第1回 問題集（全般）
全120問 ／ すべての問題の解答・解説を無料で閲覧できます
GCP SECOPS-ENGINEER 問題集 おすすめの使い方
目次
Google Cloudのセキュリティオペレーションにおいて、複数のテレメトリソース（Security Command Center [SCC]、Google Security Operations [SecOps]、Google Threat Intelligence [GTI]、Cloud IDS）を統合して検知能力を強化する際、最も重視すべき設計上の考慮事項はどれか。
解答・解説を見る
正解: B. B. エンタープライズ環境内のインシデントや誤設定を検知できるよう、各テレメトリソースの優先順位を要件に基づいて決定する
正解の根拠・詳細解説
複数のテレメトリソースを統合する際は、それぞれが提供する可視性や検知範囲の違いを理解し、組織の要件（重大度・資産価値・脅威モデルなど）に基づいて優先順位を設定することが重要。優先順位付けを誤ると、重要な検知が埋もれたり、対応が遅れたりするリスクがある。
![Google Cloudのセキュリティオペレーションにおいて、複数のテレメトリソース（Security Command Center [SCC]、Google
の解説図](/diagrams/896adf8417350440.svg)
SCC・Google SecOps・GTI・Cloud IDSのように機能が重複するツールが複数導入されている場合、Security Operations Engineerが取るべき適切なアプローチはどれか。
解答・解説を見る
正解: B. B. 要件（カバレッジ・コスト・運用負荷など）に基づいて重複利用の妥当性を評価・正当化する
正解の根拠・詳細解説
機能が重複するツールが存在する場合でも、それぞれが異なる検知ロジックやデータソースを持つことで多層防御（ディフェンス・イン・デプス）に寄与する場合がある。単純な排除ではなく、要件に基づいた重複利用の正当化・評価が求められる。
既存の検知ツール群の有効性を評価し、カバレッジのギャップを特定する作業の目的として最も適切なものはどれか。
解答・解説を見る
正解: B. B. 潜在的な脅威を見逃さないよう、検知できていない領域（ギャップ）を可視化し対策につなげること
正解の根拠・詳細解説
既存ツールの有効性評価は、検知ロジックやログソースのカバレッジに穴がないかを確認し、見逃されている脅威やミスコンフィギュレーションを特定するために行う。これにより新たな検知ルールやツール導入の優先順位を決定できる。
既存の検知・対応プロセスを強化するために、自動化やクラウドベースのツールを評価する際の観点として適切なものはどれか。
解答・解説を見る
正解: C. C. 既存プロセスの効率・精度・対応速度を改善できるかを基準に評価する
正解の根拠・詳細解説
自動化や新しいクラウドベースのツールの評価は、既存の検知・対応プロセスのスピードや精度をどれだけ改善できるかという観点で行うべきであり、コストのみで判断するものではない。
SCCやGoogle SecOpsに対するユーザーおよびサービスアカウントの認証を設定する際、適切な方法はどれか。
解答・解説を見る
正解: B. B. Google Cloud IAMと統合された認証メカニズムを利用し、IDの検証を行う
正解の根拠・詳細解説
Google CloudのセキュリティツールはIAMと密接に統合されており、ユーザー・サービスアカウントの認証はIAMベースの仕組みを通じて行うのが標準的な構成。これにより一元的なID管理とアクセス制御が可能になる。
Google SecOpsの特定機能（例：検出ルール作成、SOARプレイブック実行）へのアクセスを制御する場合、用いるべき仕組みはどれか。
解答・解説を見る
正解: A. A. IAMロールとパーミッションによる機能単位のアクセス権限設定
正解の根拠・詳細解説
機能アクセスの認可（オーソリゼーション）はIAMロールとパーミッションを通じて細かく制御する。最小権限の原則に基づき、ユーザーごとに必要な機能のみへのアクセスを許可することが推奨される。
Google SecOps内の特定のデータ（例：特定の顧客や部門のログ）へのアクセスをユーザー単位で制限したい場合、最も適切な手段はどれか。
解答・解説を見る
正解: A. A. データアクセス用のIAMロール・パーミッションを設計し、データスコープに応じた権限を付与する
正解の根拠・詳細解説
データアクセスの認可もIAMロール・パーミッションの設計によって実現する。ユーザー認証だけでなく、どのデータ（リソーススコープ）にアクセスできるかを明確に定義することが重要。
Cloud Audit Logsやデータアクセスログをセキュリティソリューションのために構成・分析する目的として最も適切なものはどれか。
解答・解説を見る
正解: B. B. 誰が・いつ・どのリソースに対してどの操作を行ったかを追跡し、不正アクセスや設定変更を検知すること
正解の根拠・詳細解説
Cloud Audit Logsは管理アクティビティやデータアクセスの記録を提供し、誰がどのような操作を行ったかを追跡できる。これはセキュリティインシデントの調査や異常なアクセスパターンの検知に不可欠。
Google SecOpsやSCCなどのセキュリティツール内で自動化（オートメーション）を行うためのAPIアクセスを構成する際、適切な認証手段はどれか。
解答・解説を見る
正解: A. A. サービスアカウントやAPIキーを用いてプログラムによるアクセスを構成する
正解の根拠・詳細解説
自動化のためのAPIアクセスは、サービスアカウントやAPIキーといった非対話型の認証情報を用いて構成するのが標準的な方法であり、IAMによる権限管理と組み合わせて安全に運用する。
Workforce Identity Federationを用いてセキュリティツールへのIDをプロビジョニングする主な目的はどれか。
解答・解説を見る
正解: A. A. 既存の外部ID プロバイダ（IdP）の認証情報を使ってGoogle Cloudリソースへ安全にアクセスできるようにすること
正解の根拠・詳細解説
Workforce Identity Federationは、組織が既に利用している外部IdP（オンプレミスADやサードパーティIdPなど）のIDを使い、サービスアカウントキーを発行せずにGoogle Cloudリソースへ安全にフェデレーションアクセスできる仕組み。
SCCとGoogle SecOpsを組み合わせて検知アーキテクチャを設計する際、ダウンストリームのサードパーティシステムとの統合を検討する理由として適切なものはどれか。
解答・解説を見る
正解: A. A. 既存のセキュリティ運用フロー（チケット管理・通知など）とシームレスに連携させ、対応の自動化・効率化を図るため
正解の根拠・詳細解説
既存の運用フロー（ITSM、チャットツール、SOARなど）とセキュリティツールを統合することで、アラートのトリアージや対応の自動化を効率化できる。これは検知アーキテクチャ設計における重要な考慮点。
ユーザーおよびサービスアカウントの認証・認可をSCCやGoogle SecOpsに構成する際、最小権限の原則を適用する理由として最も適切なものはどれか。
解答・解説を見る
正解: B. B. 必要最小限の権限のみを付与することで、誤操作や侵害時の影響範囲を最小化するため
正解の根拠・詳細解説
最小権限の原則（Principle of Least Privilege）は、アカウントが侵害された場合の被害範囲を限定し、内部の誤操作リスクも低減する。セキュリティツールへのアクセス権限設計においても基本原則となる。
複数のセキュリティツール（SCC、Google SecOps、GTIなど）を統合する際に「検知能力の強化」を評価する観点として適切でないものはどれか。
解答・解説を見る
正解: C. C. 各ツールのUIの配色デザインの好み
正解の根拠・詳細解説
検知能力強化の評価は、カバレッジのギャップ、コンテキストの強化、誤検知・見逃し率といった実質的な効果に基づいて行うべきであり、UIデザインの好みのような表層的な要素は評価基準として適切ではない。
Cloud IDSをGTIやSCCと併用する場合に得られる主なメリットはどれか。
解答・解説を見る
正解: A. A. ネットワークレベルの侵入検知情報を、脆弱性・脅威インテリジェンス情報と組み合わせて多角的に脅威を評価できる
正解の根拠・詳細解説
Cloud IDSはネットワークトラフィックの侵入検知に特化しており、GTIの脅威インテリジェンスやSCCのポスチャー情報と組み合わせることで、単一ツールでは得られない多角的な脅威評価が可能になる。
セキュリティツールへのAPIアクセスにおいて、サービスアカウントのパーミッションを設計する際に避けるべき設定はどれか。
解答・解説を見る
