* プレイブック構成の理解：
* 「Update Asset and Identity Database」という名前のプレイブックは、エンドポイントとユーザー情報を使用してFortiAnalyzerのアセットおよびIDデータベースを更新するように設計されています。
* この展示では、ON_SCHEDULE STARTER、GET_ENDPOINTS、UPDATE_ASSET_AND_IDENTITY という 3 つの主要コンポーネントを含むプレイブックを示しています。
* コンポーネントの分析：
* ON_SCHEDULE STARTER:このコンポーネントは、プレイブックがオンデマンドではなくスケジュールに基づいてトリガーされることを示します。
* GET_ENDPOINTS: このアクションはエンドポイントに関する情報を取得します。これはエンドポイント管理システムと連携することを示唆しています。
* UPDATE_ASSET_AND_IDENTITY:このアクションは、取得した情報を使用してFortiAnalyzerのアセットおよびIDデータベースを更新します。
* 選択肢の評価：
* オプション A: プレイブックに示されているアクションは、FortiAnalyzer で実行できる標準的なローカルアクションであり、ローカルコネクタの使用を示しています。
* オプション B: タスクはエンドポイントと ID 管理に関するものであり、電子メールに関するものではないため、プレイブックが FortiMail コネクタを使用しているという兆候はありません。
* オプション C: プレイブックは「ON_SCHEDULE」トリガーを使用していますが、これはオンデマンド トリガーの説明と矛盾しています。
* オプション D: アクション「GET_ENDPOINTS」は、エンドポイントを管理し、エンドポイントから情報を取得するエンドポイント管理システム（おそらく FortiClient EMS）との統合を示唆しています。
* 結論：
* プレイブックは、アクションにローカルコネクタを使用するように構成されています。
* FortiClient EMSと連携してエンドポイント情報を取得し、FortiAnalyzerのアセットおよびIDデータベースを更新します。
参考文献：
Fortinetのプレイブックアクションとコネクタに関するドキュメント。
FortiAnalyzerとFortiClient EMSの統合ガイド。

* オートメーションステッチの概要：Fortinetソリューションのオートメーションステッチは、ネットワーク内で検出された特定のイベントに対して自動的に対応することを可能にします。この自動化により、手動による介入なしに脅威を迅速に軽減できます。
* FortiGateセキュリティプロファイル：
FortiGateは、セキュリティプロファイルを使用してネットワークトラフィックに対するポリシーを適用します。これらのプロファイルには、ウイルス対策、Webフィルタリング、侵入防止などが含まれます。
* セキュリティプロファイルが違反または特定のイベントを検出すると、事前に定義されたアクションをトリガーできます。
* Webhook呼び出し：
* FortiGateは、特定のセキュリティイベントを検出した際にWebhookコールを送信するように設定できます。
* Webhookとは、イベントによってトリガーされるHTTPコールバックであり、指定されたURLにデータを送信します。これにより、FortiGateはFortiAnalyzerなどの他のシステムと通信できるようになります。
* FortiAnalyzerとの統合：
* FortiAnalyzerは、様々なFortinetデバイスからログとイベントを収集し、一元的なログ記録と分析を提供します。
FortiGateからWebhookコールを受信すると、FortiAnalyzerはイベントをさらに分析し、レポートを生成し、設定されている場合、自動アクションを実行できます。
* Detailed Process :
* Step 1 : A security profile on FortiGate triggers a violation based on the defined security policies.
* Step 2 : FortiGate sends a webhook call to FortiAnalyzer with details of the violation.
* Step 3 : FortiAnalyzer receives the webhook call and logs the event.
* Step 4 : Depending on the configuration, FortiAnalyzer can execute an automation stitch to respond to the event, such as sending alerts, generating reports, or triggering further actions.
:
Fortinet Documentation: FortiOS Automation Stitches
FortiAnalyzer Administration Guide: Details on configuring event handlers and integrating with FortiGate.
FortiGate Administration Guide: Information on security profiles and webhook configurations.
By understanding the interaction between FortiGate and FortiAnalyzer through webhook calls and automation stitches, security operations can ensure a proactive and efficient response to security events.

