[2026-07-27更新,101問] 無料Palo Alto Networks NGFW-Engineer試験問題集、NGFW-Engineer出題範囲(ページ 6)

NGFW-Engineer 試験問題 21

ライセンス可能な全機能を備えたPAシリーズファイアウォールが設置されます。お客様のセキュリティポリシーでは、ユーザーがウェブサイトに直接アクセスすることを禁止しています。代わりに、セキュリティデバイスを介して接続を確立し、すべてのセッションでActive Directoryサーバーへの認証を行う必要があります。
このシナリオにおいて、どの行動が要件を満たしていますか？

A. Web Cache Communications Protocol (WCCP) を使用して透過プロキシをデプロイします。

B. 次世代ファイアウォールを通常どおり展開し、User-IDエージェントをインストールします。

C. 高度なURLフィルタリングライセンスとキャプティブポータルを展開します。

D. Kerberos認証方式で明示的なプロキシをデプロイします。

NGFW-Engineer 試験問題 22

管理者は、数千人のユーザーがクライアント証明書を介して認証を行う大規模展開向けに、公開鍵基盤（PKI）統合を設計しています。重要な設計目標は、ファイアウォールのパフォーマンスへの影響を最小限に抑え、接続ユーザーの遅延を最小限に抑えつつ、証明書の失効状態を効率的にチェックすることです。
このシナリオにおいて、証明書失効リスト（CRL）の代わりにオンライン証明書ステータスプロトコル（OCSP）を使用する主な利点は何ですか？

A. OCSPを使用すると、ファイアウォールが独自の認証局（CA）として機能できるようになり、証明書の管理が簡素化されます。

B. OCSPは証明書のリアルタイムステータスをオンデマンドで提供し、拡張性が高く、ファイアウォールのメモリ使用量が少なくて済みます。

C. OCSPはCRLよりも古く、より広くサポートされているプロトコルです。すべてのクライアントデバイスとの互換性を保証します。

D. OCSP は、ファイアウォールによるダウンロードを高速化するために、すべての証明書ステータスを単一のデジタル署名付きファイルにまとめます。

NGFW-Engineer 試験問題 23

Palo Alto Networksの高可用性（HA）アクティブ/パッシブペア上のアグリゲートイーサネット（AE）インターフェイスの事前ネゴシエーションを有効にするには、LACPタブのどの設定を有効にすればよいですか？

A. 送信速度を「高速」に設定してください。

B. パッシブリンクの状態を「自動」に設定します。

C. 「HAパッシブ状態で有効にする」を設定します。

D. LACPモードを「アクティブ」に設定します。

NGFW-Engineer 試験問題 24

企業は、ネイティブツールを使用してパブリッククラウドのリソースのセキュリティ効果を維持するために、物理データセンターで使用されているPanorama、PAシリーズ、およびVMシリーズのデバイスを複製するためのCloud NGFWクレジットを購入します。
AWSとAzureには以下のリソースが存在します。
AWS デプロイメントは、すべてのリソースが接続する AWS Transit Gateway を使用して設計されています。Azure デプロイメントは、各アプリケーションが独立してトラフィックをルーティングするように設計されています。これら 2 つのクラウド環境に Cloud NGFW をデプロイするエンジニアは、次の点を考慮する必要があります。
2つのクラウド環境への変更を最小限に抑える
アプリケーションの要求に応じて拡張しつつ、使用するコンピューティングリソースを最小限に抑える。企業が保護対象領域全体でセキュリティポリシーを統一できるようにする。これらの要件を満たす実装はどれですか？（2つ選択してください。）

A. 各VPCにAWS上にVM-Seriesファイアウォールをデプロイし、AWSとAzure間のIPSecトンネルを作成し、Panoramaでポリシーを管理します。

B. vNET/s に Azure 用 Cloud NGFW をデプロイし、vNET/s のルーティングを更新してトラフィックをデプロイされた NGFW 経由でパスさせ、Panorama を使用してポリシーを管理します。

C. vWANにAzure用クラウドNGFWをデプロイし、vWANにアタッチされたクラウドNGFWに適切なトラフィックをすべてルーティングするvWANを作成し、ローカルルールでポリシーを管理します。

D. AWS 用のクラウド NGFW を中央集中型のセキュリティ VPC にデプロイし、トランジットゲートウェイを更新してすべての適切なトラフィックをセキュリティ VPC 経由でルーティングし、Panorama を使用してポリシーを管理します。

NGFW-Engineer 試験問題 25

大規模企業は、オンプレミスの Microsoft Active Directory 証明書サービス (AD CS) 階層をプライマリ認証局 (CA) として使用し、ユーザーとデバイスの両方に対して証明書ベースの認証を実装したいと考えています。また、効率的な失効ステータスの更新を保証し、次世代ファイアウォール (NGFW) のオーバーヘッドを削減するために、オンライン証明書ステータスプロトコル (OCSP) チェックも必要としています。この環境には、複数の Active Directory フォレスト、地理的に分散した複数のファイアウォールに対する Panorama 管理、ユーザーとデバイスごとに異なる証明書プロファイルを必要とする GlobalProtect ポータルとゲートウェイ、そして最小限の遅延で頻繁な失効チェックを要求する厳格なセキュリティポリシーが含まれています。
一貫した政策執行を維持しながら、これらの要件に最も適切に対応できるアプローチはどれでしょうか？

A. 各サイトに自己署名証明書を導入し、ローカル証明書の検証を簡素化し、中央集権型認証局への依存度を低減します。オーバーヘッドを削減するため、証明書の失効チェックを無効にし、GlobalProtect認証にはIPベースのルールを使用し、ユーザーとデバイスの両方に単一の証明書プロファイルを使用します。

B. ルートおよび中間CA証明書を共有オブジェクトとしてPanorama経由で配布し、すべてのファイアウォールで一貫した信頼チェーンが維持されるようにします。各ファイアウォールでOCSPレスポンダープロファイルを設定し、CRLチェックをフォールバックとして保持しながら、失効チェックを内部OCSPサーバーにオフロードします。ユーザー認証とデバイス認証用に個別の証明書プロファイルを維持し、自動登録方式を使用します。
グループポリシーやSCEPなどのツールを使用して、エンドポイントに証明書をデプロイします。

C. 各ファイアウォールを個別に設定し、ルートCA証明書と中間CA証明書を信頼するようにします。証明書の失効については手動のCRLチェックのみに依存し、認証のためにユーザー証明書とデバイス証明書の両方を各ファイアウォールのローカル証明書ストアに直接インポートします。

D. ユーザー認証とデバイス認証の両方に、パブリックCAからワイルドカード証明書を取得し、ファイアウォールを設定して、デフォルトの更新間隔でCRLポーリングを実行します。エンドポイントにユーザー証明書を手動でインストールし、頻繁な手動SSH更新によってファイアウォールの証明書ストアを同期して、一貫性を維持します。