正解: B. B. プロジェクト全体に対するOwner権限の安易な付与
正解の根拠・詳細解説
プロジェクト全体に対するOwner権限のような過剰な権限をサービスアカウントに付与すると、侵害時の被害が拡大するリスクが非常に高い。タスクに応じた最小限のカスタムロールを設計するのが望ましい。
Google SecOpsで複数の分析者（アナリスト）が異なる権限レベルでツールを利用する必要がある場合、適切な設計はどれか。
解答・解説を見る
正解: B. B. 分析者の役割（トリアージ担当・上級アナリスト・管理者など）に応じたIAMロールを個別に設計する
正解の根拠・詳細解説
役割に応じたIAMロール設計（ロールベースアクセス制御）により、各分析者が必要な機能・データにのみアクセスできるようにする。運用ルールのみに依存する権限管理は技術的な強制力がなく不十分。
SCCのテレメトリとGoogle SecOpsのテレメトリを比較した際、Security Operations Engineerが優先順位を決定する上で参照すべき情報はどれか。
解答・解説を見る
正解: B. B. 組織の脅威モデル・資産の重要度・過去のインシデント傾向などのコンテキスト情報
正解の根拠・詳細解説
Security Command Centerはクラウド資産の設定ミスや脆弱性といったポスチャ寄りの情報を、Google SecOpsは各種ログを取り込んで検知・調査・対応を行うSIEM寄りの情報を扱い、両者のテレメトリは一部重複しつつ互いを補完します。どちらの情報を優先して取り込み、アラートとして扱うかを決めるには、組織固有の文脈が判断材料になります。すなわち、どの資産が侵害されると事業影響が大きいかという資産の重要度、自組織が想定する脅威モデル、そして過去のインシデントで実際に悪用された侵入経路です。これらをMITRE ATT&CKなどのフレームワークに当てはめ、関連する攻撃手法をどのログでカバーできているかを可視化すれば、検知の穴を優先的に埋められます。ライセンス価格やリリース時期、ベンダー資料は補助的な材料にすぎず、それだけを根拠に優先順位を決めると重要な可視性を欠いた運用になります。
Google SecOpsへログを取り込む（インジェスト）アプローチを決定する際、最初に検討すべき事項はどれか。
解答・解説を見る
正解: B. B. 検知・対応の目的に必要なログソースと、それに適したインジェスト方式（API・フォワーダー・フィードなど）を特定する
正解の根拠・詳細解説
インジェストアプローチの決定では、まず検知・対応に必要なログソースを特定し、それぞれに適した取り込み方式（クラウドAPI連携、フォワーダー経由、サードパーティフィードなど）を選定することが出発点となる。
Google SecOpsでログのインジェストツールや機能を構成する作業に含まれるものはどれか。
解答・解説を見る
正解: A. A. フィードの設定、フォワーダーの構成、取り込み対象ログタイプの指定
正解の根拠・詳細解説
インジェストツール・機能の構成には、データフィードの設定、フォワーダーのデプロイ・構成、取り込み対象とするログタイプの指定などが含まれる。
検知・対応のために必要なログを評価する際、SCC Event Threat Detectionのような自動化されたソースを考慮する理由はどれか。
解答・解説を見る
正解: B. B. 必要なログ・検知ソースの全体像を把握し、カバレッジの抜けを防ぐため
正解の根拠・詳細解説
SCC Event Threat Detectionのような自動検知機能がどのログソースを利用しているかを把握することで、必要なログ全体のカバレッジを評価し、抜け漏れを防ぐことができる。
Google SecOpsにおいてパーサー（Parser）の役割として正しいものはどれか。
解答・解説を見る
正解: A. A. 生ログデータを正規化されたUDM（統一データモデル）形式に変換する
正解の根拠・詳細解説
パーサーは多様な形式の生ログを、Google SecOpsが検知・分析に利用する統一データモデル（UDM: Unified Data Model）形式へ変換する役割を持つ。これにより異なるソースのログを一貫した形式で扱える。
Google SecOpsで既存のパーサーがログソースに対応していない、または出力が不十分な場合に取るべき対応はどれか。
解答・解説を見る
正解: B. B. パーサーの修正（カスタムパーサー）や拡張を構成し、適切にフィールドを抽出・正規化する
正解の根拠・詳細解説
既存パーサーが不十分な場合は、カスタムパーサーの作成やパーサー拡張（CBN: Conditional Based Normalization等）を構成して、必要なフィールドが正しく抽出・正規化されるようにする。
データ正規化（normalization）技術をログソースに対して評価する目的として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 異なるソースのログを統一フィールド名・形式で扱えるようにし、検知ルールやクエリの一貫性を確保するため
正解の根拠・詳細解説
正規化により、異なるベンダー・形式のログでも統一されたフィールド（UDM）で扱えるようになり、検知ルール（YARA-Lなど）やハンティングクエリを横断的かつ一貫して適用できるようになる。
インジェストする新しいログソースに対して「新しいラベル」を評価・設定する目的はどれか。
解答・解説を見る
正解: A. A. ログソースの分類・フィルタリングやアクセス制御をしやすくするため
正解の根拠・詳細解説
ログソースや取り込みデータにラベルを付与することで、データの分類・フィルタリング・アクセス制御・コスト管理などの運用をしやすくする。新規ログソース追加時はラベル設計の評価が必要。
Google SecOpsのログ・インジェストコストを管理する上で重要な観点はどれか。
解答・解説を見る
正解: B. B. 検知・対応に必要な価値の高いログを優先し、不要な低価値ログの取り込み量を最適化する
正解の根拠・詳細解説
ログ・インジェストコストの管理では、検知や調査における価値の高いログを優先的に取り込み、価値の低い冗長なログの取り込み量を最適化することがコストと検知効果のバランスを取る上で重要。
エンタープライズ環境における脅威インテリジェンス情報を特定する際、考慮すべき点として適切なものはどれか。
解答・解説を見る
正解: B. B. 組織の資産・業界・地域に関連性の高い脅威インテリジェンスを特定し、検知やハンティングに活用する
正解の根拠・詳細解説
組織にとって関連性の高い脅威インテリジェンス（業界特有の攻撃者・地域特有の脅威など）を特定し、優先的に検知ルールやハンティングクエリに反映することが効果的な脅威対応につながる。
イベントデータとエンティティデータのログソースを区別する際、それぞれの代表例として正しい組み合わせはどれか。
解答・解説を見る
正解: A. A. イベントデータ＝Cloud Audit Logs（操作の記録）、エンティティデータ＝Active Directoryの組織コンテキスト（ユーザー・資産の属性情報）
正解の根拠・詳細解説
イベントデータは「何が起きたか」を記録するログ（例: Cloud Audit Logsの操作記録）であり、エンティティデータは「誰が・何が」に関するコンテキスト情報（例: Active Directoryのユーザー・グループ属性）を指す。両者を区別して扱うことが正確な分析の前提となる。
エンティティデータのエンリッチメント（拡充）のために、エイリアシングフィールドを用いてイベントデータとエンティティデータのマッチを評価する目的はどれか。
解答・解説を見る
正解: A. A. 同一のユーザーや資産を異なるログソース間で正しく関連付け、コンテキストを付加した分析を可能にするため
正解の根拠・詳細解説
エイリアシングフィールド（ユーザー名・メールアドレス・ホスト名など）を使って異なるログソース間で同一のエンティティを正しく関連付けることで、イベントにユーザー・資産のコンテキストを付加し、より精度の高い分析・検知を実現できる。
Google SecOpsにおける「コンテキストの基準値（ベースライン）」を確立する作業の目的はどれか。
解答・解説を見る
正解: A. A. ユーザー・資産・エンティティの通常の振る舞いを把握し、異常検知の比較対象を作ること
正解の根拠・詳細解説
ユーザー・資産・エンティティの通常時の振る舞い（ベースライン）を把握することで、それと異なる異常な振る舞いを効果的に検知できるようになる。これは脅威ハンティングや検知エンジニアリングの基礎となる。
ログインジェストのコスト最適化と検知カバレッジの両立を図る際、避けるべきアプローチはどれか。
解答・解説を見る
正解: A. A. コストのみを最優先し、重要な検知ソースのログ取り込みを安易に停止する
正解の根拠・詳細解説
