抜粋：FortiAnalyzer 7.6 アナリスト学習ガイドでは、FortiView がネットワーク情報を要約したダッシュボードを提供し、脅威ダッシュボードには「上位の脅威」が表示されると説明されています。また、FortiView ウィジェットから「特定のエントリに関する詳細情報を確認できる」こと、上位の脅威ウィジェットには、利用可能な場合は IPS イベントや関連する CVE 情報を含む上位の脅威が表示されることも記載されています。
技術的な詳細解説：正解はAです。FortiViewの「上位脅威」テーブルには、Apache.Expect.Header.XSSという名前のエントリが含まれています。この脅威名は、Apacheに関連付けられたクロスサイトスクリプティング（XSS）関連のシグネチャを直接示しています。同じ行には脅威タイプがIPSと表示されており、FortiAnalyzerがこれをIPSで検出された脅威イベントとして表示していることを意味します。したがって、アナリストはFortiAnalyzerがApache WebサーバーまたはApache関連サービスに対するXSS攻撃アクティビティを記録したと合理的に結論付けることができます。
オプションBはサポートされていません。CVE IDが存在することで脆弱性のコンテキストが提供されますが、攻撃が他のすべてのエントリよりも優先されるとは限りません。FortiAnalyzer/FortiViewでは、優先順位は脅威レベル、脅威スコア、インシデント数、影響を受ける資産、およびSOCへの影響に基づいて決定されます。図では、CVE IDのないエントリの中には、Apache XSSエントリよりも脅威スコアが高く、インシデント数が多いものがあります。
選択肢Cは誤りです。なぜなら、この展示には悪意のあるWebサイトやP2Pなど、IPS以外の脅威タイプが含まれているからです。FortiAnalyzerはIPSの脅威のみを真の脅威として扱うわけではありません。FortiViewは複数のセキュリティ関連カテゴリを集約するため、アナリストはさまざまなログタイプや検出タイプにわたる脅威をレビューできます。
オプションDは安全な結論ではありません。表示されている表には、表示されている行に重大な脅威レベルが表示されていませんが、それは重大な脅威が存在しないことを証明するものではありません。表示はフィルタリングされていたり、時間で範囲が限定されていたり、現在表示されている上位脅威のエントリのみに限定されている可能性があります。SOCアナリストは、フィルタリングされたウィジェットだけを見て、重大な脅威が全く存在しないと推測すべきではありません。

正確な抜粋：学習ガイド p.211：トリガー変数は、後のプレイブックタスクでイベントまたはインシデントトリガーからの情報を使用します。
技術的な詳細解説：正解はBです。トリガー変数を使用すると、プレイブックタスクは、エンドポイントIP、デバイス、重大度、インシデントフィールドなど、プレイブックを開始したイベントまたはインシデントの値を再利用できます。これにより、タスクはレポートをフィルタリングしたり、一致するログを取得したり、応答アクションを動的にターゲットにしたりできます。オプションAは監視統計について説明しており、変数については説明していません。オプションCは関係を逆転させています。トリガーがプレイブックを開始し、その後変数がタスクで使用できるようになります。オプションDはON_SCHEDULEのタイミングとは関係ありません。

Fortinetは、これらの機能を拡張し、さらに多くの機能を追加する専用製品であるFortiSOARとFortiSIEMを提供しています。FortiSOARは、スタンドアロン製品として、またFortiAnalyzerにインストールできる管理拡張アプリケーションとして利用可能です。

FortiAnalyzer Fabricでは、デバイスは特定の互換性基準を満たしていれば、クラスタまたはグループに参加できます。提供された出力に基づいて、これらの基準を評価してみましょう。
* バージョン互換性:
* FortiAnalyzer1、FortiAnalyzer2、FortiAnalyzer3の3つのデバイスはすべてバージョンv7を実行しています。
4.1-build0238は全機種共通です。FortiAnalyzer Fabricは、シームレスな通信と管理を実現するために、デバイスが互換性のあるファームウェアバージョンを実行することを必要とするため、このバージョン整合性は非常に重要です。
* プラットフォームの種類と構成:
* 3台のデバイスはすべてHAモードでスタンドアロン構成となっており、独立して動作できますが、FortiAnalyzer Fabricへの参加は制限されません。また、各デバイスはFAZVM64-KVMプラットフォームタイプを採用しているため、ハードウェアの互換性が確保されています。
* グローバル設定:
* adm-mode、adm-status、adom-modeなどの主要な設定は、すべてのデバイスで一貫しており（adm-mode: normal、adm-status: enable、a​​dom-mode: normal）、ファブリック統合と役割割り当ての柔軟性に関する要件に合致しています。
* 各デバイスには、ファブリック環境内でログを転送する際に関連する log-forward-cache-size も設定されています。
上記の分析に基づくと、すべてのデバイス（FortiAnalyzer1、FortiAnalyzer2、およびFortiAnalyzer3）は、FortiAnalyzer Fabricの一部となるための要件を満たしています。
* FortiAnalyzer 7.4.1 のドキュメントでは、FortiAnalyzer Fabric 内のデバイスは、同じまたは互換性のあるファームウェア バージョンとハードウェア プラットフォームを使用している必要があり、統合用に構成されている必要があると説明されています。
すべてのデバイスがバージョン、プラットフォーム、およびモードの基準を満たしている場合、それらはすべてFortiAnalyzer Fabricの一部となることができます。

正確な抜粋：学習ガイド p.59：root ADOM はローカルイベントログを表示します。アプリケーションログは ADOM 固有です。
技術的な詳細解説：正解はBとDです。ローカルイベントログはルートADOMから取得でき、システム全体のFortiAnalyzer情報を提供します。プレイブックやインシデント管理などのFortiAnalyzerアプリケーションによって生成されたログを含むアプリケーションログは、ADOM固有です。オプションAは、ローカルログはログビューでアクセスできるため誤りです。オプションCは、プレイブック/アプリケーションログがすべてのADOMのルートADOMに単純に配置されるわけではなく、ルート以外のADOMにはそのADOMに関連するアプリケーションログが表示されるため誤りです。