Google Cloud · GCP-PSOE · Advanced

Professional Security Operations Engineer — Questões de prática e simulado

Name: Pass-IT
Author: Pass-IT

Prepare-se para GCP-PSOE com questões de prática originais e respostas explicadas com clareza. Peça mais detalhes a Alex, seu tutor de IA, use seus resultados para identificar os temas que precisam de revisão e pratique a gestão do tempo com simulados cronometrados.

Praticar para GCP-PSOE gratuitamente Comprar acesso a GCP-PSOE por $29.99

Comprar acesso a GCP-PSOE por $29.99 Praticar para GCP-PSOE gratuitamente

55Questões do simulado

120minLimite de tempo

Conferido com informações de Google Cloud · agosto de 2026 · Versão atual do exame

Visão geral

Sobre o exame

A certificação Professional Security Operations Engineer valida sua capacidade de detectar, monitorar, analisar, investigar e responder a ameaças de segurança contra workloads, endpoints e infraestrutura usando recursos do Google Cloud. Ela cobre operações de plataforma, gestão de dados, threat hunting, engenharia de detecção, resposta a incidentes e observabilidade, testando seu domínio de Google Security Operations (SecOps), Security Command Center (SCC), escrita de regras de detecção, ingestão de logs e automação de resposta.

É uma certificação de nível professional, pensada para analistas e engenheiros de operações de segurança que trabalham com detecção de ameaças, resposta a incidentes e monitoramento no Google Cloud. O Google recomenda mais de 3 anos de experiência no setor de segurança, incluindo pelo menos 1 ano com as ferramentas de segurança do Google Cloud. Ela abre portas para vagas de analista de SOC, threat hunter e engenheiro de detecção.

Experimente as questões de prática

Experimente cinco questões de GCP-PSOE

Pratique com cinco questões do banco atual de Professional Security Operations Engineer no app, com respostas e explicações.

Caça a ameaças1 / 5

Um threat hunter está analisando comportamento anômalo de usuários no Google SecOps e suspeita de movimento lateral. A ideia é identificar uma conta de usuário que se autentica a partir de um número incomum de endereços IP de origem distintos dentro de uma janela de 24 horas. Qual abordagem em YARA-L atende melhor a essa análise comportamental?

AlexExplicação completa do Alex

Para detecções comportamentais, use uma regra YARA-L multievento. Atribua o ID de usuário e o IP de origem dos eventos USER_LOGIN, agrupe por usuário na seção match ao longo de 24 h, calcule um outcome como $distinct_source_ips = count_distinct($src_ip) e dispare na seção condition quando esse outcome ultrapassar o limite escolhido. Isso segue a estrutura oficial do YARA-L: match correlaciona eventos, outcome faz as agregações e condition decide se a regra dispara.

Fontecloud.google.com

Gestão de dados2 / 5

Você está investigando um possível vazamento de dados e precisa determinar se há atraso na ingestão de logs de uma fonte crítica. Qual métrica do Health Hub ajuda você a identificar a latência de ingestão?

AlexExplicação completa do Alex

O Health Hub expõe o percentil 95 da diferença entre Last Event Time (quando o evento ocorreu na fonte) e Last Ingested (quando o SecOps o recebeu). Uma diferença alta sugere latência dentro do pipeline de ingestão do SecOps, enquanto uma diferença normal pode indicar que a fonte está enviando dados mais antigos ou históricos (ref.: docs.cloud.google.com/chronicle/docs/reports/data-health-monitoring-and-troubleshooting-dashboard). Essa métrica responde diretamente se o atraso na ingestão é um problema do pipeline ou da fonte. Por que não as outras? A contagem de Total Ingested Logs mede volume, não latência. Config Last Updated ajuda a correlacionar mudanças de configuração com falhas, mas não mede atraso. Erros de parser por hora indicam a saúde do parsing, não o timing da ingestão. A diferença entre Last Event Time e Last Ingested é o diagnóstico definitivo de latência.

Fontecloud.google.com

Engenharia de detecção3 / 5

Um engenheiro de detecção está escrevendo uma regra YARA-L para detectar tentativas de login malsucedidas e quer filtrar as correspondências com valores zero no campo userid. Segundo as boas práticas de YARA-L, qual abordagem ele deve usar?

AlexExplicação completa do Alex

No YARA-L 2.0, valores zero (strings vazias, 0, false) NÃO são filtrados automaticamente em todos os campos. O Rules Engine filtra valores zero implicitamente apenas para os placeholders da seção match; os demais campos de evento exigem exclusão explícita com != "" (ref.: docs.cloud.google.com/chronicle/docs/detection/yara-l-best-practices). Sem $e.principal.user.userid != "", os campos userid omitidos assumem "" por padrão e geram correspondências falso-positivas. Essa é uma boa prática documentada para reduzir falsos positivos. Por que não as outras? A filtragem automática NÃO vale para tudo — só os placeholders da seção match recebem a exclusão implícita de valores zero (ref.: docs.cloud.google.com/chronicle/docs/yara-l/match-syntax). Mover um campo para a seção outcome não impede a correspondência com valores vazios em events. O modificador nocase muda a sensibilidade a maiúsculas e minúsculas, não o tratamento de valores nulos.

