FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3における重要なイノベーションの一つは、FortiAIの統合です。FortiAIは、SOCアナリストがトリアージおよび対応プロセス中に支援する生成型AI機能を提供します。
* 生成型AIサマリー：インシデントが発生すると、FortiAIは基盤となるログ、相関ロジック、およびMITRE ATT&CKテクニック（図に示されている「代替プロトコルによるデータ漏洩」など）を自動的に分析して、人間が読みやすいサマリーを生成できます。
* 構造化された出力:展示に表示されている出力、具体的には分類された調査アクション（影響を受けるシステムの特定、トラフィックの分析）と修復アクション（即時の封じ込め、パッチ適用、ユーザー研修）は、FortiAI サマリー要求の典型的な結果です。
* アナリストの効率性: この機能は、アナリストが静的なドキュメントやばらばらのログビューから推奨される対応計画を手動で組み立てる必要なく、即座に実行可能な手順を提供することで、「平​​均応答時間」（MTTR）を短縮するように設計されています。
他の選択肢が間違っている理由：
* インシデントのエクスポート (A):インシデントをエクスポートすると、通常、調査と修復のための AI 生成の戦略計画ではなく、ログ データとメタデータを含む生データ ファイル (CSV/JSON/PDF) が生成されます。
* インシデントレポートの実行（B）：標準のインシデントレポートは、時間の経過に伴うインシデントに関する統計データと履歴データを提供します。単一のインシデントの固有の状況に合わせて、番号付きの具体的な調査手順を動的に生成するものではありません。
* Context tab (D):The Context tab in FortiSIEM is primarily used to view theCMDBinformation of the involved assets (e.g., host details, owner, location) and related historical events. While it provides thedataneeded for an investigation, it does not provide thelist of actionsto take.

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiAnalyzer 7.6および関連するSOCバージョンでは、インシデントはセキュリティイベントの追跡と分析のための集中管理コンテナとして機能します。インシデントを開始するには、主に2つの自動および手動の方法があります。
* カスタムイベントハンドラの使用（A）：FortiAnalyzerでは、イベントハンドラを使用して生ログからイベントを生成します。1最近のバージョンにおける重要な機能の一つは、カスタムイベントハンドラ内の「インシデントを自動的に作成する」設定です。2この設定を有効にすると、システムはトリガーされたイベントを自動的に新しいインシデントレコードに昇格させ、アナリストはインシデントが発生する前に個々のイベントを手動で確認する必要がなくなります。3
* プレイブックを実行する (D): プレイブックは、インシデントのライフサイクルを自動化する強力な手段です。4 プレイブックはイベントトリガーで構成でき、特定の条件に一致するイベントが発生するとすぐに実行されます。これらのプレイブックで使用できる主要なアクションの 1 つは、インシデントの作成アクションです。これは、トリガーとなったイベントのデータに基づいて、インシデントの詳細、重大度、カテゴリを自動的に入力できます。5 これにより、調査のために高精度のイベントが一貫してキャプチャされることが保証されます。
他の選択肢が間違っている理由：
* コネクタアクションの使用 (B):コネクタを使用すると、FortiAnalyzer は外部システム (ITSM や Security Fabric デバイスなど) と通信できますが、FortiAnalyzer 内で「インシデントの作成」を行うのは、外部統合に使用されるスタンドアロンのコネクタアクションではなく、内部イベントエンジンまたはプレイブック自動化の機能です。
* イベントモニターページで手動で行う (C): イベントモニターページでイベントを表示、フィルタリング、および確認することはできますが、インシデントを手動で発生させるプロセスは通常、インシデントモジュールから、またはログビューや FortiView でイベントを右クリックして「インシデントの発生」を選択することによって行われ、ハンドラーやプレイブックと同じアーキテクチャ上の意味で「イベントモニターページ」で発生すると定義されているコア機能ではありません。

