正確な抜粋: 「このプレイブックでは、ユーザーからの入力、具体的には IP アドレスも必要とします... IP アドレスを手動で入力できます。トリガー入力は ipAddress として保存され、後で動的値として参照できます。」 正確な抜粋: 「コネクタを最初に構成する必要があります... 選択されたアクションは IP レピュテーションの取得です... IP レピュテーションの取得アクションには入力が必要です。トリガー ステップでは、トリガー入力から ipAddress パラメータを定義しました。これをこのステップに動的にマッピングできます。」 正確な抜粋: 「コネクタ ステップの後には承認ステップがあります。説明を手動で追加することも、動的値ウィンドウを使用して説明フィールドなどのフィールドに入力することもできます。」 正解は A です。ワークフローにはアナリストが提供する入力が必要なので、IP アドレスを入力する手動トリガーから始める必要があります。その IP アドレスは FortiSIEM デバイス情報の取得コネクタ アクションに直接渡されます。そのコネクタ アクションからの出力は、承認ステップを通じて SOC マネージャーに表示されます。承認されると、プレイブックは「レコードの作成」に進み、FortiSIEM CMDBの結果から資産レコードを作成します。
オプションBは冗長です。手動トリガー値とコネクタ出力はDynamic Values/Jinjaを介して直接参照できるため、変数設定ステップは不要です。オプションCは、On Createはイベント駆動型であり手動入力ではないため、またManual Taskは承認ステップと同じ承認/拒否ワークフローを提供しないため、誤りです。オプションDは、手動トリガーが欠落しており、不要なレコード更新ステップが追加されているため、誤りです。
技術的な詳細解説：FortiSOARの基本的なパターンは、手動入力 # 外部検索 # 人間による承認 # レコード作成です。実装では、手動トリガーがdevice_ipを取得し、FortiSIEMコネクタアクションがその値をデバイスIPにマッピングします。承認ステップでは、ホスト名、IPアドレス、組織、デバイスタイプ、CMDB属性などの主要な返されたフィールドが表示され、レコード作成ステップでは、承認された出力がアセットモジュールにマッピングされます。これがSOARワークフローのオーケストレーションです。トラフィック転送やASIC検査パスが関与しないため、FortiGate NP/CPのハードウェアオフロードは関係ありません。

* プレイブックのトリガーを理解する：
* プレイブックのトリガーは、FortiAnalyzerまたはFortiSOAR内の自動化されたワークフローの開始点です。
* これらのトリガーは、プレイブックの実行方法と実行タイミングを決定し、プレイブック内の後続タスクに関連情報（トリガー変数）を渡すことができます。
* プレイブックトリガーの種類：
* イベントトリガー:
特定のイベントが発生したときにプレイブックを起動します。
* イベントの詳細は、後続のタスクで変数として使用して、応答をカスタマイズできます。
* イベントの詳細をトリガー変数として使用できるため、選択しました。
* インシデント発生のトリガー:
* インシデントが作成または更新されたときに、プレイブックをアクティブ化します。
* インシデントの詳細は、後続のタスクで変数として利用できます。
* インシデントの詳細をトリガー変数として使用できるため、選択されました。
* スケジュールどおりにトリガー:
指定された時刻または間隔でプレイブックを実行します。
* トリガーイベントを本来的に使用して変数を後続のタスクに渡すことはありません。
トリガーイベントの詳細を渡す必要がないため、選択しませんでした。
* オンデマンドトリガー:
* プレイブックを手動で、または必要に応じて実行します。
* 後続のタスクで使用するためのトリガーイベントの詳細を自動的に含めることはありません。
* 変数にトリガーイベントを使用しないため、選択されません。
* 実装手順：
* ステップ 1: プレイブック構成で、イベントまたはインシデント トリガーの条件を定義します。
* ステップ 2: トリガー イベントまたはインシデントの詳細を使用して、後続のタスクでアクションと応答をカスタマイズします。
* ステップ 3: プレイブックをテストして、トリガー変数が正しく渡され、使用されていることを確認します。
* 結論：
* イベントおよびインシデントトリガーは、特定の事象に基づいてプレイブックを起動するように特別に設計されており、トリガーの詳細を後続のタスクで使用できます。
Fortinet の Playbook 構成に関するドキュメント FortiSOAR Playbook ガイド EVENT および INCIDENT トリガーを使用することで、トリガー イベントを後続のタスクで変数として活用し、より動的で応答性の高い Playbook アクションを実現できます。

Comprehensive and Detailed Explanation From FortiSOAR 7.6., FortiSIEM 7.3 Exact Extract study guide:
InFortiSOAR 7.6, the playbook engine utilizes the powerful ipaddr family of Jinja filters (derived from the Ansible netaddr library) to manipulate network data. To isolate public IPv6 addresses from a mixed list, the order of operations in the filter chain ensures the correct data is extracted:
* Double Filtering Sequence (B):In the expression {{ vars.ip_list | ipaddr('public') | ipv6 }}, the first filter ipaddr('public') processes the entire list and retains only public addresses, including both IPv4 and IPv6 versions. The second filter in the pipe, | ipv6, then takes that subset of public addresses and filters them again to keep only those that conform to the IPv6 standard. The final result is a list containing only public IPv6 addresses.
* Version-First Filtering (D):In the expression {{ vars.ip_list | ipv6 | ipaddr('public') }}, the logic is reversed but equally effective. The first filter | ipv6 immediately strips all IPv4 and non-IP strings from the list, leaving only IPv6 addresses (both private and public). The subsequent filter | ipaddr('public') then evaluates these IPv6 addresses and discards any that fall within the private/unique-local ranges (like ULA or link-local), resulting in the same set of public IPv6 addresses.
Why other options are incorrect:
* A (ipv6addr 'public'):While ipv6addr is a valid filter in many Ansible environments, FortiSOAR's standard documentation for manual task creation and data manipulation primarily emphasizes the use of the generic ipaddr filter with specific flags or chained version filters (like | ipv6) to ensure cross- compatibility with the underlying Python libraries used by the SOAR engine.
* C (!private syntax):The ipaddr filter utilizes specific keywords for classification. While "not private" is the logical requirement, the filter expects positive assertions such as 'public', 'private', or 'multicast'. The
!private syntax is not a supported or documented operator for this filter within the Fortinet SOC ecosystem.

