무료 온라인 액세스 Google.Security-Operations-Engineer.v2025-11-20.q18 모의 시험 (Page 4)

Security-Operations-Engineer 문제 11

Google Security Operations(SecOps)에서 큐레이팅한 탐지 기능과 YARA-L 규칙을 사용하여 Windows 엔드포인트에서 의심스러운 활동을 탐지합니다. 소스 원격 분석은 EDR 및 Windows 이벤트 로그를 사용합니다. 규칙은 principal.user.userid UDM 필드와 일치합니다. EDR 및 Windows 이벤트 로그의 모든 가능한 로그 항목을 일치시키려면 이 필드에 대한 추가 로그 소스를 수집해야 합니다. 어떻게 해야 할까요?

A. Microsoft Entra ID에서 로그를 수집합니다.

B. Windows Procmon에서 로그를 수집합니다.

C. Windows PowerShell에서 로그를 수집합니다.

D. Windows Sysmon에서 로그를 수집합니다.

정답: A

포괄적이고 자세한 설명
정답은 옵션 A입니다. 이 질문은 엔터티 컨텍스트 강화 및 별칭에 관한 것입니다.
EDR 및 Windows 이벤트 로그(예: 4624)의 엔드포인트 원격 측정은 Windows 보안 식별자(SID)(예: S-1-5-21-12345...)로 사용자를 식별합니다. 그러나 탐지 규칙은 principal.user.userid에 저장된 이메일 주소나 사용자 이름과 같이 사람이 읽을 수 있고 일관된 식별자와 일치할 때 더욱 효과적입니다.
엔드포인트 이벤트에서 발견된 SID와 사용자 ID를 "연결"하기 위해 Google SecOps는 권한이 있는 사용자 컨텍스트 데이터 원본을 수집해야 합니다. 최신 Windows 환경에서 이 원본은 Microsoft Entra ID(이전 Azure AD) 또는 온프레미스 Active Directory입니다.
Entra ID 로그를 USER_CONTEXT 피드로 수집하면 SecOps 엔티티 그래프가 채워집니다. 이를 통해 플랫폼은 수집 시점에 엔드포인트 로그의 SID를 해당 사용자 ID(예: [email protected])로 자동 별칭을 지정할 수 있습니다. 이를 통해 principal.user.userid 필드가 올바르게 채워지고 탐지 규칙이 일치하도록 할 수 있습니다.
옵션 B, C, D는 모두 추가 이벤트 소스(EDR과 유사)이며 더 많은 SID를 제공하지만 별칭 지정을 수행하는 데 필요한 중앙 디렉터리 데이터는 제공하지 않습니다.
Google 보안 운영 문서에서 발췌한 정확한 내용:
UDM 강화 및 별칭 개요: Google 보안 운영(SecOps)은 자산 및 사용자에 대한 별칭 및 강화를 지원합니다. 별칭을 통해 강화가 가능합니다. 예를 들어, 별칭을 사용하면 사용자 ID와 관련된 직책 및 고용 상태를 찾을 수 있습니다.
별칭 작동 방식: 사용자 별칭은 USER_CONTEXT 이벤트 유형을 별칭으로 사용합니다. 이 컨텍스트 데이터는 엔터티 그래프에 엔터티로 저장됩니다. 새로운 통합 데이터 모델(UDM) 이벤트가 수집되면, 보강 프로세스는 이 별칭 데이터를 사용하여 UDM 이벤트에 컨텍스트를 추가합니다. 예를 들어, EDR 로그에는 principal.windows_sid가 포함될 수 있습니다. 보강 프로세스는 Active Directory 또는 Entra ID 피드로 채워진 엔터티 그래프를 쿼리하고 principal.user.userid 및 principal.user 명사의 다른 필드를 채웁니다.
참고문헌:
Google Cloud 문서: Google 보안 운영 > 문서 > 이벤트 처리 > UDM 강화 및 별칭 개요 Google Cloud 문서: Google 보안 운영 > 문서 > 수집 > Microsoft Entra ID 로그 수집

Security-Operations-Engineer 문제 12

당신은 최근 Google 보안 운영(SecOps)을 구현한 조직의 SOC 관리자입니다.
Google SecOps에서 조직의 데이터 수집 상태를 모니터링해야 합니다. 데이터는 Bindplane 수집 에이전트를 통해 수집됩니다. 다음을 구성해야 합니다.
* 데이터 소스가 15분 이내에 작동하지 않을 경우 알림을 받습니다.
* 수집 처리량과 구문 분석 오류를 시각화합니다.
어떻게 해야 할까요?

