抜粋：学習ガイド p.200-p.203：プレイブックはトリガーから実行され、タスクはイベントをインシデントに追加する前にフィルタリングできます。
技術的な詳細解説：正解はDです。プレイブックのタスクは、設定された基準を使用してイベントをフィルタリングし、その基準に一致するイベントのみがインシデントに追加されます。タスクはリストされた条件のいずれかに一致するように設定されているため、アナリストは、重大度、イベントタイプ、またはタグフィルタに一致する固有のイベントをカウントする必要があります。図には、一致する固有のイベントが4つ含まれています。オプションAとBは、すべてのイベントまたはほとんどのイベントを一致するものとして扱うため、過剰カウントになります。オプションCは、フィルタが空ではなく、図にタスクの基準を満たすイベントが示されているため、誤りです。

FortiAnalyzer 7.6学習ガイド文書の知識を正確抽出した、包括的かつ詳細な説明：
FortiAnalyzerの学習ガイドには、疑わしいインジケーターのブロックはFortiAnalyzerとFortiManagerを統合することによって実行される（ブロックリストをFortiGateに直接プッシュするわけではない）と記載されています。具体的には、「この機能を使用するには、FortiAnalyzerのファブリックコネクタページで、FortiAnalyzer用の承認済みFortiManagerコネクタを設定する必要があります。」とあります。そして、バックエンドのメカニズムについて次のように説明しています。「バックエンドでは、Block_indicatorというプレイブックが毎秒実行されます。」
情報をFortiManagerに送信するのに5分かかります。処理が成功すると、ブロックされたインジケーターがFortiManagerの外部リソースリストにプッシュされます。そこから、FortiManagerは脅威フィードを作成できます。
/セキュリティプロファイル/ポリシーブロック、必要に応じてFortiGateにポリシーをプッシュする - ただし、学習ガイドでは次のように説明しています。
「FortiAnalyzer のブロック状態は、リストが FortiManager 上で更新されていることを示していますが、FortiGate とは同期されていません。」そのため、FortiAnalyzer は FortiManager コネクタを使用してインジケータをブロックし、ブロック情報を FortiManager に送信します (オプション B)。

FortiAnalyzer 7.6学習ガイド文書の知識を正確抽出した、包括的かつ詳細な説明：
展示図では、イベントステータスが「未処理」（イベントタイプ：Webフィルタ、重大度：クリティカル）と表示されています。FortiAnalyzerの学習ガイドでは、未処理イベントを、セキュリティリスクが対処されておらず、したがって依然としてアクティブ/オープンな状態にあるイベントと定義しています。具体的には、「未処理：セキュリティリスクはオープンとみなされます」と記載されています。これはオプションDと直接一致します。
その他のオプションは、異なるステータスまたはアクションに対応しています。
* 「隔離/封じ込め」は、リスク源が隔離されている場合（状態が「封じ込め」の場合）に適用され、「未処理」の場合は適用されません。
* エスカレーションとは、未処理ではなく、さらなる対応のために移動/提起されたイベント（ステータス：エスカレーション）を指します。
* インシデントが作成されたかどうかは、展示の「未処理」ステータスだけでは判断できません。学習ガイドでは、インシデントの作成をインシデント管理ワークフローに関連付けており、
インシデントが作成され、「未処理」状態です。