アナリストは、プレイブック内のタスク間で渡せるように出力変数（レポート UUID とインシデント ID を参照）を定義しています。表示されている構文（${trigger.incident_id} と
${generate_incident_report.report_uuid}) は、出力変数の作成と使用に特化して使用されます。

表示されているコマンドは以下のとおりです。
diagnose fortilogd lograte → ログの受信/インデックス作成レートを表示します
diagnose fortilogd msgrate → メッセージ処理レートを表示します
出力結果を見ると、過去5秒、30秒、60秒のいずれの期間もレートが非常に低くなっています。これは、FortiAnalyzerが受信ログとメッセージの処理（インデックス作成）をほぼ完了しており、処理待ちのログがほとんどないことを示しています。

ログが存在することが確認されているにもかかわらず、生成されたレポートに期待される情報が含まれていない場合、通常はレポートの設定に問題があることを示しています。このような事態が発生する一般的な理由としては、いくつか考えられます。
オプションA - レポートの対象期間を確認する：
レポートは特定の期間に基づいて生成されます。レポートの期間が関連ログの収集期間をカバーしていない場合、それらのログはレポート出力に表示されません。
報告書にすべての関連データが含まれるようにするためには、期間を確認し調整することが不可欠です。
オプションD - データセットをテストする：
データセットは、レポートに取り込まれるログとデータフィールドを決定します。データセットの設定が間違っている場合、または必要なログフィールドが含まれていない場合、情報が欠落する可能性があります。データセットをテストすることで、正しく設定され、期待どおりのデータが取り込まれていることを確認できます。

正確な抜粋: 学習ガイド p.130-p.132: ブラックリストに登録された IP または DGA の一致は感染判定を生成し、侵害されたホストの下に表示されます。
技術的な詳細解説：正解はBです。IOC分析でブラックリストに登録されたIPアドレスまたはドメイン生成アルゴリズムパターンに一致するWebログが見つかると、FortiAnalyzerはそれを実際の侵害として扱い、
/updates は、エンドポイントの感染した侵害ホストのエントリを更新します。オプション A は、疑わしいリストの動作について説明しており、FortiAnalyzer がホストをさらなる分析のためにフラグ付けします。オプション C は、ブラックリストに一致すると単に疑わしいのではなく、感染していると分類されるため誤りです。オプション D は、エンドポイントの自動応答を過大に説明しています。隔離は、IOC エンジンの分類自体ではなく、別の応答アクションです。

正確な抜粋：学習ガイド p.217：zip形式/base64エンコードされたJSONは、プレイブックのエクスポートデータタイプの1つです。
技術的な詳細解説：正解はAです。この図は、読みやすいプレーンテキストのJSONではなく、エンコードされたデータを示しています。これは、プレイブックがzip形式/base64エンコード形式でエクスポートされたことを示しています。これは、プレイブックの設定が間違っていることを意味するものではありません。また、コネクタが除外されたことを証明するものでもありません。コネクタの組み込みは、別のエクスポートオプションです。パスワード保護の兆候もありません。重要な視覚的な手がかりは、エクスポートされたデータに、読みやすいJSONプレイブック構造ではなく、エンコードされたデータと整合性情報が含まれていることです。