Google セキュリティ オペレーションにおける関係性や過去のアクティビティを調査するための主要な調査ツールは、UDM（ユニバーサル データ モデル）検索です。「ユーザービュー」などのプラットフォームのキュレーションされたビューは、この検索機能に基づいて構築されています。
ユーザーが操作したすべての資産を見つけるには、アナリストは特定のユーザー (例: ユーザー) に対して UDM 検索を実行します。
指定された期間における、例えば principal.user.userid = "suspicious_user" といったユーザーを対象とする検索です。検索結果には、そのユーザーに関連付けられたすべてのUDMイベントが含まれます。アナリストはこれらのイベント内で、principal.asset.hostname、principal.ip、target.resource.name、target.user.userid（サービスアカウントとのやり取り用）など、入力済みのすべてのアセットフィールドを調べることができます。
このUDM検索により、アナリストはユーザーエンティティから関連するすべてのアセットエンティティへとピボットし、「ユーザーがどのアセットを操作したか」という質問に直接答えることができます。オプションAの表現はやや逆になっていますが（ユーザーをクエリしてホスト名を検索する方が効率的です）、UDM検索をユーザーとアセット（ホスト名）の関係を見つけるために使用されるツールとして正しく特定している唯一のオプションです。オプションB（Retrohunt）、C（Raw Log Scan）、およびD（Ingestion Report）は、この調査タスクには適さないツールです。
（参考：Google Cloud ドキュメント、「Google SecOps UM Search の概要」、「ユーザーの調査」、「ユニバーサル データ モデルの名詞リスト」）

包括的かつ詳細な 150 ～ 250 語の説明 (Google セキュリティ オペレーション エンジニアのドキュメントからの抜粋):
正しい解決策は、イベント脅威検出（ETD）カスタムモジュールを作成することです。ETDは、アクティブな脅威、異常、悪意のある動作をログから検出するために設計されたセキュリティコマンドセンター（SCC）サービスです。ユーザーに必要なのは、既知の侵害指標（IoC）と外部シグナルのリストを使用することであり、これはETDの目的と直接一致しています。
一方、オプションAとBで言及されているSecurity Health Analytics（SHA）は、ポスチャ管理サービスです。SHAカスタムモジュールは、IoCに基づいて脅威アクティビティのログストリームを分析するのではなく、リソース設定における構成ミスや脆弱性を検出するために使用されます。
Event Threat Detection は、カスタムモジュールを作成するためのテンプレートをあらかじめ用意しており、検出エンジニアリングプロセスを簡素化します。「Configurable Bad IP」テンプレートは、まさにこのユースケース向けに設計されています。これにより、組織は既知の悪意のある IP アドレス（一般的な外部 IoC 形式）のリストをアップロードして管理できます。ETD は、VPC フローログ、Cloud DNS ログ、Cloud NAT ログなどの関連ログソースを継続的にスキャンします。このカスタムリストに含まれる IP アドレスとの間のアクティビティが検出されると、ETD は Security Command Center で CONFIGURABLE_BAD_IP の検出結果を自動的に生成し、確認と対応を行います。このアプローチは、複雑な手動パイプラインの構築を必要とするオプション D とは異なり、IP ベースの IoC を SCC に統合するためのネイティブで効率的かつサポートされている方法です。
（参考：Google Cloud ドキュメント、「Event Threat Detection カスタム モジュールの概要」、「Event Threat Detection カスタム モジュール テンプレートの使用」）

正しいアクションは、プライベートスキャンを使用してマルウェアを Google Threat Intelligence にアップロードすることです。
プライベートスキャンを使用すると、サンプルを公開することなく、マルウェアを安全に分析し、IOC（情報証拠）を抽出できます。これにより、脅威グループへの警告を防ぎながら、迅速かつ詳細なインテリジェンス収集が可能になります。

IoC 一致ページは、Google セキュリティ オペレーション（SecOps）において、組織の UDM データと自動的に相関付けられたすべての IoC を確認するための中心的な場所です。このページは、Google、Mandiant、VirusTotal からのフィードを含む Applied Threat Intelligence サービスによって作成されています。
セキュリティ演習（レッドチーム演習やペネトレーションテストなど）では、既知の悪意あるツールやインフラストラクチャが使用されることが多く、IoCマッチを正確にトリガーすることで「ノイズ」が発生し、アラート疲れを引き起こします。このプラットフォームは、これを管理するためのミュート機能を提供しています。
アナリストは「IOCマッチ」ページに移動し、フィルター（オプションBで説明したように時間など）を使用してレッドチーム演習に関連する特定のIOCを特定し、それらのIOCに対して「ミュート」アクションを選択できます。ミュートは、既知の無害なIOCや演習に関連するIOCを抑制するための適切な運用手順です。
このアクションにより、メインビューに表示されてノイズの原因となるのを防ぎながら、試合の履歴記録を保持できます。オプションDは優先順位付けのテクニックであり、抑制のテクニックではありません。
(参考: Google Cloud ドキュメント、「Applied Threat Intelligence を使用して IoC を表示する」、「アラートと IoC を表示する」、「IoC をミュートまたはミュート解除する」) 要求どおりにフォーマットされた回答は次のとおりです。

最も効果的なアプローチは、Google SecOps SIEM でファイルハッシュに一致する UDM 検索を実行するプレイブックを作成することです。これにより、取り込まれたテレメトリ全体を自動的に検索し、ファイルを操作したすべてのデバイスとユーザーを特定できるため、手動による介入を必要とせずに、対応と調査を迅速化できます。