コスト最適化において、検知への寄与度が高い重要なログソースの取り込みを単純にコスト理由だけで停止すると、検知カバレッジに重大な穴が生じるリスクがある。価値とコストの両面から検討すべき。
Google SecOpsのUDM（Unified Data Model）にログを正規化するメリットとして適切なものはどれか。
解答・解説を見る
正解: A. A. 異なるベンダー・フォーマットのログを統一スキーマで横断検索・分析できるようになる
正解の根拠・詳細解説
UDMへの正規化により、ファイアウォール・EDR・クラウドサービスなど異なるベンダー・フォーマットのログを統一されたフィールド体系で扱えるようになり、横断的な検索・分析・検知ルールの適用が容易になる。
新たに追加するログソースのパーサー出力を評価する際、確認すべき重要なポイントはどれか。
解答・解説を見る
正解: A. A. UDMの必須フィールド（イベントタイムスタンプ、プリンシパル、ターゲットなど）が正しく抽出・マッピングされているか
正解の根拠・詳細解説
パーサー出力評価では、UDMの必須フィールド（タイムスタンプ、プリンシパル、ターゲットエンティティなど）が正しく抽出・マッピングされているかを確認することが重要。マッピングが不正確だと検知ルールが正しく機能しない。
脅威インテリジェンス（GTIなど）から得られる情報を、エンティティのコンテキストデータと組み合わせて活用する利点はどれか。
解答・解説を見る
正解: A. A. 既知の悪性IOCと内部の資産・ユーザー情報を関連付けることで、より精度の高いリスク評価が可能になる
正解の根拠・詳細解説
GTIなどの脅威インテリジェンスが提供する既知の悪性IOC（IP・ドメイン・ハッシュ等）と、内部の資産・ユーザーコンテキストデータを組み合わせることで、検知の精度とリスク評価の妥当性を高めることができる。
ログ管理におけるコスト管理の一環として、保持期間（リテンション）の設定を検討する際の適切な考え方はどれか。
解答・解説を見る
正解: A. A. コンプライアンス要件・調査に必要な期間・コストのバランスを踏まえて保持期間を設計する
正解の根拠・詳細解説
ログの保持期間は、規制やコンプライアンス要件、調査に必要な期間、そしてコストという三つの制約のバランスで設計します。まず規制面では、たとえばPCI DSSのように監査ログを一定期間以上保持することを求める基準があり、業界や社内ポリシーによって下限が決まります。次に調査面では、侵入から検知までの滞留期間が数か月に及ぶ事例も珍しくないため、極端に短い保持期間にすると、侵害が判明したときに初期侵入の痕跡がすでに消えていて全容を追えなくなります。一方でログ量は多く、保持期間の延長はそのままストレージ費用に跳ね返ります。そこで、認証・監査・エンドポイントの実行ログなど調査価値が高いものは長期保持し、量の多いフローログやプロキシログは検索可能な期間を短くして以降は安価なコールドストレージへ退避する、といった種類ごとの階層化が現実的です。一律の設定や法務任せは適切ではありません。
脅威ハンティングにおいて、環境内のログを横断的に検索し異常な振る舞いを特定するためのクエリを開発する際、最も重要な前提となるものはどれか。
解答・解説を見る
正解: A. A. 仮説（ハイポセシス）を立て、それを検証するための具体的なクエリ条件を設計すること
正解の根拠・詳細解説
効果的な脅威ハンティングは、明確な仮説（例：特定の攻撃手法が環境内に存在するか）を立てたうえで、それを検証するクエリを設計するプロセスから始まる。仮説のないクエリは網羅性も効率も低くなる。
ユーザーの振る舞いを分析して異常なアクティビティを特定する脅威ハンティング手法において、注目すべき典型的な指標はどれか。
解答・解説を見る
正解: A. A. 通常と異なる時間帯・地理的位置からのログイン、通常アクセスしないリソースへの異常なアクセスパターン
正解の根拠・詳細解説
ユーザー行動分析（UBA）では、通常の活動パターンから外れた時間帯・地理的位置でのログインや、普段アクセスしないリソースへの異常なアクセスなどを指標として、内部不正や侵害された認証情報の悪用を検知する。
Logs Explorer・Log Analytics・BigQuery・Google SecOpsを用いてネットワーク・エンドポイント・サービスを調査し、脅威パターンやIOCを特定する際の進め方として適切なものはどれか。
解答・解説を見る
正解: A. A. 各ツールの特性（リアルタイム検索・大規模分析・SQLクエリ等）を組み合わせ、調査対象に応じて適切なツールを選択する
正解の根拠・詳細解説
Logs Explorerは即時のログ検索、Log Analyticsは大規模なログのSQL分析、BigQueryは大量データの複雑な分析、Google SecOpsは横断的な脅威ハンティングに強みがある。調査内容に応じてこれらを適切に組み合わせることが重要。
インシデントレスポンスチームと協力してアクティブな脅威を環境内で特定する脅威ハンティング活動の利点はどれか。
解答・解説を見る
正解: A. A. IRチームが持つ進行中のインシデント情報を踏まえ、関連する未発見の脅威を効率的に発見できる
正解の根拠・詳細解説
進行中または過去のインシデント情報を持つIRチームと連携することで、同様の攻撃手法を使った未発見の侵害（横展開や別エンドポイントへの感染など）を効率的に発見できる可能性が高まる。
振る舞い・脅威インテリジェンス・ポスチャー・インシデントデータ（SCC、GTI）に基づいて仮説を立てる脅威ハンティングアプローチの説明として正しいものはどれか。
解答・解説を見る
正解: A. A. 仮説駆動型ハンティング（Hypothesis-driven hunting）であり、根拠に基づいた検索範囲の絞り込みを行う
正解の根拠・詳細解説
仮説駆動型ハンティングは、脆弱性情報・脅威インテリジェンス・過去のインシデントデータなどの根拠に基づいて「このような攻撃が存在する可能性がある」という仮説を立て、それを効率的に検証するアプローチ。
既知のIOC（侵害指標）を過去のログ（historical logs）に対して検索する作業の主な目的はどれか。
解答・解説を見る
正解: A. A. 新たに判明した脅威が過去にも環境内に存在していたかを確認すること
正解の根拠・詳細解説
新たに判明したIOC（悪性IP・ハッシュ・ドメインなど）を過去のログに対して検索することで、その脅威がすでに環境内に侵入していなかったかを後追いで確認できる。これは「振り返り検索」とも呼ばれる重要な活動。
GTI・検出ルール・SCCの「トキシックコンビネーション（toxic combinations）」を活用して新しい攻撃パターンをリアルタイムに特定する際の考え方として適切なものはどれか。
解答・解説を見る
正解: A. A. 単独では低リスクに見える複数の設定・脆弱性が組み合わさることで重大なリスクとなるケースを検出・評価する
正解の根拠・詳細解説
トキシックコンビネーションとは、個別には深刻でない複数のリスク要因（例：パブリックに公開された脆弱なVMに過剰な権限が付与されている等）が組み合わさることで重大なリスクとなる状態を指し、SCCはこれを検出する機能を持つ。
エンティティのリスクスコアを分析して異常な振る舞いを特定する手法の利点はどれか。
解答・解説を見る
正解: A. A. 複数の異常な振る舞いシグナルを単一のスコアに集約し、優先的に調査すべきエンティティを効率的に特定できる
正解の根拠・詳細解説
エンティティ（ユーザーや資産）のリスクスコアは複数の異常シグナルを集約した指標であり、スコアが高いエンティティを優先的に調査することで、限られたリソースの中で効率的に脅威ハンティングを行うことができる。
新たにエンリッチされたログデータを用いて過去のイベントデータと比較し「レトロハント（retrohunt）」を実行する目的はどれか。
解答・解説を見る
正解: A. A. 新しい検知ルールや脅威インテリジェンスを過去のデータに適用し、これまで見逃していた脅威を遡って発見すること
正解の根拠・詳細解説
レトロハントとは、新しく作成された検知ルールや新たに得られた脅威インテリジェンスを過去に取り込んだログデータに対して適用し、それまで検知できていなかった脅威を遡って発見するプロセス。Google SecOpsのルールエンジンやBigQueryで実行できる。
脅威インテリジェンス（GTI、検出ルール）を用いて、まだ発見されていない潜在的な脅威をプロアクティブに（事前に）探索する活動の特徴はどれか。
解答・解説を見る
正解: A. A. アラートの発生を待つのではなく、能動的に環境内を調査して脅威の存在を確認しようとする
正解の根拠・詳細解説
プロアクティブな脅威ハンティングは、既存のアラートを待つリアクティブな対応とは異なり、脅威インテリジェンスや仮説に基づいて能動的に環境内を調査し、まだ検知されていない脅威の存在を確認しようとする活動。
