* FortiAnalyzerの役割を理解する：
* FortiAnalyzerは、コレクターモードとアナライザーモードという2つの主要なモードで動作します。
* コレクターモード：さまざまなデバイスからログを収集し、詳細な分析のためにアナライザーモードで動作する別のFortiAnalyzerに転送します。
* アナライザーモード：詳細なログ分析、レポート作成、およびインシデント管理機能を提供します。
* FortiAnalyzerをコレクターデバイスとして構成する手順：
* A. ログ圧縮を有効にする:
ログ圧縮を有効にするとストレージ容量を節約できますが、FortiAnalyzerをコレクターモードで構成するために特に必要な手順ではありません。
* オプション項目であり、コレクター構成プロセスに直接関係しないため、選択していません。
* B. アナライザーモードでFortiAnalyzerへのログ転送を設定する：
* コレクターFortiAnalyzerによって収集されたログが、詳細な処理のためにアナライザーFortiAnalyzerに送信されることを保証するために不可欠です。
* FortiAnalyzerをコレクターデバイスとして構成する上で重要なステップであるため選択されました。
* ステップ 1: FortiAnalyzer インターフェースにアクセスし、ログ転送設定に移動します。
* ステップ 2: アナライザーモードで FortiAnalyzer の IP アドレスと必要な認証情報を指定して、ログ転送を設定します。
Fortinetのログ転送に関するドキュメント FortiAnalyzerのログ転送
C) データポリシーをアーカイブに重点を置くように設定する：
データポリシーの設定は通常、FortiAnalyzer内でログがどのように保存および管理されるかに関係しており、コレクターデバイスの設定においては、アーカイブに特化する必要は必ずしもありません。
コレクターモードの設定に必須の手順ではないため、選択しませんでした。
D) 接続インターフェースでファブリック認証を設定する：
セキュリティファブリック内のFortiAnalyzerデバイス間の安全かつ認証された通信を確保するために必要です。
安全な統合と通信に不可欠であるため、選定されました。
ステップ1：FortiAnalyzerインターフェースにアクセスし、ファブリック認証設定に移動します。
ステップ2：他のFortinetデバイスおよびFortiAnalyzerへの接続に使用するインターフェースで、ファブリック認証を有効にします。
参考資料：Fortinetのファブリック認証に関するドキュメント FortiAnalyzerファブリック認証の実装概要：
収集されたログがアナライザーに確実に送信されるように、ログ転送を設定してください。
セキュリティファブリック内での安全な通信と統合を確保するため、ファブリック認証を有効にしてください。
結論：
ログ転送とファブリック認証の設定は、FortiAnalyzerをコレクターデバイスとしてセットアップし、分析のために適切なログ収集と転送を確実に行うための重要な手順です。
参考文献：
Fortinet の FortiAnalyzer の役割と構成に関するドキュメント FortiAnalyzer 管理ガイド アナライザーモードで FortiAnalyzer にログ転送を設定し、接続インターフェイスでファブリック認証を有効にすることで、FortiAnalyzer をコレクター デバイスとして適切にセットアップできます。

Exact Extract: "Campaigns are an extra layer of abstraction used when multiple incidents are tied to a single threat actor. Seemingly unrelated incidents may all be part of the same campaign against an organization." Exact Extract: "It can be difficult to determine if incidents are related and roll them into a campaign.
通常、関連するインシデント間のリンクは、単一の既知の脅威アクターを複数のインシデントに結び付ける一意に識別可能な情報に基づいています。」正解は D です。FortiSOAR では、キャンペーンは、同じ脅威アクターに関連していると思われる複数のインシデントをグループ化するための適切なオブジェクトです。これにより、SOC は、個別のインシデントを 1 つのレコードに統合することなく、より広範な攻撃者の活動を追跡できます。タグは検索に役立つかもしれませんが、同じ構造化された追跡レイヤーを提供しないため、キャンペーン レコードと比較すると弱いです。インシデントをマージすることも、複数の関連するインシデントを上位レベルのキャンペーンの下に保持するのではなく、レコードを結合するため、誤りです。1 つのインシデントを親としてマークし、子インシデントを閉じることは、運用上危険であり、キャンペーンの概念を表していません。
技術的な詳細解説：キャンペーン追跡は、個別のインシデントが脅威アクターの指標、マルウェアファミリー、インフラストラクチャ、TTP、フィッシングテーマ、コマンド＆コントロールパターン、またはMITRE ATT & CKマッピングを共有する場合に有効です。成熟したFortiSOARワークフローでは、アナリストは関連するインシデント、アラート、指標、マルウェアサンプル、タスク、およびレポートをキャンペーンレコードにリンクします。これにより、脅威インテリジェンスチームとインシデント対応チームは、スコープ、タイムライン、帰属の確信度、封じ込めの進捗状況、および教訓を単一の場所で追跡できます。これはファイアウォールパケット処理ではなく、FortiSOARのケース管理と脅威インテリジェンスの相関関係であるため、FortiGate NP/CPオフロードはここでは関係ありません。

