抜粋：「FortiSIEMおよびFortiSOAR上のFortiAI統合は、OpenAIのLLMに直接接続します...FortiAIを使用すると、独自のOpenAIライセンスキーを使用して、独自のOpenAIアカウントに接続できます。」このガイドでは、Content Hub > FortiAI Connectorの下にFortiSOARの設定方法も示されています。
正確な抜粋：「FortiSOAR RBAC に基づいて、承認されたユーザーのみが FortiAI アシスタントを呼び出し、関連モジュールに対して CRUD 操作を実行できます。」正解は C と D です。プレイブックの設計に FortiAI を使用するには、FortiSOAR に FortiAI コンテンツがインストールされ、LLM サービスと通信できるように構成されている必要があります。さらに、FortiAI を呼び出すユーザーは、関連するプレイブック モジュールに対する CRUD 権限を含む、適切な RBAC 権限を持っている必要があります。FortiAI は FortiSOAR の機械学習エンジンではないため、A は誤りです。B は、FortiSOAR 側の構成はローカル モデルのトレーニングではなく、FortiAI/FortiAI コネクタ コンテンツを介して処理されるため、誤解を招きます。
技術的な詳細：FortiAIはプレイブックのワークフローロジックを生成できますが、人間の検証の必要性を排除するものではありません。生成されたプレイブックでも、変数マッピング、コネクタ認証情報の検証、権限チェック、実行ログによるテストが必要になる場合があります。FortiGate NP/CPのオフロードは、ファイアウォールのデータプレーン処理ではなく、FortiSOARの自動化設計に関するものであるため、関係ありません。

FortiSOAR 7.6、FortiSIEM 7.3 Exact Extract学習ガイドからの包括的かつ詳細な説明：
FortiSOAR 7.6では、プレイブックエンジンはJinja2式を使用して動的データを処理します。プレイブックが手動トリガーで構成されている場合、管理者は、レコードからプレイブックを実行する際にアナリストが入力する必要のある入力フィールド（テキスト、選択リスト、チェックボックスなど）を定義できます。
* 入力パラメータのマッピング: この手動トリガーフェーズ中にユーザーが入力したデータはすべて、vars オブジェクト内の input.params ディクショナリに自動的にマッピングされます。したがって、特定の入力値を取得するための構文は {{ vars.input.params.variable_name }} です。
* 変数のスコープ:この特定のパスにより、変数が後続のステップの出力 (vars.steps) やグローバルに定義された変数 (globalVars) からではなく、最初のユーザー入力から取得されることが保証されます。

正確な抜粋: 「ウォー ルーム レコードでコネクタ アクションを直接実行することで、ウォー ルームを調査できます。このスライドに示されている例では、このレコードで VirusTotal コネクタを使用してドメイン レピュテーションの取得アクションが直接実行されています。関連するチェックボックスのみを選択するか、[キー] を選択してすべての出力を選択できます。」 正解は A です。ウォー ルームからコネクタ アクションを直接実行すると、FortiSOAR では返された出力キーのうち保存するものを選択できます。これが、ウォー ルームに添付されるものを制限する正しい方法です。B は、ワークスペース フィルタが表示/コラボレーションに影響し、保存されるコネクタ出力には影響しないため誤りです。C は不完全です。調査を実行するのは [調査] タブですが、具体的な制御は出力キーの選択です。D は、プレイブックのログ レベルではウォー ルームの証拠添付ファイルのサイズは制御されないため誤りです。
技術的な詳細解説：作戦室は、重大インシデント対応時の集中的な連携を目的として設計されています。コネクタの出力をすべて記録に書き込むと、ノイズが発生し、レビューが遅くなります。評判スコア、カテゴリ、検出結果、レジストラ、解決済みIPアドレス、最終分析サマリーなど、アナリストにとって有用なキーのみを選択してください。これにより、チームに情報過多な情報を送り込むことなく、証拠の質を維持できます。