Fontecloud.google.com

Observabilidade4 / 5

Você precisa criar uma política de alertas no Cloud Monitoring que dispare quando a taxa de ingestão de logs do SecOps cair abaixo de um limite, o que pode indicar falha de uma fonte de logs ou interrupção de rede. Qual métrica e qual condição você deve configurar?

AlexExplicação completa do Alex

Para detectar falhas em fontes de logs, crie uma política de alertas no Cloud Monitoring usando a métrica Chronicle Collector > Ingestion > Total ingested log count (ou Total ingested log size) com uma condição do tipo Metric absence. Ela dispara quando nenhum dado é recebido por uma duração determinada (ref.: docs.cloud.google.com/chronicle/docs/ingestion/ingestion-notifications-for-health-metrics). A configuração documentada: selecione a métrica de ingestão, agrupe por collector_id, defina a Rolling window em até 1 hora e configure Metric absence como tipo de condição, com um tempo de ausência para o disparo. Por que não as outras? O backlog do Pub/Sub monitora a profundidade da fila, não a ingestão específica do SecOps. A CPU do Compute Engine cair a zero é pouco confiável e não indica diretamente a parada do fluxo de logs. Entradas por segundo do Cloud Logging medem o throughput do Cloud Logging, não especificamente a saúde da ingestão do SecOps.

Fontecloud.google.com

Criar uma conta grátis

As questões do app estão atualmente em inglês. As traduções desta prévia se aplicam apenas à prévia. Consulte a entidade certificadora para saber quais idiomas estão disponíveis para o exame oficial.

Banco de questões

430 questões de prática

O banco de questões do Pass-IT oferece material para você praticar para GCP-PSOE. Um simulado do Pass-IT tem 55 questões e limite de 120 minutos; essas são as configurações da prática.

Dados do banco de questões: GCP-PSOE

Objetivos do guia13 objetivos listados no guia oficial

distribuídos por 6 domínios no guia oficial do exame

Tamanho do banco430 questões

= O tamanho do banco equivale a 7 conjuntos de 55 questões. Isso não significa que cada simulado use um conjunto diferente.

Domínios do conteúdo programático6 domínios no conteúdo programático do exame

Platform operations 73 · Data management 59 · Threat hunting 72 · Detection engineering 86 · Incident response 97 · Observability 43

Registradas como conferidas com fontes430 de 430

questões cuja resposta, alternativas e explicação constam como conferidas com a documentação oficial de Google Cloud

Como as questões são criadas →

Domínios do exame

Conteúdo do exame

Detection engineering é o domínio de maior peso, com 22%: design de regras YARA-L, detecção baseada em risco atrelada a threat intelligence e redução de falsos positivos via alert scoring. Incident response vem logo atrás, com 21%, cobrindo contenção e investigação de causa raiz, design de playbooks SOAR e a condução dos casos pelo ciclo de vida da resposta. Threat hunting fica com 19%, garimpando a telemetria do ambiente e as fontes de threat intelligence atrás de indicadores de comprometimento e padrões de ataque emergentes. Platform operations e data management empatam em 14% cada, com integração de fontes de telemetria e autenticação de um lado, ingestão de logs e ajuste de parsers no Google SecOps do outro. Observability, que trata de dashboards e monitoramento da saúde da plataforma, fecha o blueprint com 10%.

Detecção e resposta somam 43% da prova. Ou seja, por mais que os nomes dos domínios soem bem operacionais e pé no chão, as perguntas puxam muito mais para as mecânicas do Google Security Operations e do Security Command Center do que para o julgamento genérico de um analista de SOC.

Conteúdo programático: GCP-PSOE

Platform operations~14%

Prioritize and stitch together telemetry sources like Security Command Center and Google SecOps to sharpen detection, and set up the user and service-account authentication those tools rely on.

≈ 14 h

Data management~14%

Feed logs into Google SecOps with parsers tuned for accuracy and cost, and build the user, asset, and entity baselines that later detections and enrichment depend on.

≈ 14 h

Threat hunting~19%

Hunt for anomalous behavior across environments by building targeted queries, and lean on threat intelligence to search out indicators of compromise and spot attack patterns before they're widely known.

≈ 19 h

Detection engineering~22%

Develop and implement detection mechanisms such as detection rules and risk-based analytics to identify threats and posture changes, and leverage threat intelligence to score alerts and reduce false positives.

≈ 22 h

Incident response~21%

Contain a live security incident by gathering evidence and scoping its blast radius, trace it back to root cause using tools like Google SecOps SIEM, build playbooks that guide the response, and move cases through a defined lifecycle from open to closed.

≈ 21 h

Observability~10%

Build dashboards and reports that turn telemetry, detections, and alerts into security insight, and set up the health monitoring and alerting that keeps the security platform itself running.

