Explanation:
1.FortiSIEMインシデント2.FortiSOARアラート3.FortiSOARインジケーター4.FortiSOARインシデントFortiSIEM 7.3とFortiSOAR 7.6の標準統合では、データ取り込みウィザードは特定のオブジェクトマッピング階層に従い、高精度のセキュリティイベントが正しく管理されるようにします。
* ステップ 1: FortiSIEM インシデント: ワークフローは FortiSIEM で開始されます。相関ルールがトリガーされると、インシデント (単なる生ログではない) が生成されます。FortiSOAR コネクタは、これらのインシデントレコードを取得するために FortiSIEM API をポーリングします。
* ステップ 2: FortiSOAR アラート: デフォルトでは、取り込まれた FortiSIEM インシデントは FortiSOAR の Alerts モジュールにマッピングされます。これは「トリアージ」レイヤーとして機能し、自動化されたプレイブックが初期分析を実行してから、人間が本格的な調査が必要かどうかを判断します。
* ステップ 3: FortiSOAR インジケーター: アラートが処理される際 (取り込み中または直後)、プレイブックは技術的なアーティファクト (IP アドレス、ハッシュ、URL) を抽出し、インジケーターレコードを作成します。これにより、脅威インテリジェンスの自動検索や他のアラートとの相互参照が可能になります。
* ステップ 4: FortiSOAR インシデント:アラートが検証された場合 (自動プレイブックスコアリングまたは手動アナリストレビューのいずれかによる)、FortiSOAR インシデントに昇格されます。これは、正式な追跡、修復、および報告が必要な、確認済みのセキュリティ問題を表します。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSOAR 7.6とFortiGateファイアウォールをFortiGateコネクタ経由で正常に統合するには、FortiGate側で特定の管理要件とネットワーク要件を満たす必要があります。
* API管理者とキー（D）：FortiSOARは標準のUIログイン認証情報を使用しません。代わりに、FortiGate上にREST API管理者アカウントを作成する必要があります。このアカウントには、必要な権限（ファイアウォールポリシーまたはアドレスオブジェクトに対する読み取り/書き込みなど）を持つ管理プロファイルを割り当てる必要があります。作成時に、FortiGateは一意のAPIキーを生成します。このキーは、図に示すように、FortiSOAR構成ウィザードの「APIキー」フィールドに入力する必要があります。
* HTTPS管理アクセス（C）：コネクタはHTTPS（デフォルトではポート443）経由のREST API呼び出しを使用してFortiGateと通信します。そのため、FortiGate上の「ホスト名」IP（172.16.200.1）に対応する物理インターフェースまたは論理インターフェースのネットワーク設定の「管理アクセス」でHTTPSを有効にする必要があります。HTTPSが無効になっている場合、接続はタイムアウトするか拒否されます。
他の選択肢が間違っている理由：
* 信頼済みホスト（A）：API アクセスを特定の IP アドレス（FortiSOAR の IP アドレスなど）に制限することが推奨されますが、ネットワークがトラフィックを許可している場合は、「信頼済みホスト」を有効にしなくても技術的には統合が機能します。ただし、API キーまたは HTTPS アクセスがない場合は、信頼済みホストの設定に関係なく、確実に失敗します。
* VDOM名（B）：展示では、VDOMフィールドには複数の値（「VDOM_1」、「VDOM_2」）が含まれています。
FortiGateでVDOMが無効になっている場合、このフィールドは通常空白のままにするか、デフォルト値に設定する必要があります。
「root」。VDOMが無効になっている場合にこれを「VDOM_1」に明示的に設定することは、接続のための普遍的な要件ではありません。プライマリハンドシェイクは、APIキーとHTTPS接続に依存します。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSOAR 7.6では、ウォー・ルームは優先度の高いインシデント調査のために設計されたコラボレーションスペースです。
調査ビュー内の証拠タブ（図に示されているとおり）は、調査プロセス中に発見された重要な所見を強調表示するために特別に設計されています。
* 証拠タグ付け: [証拠としてマークされたアクションログ] セクションに情報を入力するには、アナリストはコラボレーションワークスペース内の関連するログエントリ、プレイブックの出力、またはコメントに、システム定義のキーワード「証拠」を明示的にタグ付けする必要があります。
* 自動分類：タグが適用されると、FortiSOARはこれらのエントリを自動的に解析し、この一元化されたビューに表示します。これにより、チームメンバーや関係者は、すべてのアクションログを精査することなく、「根本原因分析」フェーズで収集された裏付けのある事実と証拠を迅速に確認できます。
* 手動ログとアクションログ：展示では、「証拠の手動アップロード」（CSLAB文書などのファイルをドラッグアンドドロップできる場所）と「証拠としてマークされたアクションログ」という2つの異なる領域が示されています。後者は、タグ付けによって証拠ステータスに昇格されたシステム生成ログまたはコメント専用です。