正確な抜粋：「MITRE ATT & CKは、14の戦術を通じてサイバー攻撃と侵入を分類および説明します...
これらのカテゴリは、さらに具体的な技術とサブ技術に細分化されます。」 正確な抜粋：「攻撃者は、ポート スキャンや IP ディスカバリーなどの技術を組み合わせてアクティブ偵察を実行し、優先度の高いターゲットを見つけます。」 正解は A と D です。感染したホストは、まず自身のネットワーク構成と接続の詳細を収集しました。これはシステム ネットワーク接続の検出に該当します。MITRE では、この技術は侵害されたシステムとの間のネットワーク接続を一覧表示しようとするものと定義されています。後続の動作である、複数の内部アドレスに少量の接続試行を送信して応答するホストを特定する動作は、アクティブ スキャンに最もよく該当します。MITRE では、アクティブ スキャンはネットワーク トラフィックを通じて被害者のインフラストラクチャを調査するものと説明されています。
ネットワークスニッフィングは、このシナリオでは受動的なパケットキャプチャやインターフェース上のトラフィック監視について説明していないため、誤りです。ラテラルムーブメントも、MITREの戦術であり、ホスト検出活動に最適な手法ではないため、誤りです。ホストはまだ到達可能なシステムを検出している段階であり、別の内部システムに移動していません。
技術的な詳細分析: Fortinet SOC の調査では、このシーケンスは侵害後の検出の典型的なパターンです。ipconfig、route print、netstat、Get-NetTCPConnection、arp -a などのコマンドは、システム ネットワーク接続の検出をサポートします。多数の内部 IP への低レートのプローブは、ノイズの多いスキャンよりもステルス性が高く、FortiGate のトラフィック ログ、Windows ファイアウォール イベント、または EDR テレメトリにまばらに表示される場合があります。FortiSIEM は、これを送信元ホスト、宛先の分散、ポートの多様性、および時間ウィンドウと関連付ける必要があります。FortiGate NP/CP チップは許可されたセッションを高速化する可能性がありますが、検出は ASIC 転送パス内ではなく、FortiSIEM のログとメタデータから行われます。

Fortinet Security Fabric のコンテキストでは、FortiAnalyzer はさまざまなセキュリティログを脅威インテリジェンスデータベースと照合することにより、侵害の指標 (IOC) を検出します。3 IOC エンジンは、各エンドユーザーの次のログを具体的に分析して、侵害されている可能性のあるホストを特定します。
* Webフィルタログ（A）：エンジンはWebフィルタリングログを解析し、ブラックリストに登録されたURL、悪意のあるドメイン、または既知のマルウェア配布サイトに関連付けられたIPへのアクセス試行を特定します。4 脅威データベースで一致するものが見つかった場合、ホストは侵害されているとフラグが立てられます。
* DNSフィルタログ（C）：DNSリクエストは侵害の主要な指標です。エンジンはこれらのログを監視し、既知のコマンド＆コントロール（C2）サーバーまたはドメイン生成アルゴリズム（DGA）によって生成されたドメインに向けられたクエリを検出します。5
* IPSログ（E）：侵入防御システム（IPS）ログは、既知の攻撃のシグネチャ一致に関する重要なデータを提供します。最新のセキュリティオペレーション（SOC）カリキュラムでは、IPSログはWebログやDNSログと併用され、ホストが現在感染しており、外部の脅威アクターと通信しようとしているかどうかを高精度で評価するために用いられます。
他の選択肢が間違っている理由：
* メールフィルタログ (B): フィッシング攻撃 (初期アクセス) の検出には重要ですが、メールログは一般的に、FortiAnalyzer の侵害されたホストビューにおける IOC エンジンの行動に基づく「コールホーム」検出の主要な情報源ではなく、コンテンツフィルタリングとアンチスパムに使用されます。
* アプリケーションフィルタログ（D）：アプリケーション制御ログはソフトウェアの使用状況を可視化しますが、WebフィルタリングやDNSフィルタリングと比較すると、コアIOCエンジンがブラックリストに登録されたネットワーク宛先を特定するために使用する頻度は低くなります。

Explanation:
スロット 1:dataスロット 2:json_queryスロット 3:("results[?type=='FileHash-MD5']")スロット 4:value最終式: ​​{{ vars.artifacts.data | json_query("results[?type=='FileHash-MD5']") .value }} FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明:
FortiSOAR 7.6では、プレイブック内での高度なデータ操作には、json_query Jinjaフィルタを介したJMESPathクエリの使用が必要となることがよくあります。複雑なJSONオブジェクト（図に示すvars.artifacts辞書など）から特定のデータを抽出するには、アナリストは次の構造階層に従う必要があります。
* スロット 1 (データ):展示に基づくと、アーティファクト情報のルートは vars.artifacts の下にあります。
データ。したがって、「データ」がフィルターの出発点となります。
* スロット 2 (json_query): 高度なフィルタリング (特定のタイプの検索) を実行するには、json_query フィルタを適用する必要があります。これにより、プレイブックはリストを走査し、特定のキーと値のペアに一致する項目を見つけることができます。
* スロット 3 ("results[?type=='FileHash-MD5']"): これは JMESPath 式です。results 配列を調べてフィルター [?...] を適用し、type 属性が FileHash-MD5 と完全に一致するオブジェクトのみを検索します。
* スロット 4 (値): 正しいオブジェクトが見つかったら、式は実際のハッシュを返す必要があります。JSON の例では、MD5 文字列は value という名前のキーに格納されています。
他の選択肢が間違っている理由：
* tojson:このフィルターは辞書/リストをJSON文字列に変換しますが、これによりオブジェクトから「value」フィールドをさらにクエリする機能が損なわれます。
* 結果 (スタンドアロン スロットとして): 「results」はパスの一部ですが、条件付きフィルタリングを可能にするために json_query 文字列内で処理されます。