正確な抜粋: "アクション: 編集アイコンをクリックして、このルールで生成する必要のあるインシデント属性とトリガー属性を定義します。ルールを保存する前に、少なくとも 1 つのインシデントを定義する必要があります。" 正確な抜粋: "トリガー属性: このイベントのダッシュボードおよびインシデント インターフェイスに列として含めるトリガー イベントの属性を選択します。" 正解は A です。レポート IP 列は、ルールの [アクションの定義 / インシデント アクション] 設定の [トリガー属性] 構成によって制御されます。そこでレポート IP が選択されている場合、FortiSIEM はそれをインシデント関連の列として表示します。トポロジにはファイアウォールが 1 つしかないため、レポート IP の値は重複しており、分析上の価値はほとんどありません。そのため、トリガー属性リストからレポート IP をクリアして削除します。
オプションBは、相関/グループ化ロジックがルール条件またはサブパターンで設定され、列を非表示にするために使用されるものではないため、誤りです。オプションCは無謀で不適切です。レポートIPは正規化されたイベント属性であり、表示列を変更するためだけに生ログやパーサー出力から削除すべきではありません。オプションDは表示レベルのアイデアに過ぎず、インシデントに対してどのイベント属性を公開するかを定義するルール生成トリガー属性には対応していません。
技術的な詳細解説：FortiSIEMは、ルール検出ロジックとインシデント表示メタデータを分離します。
サブパターンフィルタとアグリゲートによって、インシデントがトリガーされるかどうかが決定されます。トリガー属性によって、アナリストがインシデント列として表示する一致するイベントフィールドが決定されます。この場合、解析、イベント正規化、または相関関係は変更されません。インシデントアクションの出力のみを調整して、アナリストが送信元IP、宛先IP、宛先ポートなどの有用なフィールドに集中できるようにします。これはファイアウォールのパケット転送やASICオフロードの動作ではなく、FortiSIEMイベント表示ロジックであるため、FortiGate NP/CPアクセラレーションは関係ありません。

* MITRE ATT&CK戦術の理解：
* MITRE ATT&CKフレームワークは、攻撃者が目的を達成するために使用するさまざまな戦術と技術を分類します。
戦術とは攻撃の目的を表し、技術とはそれらの目的を達成する方法を表す。
* インシデントレポートの分析：
* フィッシングメールキャンペーン：この戦術は、システムへの初期アクセス権を取得するためによく使用されます。
* 悪意のあるリンクと RAT のダウンロード:悪意のあるリンクをクリックして RAT をダウンロードすることは、初期アクセスを確立したことを示しています。
* リモートアクセス型トロイの木馬 (RAT): RAT はインストールされると、攻撃者が長期間アクセスを維持できるようにするため、永続的な攻撃手段となります。
* MITRE ATT&CK戦術へのマッピング：
* 初回アクセス:
* この戦術は、ネットワーク内で最初の足がかりを得るために使用されるテクニックを網羅しています。
* 攻撃手法には、フィッシングや外部リモートサービスの悪用などが含まれます。
* フィッシングキャンペーンや悪意のあるリンクのクリックは、このカテゴリに該当します。
* 持続性：
* この戦術には、敵対勢力が足場を維持するために用いる手法が含まれる。
* 手法としては、再起動後もシステム上に残存し、永続的に動作するマルウェアをインストールすることなどが挙げられる。
* このRATは永続的なリモートアクセスを提供するため、この戦術に適している。
* 除外事項:
* 防御回避:
* これには、探知を回避し、防御を回避するための技術が含まれます。
* より広い文脈では関連性があるかもしれないが、この事件報告書には、防御を回避するために取られた具体的な行動については記載されていない。
* 横方向の動き：
* これは、ネットワークを介して他のシステムへ移動することを含みます。
* この報告書は、最初のアクセスと、そのアクセスを維持すること以外の措置については示していません。
結論：
* インシデントレポートには、初期アクセスと永続化の戦術が記録されています。
参考文献：
MITRE ATT&CKフレームワークにおける初期アクセスおよび永続化戦術に関するドキュメント。
インシデント分析とMITRE ATT&CK戦術へのマッピング。