BigQueryを用いた大規模ログデータに対する脅威ハンティングの利点として適切なものはどれか。
解答・解説を見る
正解: A. A. SQLクエリを使って大量のログデータを横断的・高速に分析し、複雑な相関パターンを発見できる
正解の根拠・詳細解説
BigQueryはペタバイト規模のデータに対してSQLクエリで高速に分析できるため、Google SecOpsだけでは扱いにくい複雑な相関分析や長期間にわたる傾向分析を行う際の脅威ハンティングに有効。
YARA-Lを用いた脅威ハンティングクエリの特徴として正しいものはどれか。
解答・解説を見る
正解: A. A. UDM形式に正規化されたログに対してルールベースのパターンマッチングを行うGoogle SecOps独自の言語である
正解の根拠・詳細解説
YARA-LはGoogle SecOps（旧Chronicle）で使用される、UDMに正規化されたログデータに対してルールベースの検知・ハンティングクエリを記述するための独自言語であり、検出エンジニアリングとハンティングの両方で利用される。
異常なユーザー行動の調査において「ピアグループ分析」（同じ役割や部署のユーザー群と比較する手法）を用いる利点はどれか。
解答・解説を見る
正解: A. A. 個人の行動を画一的な閾値ではなく、同じ役割を持つ集団の典型的な行動と比較することで、より精度の高い異常検知ができる
正解の根拠・詳細解説
同じ役割・部署のユーザー群（ピアグループ）の典型的な行動パターンと比較することで、画一的な閾値よりも精度の高い異常検知が可能になる。例えば「営業部門の通常のアクセス範囲」を基準に外れ値を検出する。
エンドポイントの調査において、Indicators of Compromise（IOC）に基づいて脅威の痕跡を特定する際の典型的な調査対象はどれか。
解答・解説を見る
正解: A. A. 不審なプロセス実行履歴、レジストリの変更、ファイルハッシュ、通信先IPアドレス
正解の根拠・詳細解説
エンドポイント調査では、不審なプロセスの実行履歴、レジストリ変更、ファイルハッシュ、外部との通信先IPアドレスなど、攻撃の痕跡（IOC）となりうる技術的な証跡を中心に調査を行う。
ネットワークレベルでの脅威ハンティングにおいて、横展開（ラテラルムーブメント）の痕跡を特定するために確認すべきログはどれか。
解答・解説を見る
正解: A. A. 内部ネットワーク間（east-west）の通信ログや、通常と異なるポート・プロトコルでの内部通信記録
正解の根拠・詳細解説
横展開（ラテラルムーブメント）は内部ネットワーク間の通信を通じて行われることが多いため、east-west方向の通信ログや、通常使われないポート・プロトコルでの内部通信を確認することが重要な脅威ハンティングの手法となる。
脅威ハンティングのクエリ結果から得られた新たな知見（攻撃パターン等）を、その後の活動にどのように活かすべきか。
解答・解説を見る
正解: A. A. 新たな検出ルールとして体系化し、将来同様の脅威が発生した際に自動検知できるようにフィードバックする
正解の根拠・詳細解説
脅威ハンティングで発見した新しい攻撃パターンやIOCは、単発の調査で終わらせず、検出エンジニアリングにフィードバックして新たな検知ルールとして体系化することで、将来の同様の脅威に対する自動検知能力を向上させる。
GTI（Google Threat Intelligence）が提供する情報を脅威ハンティングに活用する際の典型的な使い方はどれか。
解答・解説を見る
正解: A. A. 最新の攻撃者グループのTTP（戦術・技術・手順）や悪性インジケーターを参照し、自組織の環境に該当する痕跡があるか検索する
正解の根拠・詳細解説
GTIは攻撃者グループのTTPや最新の悪性インジケーター（マルウェアハッシュ・C2サーバーのIP等）を提供し、これらを基にハンターは自組織の環境内に該当する痕跡が存在しないかを能動的に検索する。
サービス（アプリケーション）レベルでの脅威調査において、典型的な確認対象はどれか。
解答・解説を見る
正解: A. A. APIの異常な呼び出しパターン、認証失敗の急増、想定外のデータエクスポート
正解の根拠・詳細解説
サービスレベルの調査では、APIの異常な呼び出しパターン（通常より高頻度・異常なエンドポイントへのアクセスなど）、認証失敗の急増、想定外の大量データエクスポートなどを確認し、不正利用やデータ持ち出しの兆候を探る。
複数の脅威ハンティングクエリを定期的（継続的）に実行する「継続的ハンティング」の利点はどれか。
解答・解説を見る
正解: A. A. 新たな脅威インテリジェンスや環境の変化に対応し、過去には検出できなかった脅威を継続的に発見できる
正解の根拠・詳細解説
脅威環境やインテリジェンスは常に変化するため、ハンティングクエリを定期的に見直し継続的に実行することで、過去のスナップショットでは検出できなかった新たな脅威を発見し続けることができる。
脅威ハンティングの結果、誤検知（フォールスポジティブ）と判断されたケースを蓄積・分析する目的はどれか。
解答・解説を見る
正解: A. A. 将来の検知ルールやハンティングクエリの精度を改善するためのフィードバックとして活用する
正解の根拠・詳細解説
誤検知として判断されたケースを蓄積・分析することで、なぜ誤検知が発生したのかを理解し、将来の検知ルールやハンティングクエリのチューニングに活かすことができ、ハンティング活動全体の精度向上につながる。
脅威ハンティングにおいて、SCCのポスチャー管理情報（セキュリティ態勢の変化）を仮説立案に活用する理由はどれか。
解答・解説を見る
正解: A. A. 設定変更やポスチャーの悪化が攻撃者にとって新たな侵入経路となる可能性があるため、それを起点に脅威の存在を仮定できる
正解の根拠・詳細解説
セキュリティポスチャーの変化（例：新たに公開設定になったストレージバケット等）は新しい攻撃経路を生み出す可能性があるため、SCCのポスチャー管理情報を仮説立案の起点として活用することで、効果的な脅威ハンティングが行える。
複数のデータソース（ネットワーク・エンドポイント・クラウドサービスログ）を横断して脅威ハンティングを行う際の最大の課題はどれか。
解答・解説を見る
正解: A. A. 異なるソースのデータを正規化し、一貫したコンテキストで相関分析を行うこと
正解の根拠・詳細解説
複数のデータソースを横断する脅威ハンティングでは、各ソースのフォーマットやコンテキストが異なるため、正規化（UDM等）を通じて一貫した形式で相関分析できるようにすることが最大の技術的課題となる。
脅威ハンターが「低頻度（low prevalence）」のプロセスやドメインに注目する理由はどれか。
解答・解説を見る
正解: A. A. 環境内で稀にしか出現しないものは、未知の脅威や標的型攻撃の兆候である可能性が高いため
正解の根拠・詳細解説
通常の業務環境では、同じ実行ファイルや管理ツール、接続先ホスト名が多数の端末で繰り返し観測されます。逆に組織全体を見渡して一台か二台にしか現れない実行ファイル、見慣れない親子プロセスの組み合わせ、ほとんど通信実績のない接続先は、攻撃者が持ち込んだツールやC2インフラ、あるいは標的型攻撃のために用意された使い捨ての資産である可能性があります。攻撃者は検知を避けるためにハッシュを変えたり専用インフラを用意したりするため、既知の脅威インテリジェンスには載らず、シグネチャでは捕捉できません。出現頻度という母集団の統計から外れ値を抽出するこの手法は、そうした未知の要素を炙り出すのに有効です。ただし出現頻度が低いこと自体は悪性の証拠ではなく、新しく導入されたソフトウェアや一部部署だけの業務ツールも該当します。資産情報や利用者の業務文脈と突き合わせてトリアージすることが前提になります。
検知エンジニアリングにおいて、脅威インテリジェンスをユーザー・資産のアクティビティと「リコンサイル（reconcile・突き合わせ）」する目的はどれか。
解答・解説を見る
正解: A. A. 既知の悪性インジケーターが実際の環境内アクティビティと一致するかを確認し、実害の有無を判断するため
正解の根拠・詳細解説
脅威インテリジェンス（既知の悪性IPやドメインなど）を実際の環境内アクティビティと突き合わせることで、その脅威が組織に実際に影響を及ぼしているかどうかを判断し、優先的に対応すべき脅威を特定できる。
ログとイベントを分析して異常なアクティビティを識別する検知エンジニアリング作業の基本的な進め方はどれか。
解答・解説を見る
正解: A. A. 正常なベースラインからの統計的・ルールベースの逸脱を見つけ、その逸脱が脅威を示すものかを評価する
正解の根拠・詳細解説
異常検知の基本は、正常時のベースラインからの逸脱（統計的・ルールベース）を見つけ出し、その逸脱が実際にセキュリティ上の脅威を示しているかどうかを評価するプロセスである。
