* Understanding the Requirements:
* The objective is to create an incident and generate a report based on malicious attachment events detected by FortiAnalyzer from FortiSandbox analysis.
* The endpoint hosts are protected by FortiClient EMS, which is integrated with FortiSandbox. All logs are sent to FortiAnalyzer.
* Key Components:
* FortiAnalyzer: Centralized logging and analysis for Fortinet devices.
* FortiSandbox: Advanced threat protection system that analyzes suspicious files and URLs.
* FortiClient EMS: Endpoint management system that integrates with FortiSandbox for endpoint protection.
* Playbook Analysis:
* The playbook in the exhibit consists of three main actions: GET_EVENTS, RUN_REPORT, and CREATE_INCIDENT.
* EVENT_TRIGGER: Starts the playbook when an event occurs.
* GET_EVENTS: Fetches relevant events.
* RUN_REPORT: Generates a report based on the events.
* CREATE_INCIDENT: Creates an incident in the incident management system.
* Selecting the Correct Connector:
* The correct connector should allow fetching events related to malicious attachments analyzed by FortiSandbox and facilitate integration with FortiAnalyzer.
* Connector Options:
* FortiSandbox Connector:
* Directly integrates with FortiSandbox to fetch analysis results and events related to malicious attachments.
* Best suited for getting detailed sandbox analysis results.
* Selected as it is directly related to the requirement of handling FortiSandbox analysis events.
* FortiClient EMS Connector:
* Used for managing endpoint security and integrating with endpoint logs.
* サンドボックス分析イベントの取得とは直接関係ありません。
* サンドボックス分析イベントに直接関係しないため、選択されませんでした。
* FortiMailコネクタ：
* メールセキュリティ、およびメール関連のログやイベントの処理に使用されます。
※サンドボックス分析イベントには適用されません。
* サンドボックス分析に関係がないため、選択されませんでした。
* ローカルコネクタ:
* FortiAnalyzer内部のローカルイベントを処理します。
* 詳細なサンドボックス分析結果を取得するには、十分な具体性がない可能性があります。
* FortiSandboxとの必要な統合が実現できない可能性があるため、選択しませんでした。
* 実装手順：
* ステップ 1: FortiSandbox が分析結果を FortiAnalyzer に送信するように設定されていることを確認します。
* ステップ 2: プレイブック内の FortiSandbox コネクタを使用して、悪意のある添付ファイルに関連するイベントを取得します。
* ステップ 3: FortiSandbox コネクタを使用するように GET_EVENTS アクションを設定します。
* ステップ 4: 取得したイベントに基づいて、RUN_REPORT および CREATE_INCIDENT アクションを設定します。
FortiSandbox 統合に関する Fortinet ドキュメント FortiSandbox 統合ガイド FortiAnalyzer イベント処理に関する Fortinet ドキュメント FortiAnalyzer 管理ガイド FortiSandbox コネクタを使用することで、アナリストは、プレイブックが FortiSandbox 分析に基づいてイベントを正確に取得し、必要なインシデントとレポートを生成することを確認できます。

* 自動縫製の概要：
FortiAnalyzerのオートメーションステッチとは、特定のイベントによってトリガーされる、あらかじめ定義された一連の自動アクションのことです。これらのアクションは、セキュリティインシデントへの対応を自動化し、効率性を向上させ、対応時間を短縮するのに役立ちます。
* FortiAnalyzerコネクタ：
FortiAnalyzerは、コネクタを介して様々なFortinet製品やその他のサードパーティ製ソリューションと統合します。これらのコネクタは通信とデータ交換を容易にし、集中管理と自動化を実現します。
* 自動縫製に使用可能なコネクタ：
* FortiCASB:
* FortiCASBは、SaaSアプリケーションのセキュリティ確保を支援するクラウドアクセスセキュリティブローカーです。
ただし、これは通常、FortiAnalyzer内で自動化ステッチを実行するために使用されるものではありません。
参照: Fortinet FortiCASB ドキュメント FortiCASB
FortiMail:
FortiMailはメールセキュリティソリューションです。ログやイベントをFortiAnalyzerに送信することはできますが、主に自動化ステッチの実行に使用されるものではありません。
参考資料：Fortinet FortiMail ドキュメント FortiMail
地元：
ローカルコネクタとは、FortiAnalyzerが自身で生成したログやイベントを処理する機能を指します。これは内部プロセスには役立ちますが、自動化のために他のFortinetデバイスと統合する用途には特に適していません。
参考資料：Fortinet FortiAnalyzer 管理ガイド FortiAnalyzer ローカル FortiOS：
FortiOSは、FortiGateファイアウォール上で動作するオペレーティングシステムです。FortiAnalyzerは、FortiOSコネクタを使用してFortiGateデバイスと通信し、自動化処理を実行できます。これにより、FortiAnalyzerはFortiGateにコマンドを送信し、特定のイベントに応じて事前に定義されたアクションを実行できます。
参考資料：Fortinet FortiOS 管理者ガイド FortiOS
詳細なプロセス：
ステップ1：FortiAnalyzerでFortiOSコネクタを設定し、FortiGateデバイスとの通信を確立します。
ステップ2：FortiAnalyzer内で、特定のイベントが発生したときに実行されるアクションを指定する自動化ステッチを定義します。
ステップ3：トリガーとなるイベントが検出されると、FortiAnalyzerはFortiOSコネクタを使用して、必要なコマンドをFortiGateデバイスに送信します。
ステップ4：FortiGateはコマンドを実行し、IPアドレスのブロック、ファイアウォールルールの更新、アラートの送信など、事前に定義されたアクションを実行します。
結論：
FortiOSコネクタは、FortiGateデバイスとの統合を目的として特別に設計されており、FortiAnalyzerが自動化ステッチを効果的に実行できるようにします。
参考文献：
Fortinet FortiOS 管理者ガイド：自動化ステッチの設定と使用に関する詳細。
Fortinet FortiAnalyzer 管理者ガイド：コネクタと統合オプションに関する情報。
FortiAnalyzerはFortiOSコネクタを利用することで、自動化された連携処理を実行し、ネットワーク内のセキュリティ体制と対応能力を強化できます。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3インターフェースで提供されるトリガーイベントと生メッセージの分析に基づくと、次のようになります。
* アクティブ偵察 (A):「トリガーイベント」テーブルには、単一の送信元 IP (10.200.3.219) が複数の異なる宛先 IP アドレス (10.200.200.166、.128、.129、.159、.
91) 同じサービス (FTP/ポート 21) 上で接続を試みます。各試行は、送信パケット 1 つと受信パケット 0 個で構成されます。この「1 対 多」の連続接続試行のパターンは、アクティブ偵察の主要な手法である水平ポートスキャンの特徴です。
* 宛先ホストが応答していません (C): 生ログにはアクションが「timeout」と表示され、具体的には「sentpkt=1 rcvdpkt=0」と表示されます。FortiGate ログのロジック (FortiSIEM が解析) では、受信パケットがゼロの「timeout」は、ファイアウォールがパケットの送信を許可した (アクションが「deny」ではなかった) ものの、セッションタイムアウト期間内にターゲットホストから SYN-ACK または応答が受信されなかったことを示します。これは、宛先ホストがオフライン、存在しない、またはトラフィックをサイレントに破棄していることを示しています。
他の選択肢が間違っている理由：
* FortiGate がルーティングを行っていない (B): FortiGate がパケットをルーティングしていない場合、ログには通常、「タイムアウト」で終了するセッション初期化の成功は表示されず、ルーティングエラー/拒否が表示されます。
44バイトが送信されたという事実は、FortiGateがトラフィックを処理し、転送を試みたことを示しています。
* FortiGate が戻りフローをブロックしています (D): FortiGate のセキュリティ ポリシーによって戻りフローがブロックされている場合、通常、戻りトラフィックに対してアクションが「拒否」としてログに記録され、セッション状態は一般的なセッション「タイムアウト」ではなくポリシー違反を反映します。

