NGFW から Strata Logging Service にログを集中管理するには、ファイアウォールと Palo Alto Networks のクラウドベースの Strata Logging Service 間の安全な接続を確保するためのルート証明機関 (Root CA) 証明書が必要です。
ルート証明書が必要な理由
ファイアウォール接続を認証します - NGFW が Strata Logging Service を信頼していることを確認します。
暗号化された通信を有効にします - ログの整合性と機密性を保護します。
中間者攻撃を防止 - ログ転送の安全な TLS 暗号化を保証します。
他のオプションが間違っているのはなぜですか?
A.デバイス❌
誤りです。デバイス証明書は、Strata Logging Service へのログの送信ではなく、ファイアウォール管理の認証に使用されます。
B. サーバー❌
正しくありません。サーバー証明書はサービス エンドポイントを認証しますが、ファイアウォールは安全なログ接続のためにルート CA を信頼する必要があります。
D . 中級CA ❌
正しくありません。中間 CA 証明書は証明書チェーンの検証に使用されますが、ファイアウォールは安全な接続を確立するためにルート CA を信頼する必要があります。
ファイアウォールの展開とセキュリティ機能に関する参照:
ファイアウォールの展開 - 集中サービスへの安全なログ転送を保証します。
セキュリティ ポリシー - ログの改ざんや不正アクセスを防止します。
VPN 構成 - VPN ログが Strata ログ サービスに安全に送信されるようにします。
脅威防止 - ファイアウォール ログがセキュリティ上の脅威について分析されるようにします。
WildFire 統合 - マルウェア関連のイベントを分析のためにクラウドに記録します。
ゼロ トラスト アーキテクチャ - すべてのネットワーク イベントの安全なログ記録を保証します。
したがって、正しい答えは次のとおりです。
✅ C. ルート

Palo Alto Networksのクラウド配信型セキュリティプラットフォームであるPrisma Accessは、ポリシーの作成と適用を効率化するために、特定の事前定義ゾーンをサポートしています。これらのゾーンは、サービス内でのトラフィックの管理とセキュリティ保護に不可欠な要素です。
Prisma Access で利用可能なゾーン:
信頼ゾーン:
このゾーンには、企業ネットワーク内の信頼できるオンボードIPアドレス、サービス接続、モバイルユーザーがすべて含まれます。これらのエンティティから発信されるトラフィックは信頼できるものとみなされます。
非信頼ゾーン:
このゾーンには、企業ネットワーク外にある信頼できないIPアドレス、サービス接続、モバイルユーザーがすべて含まれます。デフォルトでは、信頼済みとして指定されていないIPアドレスまたはモバイルユーザーは、このカテゴリに分類されます。
クライアントレス VPN ゾーン:
HTML、HTML5、JavaScriptテクノロジーを活用した一般的なエンタープライズWebアプリケーションへの安全なリモートアクセスを提供するために設計されています。この機能により、ユーザーはクライアントソフトウェアをインストールすることなく、SSL対応のWebブラウザからアプリケーションに安全にアクセスできます。これは、パートナーや請負業者によるアプリケーションへのアクセスを可能にしたり、個人デバイスなどの管理対象外の資産を安全に保護したりする場合に特に役立ちます。クライアントレスVPNゾーンはデフォルトでトラストゾーンにマッピングされており、この設定を変更することはできません。
オプションの分析:
A. DMZ:
非武装地帯（DMZ）とは、内部のローカルエリアネットワーク（LAN）を他の信頼できないネットワーク（通常はインターネット）から分離する物理的または論理的なサブネットです。従来のネットワークアーキテクチャでは、セキュリティを強化するためにDMZが用いられることがよくありますが、Prisma Accessでは、事前定義されたゾーン構造内でDMZゾーンを明示的に定義したり、利用したりすることはありません。
B. インターゾーン：
Prisma Access において、「interzone」はユーザー設定可能な事前定義ゾーンではありません。ただし、Prisma Access のログには「inter-fw」というラベルの付いたゾーンが表示される場合があります。これは Prisma Access インフラストラクチャ内の内部通信に関係するものであり、ユーザー定義のポリシー適用を意図したものではありません。
C. イントラゾーン:
イントラゾーンは通常、同じゾーン内のトラフィックを指します。セキュリティポリシーを設定してイントラゾーントラフィックを許可または拒否することは可能ですが、「イントラゾーン」自体はPrisma Accessで設定できる独立したゾーンではありません。
D. クライアントレスVPN:
上で詳述したように、クライアントレス VPN は Prisma Access で事前定義されたゾーンであり、Web アプリケーションへの安全なクライアントレス アクセスを容易にするように設計されています。
結論：
提供されたオプションの中では、D. クライアントレス VPN が Prisma Access で利用可能な定義済みゾーンであるため、正解です。
参照：
Palo Alto Networks. 「Prisma アクセスゾーン」 https://docs.paloaltonetworks.com/prisma-access/administration/prisma-access-setup/prisma-access-zones