オプションA：CrowdStrike Falcon Runtime Protectionは、コンテナ内のシステムコール、プロセスの動作、ランタイムアクティビティを監視することで、攻撃の兆候（IOA）を検出します。これにより、Falconは異常なアクティビティ、権限昇格の試み、そして攻撃を示唆する疑わしい動作を特定できます。
オプションB：すべてのネットワークトラフィックをブロックすると、正当な通信が遮断され、現実的なセキュリティ対策とは言えません。Falconは、行動分析を適用することで、疑わしいネットワークアクティビティを動的に検出します。
オプション C: ゼロデイ攻撃や Living Off-The-Land 攻撃などのランタイム脅威が展開後に出現する可能性があるため、静的分析だけでは IOA を検出するには不十分です。
オプション D: Kubernetes 監査ログは有用な情報を提供しますが、すべての IOA、特にコンテナ内のプロセスおよびシステム コール レベルの IOA をキャプチャするわけではありません。

オプションA：安全なベースイメージを選択することは良い方法ですが、スキャンの必要性がなくなるわけではありません。ベースイメージ以外の依存関係や追加パッケージにも脆弱性が存在する可能性があります。
オプションB: lsコマンドはパッケージ固有の情報を提供するように設計されておらず、エラーが発生しやすいです。インストールされているパッケージのバージョンを正確に判断することはできません。
オプション C: 実行時または間接的な依存関係を通じて追加のパッケージがインストールされる可能性があるため、Dockerfile はイメージの最終的な状態を反映しない可能性があります。
オプションD：Falconプラットフォームのスキャン機能は、パッケージ名、バージョン、関連する脆弱性を含む詳細かつ正確なSBOMを提供します。これは最も効率的で信頼性の高い方法です。

オプションA：この機能は、インシデント発生後の調査には役立ちますが、リアルタイムの検知対応を自動化するものではありません。プロアクティブではなく、リアクティブです。
オプション B: Identity Protection は、資格情報の不正使用などの ID ベースの脅威の検出に役立ちますが、クラウド ワークロードの検出や自動修復は処理しません。
オプションC：OverWatchは高度な脅威ハンティングサービスですが、自動対応ワークフローは提供していません。高度な攻撃の特定に重点を置いていますが、インシデントを自動的に修復する機能はありません。
オプションD：Falcon Fusion SOAR（セキュリティオーケストレーション、自動化、対応）ワークフローを使用すると、チームは事前定義されたロジックに基づいてセキュリティイベントに対応する自動化されたプレイブックを作成できます。このシナリオでは、ワークフローはセキュリティチームへの通知、検出の重大度評価、侵害されたKubernetesワークロードの自動隔離を実行できるため、最適な選択肢となります。

オプションA: MutatingWebhookConfiguration はポッドの仕様を変更できますが、攻撃者がそれを上書きまたはバイパスする方法を見つける可能性があるため、セキュリティの適用には適していません。検証Webhookを使用すると、より厳格な適用が可能になります。
オプション B: ValidatingWebhookConfiguration を使用すると、集中的なポリシー適用が可能になり、securityContext.privileged をチェックすることで特権コンテナの作成を試みるリクエストを明示的に拒否できます。
オプション C: RBAC ルールは、ユーザーとサービス アカウントの権限を制御しますが、特権コンテナの防止などのランタイム セキュリティ設定は適用しません。
オプション D: ネットワーク ポリシーはポッド間の通信を制御するために使用されますが、特権コンテナの作成は制限しません。

オプションA：正解です。「ドメイン名」条件タイプを使用すると、IOMルールの対象として特定のドメインを指定できます。これにより、CrowdStrikeは指定されたドメインに関連するアクティビティを監視・ブロックできるようになります。ルールが意図したとおりに機能するには、条件タイプを適切に設定することが不可欠です。
選択肢B: これは誤りです。「ファイルハッシュ」はハッシュ値に基づいて特定のファイルを識別することを目的としており、ドメインやIPアドレスをブロックするためのものではありません。このタイプを使用すると、ドメインブロックのルールが効果的に機能しなくなります。
選択肢C：これは誤りです。許可リストは、CrowdStrikeによるフラグ付けやブロックの対象からエンティティを除外するために使用されます。ドメインを許可リストに追加すると、ブロックされなくなります。
選択肢D: これは誤りです。「情報」などの重大度レベルは、イベントの重大性を分類するために使用され、ルールがアクティビティをブロックするかどうかを決定するために使用されるものではありません。ブロックする場合は、ルールのアクションタイプに明示的に「ブロック」を含める必要があります。