様々なタイムライン（時系列）にわたって検出ルールと検索を組み合わせ、疑わしい振る舞いパターンを評価する利点はどれか。
解答・解説を見る
正解: A. A. 単発のイベントでは見えない、時間をかけて行われる低速・分散型の攻撃手法（low and slow）を発見できる
正解の根拠・詳細解説
複数のタイムラインにわたって検出ルールと検索を組み合わせることで、単発のイベントでは検知が難しい「低速かつ持続的な攻撃（low and slow attack）」のような時間をかけた攻撃パターンを発見しやすくなる。
Google SecOpsのリファレンスリスト（reference lists）を用いてリスク値ベースの検出ルールを設計する際の利点はどれか。
解答・解説を見る
正解: A. A. 既知の悪性インジケーターや高リスクなエンティティのリストを検出ルールに動的に組み込み、リスクプロファイルに合致する脅威を効率的に識別できる
正解の根拠・詳細解説
リファレンスリストは既知の悪性IPやドメイン、高リスクユーザーのリストなどを動的に保持し、検出ルールから参照することで、リスクプロファイルに合致するアクティビティを効率的に検出できるようにする仕組み。
Google SecOpsのRisk Analytics機能やキュレーションされた検出ルールを用いて、資産やユーザーの異常な振る舞いにリスク値を割り当てる目的はどれか。
解答・解説を見る
正解: A. A. 複数の異常シグナルを定量化・集約し、優先的に対応すべき高リスクなエンティティを明確にするため
正解の根拠・詳細解説
Risk Analyticsやキュレーション済み検出ルールにより異常な振る舞いに定量的なリスク値を割り当てることで、多数のアラートの中から優先的に対応すべき高リスクなエンティティを明確にトリアージできる。
SCC Security Health Analytics（SHA）やSCCポスチャー管理を用いて、環境内のポスチャーやリスクプロファイルの変化を検出するルールを設計する目的はどれか。
解答・解説を見る
正解: A. A. 設定変更や構成のドリフトが新たな攻撃経路を生み出していないかを継続的に監視するため
正解の根拠・詳細解説
SCC Security Health Analyticsやポスチャー管理は、誤設定やセキュリティ態勢の劣化（パブリック公開設定への変更等）を検出するための仕組みであり、これらの変化が新たな攻撃経路を生み出していないかを継続的に監視する検出ルール設計に活用される。
既知の脅威インテリジェンスソースに登場しない「低頻度（low prevalence）」のプロセス・ドメイン・IPアドレスを識別する手法として、YARA-Lルールを用いる利点はどれか。
解答・解説を見る
正解: A. A. UDM正規化済みのログ全体を対象に、出現頻度や特定の条件に基づくカスタムロジックを記述して未知の脅威候補を抽出できる
正解の根拠・詳細解説
YARA-Lルールを用いることで、UDMに正規化されたログ全体に対して出現頻度や条件付きロジックをカスタムで記述し、既知の脅威インテリジェンスには載っていない未知・低頻度の脅威候補を抽出するルールを構築できる。
検出ルールの精度を改善するために、エンティティ・コンテキストデータ（Google SecOpsのエンティティグラフ）を活用する目的はどれか。
解答・解説を見る
正解: A. A. 単純なIOCマッチだけでなく、エンティティ間の関係性やコンテキストを踏まえた高精度な検出を実現するため
正解の根拠・詳細解説
エンティティグラフはユーザー・資産・IPなどの関係性をグラフ構造で表現するもので、単純なIOCマッチに加えてエンティティ間の関連性やコンテキストを踏まえることで、誤検知を減らし精度の高い検出ルールを設計できる。
SCC Event Threat Detectionでカスタム検出器（custom detectors）をIOC向けに構成する目的はどれか。
解答・解説を見る
正解: A. A. 組織固有の脅威やIOCに対応した検出ロジックを、標準のビルトイン検出機能に加えて追加するため
正解の根拠・詳細解説
SCC Event Threat Detectionの標準的なビルトイン検出機能では対応しきれない、組織固有の脅威やカスタムIOCに対応するために、カスタム検出器を構成して検出ロジックを拡張する。
アラートをIOCのリスクレベルに基づいてスコアリングする目的はどれか。
解答・解説を見る
正解: A. A. 多数のアラートの中から優先的に対応すべき重要なものを効率的にトリアージするため
正解の根拠・詳細解説
IOCのリスクレベル（悪性の確度・深刻度）に基づいてアラートをスコアリングすることで、アナリストは多数のアラートの中から優先的に対応すべき重要な事案を効率的に特定できるようになる。
最新のIOCを用いて、すでに取り込まれているセキュリティテレメトリ内を検索する活動の目的はどれか。
解答・解説を見る
正解: A. A. 新たに判明した脅威が、過去に取り込んだログの中に既に存在していないかを確認するため
正解の根拠・詳細解説
新しいIOC（悪性ハッシュ・IP・ドメイン等）が判明した際、それを既に取り込まれているテレメトリ（過去ログ）に対して検索することで、その脅威が既に環境内に侵入していなかったかを後追いで確認できる。
繰り返し発生するアラート（repetitive alerts）の頻度を測定し、誤検知（フォールスポジティブ）を識別・低減する目的はどれか。
解答・解説を見る
正解: A. A. 分析者のアラート疲れ（アラートフェイティーグ）を軽減し、本当に重要なアラートへの対応リソースを確保するため
正解の根拠・詳細解説
同じ理由で繰り返し発生するアラートの頻度を測定し誤検知を特定・チューニングすることで、アラートフェイティーグ（アラート疲れ）を軽減し、本当に重要なアラートへの対応リソースを確保できる。
検出ルールの「カバレッジマッピング」（MITRE ATT&CKなどのフレームワークと検出ルールを対応付ける作業）を行う目的はどれか。
解答・解説を見る
正解: A. A. 既知の攻撃戦術・技術に対してどの程度検出ルールでカバーできているかを可視化し、ギャップを特定するため
正解の根拠・詳細解説
MITRE ATT&CKのようなフレームワークと検出ルールを対応付けることで、組織がどの攻撃戦術・技術をカバーできているか、またどこにギャップがあるかを可視化し、優先的に強化すべき検出ルールを特定できる。
検出ルールのチューニング（誤検知率の調整）を継続的に行う理由として最も適切なものはどれか。
解答・解説を見る
正解: A. A. 環境の変化や新しい正常な業務パターンの出現により、検出ルールの精度が時間とともに劣化するため
正解の根拠・詳細解説
組織の環境（新しいアプリケーションの導入、業務プロセスの変化など）は時間とともに変化するため、検出ルールも定期的にチューニングしないと誤検知率が上昇し、検出精度が劣化していく。
検出ルールで「リスクプロファイルに合致する脅威」を識別する際、単純なシグネチャマッチと比較した利点はどれか。
解答・解説を見る
正解: A. A. 既知のシグネチャに合致しない未知の脅威でも、振る舞いやコンテキストに基づいてリスクが高いと判断できる
正解の根拠・詳細解説
シグネチャマッチは既知の脅威パターンにしか対応できないが、リスクプロファイルに基づく検出は振る舞いやコンテキスト情報を組み合わせるため、未知の脅威やゼロデイ攻撃の兆候も検知できる可能性が高くなる。
SCC Event Threat DetectionとGoogle SecOpsの検出ルールを組み合わせて運用するメリットはどれか。
解答・解説を見る
正解: A. A. クラウドリソースレベルの脅威検知（SCC）と、ログ全体を横断したカスタム検出（SecOps）を組み合わせ、検知範囲を補完的に拡大できる
正解の根拠・詳細解説
SCC Event Threat Detectionはクラウドリソースレベルの組み込み検知に強く、Google SecOpsはログ全体を横断したカスタムYARA-Lルールによる検知に強い。両者を組み合わせることで検知範囲を補完的に拡大できる。
検出エンジニアリングにおける「ホワイトリスト（許可リスト）」の運用上の注意点はどれか。
解答・解説を見る
正解: A. A. 許可リストの項目が古くなったまま放置されると、攻撃者がその許可された経路を悪用するリスクが生じるため定期的な見直しが必要
正解の根拠・詳細解説
許可リスト（ホワイトリスト）に登録された正当な通信元や業務プロセスが、後に侵害されたり悪用されたりするケースがあるため、定期的に許可リストの内容が今も妥当かを見直すことが検出エンジニアリングの運用上重要。
異常検知に統計的手法（例：標準偏差や移動平均からの逸脱）を用いる検出ルールの限界として理解しておくべき点はどれか。
解答・解説を見る
