最も迅速で影響の少ない解決策は、Google SecOpsの「追加フィールド抽出」ツールを使用することです。これにより、デフォルトのパーサーを変更したりカスタムコードを導入したりすることなく、生のログから新規フィールドや名前変更されたフィールドをUDMフィールドにマッピングできるため、ログが完全に解析され、下流の検出に利用できるようになります。

包括的かつ詳細な 150 ～ 200 語の説明 (Google セキュリティ オペレーション エンジニアのドキュメントからの抜粋):
重要な要件は、未知のC2ノードをハンティングすることです。これは、既存の脅威インテリジェンスフィードには兆候が存在しないことを意味します。したがって、オプションCは既知のIoCのみをハンティングするため、誤りです。オプションAも誤りです。セキュリティヘルスアナリティクス（SHA）はポスチャ管理ツールであり、脅威ハンティングツールではないためです。
オプションDは、古典的かつ効果的な仮説主導型の脅威ハンティングです。攻撃者は、新規登録ドメイン（NRD）をC2インフラに頻繁に利用します。これらのドメインは評判が確立されておらず、まだブロックリストにも登録されていないためです。
Google Security Operations（SecOps）では、エンジニアがリアルタイムイベントデータ（UDMネットワークトラフィック）とコンテキストデータ（エンティティグラフまたはカスタムルックアップ）を結合するYARA-Lルールを作成できます。エンジニアはWHOISデータまたはNRDフィードをコンテキストとして取り込むことができます。YARA-Lルールは、送信ネットワーク接続をこのコンテキストと比較し、過去30日以内に登録されたドメインとの通信を検索します。
90日間。このルールをレトロハントとして実行することで、エンジニアはすべての履歴データをスキャンし、この高リスクの異常な動作の「潜在的な一致リストを生成」することができます。これは、未知のC2アクティビティの強力な指標です。
（参考：Google Cloud ドキュメント、「YARA-L 2.0 言語構文」、「YARA-L レトロハントを実行する」、「エンティティ グラフを使用したコンテキスト認識検出」）

包括的かつ詳細な説明
このシナリオは、認証は成功しているにもかかわらず認可が失敗するという、よくある設定タスクについて説明しています。この問題は、Google SecOps がメインプラットフォーム（SIEM/Chronicle）用と SOAR モジュール用の 2 つの認可モデルを使用していることに起因しています。SOC チームには両方のモデルが必要です。
プロンプトには管理者が既にアクセス権を持っていると表示されており、プロジェクトのリンク（オプションA）やWorkforce Identity Federationの設定（オプションB）といった前提条件の手順が既に完了していることが確認できます。問題は新しいSOCチームのグループに固有のものです。
* インスタンス アクセスの修正 (オプション D):
「インスタンスへのアクセスが承認されません」というエラーは、Google Cloud レベルのプライマリ認証に関するものです。Google SecOps アプリケーション自体へのアクセスは、リンクされたプロジェクトの Google Cloud IAM ロールによって制御されます。1 サードパーティ IdP から連携されている SOC チームのグループは、IAM では principalSet として表されます。この principalSet にサインインを許可するには、IAM ロールを付与する必要があります。roles/chronicle。
閲覧者ロールは、このアプリケーションへのアクセスを許可するために必要な最小限の定義済みロールです。
* SOAR アクセスの修正 (オプション E):
IAMロール（オプションD）を付与するだけでは、SOCチームの業務遂行には不十分です。このロールでは、SIEMのメインインターフェースへのアクセスしかできません。SOARモジュール（ケース管理およびプレイブック用）には、独自の内部ロールベースアクセス制御システムが備わっています。管理者は、SecOpsプラットフォーム内で「SOAR詳細設定」>「ユーザーとグループ」に移動し、SOCチームのフェデレーショングループに「基本」や「アナリスト」などのSOAR固有の権限を付与する必要があります。これらの手順はいずれも、問題を完全に解決し、SOCチームにプラットフォームへの機能的なアクセスを提供するために必要です。
Google セキュリティ オペレーション ドキュメントからの正確な抜粋:
ID とアクセス管理: サードパーティの IdP を使用した Google SecOps インスタンスへのアクセスは Workforce Identity Federation に依存しますが、認証は 2 つの異なる場所で構成されます。
* Google Cloud IAM: メインの SecOps インスタンス（SIEM インターフェースを含む）への認証は、Google Cloud IAM によって制御されます。2 サードパーティ IdP のフェデレーション ID（グループ）は、principalSet にマッピングされます。この principalSet には、SecOps インスタンスにリンクされた Google Cloud プロジェクトに対する IAM ロールを付与する必要があります。roles/chronicle.viewer ロールは、サインインアクセスを許可するために必要な最低限の定義済みロールです。
* Google SecOps SOAR: SOAR モジュール (ケース管理とプレイブック用) の承認は個別に管理されます。3 管理者は、SOAR の [詳細設定] > [ユーザーとグループ] に移動し、同じ連携 IdP グループに SOAR 固有のロール (「基本」や「アナリスト」など) を割り当てる必要があります。
参考文献:
Google Cloud ドキュメント: Google セキュリティ オペレーション > ドキュメント > オンボード > サードパーティ ID プロバイダの設定 Google Cloud ドキュメント: Google セキュリティ オペレーション > ドキュメント > SOAR > SOAR 管理 > ユーザーとグループ

このシナリオでは、Google セキュリティ オペレーション（SecOps）SOAR の主要機能である自動外部承認について説明します。「SOC アナリストの労力を最小限に抑える」ソリューションとは、完全に自動化されており、アナリストがメールを待ってから手動でプレイブックを再開する必要がないソリューションです。
正しい方法（オプションD）は、プラットフォームの組み込み機能（多くの場合、「フロー」または
「Siemplify」統合）を使用して、固有の承認リンク（または「承認」/「拒否」リンク）を生成します。これらのリンクはトークン化され、特定のプレイブックの実行に関連付けられます。このリンクは、「メールを送信」（Gmail統合）アクションを通じて非SecOpsユーザーに送信されるメールにプレースホルダとして挿入されます。
プレイブックには条件付きロジック（例：「条件を待機」）が設定され、リンクのいずれかがクリックされるまで実行が一時停止されます。外部ユーザーがメール内の「承認」または「拒否」リンクをクリックすると、SOARプラットフォームにセキュアなシグナルが送信されます。プレイブックはこの応答を自動的に検出し、適切な条件パス（例：「承認された場合、エンドポイント封じ込めを実行する」）に進みます。このプロセスは完全に自動化されており、アナリストの介入は一切不要で、要件を完全に満たしています。
オプション A、B、C はすべてアナリストによる手動のアクションを必要とするため、アナリストの労力を最小限に抑えるという基本要件に違反します。
（参考: Google Cloud ドキュメント、「Google SecOps SOAR プレイブックの概要」、「Gmail 統合ドキュメント」、「フロー統合 - 承認待ち」）

最も効果的な次のステップは、Security Command Center（SCC）を使用して関連するGKEクラスタをフィルタリングし、集約された結果を分析することです。タイムラインと攻撃露出スコアを調べることで、潜在的なIOCを迅速に特定し、調査アクションの優先順位付けを行うことができます。このアプローチでは、生のログ分析に進む前に、Google Cloudに組み込まれたセキュリティツールを活用して初期トリアージを実施します。