ランサムウェアインシデントにおける滞留時間を最小限に抑え、特権アカウントの悪用を阻止するために、SOARプレイブックでは、エンティティリスクに基づいてOAuthトークンを失効させ、高権限アカウントのセッションを停止する必要があります。このアクションは、攻撃者の持続性とラテラルムーブメントを直接的に阻止すると同時に、自動エスカレーションによってタイムリーな対応を確保し、手動介入への依存を軽減します。

Security Command Center（SCC）をGoogle Security Operations（SecOps）に統合することで、Google Cloudサービスからのセキュリティ検出結果を一元的に把握できるようになります。SCCは、複数のネイティブGoogle Cloudソース（IAM、VPC、GKE、VM Threat Detection、Cloud Armorなど）からのデータを正規化し、相関分析を行います。これにより、検出結果が既に標準化されセキュリティに重点が置かれているため、検出結果の作成にかかる労力を軽減できます。これは、個々のサービスログを取り込んだり、脅威インテリジェンスのみを使用したりする場合よりも効果的です。

最善のアプローチは、サーバーをGoogle SecOpsのウォッチリストに追加し、綿密に監視することです。これにより、過剰反応や早急なエスカレーションをすることなく、将来の不審なアクティビティがないかサーバーを継続的に精査し、エスカレーションがデータに基づいて蓄積されたコンテキストに基づいて行われるようになります。

このYARA-Lルールは、リアルタイムイベント（DNSクエリ、$dns）とGoogle SecOpsエンティティグラフ（$ioc）に保存されている既知の不正指標を相関させるように設計されています。コードでは、カスタムMISPフィードから特定の指標を見つけるために、エンティティグラフを適切にフィルタリングする必要があります。
2 つのフィルターが必要です。
* $ioc.graph.metadata.entity_type = "DOMAIN_NAME": この行は、エンティティグラフからドメインであるIoCをフィルタリングするために不可欠です。このルールはDNSクエリ ($dns_query) を既知のC2ドメインと照合しようとするため、エンティティタイプはDOMAIN_NAMEである必要があります。
* $ioc.graph.metadata.source_type = "ENTITY_CONTEXT": これが重要な差別化要因です。Google SecOps エンティティグラフには複数のコンテキストソースがあります。GLOBAL_CONTEXT（オプション B）は、Google が提供する脅威インテリジェンス（例：Google Threat Intelligence、Mandiant）用です。
DERIVED_CONTEXT（オプションC）は、UDMイベントから推測されるコンテキストです。プロンプトには、IoCフィードが組織独自の「MISPで取り込まれた脅威インテリジェンスフィード」であることが明示的に示されています。このような顧客提供のサードパーティインテリジェンスは、ENTITY_CONTEXTに分類されます。この行を追加することで、ルールはIoCデータにカスタムMISPフィードのみを使用するようになります。
$ioc ブロック内の他の行 (product_name = "MISP" など) は、この ENTITY_CONTEXT 検索をさらに絞り込みます。
（参考：Google Cloud ドキュメント、「YARA-L 2.0 言語構文」、「エンティティ グラフを使用したコンテキスト認識検出」、「エンティティ グラフへの入力」）

SCC の検出結果を Google SecOps SOAR に統合する適切な方法は、Google SecOps Marketplace から SCC 統合をインストールすることです。Google SecOps が検出結果にアクセスできるように、SCC API に適切な IAM ロールを付与し、SCC API をスコープとする生成された API キーを使用して統合を設定する必要があります。このアプローチにより、SCC の検出結果を SecOps アクションにインポートするための、管理された安全なサポートされた方法が提供されます。