* FortiAnalyzer の自動化プロセスを理解する:
* FortiAnalyzer は、FortiGate デバイスでのコマンドの実行など、検出されたセキュリティ イベントへの応答を自動化できます。
* 顧客要件の分析:
* 顧客は、ボットネット C&C サーバーの IP が検出されたときに、FortiGate で CLI コマンドを実行して、定義済みの URL をブロックしたいと考えています。
* 特定のイベントによってトリガーされる自動応答が必要です。
* オプションの評価:
* オプション A: プレイブックは複雑なワークフローを調整しますが、通常、直接イベントによってトリガーされる自動化プロセスには使用されません。
* オプション B: データ セレクターは基準に基づいてログをフィルターしますが、自動化プロセスを開始しません。
* オプション C: イベント ハンドラーは、特定のイベント (ボットネット C&C サーバー IP の検出など) を検出し、自動化ステッチをトリガーして事前定義されたアクションを実行するように構成できます。
* オプション D: コネクタは FortiAnalyzer と他のシステム間の通信を容易にしますが、ログ イベントに基づいて自動化を開始するための主要なメカニズムではありません。
* 結論：
* ボットネット C&C サーバーの IP が検出されたときに自動化プロセスを開始するには、FortiAnalyzer のイベント ハンドラーを使用する必要があります。
参考文献:
* FortiAnalyzer のイベント ハンドラーと自動化ステッチに関する Fortinet のドキュメント。
* FortiAnalyzer で自動応答を構成するためのベスト プラクティス。

* FortiAnalyzer ファブリックの展開について理解する:
* FortiAnalyzer Fabric の導入には、Fabric ルート (スーパーバイザ) が複数の Fabric メンバー (コレクターとアナライザ) と連携する階層構造が含まれます。
* この設定により、地理的に分散した場所全体でのログの収集、分析、およびインシデント対応が一元化されます。
* 展示品の分析:
* FAZ1-Supervisor は AMER HQ にあり、Fabric ルートとして機能します。
* FAZ2-Analyzer は EMEA に所在する Fabric メンバーです。
* FAZ3-Collector と FAZ4-Collector は、それぞれ EMEA と APAC に所在する Fabric メンバーです。
* オプションの評価:
* オプション A: この記述は、AMER HQ SOC チームがファブリック スーパーバイザーから自動化プレイブックを実行できないことを示しています。自動化プレイブックと特定のオーケストレーション タスクでは通常、ローカル実行機能が必要であり、スーパーバイザー ノードでは完全にサポートされない可能性があるため、これは当てはまります。
* オプション B: スーパーバイザ ノードの高可用性 (HA) 構成は冗長性のベスト プラクティスですが、特定のアーキテクチャから直接推論されるものではありません。
* オプション C: FAZ2-Analyzer は完全な分析機能を提供するため、EMEA SOC チームが履歴ログにのみアクセスできるというのは正しくありません。
* オプション D: APAC SOC チームは FAZ4-Collector を通じて FortiView やその他のレポート機能にアクセスできますが、これは提供されているアーキテクチャでは明示的に詳細化されていません。
* 結論：
* この FortiAnalyzer Fabric 導入アーキテクチャに関する最も正確な観察結果は、AMER HQ SOC チームが Fabric スーパーバイザーから自動化プレイブックを実行できないことです。
参考文献:
* FortiAnalyzer ファブリックの展開に関する Fortinet のドキュメント。
* FortiAnalyzer と自動化プレイブックのベスト プラクティス。