Prisma SD-WANで使用されるIONデバイスは、新たに取得したサイトでトラフィックをステアリングせずに監査するために、アナリティクスモードに設定する必要があります。このモードでは、管理者はトラフィックパスを積極的に変更することなく、ネットワークの挙動を監視できます。
分析モードが正しい選択である理由
受動的にトラフィックを監視
ION デバイスは、サイト トラフィックを監視し、分析のために記録します。
ルーティングまたはトラフィック フローに対するアクティブな制御は適用されません。
完全展開前のネットワーク監査に役立つ
分析モードでは、SD-WAN ポリシーの変更をコミットする前に、サイト トラフィックを可視化できます。
トラフィック ステアリングを有効にする前に、最適化の機会を特定し、接続のトラブルシューティングを行うのに役立ちます。
その他の回答選択肢の分析
(A) アクセス モード - トラフィックのアクティブ ルーティングとステアリングを有効にします。これはパッシブ監査には望ましくありません。
(B) 制御モード - トラフィック フローをアクティブに制御し、ポリシーを適用します。観察のみの設定には適していません。
(C) 無効モード - このモードではデバイスは機能しないため、トラフィック監視には役に立ちません。
参照と根拠:
ファイアウォールの展開 - Prisma SD-WAN ION デバイスは、初期監査のために分析モードにする必要があります。
ゼロ トラスト アーキテクチャ - アクティブな制御を有効にする前にセキュリティ リスクを評価するのに役立ちます。
したがって、トラフィック ステアリングなしでサイト トラフィックを監査できるため、分析モード (D) が正解です。

ファイアウォールがアプリケーションレベルゲートウェイ（ALG）として機能する場合、OSI参照モデルのアプリケーション層でトラフィックを傍受、検査し、動的に管理します。ALGの主な役割は、ディープパケットインスペクション（DPI）、アドレス変換、プロトコルコンプライアンスの適用を提供することです。
ALG が接続を正常に確立するには、ピンホールが必要です。ピンホールとは、ファイアウォールが特定のアプリケーション（VoIP、FTP、SIP ベースのトラフィックなど）に必要な戻りトラフィックを許可するための、一時的に動的に作成されるルールです。多くのアプリケーションはポート番号を動的にネゴシエートするため、静的なファイアウォールルールは効果を発揮しないため、これらのピンホールは不可欠です。
例えば、セッション開始プロトコル（SIP）アプリケーションが接続を開始すると、ファイアウォールはセキュリティ制御を維持しながらSIPメディアストリーム（RTP）の通過を許可するピンホールを動的に開きます。セッションが終了すると、ピンホールは閉じられ、不正アクセスを防止します。
ファイアウォールの展開とセキュリティ機能に関する参照:
ファイアウォールの展開 - ALG は、アプリケーション固有の接続を安全に管理するために、エンタープライズ ネットワーク ファイアウォールによく展開されます。
セキュリティ ポリシー - ファイアウォールは ALG セキュリティ ポリシーを使用して、動的にネゴシエートされた接続を許可またはブロックします。
VPN 構成 - 一部の VPN は、NAT トラバーサルを必要とする複雑なアプリケーションを処理するために ALG に依存しています。
脅威の防止 - ALG は、トラフィックの内容を検査することで、アプリケーション層の脅威を検出して防止するのに役立ちます。
WildFire - 直接関連はありませんが、WildFire のような詳細な検査機能は ALG と連携してペイロード内のマルウェアを検査できます。
Panorama - ALG ベースのポリシーを含む集中ポリシー管理に使用されます。
ゼロ トラスト アーキテクチャ - ALG は、一時的なピンホールを通じて明示的に許可されたアプリケーション トラフィックのみが許可されるようにすることで、ゼロ トラストを強化します。
したがって、正解は A. Pinhole です。これは、ファイアウォールが動的なトラフィック フィルタリングを実施しながら、アプリケーション層の接続を安全に確立できるようにするためです。

Palo Alto Networks NGFWからStrata Logging Service（旧Cortex Data Lake）へのログ転送が切断された場合、まず確認すべき点はデバイス証明書です。これは、ファイアウォールがログサービスとの相互認証に証明書を使用しているためです。これらの証明書が欠落している、期限切れである、または無効な場合、ファイアウォールは安全な接続を確立できず、ログ転送ができなくなります。
デバイス証明書が重要な主な理由
認証要件 - NGFW は、Strata Logging Service にログを送信する前に、Palo Alto Networks が発行したデバイス証明書を使用して認証を行います。
有効期限の問題 - 証明書の有効期限が切れると、NGFW は認証できなくなり、接続が切断されます。
誤った構成または失効 - 証明書が適切にインストールされていない、失効している、または誤って割り当てられている場合、ログ サービスはログ転送の試行を拒否します。
クラウド信頼関係 - ファイアウォールは安全なクラウドベースの認証に依存しており、ログの取り込み前に証明書によって NGFW の ID が検証されます。
証明書の問題を確認して修正する方法
証明書のステータスを確認する
NGFW Web インターフェースで、[デバイス] > [証明書] に移動します。
有効な Palo Alto Networks デバイス証明書が存在することを確認します。
有効期限を確認し、必要に応じて更新してください。
証明書を再インストールする
証明書が見つからないか無効な場合は、Palo Alto Networks カスタマー サポート ポータル (CSP) から正しいデバイス証明書を取得して再インストールしてください。
正しい証明書チェーンを確認する
正しいルート CA 証明書がインストールされ、ファイアウォールによって信頼されていることを確認します。
Strata Logging Serviceへの接続を確認する
セキュリティ ポリシー、ファイアウォール、またはプロキシの構成ミスにより、ログ サービスへの送信接続がブロックされていないことを確認します。
その他の回答選択肢の分析
(B) 復号化プロファイル - SSL/TLS 復号化設定はトラフィック検査に影響しますが、ログ転送には影響しません。
(C) 認証コード - 認証コードは、Strata Logging Service へのデバイスの初期登録時に使用されますが、進行中のログ転送には影響しません。
(D) ソフトウェア保証 - ファイアウォールの保証はログ転送には影響しませんが、Strata Logging Service への継続的なアクセスには有効なサポート ライセンスが必要です。
参照と根拠:
ファイアウォールの展開 - 証明書は、NGFW クラウド通信のセキュリティを確保するために不可欠です。
セキュリティ ポリシー - 適切な認証により、ログが安全に送信されます。
脅威の防止と WildFire - ログ記録の失敗は、脅威の可視性と WildFire 分析に影響を及ぼす可能性があります。
Panorama - 集中ログ記録に同じ認証メカニズムを使用します。
ゼロ トラスト アーキテクチャ - 有効な証明書を含む厳格な ID 検証が必要です。
したがって、ログ転送は Strata Logging Service との接続を確立するために有効な認証済み証明書に依存するため、デバイス証明書 (A) が正解です。