包括的かつ詳細な 150 ～ 200 語の説明 (Google セキュリティ オペレーション エンジニアのドキュメントからの抜粋):
重要な要件は、未知のC2ノードをハンティングすることです。これは、既存の脅威インテリジェンスフィードには兆候が存在しないことを意味します。したがって、オプションCは既知のIoCのみをハンティングするため、誤りです。オプションAも誤りです。セキュリティヘルスアナリティクス（SHA）はポスチャ管理ツールであり、脅威ハンティングツールではないためです。
オプションDは、古典的かつ効果的な仮説主導型の脅威ハンティングです。攻撃者は、新規登録ドメイン（NRD）をC2インフラに頻繁に利用します。これらのドメインは評判が確立されておらず、まだブロックリストにも登録されていないためです。
Google Security Operations（SecOps）では、エンジニアがリアルタイムイベントデータ（UDMネットワークトラフィック）とコンテキストデータ（エンティティグラフまたはカスタムルックアップ）を結合するYARA-Lルールを作成できます。エンジニアはWHOISデータまたはNRDフィードをコンテキストとして取り込むことができます。YARA-Lルールは、送信ネットワーク接続をこのコンテキストと比較し、過去30日以内に登録されたドメインとの通信を検索します。
90日間。このルールをレトロハントとして実行することで、エンジニアはすべての履歴データをスキャンし、この高リスクの異常な動作の「潜在的な一致リストを生成」することができます。これは、未知のC2アクティビティの強力な指標です。
（参考：Google Cloud ドキュメント、「YARA-L 2.0 言語構文」、「YARA-L レトロハントを実行する」、「エンティティ グラフを使用したコンテキスト認識検出」）

Google SecOps で正規化されたすべてのログを検索する最も効果的な方法は、YARA-L 2.0 構文を使用した UDM 検索を使用することです。これにより、すべての正規化されたログソース間で IP アドレスが一貫した形式で一致することが保証されます。

正しいアプローチは、Google SecOps 監査ログを Google SecOps SIEM に取り込むことです。これらの監査ログは、データフィードとプラットフォーム運用に関連するすべてのアクティビティをキャプチャし、SecOps 環境内の管理またはフィード関連のアクションを一元的に監視、アラート、調査することを可能にします。

未知のIPアドレスについて「迅速に詳細なコンテキストを収集し、レピュテーションを評価する」最も直接的かつ効率的な方法は、プラットフォームに統合された脅威インテリジェンスと照合することです。**アラート＆IoCページ**、特に**IoC一致**タブが、そのための主要なインターフェースです。
Google セキュリティ オペレーションは、取り込んだすべての UDM（ユニバーサル データ モデル）イベントを、Google Threat Intelligence（GTI）、Mandiant、VirusTotal のデータを含む、膨大な統合脅威インテリジェンス フィードと継続的かつ自動的に相関させます。未知の外部 IP アドレスが、コマンド アンド コントロール（C2）サーバー、マルウェア配布ポイント、既知のスキャナなど、既知の悪意のある侵入指標（IoC）である場合、すでに「IoC 一致」の検出結果が生成されています。
このページでIPアドレスを検索することで、アナリストはIPアドレスがブロックリストに登録されているかどうかを即座に確認し、脅威カテゴリ、深刻度、フラグ付けを行った具体的な情報源といった重要なコンテキスト情報を得ることができます。オプションB（ユーザーの特定）とオプションC（資産の確認）は、インシデントの内部的な影響範囲を把握するための有効な後続ステップですが、IPアドレスの*外部的な評価*は提供されません。オプションDは、IPアドレスが悪意のあるIPアドレスと評価された*後*にのみ実行される*対応*アクションです。
*(参照: Google Cloud ドキュメント、「アラートと IoC を表示する」、「Google SecOps が IoC を自動的に照合する方法」、「IP アドレスを調査する」)*
***

オンプレミスのソースからGoogle Security Operations（SecOps）にログを取り込むための標準的かつネイティブで、最小限の労力で実現できるソリューションは、Google SecOpsフォワーダーを使用することです。このフォワーダーは、お客様のネットワーク内にデプロイされる軽量ソフトウェアコンポーネント（LinuxバイナリまたはDockerコンテナとして利用可能）です。オンプレミスのさまざまなソースからログを収集し、SecOpsプラットフォームに安全に転送するように設計されています。
フォワーダーは、ログファイルを直接監視する（MySQLデータベースの一般的な出力）か、Syslog経由でログを受信するように設定できます。フォワーダーをインストールし、設定ファイルをMySQLログファイルまたはSyslogストリームを指すように設定すると、フォワーダーはこれらのログの圧縮、バッチ処理、そしてGoogle SecOpsへの安全な送信を処理します。これは、オンプレミステレメトリの意図された最も直接的な取り込みパスです。
オプション C は不正解です。ログソースがオンプレミスであり、Google Cloud 組織内ではないためです。オプション B（API フィード）はメカニズムとして誤りです。フィードは脅威インテリジェンスやアラートなどの構造化データに使用され、データベースからの生のテレメトリログには使用されません。オプション A（Bindplane）はサードパーティ パートナー ソリューションであり、追加の設定やライセンスが必要になる場合があります。また、このタスクのために Google SecOps が直接提供するネイティブで最小限の労力で実行できるツールではありません。
（参考：Google Cloud ドキュメント、「Google SecOps データ取り込みの概要」、「SecOps フォワーダーのインストールと設定」）