これは上記と同じ理由で正解です。Mac Sensorレポートは、Macホスト上で発生しているアクティビティを包括的に表示し、脅威の特定や調査の手がかりとなる可能性のある注目すべき項目も含まれています。Falconセンサーがインストールされているか否かにかかわらず、すべてのMacホストの一覧を表示するものではなく、Macホスト上で発生している既知の悪意のあるアクティビティの検出に特化した表示も提供していません。

偵察とリソース開発は、MITRE ATT&CKフレームワーク（バージョン11）のエンタープライズ：Windowsマトリックスには含まれていない2つの戦術です。これらの2つの戦術は、攻撃者がターゲットを侵害する前に実行するアクションを網羅するPRE-ATT&CKマトリックスの一部です。エンタープライズ：Windowsマトリックスは、攻撃者がWindowsシステムへの初期アクセス権を取得した後に実行するアクションを網羅しています。永続性、実行、影響、収集、特権昇格、初期アクセスはすべて、エンタープライズ：Windowsマトリックスに含まれる戦術です。

イベント検索ページから生のイベント検索を実行する場合、イベントアクションは、イベントまたはホストに関連するさまざまなタスクを実行できるピボット可能なワークフローです。たとえば、リアルタイムレスポンスを使用してホストに接続したり、イベントの種類や名前に基づいて事前に作成されたイベント検索を実行したり、ホスト検索、ハッシュ検索などの他の調査ページにピボットしたりできます。イベントアクションには、監査情報ログ、Falconセンサーによって実行されたアクションの概要、またはイベントデータ辞書で定義されているイベント名は含まれません。

このクエリは、サブサーチを使用して FileName が badprogram.exe である processrollup2 イベントを検索し、TargetProcessld_decimal フィールドの名前を ParentProcessld_decimal に変更してメイン検索のフィルタとして使用し、統計情報を使用して各 FileName の出現回数を _time ごとにカウントすることで、badprogram.exe を起動した親プロセスを返します。他のクエリでは、親プロセスが返されないか、フィールド名または構文が間違っています。

脅威ハンティングおよび調査ガイドには、脅威ハンティングに役立つイベント検索クエリの例が記載されています。これらのクエリは、疑わしいプロセス、ネットワーク接続、レジストリアクティビティなどの検出といった、一般的な脅威ハンティングのユースケースとシナリオに基づいています。また、さまざまなニーズや環境に合わせてクエリをカスタマイズおよび変更する方法についても説明しています。イベントデータ辞書にすべてのイベントタイプとその構文が記載されているため、ガイドにはそれらのリストは含まれていません。また、ガイドの焦点では​​ないため、Falconプラットフォーム構成に役立つイベント検索クエリの例も含まれていません。