サービス アカウントが認証に失敗することはほとんどなく、動作の逸脱検出が最も効果的です。

EDR（エンドポイント検知・対応）ログは、エンドポイントにおけるユーザーIDの挙動、ラテラルムーブメント、権限昇格の試みを直接可視化できるため、優先的に監視する必要があります。これらのログは、プロセス実行、認証イベント、異常なアクティビティを記録します。これらは、CASBやネットワークファイアウォールなどの他のシステムが関連イベントを報告する前に、脅威を早期に検知するために不可欠です。

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティ オペレーション エンジニアのドキュメントからの抜粋):
Google セキュリティ オペレーションにおいて、特定の指標（ドメインなど）をプロアクティブに検索する最も効率的かつ信頼性の高い方法は、ユニバーサル データ モデル（UDM）検索を実行することです。DNS ログやプロキシ ログを含む、取り込まれたすべてのテレメトリは解析され、UDM に正規化されます。これにより、アナリストは特定のインデックス付きフィールドに対して、単一の高パフォーマンス クエリを実行できます。
ドメインを検索するには、アナリストは network.dns.question.name や network.http などのフィールドをクエリします。
ホスト名。オプションBは、これを「ネットワーク名詞のDNSセクション」へのクエリとして正しく識別します。このアプローチは、遅く、非効率的で、正規化されたUDMデータを活用しない生のログ検索（オプションC）よりもはるかに優れています。
オプションD（IOC検索/一致）は、ログとGoogleの統合脅威インテリジェンスとの自動一致を表示する受動的な機能です。確認には便利ですが、UDM検索は、外部フィードから来た可能性のある新しいIOCを探すための、アナリスト主導の能動的なプロセスです。オプションAは検索結果をグループ化するためのUI機能であり、検索方法そのものではありません。
（参考：Google Cloud ドキュメント、「Google SecOps UDM 検索の概要」、「ユニバーサル データ モデルの名詞リスト - ネットワーク」）

最善の解決策は、取り込まれた EDR ログエントリ（DNS 呼び出しを含む）と脅威インテリジェンス フィードによって入力されたエンティティ グラフを相関させる YARA-L ルールを Google SecOps で作成することです。
これにより、既知の悪意のあるドメインまたはインジケーターと一致するエンドポイント アクティビティの継続的な監視と自動検出が可能になり、大規模なプロアクティブな脅威ハンティングがサポートされます。

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティ オペレーション エンジニアのドキュメントからの抜粋):
ケースのクローズ時に特定の分類要件を適用するには、「ケースのクローズ」ダイアログをカスタマイズする必要があります。Google SecOps SOAR のこの機能により、管理者はケースを解決する前にアナリストが入力する必要のある特定のフィールドを必須にすることができます。
ケース管理に関するドキュメントには、「ケースのクローズ」ダイアログボックスをカスタマイズして、アナリストがケースをクローズする前に特定の情報を入力するように要求できます。「根本原因」などのカスタムフィールドを追加し、リストに入力する値を定義できます。」と記載されています。「ケースのクローズ」設定内の「根本原因」ドロップダウンに「5種類のDLPイベントタイプ」をオプションとして追加することで、アナリストはこれらの定義済みタイプのいずれかを選択しない限り、DLPケースをクローズできないようになります。オプションA、B、Cは、アクティブな調査フェーズでのタグ付けまたは命名に関連するものであり、要求されている「ケースのクローズ時」に厳密にデータ入力を強制するものではありません。
参考資料: Google セキュリティ オペレーション ドキュメント > ケース管理 > ケースのクローズ ダイアログのカスタマイズ