【正解】C
【0からの解説】
①前提知識：Google SecOps の SOAR（旧 Siemplify）では、ケース画面からアナリストが統合（インテグレーション）のアクションを「手動アクション」として即座に実行できます。Google SecOps（旧 Chronicle）の SIEM 統合には UDM クエリを実行するアクションがあり、ケース内のエンティティ（ハッシュ、IP、ドメインなど）を使って、取り込み済みの社内テレメトリを検索できます。VirusTotal（現 Google Threat Intelligence）による拡充は「そのファイルが世界的に見て悪意があるか」を教えてくれますが、「自社のどの端末・ユーザーが触ったか」は社内ログ（SIEM）を検索しなければ分かりません。
②要件の整理：ハッシュはすでに悪意の可能性が高いと判定済みで、次に必要なのは「組織内でこのファイルを操作したデバイスとユーザー」の特定です。しかも「迅速に」という制約があり、目の前の 1 件のケースに対する調査ステップです。
③正解の理由：C の手動アクションなら、プレイブックを新たに設計・テストする時間をかけずに、ケース画面からその場で SIEM に対してハッシュ一致の UDM 検索（例：target.file.sha256 / target.process.file.sha256 など）を実行し、該当するホスト名やユーザー ID を即座に取得できます。社内テレメトリを持つのは SIEM なので、検索先としても正しい選択です。A と C はどちらも同じ UDM 検索を行いますが、目の前にある 1 件のケースを調査するのであれば、何も作らずにケース画面からすぐ実行できる手動アクションが最も速い方法です。プレイブックは「同じ手順を多数のケースで繰り返す」ときに真価を発揮するもので、1 件の調査のために作るのは遠回りになります。
【誤りの選択肢】
A：検索先（SIEM の UDM 検索）は正しいものの、プレイブックの構築には設計・テスト・有効化の時間がかかり、今まさに対応中のケースを「迅速に」調査するという要件に合いません。同種のケースが繰り返し発生する場合の将来的な自動化としては有効ですが、今回の最善策ではありません。
B：TIP は外部の脅威インテリジェンス（IOC やその評価）を管理するもので、自社のどのデバイスやユーザーがファイルを操作したかという社内のテレメトリは持っていません。しかも拡充はすでに VirusTotal で完了しています。プレイブック構築の時間がかかる点でも劣ります。
D：手動アクションで迅速ではありますが、照会先が TIP であるため、組織内のデバイスとユーザーは特定できません。
【参考】
アラートとケースに対応する | Google Security Operations調査とケース管理の概要 | Google Security Operationsハンドブックと自動化の概要 | Google Security Operations