Google セキュリティ オペレーションにおいて、特定の指標（ドメインなど）をプロアクティブに検索する最も効率的かつ信頼性の高い方法は、ユニバーサル データ モデル（UDM）検索を実行することです。DNS ログやプロキシ ログを含む、取り込まれたすべてのテレメトリは解析され、UDM に正規化されます。これにより、アナリストは特定のインデックス付きフィールドに対して、単一の高パフォーマンス クエリを実行できます。
ドメインを検索するには、アナリストは network.dns.question.name や network.http などのフィールドをクエリします。
ホスト名。オプションBは、これを「ネットワーク名詞のDNSセクション」へのクエリとして正しく識別します。このアプローチは、遅く、非効率的で、正規化されたUDMデータを活用しない生のログ検索（オプションC）よりもはるかに優れています。
オプションD（IOC検索/一致）は、ログとGoogleの統合脅威インテリジェンスとの自動一致を表示する受動的な機能です。確認には便利ですが、UDM検索は、外部フィードから来た可能性のある新しいIOCを探すための、アナリスト主導の能動的なプロセスです。オプションAは検索結果をグループ化するためのUI機能であり、検索方法そのものではありません。
（参考：Google Cloud ドキュメント、「Google SecOps UDM 検索の概要」、「ユニバーサル データ モデルの名詞リスト - ネットワーク」）