A. 데이터 수집 및 상태 대시보드에서 수집 상태 보고서의 자동 예약 전송을 구성합니다. 이 대시보드에서 데이터 수집 지표를 모니터링하고 시각화합니다.

B. Risk Analytics에서 비정상적인 데이터 수집 활동에 대한 규칙 탐지를 기반으로 무음 소스 알림을 구성합니다. Risk Analytics 대시보드에서 알림 지표를 모니터링하고 시각화합니다.

C. Bindplane에서 수집 소스가 무음 상태가 되면 Cloud Monitoring에서 알림을 구성합니다.
Bindplane Observability Pipeline(OP)을 사용하여 Google SecOps 데이터 수집 지표를 모니터링하고 시각화합니다.

D. Cloud Monitoring에서 Google SecOps 수집 에이전트에 대한 자동 소스 알림을 구성하세요. Cloud Monitoring 대시보드를 생성하여 데이터 수집 지표를 시각화하세요.

정답: D

포괄적이고 자세한 설명
올바른 해결책은 옵션 D입니다. 이 접근 방식은 모니터링과 알림 모두에 통합된 Google Cloud 기반 도구를 올바르게 사용합니다.
Google 보안 운영(SecOps)은 모든 수집 측정항목을 Google Cloud Monitoring으로 자동 스트리밍합니다. 여기에는 처리량 측정항목(예: chronicle.googleapis.com/ingestion/event_count, chronicle.googleapis.com/ingestion/byte_count), 구문 분석 오류 측정항목(예: chronicle.googleapis.com/ingestion)이 포함됩니다.
/parse_error_count) 및 수집 에이전트의 상태(예: chronicle.googleapis.com/ingestion)
/마지막_시간_스탬프).
* 알림 수신(15분): 데이터 수집 및 상태 대시보드(옵션 A)는 시각화를 위한 것이며, 해당 "보고서"는 실시간 알림이 아닌 예약된 요약입니다. 15분 알림을 받는 유일한 방법은 Cloud Monitoring을 사용하는 것입니다. 알림 정책은 다음 상황에서 트리거되도록 구성할 수 있습니다.
특정 수집 에이전트의 last_seen_timestamp에 대해 "메트릭 부재"가 감지되어 "침묵 소스" 요구 사항을 충족합니다.
* 지표 시각화: Cloud Monitoring은 강력한 대시보드 서비스도 제공합니다. Cloud Monitoring 대시보드를 구축하여 처리량, 구문 분석 오류, 에이전트 상태 등 필요한 모든 지표를 한곳에서 그래프로 표시할 수 있습니다.
옵션 C는 별도의 제품인 Bindplane Observability Pipeline을 사용하도록 제안하기 때문에 틀렸습니다. 옵션 B는 Risk Analytics가 플랫폼 상태가 아닌 위협 탐지(UEBA)를 위한 것이므로 틀렸습니다.
Google 보안 운영 문서에서 발췌한 정확한 내용:
수집 인사이트를 위해 Cloud Monitoring을 사용하세요. Google SecOps는 Cloud Monitoring을 사용하여 수집 알림을 전송합니다. 이 기능을 사용하여 수집 알림 및 수집량 정보를 확인하세요.
침묵하는 Google SecOps 수집 에이전트를 감지하기 위한 샘플 정책을 설정합니다.
* Google Cloud 콘솔에서 모니터링을 선택합니다.
* 정책 만들기를 클릭하세요.
* 메트릭 선택 페이지에서 Chronicle Collector > 수집 > 총 수집된 로그 수를 선택합니다.
* 데이터 변환 섹션에서 시계열 그룹 기준을 collector_id로 설정합니다.
* 다음을 클릭하세요.
* 측정 기준 결근을 선택하고 트리거 결근 시간(예: 15분)을 설정합니다.
* 알림 및 이름 섹션에서 알림 채널을 선택하세요.
Cloud Monitoring에서 사용자 지정 대시보드를 만들어 총 수집 로그 크기나 총 레코드 수(구문 분석용)와 같이 내보낸 모든 지표를 시각화할 수도 있습니다.
참고문헌:
Google Cloud 문서: Google 보안 운영 > 문서 > 수집 > 수집 통찰력을 위한 Cloud Monitoring 사용 Google Cloud 문서: Google 보안 운영 > 문서 > 수집 > 무음 호스트 모니터링 > SHM을 위한 수집 레이블과 함께 Google Cloud Monitoring 사용