* イベントハンドラー構成の理解：
* イベントハンドラーは、FortiSandboxなどの他のFortinet製品から転送されたログに基づいて、スピアフィッシングなどの特定のセキュリティインシデントを検出するように設定されています。
* イベントハンドラには、イベントがトリガーされるべき条件を定義するルールが含まれます。
* 現在の構成の分析：
* 現在のイベントハンドラは「スピアフィッシングハンドラ」という名前で、「スピアフィッシングルール1」というタイトルのルールがあります。
ログビューアには、FortiSandboxによってログが転送されていることが示されていますが、FortiAnalyzerによってイベントは生成されていません。
* イベント処理の主要コンポーネント：
* ログタイプ：イベントハンドラをトリガーするログの種類を決定します。
* データセレクター：イベントをトリガーするためにログが満たすべき条件を指定します。
* オートメーションステッチ：イベント発生時にトリガーできるオプションのアクション。
* 通知：イベントが検出されたときにアラートがどのように伝達されるかを定義します。
* 問題の特定：
* FortiSandboxのログは正しく転送されているにもかかわらずイベントが生成されないため、問題はデータセレクタの設定またはログタイプのマッチングにある可能性が高いです。
* データセレクタは、FortiSandboxによって転送されるログを含めるように設定する必要があります。
* 解決 ：
* B. FortiSandboxデータセレクターを設定し、イベントハンドラーに追加します。
FortiSandboxログ専用のデータセレクターを設定し、それをイベントハンドラーに追加することで、FortiAnalyzerは転送されたログに基づいてイベントを正確に識別し、トリガーすることができます。
* ソリューションを実装するための手順：
* ステップ 1: FortiAnalyzer のイベント ハンドラー設定に移動します。
* ステップ 2: FortiSandbox によって転送されたログに一致する条件 (ログのサブタイプ、マルウェア検出の詳細など) を含む新しいデータセレクタを追加します。
* ステップ 3: このデータセレクタを既存のスピアフィッシングイベントハンドラにリンクします。
* ステップ 4: 設定を保存し、テストしてイベントが生成されていることを確認します。
* 結論 ：
イベントハンドラー内でFortiSandboxデータセレクターを正しく構成することで、FortiAnalyzerが関連するログに基づいてイベントを生成できるようになります。
:
Fortinet のイベント ハンドラーとデータ セレクターに関するドキュメント FortiAnalyzer イベント ハンドラー Fortinet のデータ セレクターの設定に関するナレッジ ベース FortiAnalyzer データ セレクター FortiSandbox データ セレクターを設定してイベント ハンドラーに追加することで、FortiAnalyzer は適切なログに基づいてイベントを正確に生成できるようになります。

正確な抜粋: 「FortiSOAR で FortiSIEM コネクタを構成するには、次のパラメータを定義する必要があります。サーバー URL... ユーザー名... パスワード... 組織: FortiSIEM サーバーでアクセスする組織の名前を指定します。テナントのないエンタープライズ展開モデルの場合、組織は super です。」 正確な抜粋: 「必要な最小限の権限は、インシデントに対する読み取りおよび更新アクセス、および高度な検索クエリの実行アクセスです。」 正解は C と D です。エラーダイアログには、ステータスコード 401 と「無効な認証情報が提供されました」または「要求が承認されていません」が表示されます。401 応答は、FortiSOAR が FortiSIEM に到達したが、FortiSIEM が認証または認可を拒否したことを意味します。構成図では、組織の値は FortiSIEM に設定されています。テナントのないエンタープライズ展開の場合、ガイドでは組織は super である必要があると記載されています。
そのため、組織情報が間違っていると認証に失敗する可能性があります。もう一つの有効な原因は、FortiSIEMの認証情報が間違っていることです。ユーザー名とパスワードは、コネクタの設定パラメータとして必須だからです。
Aは誤りです。可視性は、FortiSOAR内部でコネクタ構成がパブリックかプライベートかを制御するものであり、FortiSIEM API認証の失敗を引き起こすものではありません。Bも誤りです。到達可能性の問題が発生した場合、通常は接続エラー、DNSエラー、タイムアウト、またはSSLエラーが発生し、FortiSIEMが生成する401認証応答は発生しません。
技術的な詳細分析：FortiSOARコネクタのヘルスチェックは、トランスポート認証とAPI認証の両方を検証します。インストールと構成は完了しているものの、ヘルスチェックが401エラーで失敗しているため、ネットワークパスとコネクタのインストールが主な問題ではありません。FortiSIEMのユーザー名を修正してください。
/password を実行し、FortiSIEM にアカウントが存在すること、必要な権限が付与されていることを確認してから、適切な組織（テナントのないエンタープライズ展開の場合は通常 super）を設定します。これは API 認証および認可の動作であり、ファイアウォールのデータプレーンのトラフィック処理は分析されないため、FortiGate NP/CP のハードウェア オフロードは関係ありません。