Google SecOps を使用してマルチクラウド環境における脅威監視を開始する最も早い方法は、クラウド脅威カテゴリから厳選された検出機能を有効にすることです。これらの事前構築された検出ルールは、環境全体に広がる一般的なクラウドセキュリティ脅威を即座にカバーするため、カスタムルールの開発を待つことなく、インシデントを特定して対応できます。

重要な要件は、「プロアクティブにハンティングする」、「調査アクションを優先順位付けする」、「詳細なログ分析を行う前に「ラテラルムーブメント」パスを特定する」ことです。これは、Security Command Center（SCC）Enterprise の主なユースケースです。SCC は、Google Cloud サービスからのすべての検出結果を集約し、アセットと相関させます。
GKE クラスターでフィルタリングすることで、アナリストは初期 IoC を含む可能性のあるすべての関連する検出結果 (イベント脅威検出など) を確認できます。
さらに重要なのは、SCCの攻撃パスシミュレーション機能は、攻撃者がどのように横展開するかをモデル化することで、「調査アクションの優先順位付け」を目的として特別に設計されていることです。この機能は、過剰な権限を持つGKEサービスアカウントの設定ミスと公開サービスの組み合わせなど、攻撃者が開発クラスタから高価値な本番環境システムへと侵入するために利用し得る一連のエクスプロイトを可視化します。各パスには攻撃露出スコアが付与されるため、ハンターは最も重大なリスクに即座に集中することができます。
オプションCは、ノード上のマルウェアのみをチェックし、ラテラルムーブメントの経路はチェックしないため、範囲が狭すぎます。オプションBは、IoCが発見された後に、その内容を拡充するために後から使用するステップです。オプションDは、自動対応（SOAR）であり、プロアクティブなハンティングと優先順位付けのステップではありません。
（参考：Google Cloud ドキュメント、「Security Command Center の概要」、「攻撃パスのシミュレーションと攻撃露出スコア」）

重要な要件は、データ抽出を*自動化*し、*アナリストの労力を最小限に抑える*ことです。これはGoogle Security Operations SOAR（旧称Siemplify）の中核機能です。**Siemplifyとの統合**により、ケース管理とエンティティ操作のための基本的なプレイブックアクションが提供されます。
**`エンティティの作成`** アクションは、アクティブなケースに新しいエンティティ（ユーザー、IP、ドメインなど）をプログラムで追加するように設計されています。このアクションを自動化するには、プレイブック開発者は **式ビルダー** を使用する必要があります。式ビルダーは、前のアクション（UDM クエリ）からの JSON 出力を解析し、その結果（ユーザー名のリスト）を後続のアクションのパラメータに動的にマッピングするためのツールです。
式ビルダーを使用して「エンティティの作成」アクションの「エンティティ識別子」パラメータを設定すると、プレイブックはUDMクエリ結果からすべての「principal.user.userid」フィールドを自動的に抽出し、ケースに追加します。これらの新しいエンティティは、プレイブックの次のステップ（例えば、
「パスワードをリセットします。」
選択肢AとCは**手動**であるため、誤りです。アナリストの介入が必要であり、労力を最小限に抑えることはできません。選択肢Dは、単一のフィッシングケースを充実させるのではなく、不要なケースを複数作成し、キューを飽和状態にするため、誤りです。
*(参照: Google Cloud ドキュメント、「Google SecOps SOAR プレイブックの概要」、「式ビルダーの使用」、「マーケットプレイスと統合」)*
***

異常なログイン後にサービスアカウントキーが急速に作成された場合、ID侵害の疑いが濃厚です。攻撃の持続化とエスカレーションを防ぐため、直ちに封じ込め対策を実施する必要があります。

最も費用対効果が高く効率的なソリューションは、Google SecOps SIEMダッシュボードを使用してデータの取り込みをリアルタイムで監視し、データソースの取り込みが停止した場合に通知を送信するようにCloud Monitoringでアラートポリシーを設定することです。これにより、追加の可視化ツールやモニタリングツールを必要とせずに既存のGoogleマネージドサービスを活用し、コストとメンテナンスのオーバーヘッドを最小限に抑えることができます。