[2026-03-28更新,81問] 無料Google Security-Operations-Engineer試験問題集、Security-Operations-Engineer的中率(ページ 8)

あなたは、Google Security Operations (SecOps) Enterprise、Security Command Center Enterprise (SCCE)、および Google Threat Intelligence (GTI) を使用している企業のセキュリティアナリストです。
Google Cloud 環境を標的とした新たな攻撃パターンをほぼリアルタイムでプロアクティブに特定するには、脅威インテリジェンスを活用して脅威ハンティング機能を強化する必要があります。どうすればよいでしょうか？

A. SCCE の Event Threat Detection に組み込まれた脅威インテリジェンスを使用して、関連する脅威を検出します。

B. Google SecOps で応用脅威インテリジェンスフュージョンフィードを設定し、取り込んだ Google Cloud テレメトリでこのインテリジェンスに一致するパターンを検索する YARA-L 検出ルールを開発します。

C. すべての Google Cloud ログを専用の BigQuery データセットにルーティングし、キュレートされたオープンソースの脅威インテリジェンスフィードでスケジュールされたクエリを使用します。

D. 事前構成されたウェブアプリケーションファイアウォール (WAF) ルールセットを使用して Google Cloud Armor セキュリティポリシーを構成し、Adaptive Protection が GTI を使用できるようにします。

あなたは組織のインシデント対応チームのリードエンジニアです。CrowdStrike FalconとSentinelOneを使用して、組織内のさまざまな地域にあるWindowsデバイスを保護しています。以下のログをGoogle Security Operations（SecOps）に取り込んでいます。
- Azure AD ディレクトリ監査 (AZURE_AD_AUDIT)
- クラウドストライクファルコン (CS_EDR)
- Microsoft システムモン (WINDOWS_SYSMON)
- センチネルワン（SENTINEL_EDR）
- Windows イベント (WINEVTLOG)
ランサムウェアインシデントが大量に発生し、チームのSLAに影響が出ていることに気づきました。Windowsデバイスにおけるランサムウェアへの対応を自動化する必要があります。ランサムウェアインシデントの検出と封じ込めをどのように自動化すべきでしょうか？（2つ選択してください。）

A. キュレーションされた検出で Windows 脅威カテゴリを有効にして、最新の Windows 脅威を検出します。

B. キュレーションされた検出でユーザーおよびエンドポイント行動分析 (UEBA) カテゴリのリスク分析を有効にして、ピアグループベースの異常な動作や疑わしいアクションを検出します。

C. エンドポイント封じ込めアクションを実行するために、SOAR EDR統合をインストールします。キュレーションされた検出結果に基づいて、影響を受けるWindowsデバイスを封じ込めるためのプレイブックを作成します。

D. リモートエンドポイント封じ込めアクションを実行するためのSOAR EDRジョブをインストールします。キュレーションされた検出結果に基づいて、影響を受けるWindowsデバイスを封じ込めるためのプレイブックを作成します。

E. エンドポイント封じ込めアクションを実行するために、各WindowsデバイスにSOARリモートエージェントをインストールします。キュレーションされた検出結果に基づいて、影響を受けるWindowsデバイスを封じ込めるためのプレイブックを作成します。

社内のユーザーからのフィッシング報告に対応するためのプレイブックを開発しています。悪意のあるドメインに接続したすべてのユーザーを特定するためのUDMクエリアクションを設定しました。プレイブックでこれらのユーザーのパスワードをリセットできるように、UDMクエリからユーザーを抽出し、アラートのエンティティとして追加する必要があります。SOCアナリストの労力を最小限に抑えたいと考えています。どうすればよいでしょうか？

A. Siemplify統合の「エンティティの作成」アクションを使用します。式ビルダーを使用して、「エンティティ識別子」パラメータにユーザー名を含むプレースホルダを作成します。

B. Siemplify 統合から手動のエンティティ作成アクションを構成し、アクションの結果に基づいてアナリストにエンティティ識別子パラメータを入力するように指示します。

C. エンティティとして指定されたユーザーを使用して、識別されたユーザーごとにケースを作成します。

D. フロー統合から、アナリストに Google SecOps ユーザーインターフェースにエンティティを追加するよう指示する指示アクションを実装します。

正解: A

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティオペレーションエンジニアのドキュメントからの抜粋):
重要な要件は、データ抽出を*自動化*し、*アナリストの労力を最小限に抑える*ことです。これはGoogle Security Operations SOAR（旧称Siemplify）の中核機能です。**Siemplifyとの統合**により、ケース管理とエンティティ操作のための基本的なプレイブックアクションが提供されます。
**`エンティティの作成`** アクションは、アクティブなケースに新しいエンティティ（ユーザー、IP、ドメインなど）をプログラムで追加するように設計されています。このアクションを自動化するには、プレイブック開発者は **式ビルダー** を使用する必要があります。式ビルダーは、前のアクション（UDM クエリ）からの JSON 出力を解析し、その結果（ユーザー名のリスト）を後続のアクションのパラメータに動的にマッピングするためのツールです。
式ビルダーを使用して「エンティティの作成」アクションの「エンティティ識別子」パラメータを設定すると、プレイブックはUDMクエリ結果からすべての「principal.user.userid」フィールドを自動的に抽出し、ケースに追加します。これらの新しいエンティティは、プレイブックの次のステップ（例えば、
「パスワードをリセットします。」
選択肢AとCは**手動**であるため、誤りです。アナリストの介入が必要であり、労力を最小限に抑えることはできません。選択肢Dは、単一のフィッシングケースを充実させるのではなく、不要なケースを複数作成し、キューを飽和状態にするため、誤りです。
*(参照: Google Cloud ドキュメント、「Google SecOps SOAR プレイブックの概要」、「式ビルダーの使用」、「マーケットプレイスと統合」)*
***