According to the specialized threat hunting modules and frameworks within FortiSOAR 7.6 and the advanced analytics capabilities of FortiSIEM 7.3 , threat hunting is defined as a proactive, human-led search for threats that have bypassed automated security controls. The three selected activities are core components of this lifecycle:
* Generate a hypothesis (C): This is the fundamental starting point of a " Structured Hunt. " Analysts develop a testable theory-based on recent threat intelligence (such as a new TTP identified by FortiGuard) or environmental risk-about how an attacker might be operating undetected in the network.
* Enrich records with threat intelligence (A): During the investigation phase, hunters use the Threat Intelligence Management (TIM) module in FortiSOAR to enrich technical data (IPs, hashes, URLs) with external context. This helps determine if an anomaly discovered during the hunt is indeed malicious or part of a known campaign.
* Perform packet analysis (D): Since advanced threats often live in the " gaps " between log files, hunters frequently perform deep-packet or network-flow analysis using FortiSIEM's query tools or integrated NDR (Network Detection and Response) data to identify suspicious lateral movement or C2 (Command and Control) communication patterns that standard alerts might miss.
Why other options are excluded:
* Automate workflows (B): While SOAR is designed for automation, the act of " automating " is a DevOps or SOC engineering task. Threat hunting itself is a proactive investigation; while playbooks can assist a hunter (e.g., by automating the data gathering), the act of hunting remains a manual or semi- automated cognitive process.
* Tune correlation rules (E): Tuning rules is a reactive maintenance task or a " post-hunt " activity.
Once a threat hunter finds a new attack pattern, they will then tune SIEM correlation rules to ensure that specific threat is detected automatically in the future. The tuning is the result of the hunt, not the activity of hunting itself.

Exact Extract: "What are two characteristics of threat hunting? ... It looks for undetected threats... It requires a hypothesis and investigation." Exact Extract: "By demonstrating competence in examining a simple threat hunting use case, you will be able to conduct threat hunting based on an easily verifiable hypothesis." The correct answer is C . This is a threat hunting scenario, not a normal alert-engineering scenario. You do not know the attacker identity, infrastructure, tools, or exact TTPs, so the first mature action is to form a hypothesis such as: "If a similar DDoS campaign is targeting us, we may observe abnormal inbound request volume, source diversity, protocol concentration, SYN/UDP/HTTP flood patterns, or service degradation against exposed assets." That hypothesis then drives the FortiSIEM analytics search and evidence collection.
A is useful later, after the hunt identifies a reliable detection condition. B is too broad and operationally expensive as a first step. D is weak because no relevant threat intelligence has been received, and enriching every external IP is noisy and inefficient.
Technical Deep Dive: A good DDoS hunt should start with exposed services, normal traffic baselines, traffic volume anomalies, source ASN/country dispersion, destination service concentration, firewall deny/accept spikes, SYN-to-completion ratios, and web request rates. After confirming patterns, you tune FortiSIEM rules and FortiSOAR response playbooks. FortiGate NP/CP acceleration may affect packet-forwarding performance under flood conditions, but the hunting workflow itself is driven by SIEM telemetry and hypothesis-based analytics.