Security-Operations-Engineer 문제 13

회사 사용자의 피싱 신고에 대응하기 위한 플레이북을 개발하고 있습니다. 악성 도메인에 접속한 모든 사용자를 식별하기 위해 UDM 쿼리 작업을 구성했습니다. UDM 쿼리에서 사용자를 추출하여 알림에 엔티티로 추가해야 플레이북에서 해당 사용자의 비밀번호를 재설정할 수 있습니다. SOC 분석가의 업무 부담을 최소화하고자 합니다. 어떻게 해야 할까요?

A. Siemplify 통합의 '엔터티 만들기' 작업을 사용합니다. 표현식 작성기를 사용하여 엔터티 식별자 매개변수에 사용자 이름을 포함하는 자리 표시자를 만듭니다.

B. Siemplify 통합에서 수동 엔터티 생성 작업을 구성하여 작업 결과에 따라 엔터티 식별자 매개변수를 입력하도록 분석가에게 지시합니다.

C. 엔터티로 지정된 사용자를 사용하여 식별된 각 사용자에 대한 사례를 만듭니다.

D. 분석가에게 Google SecOps 사용자 인터페이스에 엔터티를 추가하도록 지시하는 Flow 통합의 지침 작업을 구현합니다.

Security-Operations-Engineer 문제 14

귀사는 Cloud Identity를 ID 공급업체(IdP)로 사용하고 있으며 Google 보안 운영(SecOps) 고객입니다. 사용자 그룹에 Google SecOps 인스턴스에 대한 액세스 권한을 부여해야 하며, 탐지 엔진 규칙을 포함한 모든 리소스에 대한 읽기 전용 액세스 권한도 부여해야 합니다. 이 설정은 어떻게 구성해야 할까요?

A. Google 그룹을 만들고 필요한 사용자를 추가합니다. Google SecOps 인스턴스와 연결된 프로젝트의 그룹에 roles/chronicle.viewer IAM 역할을 부여합니다.

B. Google 그룹을 만들고 필요한 사용자를 추가합니다. Google SecOps 인스턴스와 연결된 프로젝트의 해당 그룹에 roles/chronicle.limitedViewer IAM 역할을 부여합니다.

C. 조직 수준에서 인력 ID 풀을 생성합니다. Google SecOps 인스턴스와 연결된 프로젝트의 principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID 보안 주체 집합에 roles/chronicle.editor IAM 역할을 부여합니다.

D. 조직 수준에서 직원 ID 풀을 생성합니다. principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group에 roles/chronicle.limitedViewer IAM 역할을 부여합니다.
Google SecOps 인스턴스와 연결된 프로젝트에 /GROUP_ID 주체가 설정되었습니다.