組織の環境内で、高度な持続的脅威（APT）の攻撃者が検知されずに活動しているかどうかを調査しています。以下の脅威情報を入手しました。
* 悪意のあるDLLのSHA256ハッシュ
* 既知のコマンドアンドコントロール（C2）ドメイン
* rundll32.exe が難読化された引数を使用して powershell.exe を生成する動作パターン。Google セキュリティオペレーション (SecOps) インスタンスには、EDR、DNS、Windows Sysmon からのログが含まれます。
しかし最近、Sysmonの設定に一貫性がないために、すべてのエンドポイントでプロセスハッシュが確実にキャプチャされていないことが判明しました。Google SecOpsを使用して、関連するアクティビティを識別する検出メカニズムを開発する必要があります。どうすればよいでしょうか？

A. Google SecOps 検索を使用して、rundll32.exe の最近の使用を特定し、影響を受ける資産をウォッチリストにタグ付けします。

B. ファイルハッシュに基づいて単一イベントの YARA-L 検出ルールを作成し、履歴および受信テレメトリに対してルールを実行して DLL 実行を検出します。

C. プロセス関係とハッシュを相関させるマルチイベント YARA-L 検出ルールを記述し、このルールに基づいてレトロハントを実行します。

D. ハッシュとドメインを含むデータテーブルを作成し、そのリストを高頻度ルールにリンクして、ほぼリアルタイムのアラートを生成します。

正解: D

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティオペレーションエンジニアのドキュメントからの抜粋):
この問題の核心は、ファイルハッシュのデータ品質が信頼できないことです。堅牢な検出戦略は、信頼できないデータポイントに依存できません。オプションBとCは、プロンプトに「確実に取得されていない」と表示されるSHA256ハッシュに依存するため、脆弱です。これは検出漏れにつながります。
オプション A は範囲が広すぎるため、大きなノイズが発生します。
最善の検出エンジニアリングの実践は、信頼性の高い IoC を柔軟かつ高性能な方法で使用することです。
ドメインは信頼できる IoC (DNS ログから) であり、ハッシュは断続的にしか利用できない場合でも、依然として貴重な IoC です。
Google SecOpsの標準的な手法は、静的IoC（ハッシュとドメイン）の両方を含むリスト（ここでは「データテーブル」と呼ぶ）を作成することです。エンジニアは、このリストを参照する単一の効率的なYARA-Lルールを作成できます。このルールは、リスト内のハッシュを持つPROCESS_LAUNCHイベント、またはリスト内のドメインを持つNETWORK_DNSイベント（例：event.principal.process.file.sha256）のいずれかが検出された場合にトリガーされます。
（%ioc_list）または（%ioc_list内のevent.network.dns.question.name））。これにより、脅威を識別する機会が2つ提供される、信頼性の低いデータの問題をうまく回避する、回復力のある検出メカニズムが作成されます。
（参考：Google Cloud ドキュメント、「YARA-L 2.0 言語構文」、「ルールでのリストの使用」、「検出エンジニアリングの概要」）

貴社では Security Command Center（SCC）と Google Security Operations（SecOps）をご利用いただいています。先週、攻撃者が未使用のサービスアカウントにキーを生成し、永続性を確立しようとしました。未使用のサービスアカウントにキーが生成された際にアラートが通知され、新規に作成されたキーが自動的に削除されることを確認する必要があります。必要な手作業を最小限に抑えたいと考えています。どうすればよいでしょうか？

A. サービスアカウントキーが作成された時点を検出する YARA-L ルールを Google SecOps で生成します。
組み込み IDE を使用して、Google SecOps SOAR でサービスアカウントキーを削除するカスタムアクションを作成します。

B. SCC の「初期アクセス: 休止状態のサービスアカウントキーが作成されました」という検出結果を使用し、この検出結果を Google SecOps に取り込みます。この検出結果に基づいてトリガーされるカスタムアクションを Google SecOps SOAR に作成します。組み込みの IDE を使用して、サービスアカウントキーを削除するコードを作成します。

C. methodName をフィルタリングする Pub/Sub トピックにログを書き込むように Cloud Logging シンクを構成します。
「google.iam.admin.v1.CreateServiceAccountKey」フィールド。Pub/Subトピックをサブスクライブし、サービスアカウントキーを削除するCloud Run関数を作成します。

D. SCC の「初期アクセス: 休止状態のサービスアカウントキーが作成されました」という検出結果を使用し、この検出結果を Pub/Sub トピックに書き込みます。Pub/Sub トピックをサブスクライブし、サービスアカウントキーを削除する Cloud Run 関数を作成します。

Security-Operations-Engineer 試験問題 31

Security-Operations-Engineer 試験問題 32

Security-Operations-Engineer 試験問題 33

Security-Operations-Engineer 試験問題 34

Security-Operations-Engineer 試験問題 35

PDFファイルをダウンロード