Explanation:
ステップ1：FortiSIEMイベントログ
ステップ2：FortiSIEMインシデント
ステップ3：FortiSOARアラート
ステップ4：FortiSOARインシデント
正確な抜粋: 「FortiSIEM: イベント: イベントとは、監視対象デバイスから収集された単一のログまたはデータ ポイントを指します。これは、ファイアウォール ログやシステム アラートなど、FortiSIEM が受信する情報の最も基本的な単位です。」 ガイドには、次の記述もあります。「インシデント: FortiSIEM のインシデントは、相関ルールがトリガーされたときに作成されます。」 正確な抜粋: 「このスライドでは、取り込みプロセス中に FortiSIEM インシデントと FortiSOAR アラートの間でフィールドをマッピングする方法について説明します。ウィザードを使用して、FortiSIEM データが FortiSOAR アラート フィールドにどのように入力されるかを定義します。」 正確な抜粋: 「FortiSOAR は FortiSIEM インシデントをアラートとして取り込みます... アラートが有効な脅威でない場合は、アナリストはそれを誤検知として閉じることができます。そうでない場合は、アナリストはインシデントを開くことができます。」 正しい順序は、FortiSIEM イベント ログ # FortiSIEM インシデント # FortiSOAR アラート # FortiSOAR インシデントです。FortiSIEM は、まず監視対象デバイスから生のイベント ログを受信します。これらのイベントが相関ルールに一致する場合、FortiSIEM は FortiSIEM インシデントを作成します。その後、FortiSOAR のデフォルトのデータ取り込みウィザードは、FortiSIEM インシデントを FortiSOAR インシデントとして直接ではなく、アラートとして FortiSOAR に取り込みます。トリアージと検証の後、アナリストまたはプレイブックはアラートを FortiSOAR インシデントにエスカレーションできます。
技術的な詳細解説：FortiSIEMとFortiSOARは異なるオブジェクトモデルを使用します。FortiSIEMの「インシデント」とは、イベント分析による相関結果を意味します。FortiSOARの「アラート」は、そのSIEMインシデントから作成された最初のSOAR側のレコードです。FortiSOARの「インシデント」は、検証後に使用される上位レベルのケース管理コンテナです。この分離は意図的なものです。すべてのSIEMインシデントが完全なインシデント対応処理を必要とするわけではありません。このワークフローはログの取り込みとケースのオーケストレーションであり、ファイアウォールのパケットアクセラレーションではないため、FortiGate NP/CPのオフロードは関係ありません。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSIEM 7.3（インシデント相関にMITRE ATT&CKマッピングを使用）およびFortiSOAR 7.6（インシデント分類とプレイブックのトリガーにこれらの戦術を使用）の公式ドキュメントに基づくと、以下のようになります。
* 偵察（戦術 TA0043）：この戦術は、攻撃者が標的設定を支援するために使用できる情報を能動的または受動的に収集する手法で構成されています。このシナリオでは、攻撃者は「公開されたプレスリリースから従業員の名前、役割、および電子メールのパターン」を特定します。これは、「被害者組織情報の収集（T1591）」および「公開技術データベースの検索（T1596）」に分類されます。この活動は侵害前に発生し、情報収集を伴うため、厳密には偵察です。
* 初期アクセス（戦術 TA0001）：この戦術は、さまざまな侵入経路を使用してネットワーク内で最初の足がかりを得る手法を対象としています。「受信者にリンクを使用して添付された議題を確認するよう指示するカスタマイズされた電子メールを送信する」行為は、フィッシングの定義です：スピアフィッシングリンク（T1566.002）。これは、最初の侵入を得るために使用される具体的な配信メカニズムです。
他の選択肢が間違っている理由：
* 発見（B）：この戦術は、攻撃者が既にアクセス権を取得した後、内部ネットワークに関する情報を得るために使用する技術を含みます。攻撃者は公開されているプレスリリースを閲覧しているため、ネットワーク境界の外で活動しています。
* 防御回避（D）：この戦術は、攻撃者が侵入全体を通して検出を回避するために使用する技術で構成されています。外部リンクを使用することで基本的な評判フィルターの一部を回避できる可能性がありますが、レポートで説明されている主な目的は、接触とアクセスを確立することであり、これは初期アクセス戦術の中核です。

* プレイブック構成の理解：
* 「悪意のあるファイル検出」プレイブックは、悪意のあるファイル検出イベントがトリガーされたときにインシデントを作成するように設計されています。
* プレイブックには、Attach_Data_To_Incident、Create Incident、Get Eventsなどのタスクが含まれています。
* プレイブック実行の分析：
* この表示は、インシデント作成タスクが失敗し、インシデントへのデータ添付タスクも失敗したことを示しています。
* イベント取得タスクが成功しました。これは、イベントデータを取得できたことを示しています。
* 生ログの確認:
* 生ログには、incident_operator.py ファイル内の入力の解析に関連するエラーが示されています。