정답: A

포괄적이고 자세한 설명
올바른 구성은 옵션 A입니다. 이 답변은 질문의 두 가지 핵심 요구 사항, 즉 ID 메커니즘(클라우드 ID)과 필요한 권한 수준(탐지 규칙을 포함한 읽기 전용 액세스)에 대한 것입니다.
* ID 메커니즘(Google 그룹 대 Workforce Pool):
프롬프트에는 조직에서 Cloud Identity를 ID 공급자(IdP)로 사용한다는 내용이 명시되어 있습니다. Cloud Identity 또는 Google Workspace가 IdP인 경우, 표준 관행은 Google 그룹스를 사용하여 액세스를 관리하는 것입니다.
사용자가 그룹에 추가되면 해당 그룹에 IAM 역할이 부여됩니다. Okta 또는 Azure AD와 같은 타사 IdP와 통합할 때 사용되는 메커니즘은 인력 풀을 사용하는 인력 ID 페더레이션입니다. IdP가 Cloud Identity이므로 Google 그룹을 만드는 것이 올바른 방법입니다. 이렇게 하면 옵션 C와 D가 사라집니다.
* 권한 수준(roles/chronicle.viewer 대 roles/chronicle.limitedViewer):
이 프롬프트에는 "탐지 엔진 규칙을 포함한 모든 리소스에 대한 읽기 전용 액세스"가 필요합니다. 사전 정의된 Google SecOps IAM 역할은 이러한 구분에 대해 구체적으로 설명합니다.
* roles/chronicle.viewer(Chronicle API 뷰어): "Google SecOps 애플리케이션 및 API 리소스에 대한 읽기 전용 액세스"를 제공합니다. 이 역할에는 탐지 규칙과 역추적을 볼 수 있는 권한이 포함됩니다.
* roles/chronicle.limitedViewer(Chronicle API Limited Viewer): "탐지 엔진 규칙 및 레트로헌트를 제외하고 Google SecOps 애플리케이션 및 API 리소스에 대한 읽기 전용 액세스 권한을 부여합니다." 따라서 roles/chronicle.limitedViewer(옵션 B)는 탐지 엔진 규칙에 대한 액세스를 제외하여 프롬프트의 요구 사항을 위반하므로 올바르지 않습니다. 올바른 역할은 필요한 포괄적인 읽기 전용 액세스 권한을 부여하는 roles/chronicle.viewer(옵션 A)입니다.
Google 보안 운영 문서에서 발췌한 정확한 내용:
IAM 역할에 대한 주제:
IAM에서 미리 정의된 Google SecOps 역할
IAM에서 미리 정의된 역할
제목
설명
역할/크로니클.뷰어1
크로니클 API 뷰어2
Google SecOps 애플리케이션 및 API 리소스에 대한 읽기 전용 액세스3
역할/크로니클.limitedViewer4
크로니클 API 리미티드 뷰어5
탐지 엔진 규칙과 retro6hunts를 제외하고 Google SecOps 애플리케이션 및 API 리소스에 대한 읽기 전용 액세스 권한을 부여합니다.
ID 공급자에 대한 주제:
"Cloud Identity, Google Workspace 또는 타사 ID 공급자(예: Okta 또는 Azure AD)를 사용하여 사용자, 그룹 및 인증을 관리할 수 있습니다. 이 페이지에서는 Cloud Identity 또는 Google Workspace를 사용하는 방법을 설명합니다."7
"8다음 예제에서는 특정 그룹에 Chronicle API Viewer 역할을 부여합니다." gcloud projects add-iam-policy-binding PROJECT_ID \
--역할 역할/크로니클.뷰어 \
--member "그룹:GROUP_EMAIL"
참고문헌:
Google Cloud 문서: Google 보안 운영 > 문서 > 온보딩 > IAM을 사용하여 기능 액세스 제어 구성 Google Cloud 문서: Google 보안 운영 > 문서 > 온보딩 > Google Cloud ID 공급자 구성

Security-Operations-Engineer 문제 15

귀하는 기존 사고 대응 계획(IRP)을 Google 보안 운영(SecOps)에 구현하는 SOC 관리자입니다. 각 사건 단계별로 소요 시간 데이터를 수집해야 합니다. 솔루션의 유지 관리 부담을 최소화하고 싶으시다면 어떻게 해야 할까요?

A. 실행된 특정 작업을 표시하고, 사례가 어느 단계에 있는지 식별하고, 사례가 시작된 이후 경과된 시간을 계산하는 Google SecOps 대시보드를 만듭니다.

B. Google SecOps SOAR 설정에서 사례 단계를 구성하고, 단계가 변경될 때 시간 측정 항목을 캡처하는 플레이북에서 사례 단계 변경 작업을 사용합니다.

C. SIEM 규칙 및 탐지에서 각 사례에 대한 이벤트 필드를 관련 단계 메트릭과 함께 캡처하는 논리를 포함하도록 탐지 규칙을 구성합니다.

D. IDE에서 각 사례의 진행 상황을 확인하기 위해 자주 실행되는 작업을 작성하고 이러한 변경 사항이 식별된 시점을 반영하기 위해 타임스탬프로 메모를 업데이트합니다.