抜粋: 「キューを作成する最初のステップは、キュー定義ページで行います。ここで名前と説明を定義し、キューに関連付けるモジュールを指定します... モジュールをモジュールタイプで選択できるようにするには、アプリケーションエディターでキュー可能設定を有効にする必要があります。」
> モジュール。
正解はAです。FortiSOARでは、アプリケーションエディタ > モジュールで「キュー可能」設定が有効になっているモジュールのみがキューのモジュールタイプ一覧に表示されるためです。問題はタスクの優先度やキューの優先度ではありません。優先度の高いキューは、複数のキューが同じレコード条件に一致する場合のタイブレークにのみ影響し、モジュールの選択を妨げるものではありません。タスクモジュールはFortiSOARレコードモジュールとして使用できるため、Cは最適な回答ではありません。シフトベースの割り当ても別個のものです。キューが存在する後にシフトの可用性に従って割り当てが行われるかどうかを制御しますが、モジュールがモジュールタイプ一覧に表示されるかどうかは制御しません。
技術的な詳細解説：キューとシフトの管理はメタデータ駆動型です。まず、モジュールでキューを有効にする必要があります。次に、キュールールで、新しく作成された優先度の低いタスクなどのレコードを照合できます。その後、ユーザー割り当てロジックで、レコードをキューリーダーに割り当てたり、未割り当てのままにしたり、ラウンドロビン方式で分散させたりできます。必要に応じて、シフトベースの可用性を使用します。したがって、最初の修正方法は、[アプリケーション エディター] > [モジュール] > [タスク] > [キュー可能] を有効にすることです。

FortiSOAR 7.6 では、プレイブック エンジンは Jinja2 式を使用して動的データを処理します。プレイブックが手動トリガーで構成されている場合、管理者は、レコードからプレイブックを実行する際にアナリストが入力する必要のある入力フィールド (テキスト、選択リスト、チェックボックスなど) を定義できます。
* 入力パラメータのマッピング: この手動トリガーフェーズ中にユーザーが入力したデータはすべて、vars オブジェクト内の input.params ディクショナリに自動的にマッピングされます。したがって、特定の入力値を取得するための構文は {{ vars.input.params.variable_name }} です。
* 変数のスコープ: この特定のパスにより、変数が後続のステップの出力 (vars.steps) やグローバルに定義された変数 (globalVars) からではなく、最初のユーザー入力から取得されることが保証されます。

正確な抜粋：「このスライドの例では、CMDBを参照する構造化検索を示しています...
属性: レポート IP 演算子: IN 値: デバイス: Windows... 属性: イベント タイプ 演算子: IN 値: イベント タイプ: ログオン失敗。 正確な抜粋: 「FortiSIEM エージェント: ファイル、ログ監視、および UEBA。」 また、このガイドでは、Windows システムでは FortiSIEM Windows エージェントを使用してログ転送と監視を行うことができると説明しています。
正解はAとCです。最初の要件はCMDBベースで、FortiSIEM Windowsエージェントによって検出されたデバイスを特定します。これはデバイスセットを生成するため、内部CMDBクエリに記述します。2番目の要件はイベントベースで、そのデバイスセットからWindowsログイン失敗イベントを生成したデバイスを見つけます。これは外部イベントクエリに記述し、イベント条件で内部CMDBクエリのデバイス結果を参照します。
技術的な詳細解説：クリーンなネストされたクエリのロジックは次のとおりです。内部クエリは関連するアセットの集合を定義し、外部クエリはその集合がターゲットイベントを生成したかどうかをテストします。FortiSIEM では、イベントタイプ IN EventTypes: Logon Failure などのイベントフィルタを備えた CMDB ベースのデバイスグループがよく使用されます。
これにより、長いIPリストを手動で管理する必要がなくなり、検出機能がリアルタイムのインベントリと連動するようになります。