他の選択肢が間違っている理由：
* インジケーターを作戦室にリンクする (B): インジケーターをリンクすると、技術的なアーティファクト (IP やハッシュなど) がレコードに関連付けられますが、作戦室のアクション ログ ビュー内で証拠として自動的に分類されるわけではありません。
* 証拠収集タスクを作成してファイルを添付する (C):これは調査において有効な手順ですが、タスクにファイルを添付すると、通常は「アクション ログ」セクションではなく、「添付ファイル」または「証拠の手動アップロード」領域に配置されます。
* [実行ログの保存] オプションを有効にしてプレイブックを実行すると (D): 実行ログを保存することで、プレイブックが行ったことの記録が残りますが、特定のロジックまたは手動のアナリスト操作によって結果のログエントリに「証拠」タグが適用されない限り、出力は「証拠」としてマークされません。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiAnalyzer 7.4 SOC Analystの公式トレーニング資料（レッスン5：自動化）およびFortiSOAR 7.6とFortiSIEM 7.3の統合に関するサポートドキュメントによると、プレイブックの移植性に関して、以下のベストプラクティスが推奨されています。
* エクスポート前にプレイブックを無効にする (A): プレイブックをエクスポートすると、その現在の状態 (有効または無効) がエクスポートファイルに保持されます。有効になっているプレイブックが、トリガー条件がすぐに満たされる宛先 ADOM にインポートされると、自動的に実行が開始されます。エクスポート前にプレイブックを無効にすることは、アナリストがローカル構成を確認する前に、新しい環境で意図しない自動アクションが発生するのを防ぐための重要なベストプラクティスです。
* 関連するコネクタ設定を含める（B）：FortiAnalyzerでは、エクスポート処理中に必要なコネクタ構成を含めることができます。このオプションを選択すると、エクスポートされたファイルには、プレイブックがタスクを実行するために使用するコネクタに必要なメタデータと構成が含まれます。これにより、すべてのコネクタを手動で再作成する必要なく、プレイブックがさまざまなFortiAnalyzerユニットまたはADOM間で機能し、移植性を維持できます。
他の選択肢が間違っている理由：
* ADOM間でプレイブックを移動する（C）：デバイスを移動するのと同じ意味で、ADOM間で自動化プレイブックを移動するネイティブな「移動」機能はありません。自動化ロジックを転送するための標準でサポートされているワークフローは、エクスポートおよびインポートプロセスです。
* ターゲットに名前が存在しないことを確認します (D):一意の名前を維持することは良い習慣ですが、FortiAnalyzer が名前の競合を自動的に処理するため、エクスポート プロセス自体では必須の「ベスト プラクティス」ではありません。インポートされたプレイブックが既存のプレイブックと同じ名前である場合、システムは競合を回避するために新しいプレイブックの名前にタイムスタンプを自動的に追加します。

* FortiAnalyzer Fabricの理解：
* FortiAnalyzer Fabricは、接続されたFortiGateデバイスのログを一元的に収集、分析、およびレポートします。
* FortiAnalyzer Fabric内のデバイスは、ログと管理を分離するために、異なる管理ドメイン（ADOM）に編成できます。
* 展示物の分析：
* ファブリック内の FAZ-SiteA および FAZ-SiteBare FortiAnalyzer デバイス。
* FortiGate-B1とFortiGate-B2はSite-B-Fabricの下に表示されており、これらが同じセキュリティファブリックの一部であることを示しています。
* FAZ-SiteA の下には SiteA と MSSP-Local という複数のエントリがあり、複数の ADOM が有効になっていることを示しています。
* 選択肢の評価：
* オプション A: FortiGate-B1 と FortiGate-B2 は Site-B-Fabric に属しており、これらが同じセキュリティファブリックの一部であることを示しています。
* オプションB：FAZ-SiteAとFAZ-SiteBがFortiAnalyzerとして存在していることは、コレクターの存在を否定するものではありません。ただし、展示資料にはコレクターの役割が別途明記されている箇所はありません。
* オプションC：すべてのFortiGateデバイスがスーパーバイザに直接登録されているわけではありません。図は、異なるサイトおよびADOMにおける階層構造を示しています。
* オプション D: FAZ-SiteA (SiteA および MSSP-Local) の下の複数のエントリは、FAZ-SiteA で 2 つの ADOM が有効になっていることを示しています。
* 結論：
* FortiGate-B1とFortiGate-B2はセキュリティファブリックを構成しています。
* FAZ-SiteAでは2つのADOMが有効になっています。
参考文献：
FortinetのFortiAnalyzerファブリックトポロジーとADOM構成に関するドキュメント。
FortiAnalyzerを使用したセキュリティファブリック導入のためのベストプラクティス。