正解: A. A. 季節性や業務サイクルの変動を考慮しないと、正常な変動を異常として誤検知するリスクがある
正解の根拠・詳細解説
統計的な異常検知は、月末・四半期末などの季節性や通常の業務サイクルによる変動を考慮しないと、正常な業務パターンの変化を誤って異常と判定してしまうリスクがある。ベースラインの設計には十分な期間とコンテキストが必要。
検出ルールの設計において「false negative（見逃し）」を減らすための一般的なアプローチはどれか。
解答・解説を見る
正解: A. A. 検出条件を広げると見逃しは減るが誤検知が増えるトレードオフを理解し、リスクに応じて閾値を調整する
正解の根拠・詳細解説
検出ルールの感度を上げる（条件を広げる）ことで見逃し（false negative）は減るが、誤検知（false positive）が増えるトレードオフが発生する。リスクの高さに応じて、このバランスを調整することが検出エンジニアリングの基本。
検出ルールを設計する際に、攻撃者の「回避（evasion）」テクニックを考慮する理由はどれか。
解答・解説を見る
正解: A. A. 攻撃者が検出を回避するために用いる手法（難読化・タイミング分散など）を踏まえないと、検出ルールが容易に迂回されてしまうため
正解の根拠・詳細解説
攻撃者は検出を回避するために難読化、タイミングの分散、正規ツールの悪用（living-off-the-land）などの手法を用いることが多く、これらを考慮せずに検出ルールを設計すると容易に迂回されてしまう。
検出ルールのライフサイクル管理（作成・テスト・デプロイ・レビュー・退役）において重要なステップはどれか。
解答・解説を見る
正解: A. A. デプロイ前のテスト環境での検証と、デプロイ後の定期的な有効性レビューの両方を継続的に実施する
正解の根拠・詳細解説
検出ルールはデプロイ前にテスト環境で誤検知率や検知精度を検証し、デプロイ後も環境の変化に応じて定期的にレビューし、効果が薄れたルールは更新または退役させるというライフサイクル管理が重要。
クラウド環境特有の脅威（例：過剰な権限を持つサービスアカウントの悪用）を検出するルールを設計する際に活用すべき情報はどれか。
解答・解説を見る
正解: A. A. IAMの権限設定情報とCloud Audit Logsの操作記録を組み合わせ、権限の悪用や異常な操作パターンを検出する
正解の根拠・詳細解説
クラウド環境特有の脅威（過剰権限の悪用や設定ミスを突いた攻撃）を検出するには、IAMの権限設定情報とCloud Audit Logsの操作記録を組み合わせることで、権限の悪用や通常と異なる操作パターンを検出するルール設計が効果的。
検出ルールの有効性を測定する指標として、適合率（precision）と再現率（recall）を用いる理由はどれか。
解答・解説を見る
正解: A. A. 誤検知の少なさ（適合率）と見逃しの少なさ（再現率）の両面から検出ルールの品質を定量的に評価できるため
正解の根拠・詳細解説
適合率（検出した中で実際に脅威だった割合）と再現率（実際の脅威のうち検出できた割合）はトレードオフの関係にあることが多く、両方の指標を用いることで検出ルールの品質を多面的かつ定量的に評価できる。
クラウドストレージの公開設定変更（誤って一般公開にしてしまうケース）を検出するルールを設計する際、最も関連するSCCの機能はどれか。
解答・解説を見る
正解: A. A. Security Health Analytics（SHA）によるミスコンフィギュレーション検出
正解の根拠・詳細解説
クラウドストレージの公開設定など、構成上のミスコンフィギュレーションを検出するにはSCCのSecurity Health Analytics（SHA）が代表的な機能であり、ポスチャー変化の検出ルール設計の中心的な要素となる。
検出ルールが生成したアラートに対して、自動的にエンリッチメント（コンテキスト情報の付加）を行う仕組みを設計する利点はどれか。
解答・解説を見る
正解: A. A. アナリストが手動で追加情報を調査する手間を減らし、トリアージのスピードと精度を向上させる
正解の根拠・詳細解説
アラート発生時に関連するエンティティ情報・脅威インテリジェンス・過去のインシデント履歴などを自動的に付加（エンリッチ）することで、アナリストが手動で調査する手間を減らし、トリアージの速度と判断精度を向上させることができる。
シグネチャベースの検出ルールと振る舞い（ビヘイビア）ベースの検出ルールを併用するアプローチが推奨される理由はどれか。
解答・解説を見る
正解: A. A. 既知の脅威への即時対応（シグネチャ）と未知・新規の脅威への対応力（振る舞い分析）を両立できるため
正解の根拠・詳細解説
シグネチャベースの検出は、既知のハッシュや特定のコマンドライン、既知の悪性インフラといった具体的な指標に一致させる方式で、誤検知が少なく高速に既知の脅威を捕捉できます。しかし攻撃者がファイルをわずかに改変したり、難読化したり、インフラを差し替えたりするだけで容易に回避されます。一方、振る舞いベースの検出は、資格情報を扱うプロセスメモリへの不審なアクセスや短時間での大量ファイル暗号化のように、攻撃の目的そのものに近い挙動を捉えるため、未知の亜種や新規の手口にも反応できます。ただし正常な運用作業と重なりやすく、環境に合わせたチューニングを怠ると誤検知が増えます。つまり両者は誤検知率とカバレッジの性質が逆で、どちらか一方では層が薄くなります。両方を重ねて運用し、既知の脅威は低コストで弾き、未知の脅威は挙動で拾うという多層防御が推奨されます。技術的にも両方式は同時に運用できます。
セキュリティインシデントの対応において、フォレンジックイメージやアーティファクトを含む証拠を収集する目的はどれか。
解答・解説を見る
正解: A. A. インシデントの全容把握・根本原因分析・将来的な法的対応に備えるため、改ざんされていない証拠を保全すること
正解の根拠・詳細解説
証拠収集はインシデントの全容把握、根本原因分析、そして必要に応じた法的対応のために、改ざんされていない状態でアーティファクト（メモリダンプ・ディスクイメージ・ログ等）を保全することが重要。
SCCやGoogle SecOpsを用いてインシデントに関連するアラートを観察・分析する初期対応のステップとして適切なものはどれか。
解答・解説を見る
正解: A. A. アラートの内容・関連エンティティ・タイムラインを確認し、インシデントの初期スコープを把握する
正解の根拠・詳細解説
インシデント対応の初期段階では、発生したアラートの内容、関連するエンティティ、発生したタイムラインを確認し、インシデントのおおよその範囲（スコープ）を把握することが次の対応ステップの土台となる。
Logs Explorer・Log Analytics・BigQuery・Cloud Logging・Cloud Monitoringを用いてインシデントのスコープを分析する際の進め方はどれか。
解答・解説を見る
正解: A. A. 影響を受けた可能性のあるリソース・ユーザー・期間を特定するために、関連ログを横断的に検索・分析する
正解の根拠・詳細解説
複数のログ・モニタリングツールを横断的に活用し、影響を受けた可能性のあるリソース・ユーザー・期間を正確に特定することで、インシデントの全体像（ブラストレディウス）を把握できる。
インシデント対応において他のエンジニアリングチームと連携する目的として適切なものはどれか。
解答・解説を見る
正解: A. A. 検知の精度向上や長期的な再発防止策（システム的な修正）を実現するため、専門知識を持つチームと協力する
正解の根拠・詳細解説
インフラ・アプリケーション開発など他のエンジニアリングチームと連携することで、検知の精度向上や、根本的な脆弱性・設計上の問題を修正する長期的な再発防止策を実現できる。
攻撃の拡大を防ぐために影響を受けたサービスやプロセスを「隔離（isolation）」する対応について、適切な考え方はどれか。
解答・解説を見る
正解: A. A. 業務影響と被害拡大防止のバランスを考慮し、最小限の範囲で迅速に隔離措置を実施する
正解の根拠・詳細解説
隔離措置は被害の拡大を防ぐために迅速さが求められるが、同時に業務への影響を最小限にするため、影響範囲を正確に特定した上で必要最小限のスコープで実施することが望ましい。
GTIを活用してハッシュ・IP・URL・バイナリなどの識別されたアーティファクトをフォレンジック分析する目的はどれか。
解答・解説を見る
正解: A. A. 既知の脅威データベースと照合し、悪性度の判定や関連する攻撃グループ・キャンペーンの特定を行うため
正解の根拠・詳細解説
GTI（Google Threat Intelligence）を用いてハッシュ・IP・URL・バイナリなどのアーティファクトを既知の脅威データベースと照合することで、悪性度の判定や関連する攻撃グループ・キャンペーンの特定に役立てることができる。