* エラーのトレースバックによると、タスクは特定の入力形式（おそらく名前または数値）を想定していましたが、誤ったデータ形式を受け取りました。
* 障害の原因特定：
* インシデント作成タスクの失敗が根本原因です。入力形式が正しくなかったため、タスクが正しく処理されませんでした。
* その後、Attach_Data_To_Incident タスクは、インシデントが正常に作成されることを前提としているため、失敗しました。
* 結論：
* プレイブックの実行が失敗した主な理由は、インシデント作成タスクが想定されていた名前や番号ではなく、誤ったデータ形式を受け取ったためです。
参考文献：
Fortinetのプレイブックおよびタスク構成に関するドキュメント。
プレイブック実行におけるエラー処理とデバッグの実践方法。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSOAR 7.6 の特殊な脅威ハンティングモジュールとフレームワーク、および FortiSIEM 7.3 の高度な分析機能によると、脅威ハンティングとは、自動化されたセキュリティ制御を回避した脅威を、人間が主体となって積極的に探索することと定義されています。選択された 3 つのアクティビティは、このライフサイクルのコアコンポーネントです。
* 仮説の生成 (C): これは「構造化ハント」の基本的な出発点です。アナリストは、最新の脅威インテリジェンス（FortiGuard によって特定された新しい TTP など）または環境リスクに基づいて、攻撃者がネットワーク内で検出されずにどのように活動しているかについての検証可能な理論を開発します。
* 脅威インテリジェンスでレコードを充実させる（A）：調査フェーズでは、ハンターはFortiSOARの脅威インテリジェンス管理（TIM）モジュールを使用して、技術データ（IPアドレス、ハッシュ値、URL）に外部コンテキストを追加します。これにより、ハント中に発見された異常が実際に悪意のあるものなのか、既知のキャンペーンの一部なのかを判断するのに役立ちます。
* パケット分析の実行 (D):高度な脅威はログファイル間の「ギャップ」に潜んでいることが多いため、ハンターはFortiSIEMのクエリツールまたは統合されたNDR（ネットワーク検出および応答）データを使用して、ディープパケット分析またはネットワークフロー分析を頻繁に実行し、標準的なアラートでは見逃される可能性のある疑わしい横方向の移動またはC2（コマンドおよび制御）通信パターンを特定します。
他の選択肢が除外される理由：
* ワークフローの自動化 (B): SOAR は自動化のために設計されていますが、「自動化」という行為は DevOps または SOC エンジニアリングのタスクです。脅威ハンティング自体はプロアクティブな調査です。プレイブックはハンターを支援できますが (たとえば、データ収集を自動化することによって)、ハンティング行為は手動または半自動化された認知プロセスのままです。
* 相関ルールの調整（E）：ルールの調整は、リアクティブメンテナンス作業、つまり「脅威ハンティング後」の活動です。脅威ハンターが新しい攻撃パターンを発見したら、SIEMの相関ルールを調整して、将来的にその特定の脅威が自動的に検出されるようにします。調整はハンティングの結果であり、ハンティング活動そのものではありません。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiAnalyzer 7.4 SOC Analystの公式トレーニング資料（レッスン5：自動化）およびFortiSOAR 7.6とFortiSIEM 7.3の統合に関するサポートドキュメントによると、プレイブックの移植性に関して、以下のベストプラクティスが推奨されています。
* エクスポート前にプレイブックを無効にする (A): プレイブックをエクスポートすると、その現在の状態 (有効または無効) がエクスポートファイルに保持されます。有効になっているプレイブックが、トリガー条件がすぐに満たされる宛先 ADOM にインポートされると、自動的に実行が開始されます。エクスポート前にプレイブックを無効にすることは、アナリストがローカル構成を確認する前に、新しい環境で意図しない自動アクションが発生するのを防ぐための重要なベストプラクティスです。
* 関連するコネクタ設定を含める（B）：FortiAnalyzerでは、エクスポート処理中に必要なコネクタ構成を含めることができます。このオプションを選択すると、エクスポートされたファイルには、プレイブックがタスクを実行するために使用するコネクタに必要なメタデータと構成が含まれます。これにより、すべてのコネクタを手動で再作成する必要なく、プレイブックがさまざまなFortiAnalyzerユニットまたはADOM間で機能し、移植性を維持できます。
他の選択肢が間違っている理由：
* ADOM間でプレイブックを移動する（C）：デバイスを移動するのと同じ意味で、ADOM間で自動化プレイブックを移動するネイティブな「移動」機能はありません。自動化ロジックを転送するための標準でサポートされているワークフローは、エクスポートおよびインポートプロセスです。
* ターゲットに名前が存在しないことを確認します (D):一意の名前を維持することは良い習慣ですが、FortiAnalyzer が名前の競合を自動的に処理するため、エクスポート プロセス自体では必須の「ベスト プラクティス」ではありません。インポートされたプレイブックが既存のプレイブックと同じ名前である場合、システムは競合を回避するために新しいプレイブックの名前にタイムスタンプを自動的に追加します。