC マネージャーとして採用されました。担当ケースの平均対応時間（MTTR）を計算し、現在のパフォーマンスを把握する必要があります。どうすればよいでしょうか？

A. エンティティグラフに基づいて結果セクションのレスポンスメトリクスを計算するマルチイベント検出ルールを作成します。これらのメトリクスに基づいてダッシュボードを作成します。

B. プレイブックのケースステージを使用して、各ステージの変更に関するメトリクスを取得します。これらのメトリクスに基づいてダッシュボードを作成します。

C. すべてのアラートプレイブックで再利用できるプレイブックブロックを作成し、ケースに変更が加えられるたびにケースウォールにタイムスタンプを書き込みます。ケースメトリクスを計算するジョブを作成します。

D. SecOps SOAR データを使用して、アナリスト、ケースの優先度、環境別にケース処理時間を表示する Looker ダッシュボードを作成します。

Google セキュリティオペレーション（SecOps）を使用して、特定のユーザーに関連する不審なアクティビティを調査しています。潜在的な影響を評価するために、過去 7 日間にユーザーが操作したすべてのアセットを特定したいと考えています。ユーザーとエンドポイント、サービスアカウント、クラウドリソースとの関係を把握する必要があります。
Google SecOps でユーザーと資産の関係をどのように識別すればよいですか?

A. UDM 検索でホスト名を照会し、結果をユーザー別にフィルタリングします。

B. RetroHunt を実行して、ユーザーによってトリガーされたルールの一致を見つけます。

C. Raw Log Scan ビューを使用して、イベントを資産 ID 別にグループ化します。

D. 過去 7 日間にユーザーが出現したソースを識別するための取り込みレポートを生成します。

正解: A

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティオペレーションエンジニアのドキュメントからの抜粋):
Google セキュリティオペレーションにおける関係性や過去のアクティビティを調査するための主要な調査ツールは、UDM（ユニバーサルデータモデル）検索です。「ユーザービュー」などのプラットフォームのキュレーションされたビューは、この検索機能に基づいて構築されています。
ユーザーが操作したすべての資産を見つけるには、アナリストは特定のユーザー (例: ユーザー) に対して UDM 検索を実行します。
指定された期間における、例えば principal.user.userid = "suspicious_user" といったユーザーを対象とする検索です。検索結果には、そのユーザーに関連付けられたすべてのUDMイベントが含まれます。アナリストはこれらのイベント内で、principal.asset.hostname、principal.ip、target.resource.name、target.user.userid（サービスアカウントとのやり取り用）など、入力済みのすべてのアセットフィールドを調べることができます。
このUDM検索により、アナリストはユーザーエンティティから関連するすべてのアセットエンティティへとピボットし、「ユーザーがどのアセットを操作したか」という質問に直接答えることができます。オプションAの表現はやや逆になっていますが（ユーザーをクエリしてホスト名を検索する方が効率的です）、UDM検索をユーザーとアセット（ホスト名）の関係を見つけるために使用されるツールとして正しく特定している唯一のオプションです。オプションB（Retrohunt）、C（Raw Log Scan）、およびD（Ingestion Report）は、この調査タスクには適さないツールです。
（参考：Google Cloud ドキュメント、「Google SecOps UM Search の概要」、「ユーザーの調査」、「ユニバーサルデータモデルの名詞リスト」）

Security-Operations-Engineer 試験問題 71

Security-Operations-Engineer 試験問題 72

Security-Operations-Engineer 試験問題 73

Security-Operations-Engineer 試験問題 74

Security-Operations-Engineer 試験問題 75

PDFファイルをダウンロード