痛みのピラミッド（David Bianco）は、FortiSIEM 7.3およびFortiSOAR 7.6のカリキュラムで教えられている中核的な概念であり、SOCアナリストが脅威インテリジェンスと検出ロジックの優先順位付けを行うのに役立ちます。このモデルは、攻撃者が変更を強いられる「痛み」または労力に基づいて指標をランク付けします。
* IPアドレス（容易）：これらは変更が「容易」と分類されます。攻撃者は、プロキシサービスをローテーションしたり、別のVPSを使用したり、侵害された新しいホストを利用したりするだけで、攻撃を継続できます。
ファイルハッシュよりも価値は高いものの、非常に一時的なものであるため、防御側にとって長期的な価値は比較的低い。
* TTP（タフ/ハード）：これはピラミッドの頂点です。TTP（戦術、技術、手順）は、攻撃者が活動する基本的な方法を表します。防御側が戦術（例えば、攻撃者が権限昇格を実行する特定の方法）を検知して阻止することに成功した場合、攻撃者は活動プロセス全体を再構築せざるを得なくなり、これは時間と労力がかかる作業です。
他の選択肢が間違っている理由：
* アーティファクト（C）：ピラミッドによると、ネットワーク/ホストアーティファクトは「簡単」ではなく「厄介」に分類されます。攻撃者はこれらを変更することはできますが、コードやスクリプトの動作を変更する必要があり、単にIPアドレスを切り替えるよりも手間がかかります。
* ツール（D）：ツールは「難易度が高い」と分類されます。代替手段は存在するものの、攻撃者は通常、特定のツールセットを習得するために相当な時間を費やします。そのツールを効果的に使用する能力を失うと、攻撃者の効率は著しく低下します。

* MITRE ATT&CKマトリックスの理解：
* MITRE ATT&CKフレームワークは、現実世界の観察に基づいた、攻撃者の戦術と技術に関する知識ベースです。
* マトリックス内の各戦術は攻撃手法の「理由」を表し、各手法は敵が戦術を実行する「方法」を表します。
* 提供された証拠資料の分析：
* この展示では、FortiAnalyzerに表示されたMITRE ATT&CKエンタープライズマトリックスの一部を示しています。
* 重点は技術T1071（アプリケーション層プロトコル）に置かれており、そのサブ技術としてT1071.001、T1071.002、T1071.003、T1071.004というラベルが付けられています。
* 各サブテクニックは、コマンド＆コントロール（C2）に使用される異なるタイプのアプリケーション層プロトコルを指定します。
* T1071.001 ウェブプロトコル
* T1071.002 ファイル転送プロトコル
* T1071.003 メールプロトコル
* T1071.004 DNS
* 重要なポイントの特定：
* T1071 の下位技術: 主要技術 T1071 の下には 4 つの下位技術がリストされており、ステートメント B が正しいことが確認されます。
* T1071のイベントハンドラ：FortiAnalyzerには、さまざまな戦術やテクニックを監視するためのイベントハンドラが含まれています。戦術T1071のイベントハンドラが存在するということは、これらの特定のサブテクニックに対してアクティブな監視とアラートが行われていることを示唆しており、ステートメントCが正しいことを裏付けています。
* 誤解を解消します：
* ステートメント A (戦術 T1071 の下に 4 つのテクニックがある) は誤りです。T1071 は 4 つのサブテクニックを持つ単一のテクニックだからです。
* ステートメントD（戦術に関連するイベントが15件）は誤解を招く表現です。15という数字は、アプリケーション層プロトコルに基づく技術の数を指しており、イベントの数とは直接関係ありません。
結論：
* 展示物の正確な解釈により、技術T1071の下に4つのサブ技術があり、戦術T1071をカバーするイベントハンドラーが存在することが確認されました。
参考文献：
MITRE ATT&CK フレームワークのドキュメント。
FortiAnalyzerのイベント処理とMITRE ATT&CKの統合に関するガイド。

FortiSOAR 7.6 では、手動プレイブックは、手動トリガー手順で定義された特定の構成基準を満たしている場合にのみ、レコードの実行メニューに表示されます。
* モジュール範囲 (C): 手動トリガーを使用してプレイブックを作成する場合、管理者はどのモジュール (アラート、インシデント、インジケーターなど) がプレイブックを実行できるかを明示的に選択する必要があります。トリガー構成の「適用可能なモジュール」セクションでアラートモジュールが選択されていない場合、アナリストがアラートモジュールを表示しているときに、プレイブックは実行メニューから非表示のままになります。
* トリガー実行要件 (D): 手動トリガーは、レコードなし、単一のレコード、または複数のレコードで実行するように構成できます。プレイブックが「実行にはレコード入力が必要」で構成されている場合は、
設定が別の入力タイプに限定されている場合（または選択ロジックに不一致がある場合）、正しい数のレコードが選択されない限り、メニューには表示されません。さらに、プレイブックがレコードが選択されていない場合にのみ実行されるように設計されている場合（グローバルユーティリティ）、特定のレコードのコンテキストメニューには表示されません。
他の選択肢が間違っている理由：
* 公開（A）：FortiSOARプレイブックは、アプリケーションエディタを介した別途の「公開」手順を必要とせずに表示されます。保存してアクティブ化（オンに切り替え）すると、トリガー設定に基づいてすぐに使用できるようになります。
* 同時実行（B）：FortiSOARでは、同じプレイブックの複数のインスタンスを同時に実行できます。プレイブックがアクティブに実行されていても、他のアナリストや後続の実行時にはメニューから非表示になりません。