【正解】C
【0からの解説】
①前提知識：クラウド中心の環境では、ネットワーク境界よりも「ID」がセキュリティの境界になります。IAM のログ（Google Cloud であれば Cloud Audit Logs の管理アクティビティ ログに記録される IAM ポリシーの変更、サービス アカウントのキー作成や権限借用（impersonation）、ロール付与など、そして IdP の認証ログ）は、「誰が・どの ID で・何の権限を使って・何をしたか」を記録します。
②要件の整理：求められているのは (1) ユーザー ID の行動、(2) ラテラル ムーブメント、(3) 権限昇格の試み、の 3 つすべてを可視化できるソースで、しかも「クラウド中心の企業環境」で「最初に」取り込むべきものです。
③正解の理由：C の IAM ログは、(1) ID ごとの認証・操作の履歴でユーザー行動を、(2) サービス アカウントの権限借用やプロジェクト間・リソース間での認証情報の利用でクラウド上のラテラル ムーブメントを、(3) 自分自身や他者への高権限ロールの付与、ポリシー変更などで権限昇格の試みを、それぞれ直接可視化できます。3 つの要件をすべて 1 つのソースでカバーでき、クラウド中心の環境では最優先で取り込むべきテレメトリです。
【誤りの選択肢】
A：CASB のログは SaaS 利用状況やシャドー IT、データの持ち出しの可視化には有効ですが、クラウド基盤内での権限昇格やラテラル ムーブメントの把握は主目的ではなく、3 つの要件すべてを満たすものではありません。
B：EDR のログはエンドポイント上のプロセス実行やローカルでの権限昇格、端末間の横展開の検出に優れますが、クラウド中心の環境における ID の行動やクラウド IAM を悪用した権限昇格は捉えられません。エンドポイント中心の環境なら有力ですが、この問題の前提では IAM ログに劣ります。
D：ネットワーク ファイアウォールのログは通信の許可 / 拒否を記録し、ネットワーク経由の横展開の兆候は見えるものの、「どの ID が何をしたか」というユーザー ID の行動や権限昇格は可視化できません。
【参考】
Cloud Audit Logs の概要 | Cloud LoggingCollect Google Cloud Audit Logs | Google Security Operations