正確な抜粋：「FortiSOARでは、準備フェーズはSOAR導入前の責任とみなされるため、インシデント処理の範囲外であると想定しています。」 正確な抜粋：「FortiSOARでは、検出および分析フェーズは、検出、識別、および確認に拡張されます...識別フェーズでは、アナリストはインシデントに関連付けられたアラートを評価し、コンテキストを理解し、インジケータを充実させることができます。確認フェーズでは、アナリストはインシデントが真陽性か偽陽性かを確認できます。」 正解はBとDです。NIST 800-61改訂版2では、準備、検出と分析、封じ込め、根絶、復旧、およびインシデント後の活動を含む、より広範なインシデント処理フェーズを使用しています。
FortiSOARは、準備段階をSOARの範囲外とみなし、NISTの検出と分析を、より運用上有用なFortiSOARのフェーズ（検出、識別、確認）に分割することで、このモデルを修正しています。したがって、識別と確認はFortiSOAR固有のフェーズ名であり、NISTの独立したフェーズではありません。
Aは誤りです。準備はNISTのフェーズですが、FortiSOARではインシデント処理ワークフローから除外されています。Cも最適な回答ではありません。検出はNISTの検出と分析を組み合わせたフェーズの一部であり、FortiSOARにも含まれています。
技術的な詳細解説：FortiSOARの分割は実用的です。検知とは、アラートまたはインシデントがFortiSOARに入力された時点です。識別とは、アナリストが問題を詳細化し、文脈化し、範囲を絞り込む段階です。確認とは、インシデントが真陽性か偽陽性かを検証する決定ポイントです。この粒度により、各フェーズに異なる自動化を適用できるため、プレイブックの設計が向上します。これはトラフィック処理ではなくインシデントライフサイクルモデリングであるため、FortiGate NP/CPオフロードはここでは関係ありません。

* プレイブックのトリガーを理解する：
* プレイブックのトリガーは、FortiAnalyzerまたはFortiSOAR内の自動化されたワークフローの開始点です。
* これらのトリガーは、プレイブックの実行方法と実行タイミングを決定し、プレイブック内の後続タスクに関連情報（トリガー変数）を渡すことができます。
* プレイブックトリガーの種類：
* イベントトリガー:
特定のイベントが発生したときにプレイブックを起動します。
* イベントの詳細は、後続のタスクで変数として使用して、応答をカスタマイズできます。
* イベントの詳細をトリガー変数として使用できるため、選択しました。
* インシデントトリガー：
* インシデントが作成または更新されたときに、プレイブックをアクティブ化します。
* インシデントの詳細は、後続のタスクで変数として利用できます。
* インシデントの詳細をトリガー変数として使用できるため、選択されました。
* スケジュールトリガー:
指定された時刻または間隔でプレイブックを実行します。
* トリガーイベントを本来的に使用して変数を後続のタスクに渡すことはありません。
トリガーイベントの詳細を渡す必要がないため、選択しませんでした。
* オンデマンドトリガー：
* プレイブックを手動で、または必要に応じて実行します。
* 後続のタスクで使用するためのトリガーイベントの詳細を自動的に含めることはありません。
* 変数にトリガーイベントを使用しないため、選択されません。
* 実装手順：
* ステップ 1: プレイブック構成で、イベントまたはインシデント トリガーの条件を定義します。
* ステップ 2: トリガー イベントまたはインシデントの詳細を使用して、後続のタスクでアクションと応答をカスタマイズします。
* ステップ 3: プレイブックをテストして、トリガー変数が正しく渡され、使用されていることを確認します。
* 結論 ：
* イベントおよびインシデントトリガーは、特定の事象に基づいてプレイブックを起動するように特別に設計されており、トリガーの詳細を後続のタスクで使用できます。
:
Fortinet の Playbook 構成に関するドキュメント FortiSOAR Playbook ガイド EVENT および INCIDENT トリガーを使用することで、トリガー イベントを後続のタスクで変数として活用し、より動的で応答性の高い Playbook アクションを実現できます。