SCCやGoogle SecOps SIEMを用いて根本原因分析（root cause analysis）を行う目的はどれか。
解答・解説を見る
正解: A. A. インシデントがどのように発生したか（侵入経路・悪用された脆弱性等）を特定し、再発防止策を策定するため
正解の根拠・詳細解説
根本原因分析により、インシデントがどのような侵入経路・脆弱性・設定ミスを通じて発生したかを特定することで、同様のインシデントの再発を防ぐための具体的な対策を策定できる。
インシデント対応の自動化（オートメーション）における適切なステップを決定する際の考え方はどれか。
解答・解説を見る
正解: A. A. 誤判断のリスクが低く、頻繁に発生する繰り返し作業（IP遮断、隔離、通知等）から自動化の対象として優先する
正解の根拠・詳細解説
自動化の対象は、誤判断のリスクが低く頻繁に発生する繰り返し作業（既知の悪性IPの遮断、感染端末の隔離、関係者への通知など）から優先的に選定し、判断が複雑な対応は人間のレビューを残すアプローチが一般的。
脅威プロファイルに基づいて高価値のエンリッチメント（情報付加）を優先する際、優先すべき情報の例はどれか。
解答・解説を見る
正解: A. A. 攻撃者の既知のTTPや過去のインシデント傾向と関連性が高いコンテキスト情報
正解の根拠・詳細解説
プレイブックにおけるエンリッチメントは、現在対応している脅威プロファイル（攻撃者のTTPや過去の類似インシデント）と関連性が高い情報を優先的に取得・付加することで、アナリストの判断を効率的に支援できる。
SOARプレイブックに組み込む統合（インテグレーション）を評価する際の観点として適切なものはどれか。
解答・解説を見る
正解: A. A. 対応ステップの自動化に実際に必要な機能を提供し、信頼性とAPIの安定性が確保されているか
正解の根拠・詳細解説
プレイブックに組み込む統合（外部ツールとの連携）は、実際に必要な対応機能を提供できるか、APIの信頼性・安定性が十分かを評価して選定する必要があり、単純に統合数を増やすことが目的ではない。
新たに識別された攻撃パターンに対応するため、新しい対応プロセスを設計する際の進め方として適切なものはどれか。
解答・解説を見る
正解: A. A. 最近の実際のインシデントから得られた知見を反映し、既存プレイブックの不足部分を補う新プロセスを設計する
正解の根拠・詳細解説
新たに識別された攻撃パターンに対しては、実際に発生したインシデントから得られた知見（どこが不足していたか）を反映し、既存のプレイブックや対応プロセスのギャップを補う新たなプロセスを設計することが望ましい。
Google SecOps SOARを用いて新たなオーケストレーション・自動化プレイブックを推奨する際、起点となる情報はどれか。
解答・解説を見る
正解: A. A. 現在の実装におけるギャップ（対応の遅延・繰り返し作業・ヒューマンエラーの発生箇所）の分析結果
正解の根拠・詳細解説
新たなオーケストレーション・自動化プレイブックの推奨は、現在の実装におけるギャップ分析（対応の遅延・人的ミスの発生箇所・繰り返し作業の特定）に基づいて行うことで、実際の運用改善に直結する提案となる。
インシデント発生時にアナリストやステークホルダーへ通知する仕組みを実装する目的はどれか。
解答・解説を見る
正解: A. A. 重要な関係者に適切なタイミングで情報を伝達し、迅速な意思決定と対応エスカレーションを可能にするため
正解の根拠・詳細解説
インシデント発生時の通知メカニズムは、重要な関係者（アナリスト・管理者・関連部門）に適切なタイミングで情報を伝えることで、迅速な意思決定とエスカレーションを可能にし、対応の遅延を防ぐために重要。
ケース管理ライフサイクルにおいて、ケースを適切な対応ステージ（トリアージ・調査中・対応中・クローズ等）に割り当てる目的はどれか。
解答・解説を見る
正解: A. A. 各ケースの進行状況を可視化し、適切な担当者・優先度で対応が進んでいることを管理するため
正解の根拠・詳細解説
ケースを適切なステージに割り当てることで、各インシデントの進行状況（トリアージ中・調査中・対応中・クローズ済み等）を可視化し、担当者や優先度に応じた適切な管理・追跡が可能になる。
ケースのエスカレーションを効率的に行うワークフローを実装する際に重要な要素はどれか。
解答・解説を見る
正解: A. A. エスカレーション基準（重大度・対応時間の超過等）を明確に定義し、適切な上位担当者に自動的に引き継がれる仕組みを構築する
正解の根拠・詳細解説
効率的なエスカレーションワークフローには、明確な基準（重大度レベル・対応時間の超過など）を定義し、その基準に達した場合に適切な上位担当者へ自動的に引き継がれる仕組みを構築することが重要。
ケースのハンドオフ（担当者間の引き継ぎ）の効果性を評価する際に確認すべき点はどれか。
解答・解説を見る
正解: A. A. 引き継ぎ時に必要な調査情報・コンテキストが欠落なく伝達され、対応の継続性が保たれているか
正解の根拠・詳細解説
ケースハンドオフの効果性評価では、引き継ぎ時に調査の経緯・コンテキスト・実施済みの対応内容が欠落なく次の担当者に伝達され、対応の継続性が保たれているかを確認することが重要。
インシデント対応中に複数のアラートが同一の攻撃に関連していると判断された場合、適切な対応はどれか。
解答・解説を見る
正解: A. A. 関連するアラートをひとつのケースに統合（コリレーション）し、全体像を把握した上で一元的に対応する
正解の根拠・詳細解説
同一の攻撃キャンペーンに関連する複数のアラートをひとつのケースに統合（コリレーション）することで、攻撃の全体像を正確に把握し、重複対応や見落としを防ぎながら一元的に対応できる。
インシデント対応におけるタイムライン構築（タイムスタンプの整理）の目的はどれか。
解答・解説を見る
正解: A. A. 攻撃の発生から発見・対応までの一連の出来事を時系列で整理し、影響範囲と対応の遅延要因を分析するため
正解の根拠・詳細解説
インシデントのタイムライン（最初の侵入・検知・対応開始・封じ込め完了など）を時系列で整理することで、影響範囲の正確な把握や、対応のどの段階で遅延が生じたかを分析でき、今後の改善につながる。
フォレンジック調査において、メモリダンプの取得が重要視される理由はどれか。
解答・解説を見る
正解: A. A. ディスクに書き込まれない揮発性の情報（実行中のプロセス・ネットワーク接続・暗号鍵等）を保全できるため
正解の根拠・詳細解説
メモリ（RAM）には実行中のプロセス、ネットワーク接続、復号された認証情報や暗号鍵など、ディスクには書き込まれない揮発性の情報が含まれるため、フォレンジック調査において早期のメモリダンプ取得が重要視される。
インシデント対応プレイブックの「人間によるレビュー（human-in-the-loop）」を組み込む理由として適切なものはどれか。
解答・解説を見る
正解: A. A. 業務影響の大きい対応ステップ（重要システムの停止等）について誤判断によるリスクを軽減するため
正解の根拠・詳細解説
業務影響が大きい対応ステップ（重要システムの停止、大規模なアカウントロックなど）については、完全自動化による誤判断のリスクを軽減するために、人間によるレビュー・承認のステップをプレイブックに組み込むことが推奨される。
複数のインシデントが同時に発生した場合、対応の優先順位を決定する基準として適切なものはどれか。
解答・解説を見る
正解: A. A. 影響を受ける資産の重要度・データの機密性・事業継続への影響度を踏まえてトリアージする
正解の根拠・詳細解説
複数のインシデントが同時発生した場合は、影響を受ける資産の重要度・データの機密性・事業継続への影響度などを踏まえてトリアージし、限られたリソースを最も重要な事案に優先的に割り当てる必要がある。
インシデント対応完了後に実施する「ポストモーテム（事後分析）」の目的はどれか。
解答・解説を見る
正解: A. A. 対応プロセスの良かった点・改善点を振り返り、将来の検出・対応能力の向上につなげるため
正解の根拠・詳細解説
ポストモーテムは個人の責任追及ではなく、対応プロセス全体（検知・調査・封じ込め・復旧）における良かった点・改善点を振り返り、検出ルールやプレイブック、チーム体制の改善につなげることを目的とする。
インシデント対応中に他チーム（IT運用部門等）と情報を共有する際、考慮すべき点はどれか。
解答・解説を見る
正解: A. A. 共有する情報の範囲を必要最小限（need-to-know）に絞り、機密性を保ちながら必要な連携を行う
正解の根拠・詳細解説
インシデント対応における他チームとの情報共有は、必要最小限の原則（need-to-know）に基づき、機密性を保ちながら対応に必要な情報のみを適切に共有することが望ましい。
インシデント対応の効果を測定する指標として、MTTD（平均検知時間）とMTTR（平均対応時間）を用いる理由はどれか。
