* プレイブックの要件を理解する:
* SOC アナリストは、重大度の高いイベントをフィルタリングするプレイブックを設計する必要があります。
* プレイブックでは、既存のインシデントにイベント情報を添付する必要もあります。
* 提供された展示物の分析:
* この展示では、プレイブック内のローカル コネクタで使用可能なアクションを示します。
* リストされているアクションは次のとおりです:
* 資産とアイデンティティの更新
* イベントを取得
* エンドポイントの脆弱性を取得する
* インシデントの作成
* アップデートインシデント
* インシデントにデータを添付する
* レポートの実行
* インシデントからEPEUを取得する
* オプションの評価:
* イベントの取得: このアクションはイベントを取得しますが、インシデントに添付しません。
* インシデントの更新: このアクションは既存のインシデントを更新しますが、イベント データを添付するためのものではありません。
* 資産と ID の更新: このアクションは、資産と ID 情報を更新しますが、イベント データをインシデントに添付することには関係ありません。
* インシデントにデータを添付: このアクションは、イベント情報などの追加データを既存のインシデントに添付することを目的として明示的に設計されています。
* 結論：
* プレイブックで重大度の高いイベントをフィルタリングし、イベント情報をインシデントに添付するために使用する正しいアクションは、「インシデントにデータを添付」です。
参考文献:
* プレイブックのアクションとコネクタに関する Fortinet のドキュメント。
* SOC 運用におけるインシデント管理とプレイブック設計のベスト プラクティス。