≈ 10 h

Formato

Formato do exame e tipos de questões

A prova traz de 50 a 60 questões de múltipla escolha e de múltipla seleção numa janela de 120 minutos, com proporção aproximada de 80% de resposta única para 20% de múltipla seleção. As questões cobram conhecimento prático dos recursos de SIEM/SOAR do Google Security Operations (antigo Chronicle) e das funcionalidades do Security Command Center, não teoria genérica de análise de segurança.

Tipos de questões: GCP-PSOE

Múltipla escolha80%

Selecione a única resposta que melhor atende aos requisitos da questão.

Resposta múltipla20%

Selecione várias respostas. Siga as instruções da questão sobre quantas escolher.

Consulte Google Cloud para obter as informações oficiais sobre os formatos de questões. As proporções exibidas descrevem o banco de prática do Pass-IT e não determinam as proporções do exame oficial.

Planejamento

Preparação para GCP-PSOE

A prova pode ser feita online, com supervisão remota, ou presencialmente em um centro de testes. A certificação vale 2 anos, e a recertificação é feita por meio de uma versão atualizada da prova durante o período de elegibilidade para renovação.

Preparação e informações práticas: GCP-PSOE

Preparação

Exemplo de tempo de estudo60–150 h

faixa ilustrativa para o planejamento: de 60 h com experiência relevante a 150 h para quem está começando; suas necessidades podem ficar fora dessa faixa

NívelAvançado

Conhecimentos recomendadosNão há pré-requisitos formais. O ideal é ter mais de 3 anos de experiência na área de segurança, sendo pelo menos 1 ano usando as ferramentas de segurança do Google Cloud.

Realização do exame e manutenção da certificação

ModalidadeSupervisionado online ou centro de testes presencial

Política de novas tentativasPolítica padrão de repetição das certificações Google Cloud: 14 dias de espera após a primeira tentativa, 60 dias após a segunda tentativa, 365 dias após a terceira tentativa

Validade da certificação2 anos

Recertificação dentro do período de elegibilidade para renovação, por meio da versão atualizada do exame

Guia oficialVer no site do fornecedor

Orientações de estudo

Erros comuns

Temas para revisar: GCP-PSOE

01Chronicle/SecOps
Não entender a arquitetura do Google Security Operations (Chronicle), o UDM e as regras de detecção
02Detection Rules
Não conseguir escrever nem otimizar regras de detecção em YARA-L para identificar ameaças
03Log Ingestion
Entender errado as fontes de log, os parsers e a normalização para o Unified Data Model
04SOAR Playbooks
Não saber como projetar e implementar playbooks de resposta automatizada
05Threat Intelligence
Deixar de lado os feeds de threat intelligence, a gestão de IOCs e os fluxos de enriquecimento
06Incident Response
Não seguir os procedimentos corretos de resposta a incidentes, incluindo contenção, erradicação e revisão pós-incidente

Praticar com questões e explicações no Pass-IT →

Dúvidas

Perguntas frequentes

Quais erros merecem atenção na preparação para Professional Security Operations Engineer?

Entre os temas que merecem revisão estão Chronicle/SecOps, Detection Rules, Log Ingestion, SOAR Playbooks, Threat Intelligence, Incident Response. Trabalhe com exemplos para verificar se você entende as diferenças e consegue justificar sua resposta.

Como é o peso dos temas no exame Professional Security Operations Engineer?

Detection engineering é a maior seção, com 22%, seguida de incident response com 21% e threat hunting com 19%. Platform operations e data management ficam com 14% cada uma e observability com 10%. Seis décimos do exame são, portanto, detecção, hunting e resposta.

Security Operations Engineer ou Cloud Security Engineer?

O exame de Cloud Security Engineer é sobre construir os controles: configuração de acesso, proteção de dados e segurança de perímetro. Este é sobre operar a detecção e a resposta que ficam em cima disso, então ele cobra escrever detecções, caçar ameaças e lidar com incidentes. Se o seu dia a dia é um plantão de SOC e não uma revisão de arquitetura de segurança, este combina mais com você.

Que experiência o exame de Security Operations Engineer pressupõe?

Três anos ou mais de experiência na área de segurança, incluindo pelo menos um ano com as ferramentas de segurança do Google Cloud, como recomendação. O catálogo estima cerca de 100 horas. Experiência em outro SOC se aproveita bem, porque o exame cobra método tanto quanto produto.

Por quanto tempo vale a certificação de Security Operations Engineer?

Dois anos, com recertificação por meio de um exame atualizado dentro do período de elegibilidade para renovação. O Google Cloud não oferece nenhuma alternativa baseada em créditos.

Qual é a política de repetição do exame de Security Operations Engineer?

Quatorze dias após a primeira reprovação, 60 dias após a segunda e 365 dias após a terceira. O cronograma é o mesmo do restante da linha professional do Google Cloud.

Uma certificação, 12 meses

Prática para GCP-PSOE

Concentre sua prática em uma certificação ou escolha o Pro para praticar para todas as certificações.

Comprar acesso a GCP-PSOE por $29.99

Começar uma sessão de prática gratuitaExperimente as primeiras 20 questões sem cartão para avaliar se a prática atende às suas necessidades.

Para compras elegíveis: garantia de reembolso se você não passar no exame.

Ver condições da garantia →