解答・解説を見る
正解: A. A. 検知の速さと対応の速さをそれぞれ定量的に評価し、改善すべきプロセスを特定できるため
正解の根拠・詳細解説
MTTD（Mean Time To Detect）とMTTR（Mean Time To Respond/Remediate）は、それぞれ脅威の検知の速さと対応・修復の速さを定量的に評価する指標であり、どちらのプロセスに改善余地があるかを特定するのに役立つ。
インシデント対応における「チェーン・オブ・カストディ（証拠保管の連鎖）」を維持する重要性はどれか。
解答・解説を見る
正解: A. A. 証拠の収集から保管・分析までの取り扱い履歴を明確に記録し、証拠の完全性・信頼性を保証するため
正解の根拠・詳細解説
チェーン・オブ・カストディとは、証拠となるアーティファクトについて、いつ、誰が、どのような方法で取得し、どこに保管し、誰に引き渡したかを途切れなく記録し続ける手続きです。取得時にハッシュ値を算出しておき、分析や引き渡しのたびに再計算して照合することで、その間に改ざんや差し替えがなかったことを技術的に証明できます。この連鎖のどこかが欠けると、内容が正しくても証拠としての信頼性が揺らぎ、訴訟や懲戒手続き、規制当局への報告の場で採用されない恐れがあります。実務では、オリジナルは書き込み防止の状態で保全し、解析は取得したフォレンジックイメージに対して行うのが原則です。クラウド環境でも考え方は同じで、ディスクスナップショットやログのエクスポートを取得した時刻と実行者を記録し、アクセス権を限定した保全用の保管先に隔離し、その保管先自体の監査ログを有効にしておく必要があります。
セキュリティ運用において「重要なセキュリティ分析指標（メトリクス・KPI・トレンド）」を特定する目的はどれか。
解答・解説を見る
正解: A. A. セキュリティ運用の効果・効率を定量的に把握し、経営層やステークホルダーに状況を説明できるようにするため
正解の根拠・詳細解説
検知数・対応時間・誤検知率などの重要な指標（メトリクス・KPI・トレンド）を特定することで、セキュリティ運用の効果や効率を定量的に把握し、経営層への報告や改善計画の根拠として活用できる。
Google SecOps SOAR・SIEM・Looker Studioを用いてセキュリティテレメトリ・インジェスト指標・検知・アラート・IOCを可視化するダッシュボードを実装する利点はどれか。
解答・解説を見る
正解: A. A. 運用状況を一目で把握できるようにし、異常な傾向やボトルネックを早期に発見できる
正解の根拠・詳細解説
SOAR・SIEM・Looker Studioを用いたダッシュボードにより、セキュリティテレメトリやインジェスト状況、検知・アラート数などを一目で把握できるようになり、異常な傾向や運用上のボトルネックを早期に発見しやすくなる。
Google SecOps SOAR・SIEMでレポートを生成・カスタマイズする目的として適切なものはどれか。
解答・解説を見る
正解: A. A. 特定のステークホルダー（経営層・コンプライアンス部門等）の関心事項に応じた形式で運用状況を伝達するため
正解の根拠・詳細解説
レポートをステークホルダーごとにカスタマイズすることで、経営層には全体傾向、コンプライアンス部門には規制要件に関連する情報など、対象に応じた適切な形式で運用状況を伝達できる。
ヘルスモニタリング・アラートのために重要なメトリクスを特定する際、考慮すべき項目はどれか。
解答・解説を見る
正解: A. A. データ取り込みの遅延・パーサーのエラー率・検出ルールの実行状況など、システムの健全性に直結する指標
正解の根拠・詳細解説
ヘルスモニタリングでは、データ取り込みの遅延、パーサーのエラー率、検出ルールの実行状況など、セキュリティツール自体が正常に機能しているかを示す指標を重要なメトリクスとして特定する必要がある。
複数のメトリクスを集約した「センタライズされたダッシュボード」を作成する利点はどれか。
解答・解説を見る
正解: A. A. 複数のツール・ログソースの健全性を一画面で把握でき、問題の早期発見と対応の迅速化につながる
正解の根拠・詳細解説
複数のツール・ログソースの健全性メトリクスを1つのダッシュボードに集約することで、運用者は一画面で全体の状況を把握でき、問題発生時の早期発見と迅速な対応につなげることができる。
特定のメトリクスに対して閾値ベースのアラートを作成する際の適切な考え方はどれか。
解答・解説を見る
正解: A. A. 正常時の挙動を踏まえた現実的な閾値を設定し、過剰な誤報（アラートフェイティーグ）を避ける
正解の根拠・詳細解説
閾値ベースのアラートを設定する際は、正常時の挙動（ベースライン）を踏まえた現実的な値に設定することで、過剰な誤報によるアラートフェイティーグを避けつつ、実際の異常を適切に検知できるようにする。
Cloud Monitoringを用いてセキュリティツールの健全性に関する通知を構成する目的はどれか。
解答・解説を見る
正解: A. A. パーサーエラーやインジェスト遅延などの問題が発生した際、担当者に速やかに通知し対応を促すため
正解の根拠・詳細解説
Cloud Monitoringを用いた通知の構成により、パーサーエラーやインジェスト遅延といったヘルスの問題が発生した際に担当者へ速やかに通知し、検知・対応能力の低下を未然に防ぐための迅速な対応を促すことができる。
Cloud Loggingを用いてセキュリティツール自体のヘルス問題（例：エージェントの停止、API呼び出しの失敗）を特定する利点はどれか。
解答・解説を見る
正解: A. A. セキュリティツールチェーン自体に問題が発生していないかを把握し、検知の死角（ブラインドスポット）を防げる
正解の根拠・詳細解説
Cloud Loggingを用いてセキュリティツールチェーン自体（エージェントの停止、フォワーダーの障害、API呼び出しの失敗など）のヘルス問題を特定することで、検知体制に死角（ブラインドスポット）が生じていないかを把握できる。
「サイレントソース検出（silent source detection）」を構成する目的として適切なものはどれか。
解答・解説を見る
正解: A. A. 通常はログを送信しているソースが突然停止した場合に検知し、ログ収集の欠落や障害を早期に発見するため
正解の根拠・詳細解説
サイレントソース検出は、通常ログを送信しているソースからのデータが突然停止した場合（フォワーダー障害・設定ミス・攻撃者によるログ送信停止など）を検知し、ログ収集の欠落を早期に発見するための重要な健全性監視機能。
検出ルールの実行状況（エラー・タイムアウト等）をモニタリングする観点として重要なものはどれか。
解答・解説を見る
正解: A. A. ルールが正常に実行され続け、想定通りログに対して評価が行われているかを継続的に確認すること
正解の根拠・詳細解説
検出ルールがエラーやタイムアウトによって正しく実行されていない場合、本来検知できるはずの脅威を見逃すことになるため、ルールの実行状況を継続的にモニタリングすることが検知体制の信頼性を保つ上で重要。
オブザーバビリティの観点から、インジェスト遅延（ingestion latency）を監視する重要性はどれか。
解答・解説を見る
正解: A. A. 遅延が大きいと検知・対応のタイミングが遅れ、攻撃者に対応する時間的余裕を与えてしまうため
正解の根拠・詳細解説
ログのインジェスト遅延が大きいと、実際の攻撃発生から検知・対応までの時間が長くなり、攻撃者に環境内で活動する時間的余裕を与えてしまうリスクが高まる。そのため遅延の監視はセキュリティ運用の健全性指標として重要。
セキュリティ運用チームが週次・月次でダッシュボードをレビューする運用プラクティスの利点はどれか。
解答・解説を見る
正解: A. A. 長期的な傾向（アラート数の増減・対応時間の変化等）を把握し、継続的な改善計画に反映できる
正解の根拠・詳細解説
日々のトリアージがリアルタイム性を重視するのに対し、週次・月次のダッシュボードレビューは時間軸を長く取ることで、個々のアラートを見ているだけでは気付けない構造的な変化を可視化する点に価値がある。たとえば特定の検知ルールのアラート件数が右肩上がりであれば、環境側の構成変更か、チューニング不足による過検知が疑われる。検知までの時間や対応完了までの時間の推移を追えば、プレイブックや自動化の導入が実際に効果を出しているかを数値で評価できる。誤検知率の高いルールを洗い出せば、ルールの改廃や抑制条件の追加という具体的な改善につながり、検知エンジニアリングのフィードバックループが回り始める。人員配置やシフト設計の根拠としても使える。したがってBのように形式的な作業と切り捨てるのは誤りで、レビュー結果は改善計画の入力そのものである。またCのようにコンプライアンス部門だけの作業でもなく、運用チーム自身が自分たちの検知精度と対応品質を点検する活動である。
