正確な抜粋：学習ガイド185ページ：レポートは、既存のレポートから手動で、インシデントから手動で、またはプレイブックを通じて自動的にインシデントに添付できます。
技術的な詳細解説：正解はAです。インシデントは関連するセキュリティイベントを格納するコンテナであり、レポートを添付することで、アナリストはリアルタイムのイベントデータに加えて、履歴や状況に関する証拠を得ることができます。
オプションBは、インシデントステータスが添付イベントステータスとは独立して管理されるため誤りです。オプションCは、ガイドに記載されているFortiAnalyzerのデフォルトルールではありません。SLA応答時間は組織固有のものです。オプションDは、インシデントは直接開いて分析できるため誤りです。確認応答は分析の前提条件ではありません。

脅威ハンティングとは、自社の環境における疑わしい、あるいは潜在的に危険なネットワーク活動を積極的に探索することです。この積極的なアプローチにより、アナリストは既存のセキュリティソリューションや設定では検出できなかった可能性のある脅威を発見することができます。

目的は、Laptop1（IPアドレス 10.1.1.100）からFortiAnalyzerのWebインターフェース（GUI）へのすべてのログイン試行を識別し、管理者ユーザーを除外するフィルタを作成することです。このフィルタは、管理者以外のすべてのユーザーに一致する必要があります。
* フィルターコンポーネントの分析:
* Operation-login: このフィルタのこの部分は、ログイン操作を具体的に対象とするため、ログイン試行をフィルタリングするのに適しています。
* performed_on==''GUI(10.1.1.100)': これは、ログイン試行がGUIインターフェース上で行われ、指定されたIPアドレス（Laptop1のIPアドレス(10.1.1.100)に一致）から発信される必要があることを示します。これにより、フィルタはこの特定のデバイスからのGUIログインのみに一致することが保証されます。
* user!=admin: この部分は管理者ユーザーによるログインを除外し、管理者以外のユーザーのみをキャプチャするという要件を満たします。
* オプション分析：
* オプション A: Operation-login、performed_on==''GUI(10.1.1.100)'、user!=admin を正しく指定します。この設定により、Laptop1 からの GUI へのログイン試行が管理者ユーザーを除いて効果的にフィルタリングされます。
* オプション B: performed_on フィルタで誤った IP アドレス 10.1.1.120 を使用します。これは Laptop1 の IP アドレス (10.1.1.100) と一致しません。
* オプション C: このオプションには srcip==10.1.1.100 と dstip==10.1.1.210 が含まれていますが、user!=admin ではなく user==admin と誤って指定しているため、管理者ユーザーを除外するという要件を満たしていません。
* オプション D: このオプションでは、GUI に限定するために performed_on フィールドが指定されておらず、srcip なしで dstip (宛先 IP) のみが含まれています。また、正しい構文 user!=admin の代わりに、user!-admin という誤った構文が使用されています。
結論：
* 正解: A. Operation-login and performed_on==''GUI(10.1.1.100)' and user!=admin
* このフィルターは、管理者以外のユーザーによるLaptop1からGUIインターフェースへのログイン試行という、必要な条件を正確に捉えます。
参考文献：
FortiAnalyzer 7.4.1 のログフィルタ、ログイン操作の構文、および GUI ログイン追跡に関するドキュメント。

イベントのステータスは「緩和済み」と表示されます。FortiAnalyzerでは、これは脅威が自動的に処理されたことを示しています。この場合、疑わしいWebリクエストはWebフィルタによってブロックされました。