CNシリーズファイアウォールは、Kubernetes環境内のセキュリティを確保するために設計されたコンテナネイティブファイアウォールです。主にクラウドおよび仮想化ワークロードを保護するVMシリーズファイアウォールに加えて使用されます。
CN シリーズの主なセキュリティ上の利点は、次の対策を実施することで、コンテナ自体内での脅威の横方向の移動を防止できることです。
Kubernetes クラスター内のマイクロセグメンテーション
コンテナ間通信のディープパケットインスペクション
コンテナ化されたアプリケーション内でのゼロトラストの適用
脅威の横方向の移動を防ぐことがなぜ正しい答えなのか?
コンテナは非常に動的であるため、従来のファイアウォールではコンテナ内のトラフィックを検査できません。
CN シリーズ ファイアウォールはマイクロセグメンテーションを強制し、侵害されたコンテナ間の不正な通信をブロックします。
Kubernetes 環境内でのマルウェアや攻撃者の拡散を防ぎます。
その他の回答選択肢の分析
（A）コンテナの外側の境界脅威検出を提供します -
これは、CN シリーズではなく、VM シリーズのファイアウォールについて説明しています。
(C) コンテナ外のトラフィックを監視して記録する -
CN シリーズは、コンテナ外のトラフィックだけでなく、コンテナ内のトラフィックも監視します。
(D) コンテナ内のコアゾーンのセグメンテーションを可能にする -
正しい用語は「マイクロセグメンテーション」ですが、主な利点は横方向の移動を防ぐことです。
参照と根拠:
ゼロ トラスト アーキテクチャ - コンテナ内で最小権限のアクセスを強制します。
脅威防止と WildFire - コンテナ間でのマルウェアの拡散を防ぎます。
したがって、コンテナ自体内での脅威の横方向の移動を防ぐ CN シリーズ ファイアウォール (B) が正解です。

ベストプラクティス評価（BPA）は、Palo Alto Networksが推奨するベストプラクティスに照らしてファイアウォール設定を評価します。この場合、クラウド配信型セキュリティサービス（CDSS）の更新設定はベストプラクティスに準拠していません。現在、更新は週次に設定されており、脅威の防御が遅れています。
Precision AI バンドルの動的更新に関するベストプラクティス
アプリケーションと脅威 - 毎日更新
定期的な更新により、ファイアウォールは最新のエクスプロイト、脆弱性、マルウェアを検出してブロックできるようになります。
毎週の更新では遅すぎるため、ネットワークが新たに発見された攻撃に対して脆弱な状態になります。
WildFire - 5分ごとに更新
WildFire は、Palo Alto Networks のクラウドベースのマルウェア分析エンジンであり、ほぼリアルタイムで新しい脅威を識別して軽減します。
5 分ごとに更新することで、新たに検出されたマルウェア署名がすぐに適用されます。
毎週更新すると、脅威への対応が大幅に遅れることになります。
その他の回答選択肢の分析
(B) ウイルス対策ソフトは毎日更新する必要があります。
頻繁な更新が推奨されていますが、Palo Alto ファイアウォールのウイルス対策は、デフォルトでは 1 時間ごとに更新されます (毎日ではありません)。
(D) URL フィルタリングは 1 時間ごとに更新する必要があります。
URL フィルタリング データベースはクラウド内で動的に更新されるため、1 時間ごとに固定的に更新する必要はありません。
URL フィルタリングの有効性は、頻繁な更新ではなくクラウド統合に依存します。
参照と根拠:
ファイアウォールの展開 - 動的更新がベストプラクティスに準拠していることを確認することで、セキュリティが強化されます。
セキュリティ ポリシー - アプリケーション、脅威、WildFire の更新は、保護ポリシーの適用に重要です。
脅威の防止と WildFire - 頻繁な更新により、新たな脅威にさらされる時間が減少します。
Panorama - ブランチ オフィスの更新を集中管理できます。
ゼロ トラスト アーキテクチャ - リアルタイムの脅威インテリジェンスの更新が必要です。
したがって、BPA の推奨事項に従って最適なセキュリティ体制を維持するには、アプリケーションと脅威 (A) を毎日更新し、WildFire (C) を 5 分ごとに更新する必要があります。

サードパーティの請負業者が営業時間外に社内アプリケーションにアクセスできるようにするには、セキュリティ ポリシーに次の内容を含める必要があります。
ユーザーID -
特定のユーザー (サードパーティの請負業者など) を識別し、それに応じてアクセス ルールを適用します。
請負業者グループの認証されたユーザーのみがアクセスできるようにします。
スケジュール -
許可されるアクセス時間枠を指定します (例: 営業時間外: 午後 6 時 - 午前 6 時)。
請負業者が指定された営業時間外にのみアプリケーションにアクセスできるようにします。
他のオプションが間違っているのはなぜですか?
C. サービス❌
正しくありません。サービスはポートとプロトコルを定義するものであり、ユーザー ID や時間ベースのアクセス制御を定義するものではありません。
D . アプリID ❌
不正解です。App-ID はアプリケーションを識別および分類しますが、ユーザー ID や時間に基づいてアクセスを制限することはありません。
ファイアウォールの展開とセキュリティ機能に関する参照:
ファイアウォールの展開 - ユーザー ID とスケジュールを使用して請負業者が内部アプリケーションに安全にアクセスできるようにします。
セキュリティ ポリシー - 時間ベースおよび ID ベースのきめ細かなアクセス制御を実装します。
VPN 構成 - サードパーティの請負業者は GlobalProtect VPN を介してアプリケーションにアクセスできます。
脅威の防止 - サードパーティ ユーザーのアクセス ウィンドウを制限することで攻撃のリスクを軽減します。
WildFire 統合 - ダウンロードされた請負業者のファイルに脅威がないかスキャンされることを確認します。
ゼロ トラスト アーキテクチャ - ユーザー ID と時間制限に基づいて、最小限の権限アクセスをサポートします。
したがって、正しい答えは次のとおりです。
✅ A. ユーザーID
✅ B. スケジュール