説明
Cortex XDR でスケジュールされたレポートを作成する場合、四半期ごとに特定の日時に実行するオプションは使用できません。レポートのスケジュールは、毎日、毎週、または毎月実行するようにのみ設定できます。レポートの開始日と終了日、タイムゾーン、受信者を指定することもできます。スケジュールされたレポートは、ネットワーク内のセキュリティ イベント、インシデント、アラート、またはエンドポイントに関する定期レポートを生成するのに役立ちます。スケジュールされたレポートは、Cortex XDR コンソールの [レポート] ページから、またはクエリ センターからクエリをレポートとして保存して作成できます。
参考文献:
* レポートの実行またはスケジュール設定
* スケジュールされたレポートを作成する

説明
BIOC ルールは、Cortex Query Language (XQL) を使用して潜在的な脅威を示す動作またはアクションを定義するカスタム検出ルールです。BIOC ルールでは、xdr_data および cloud_audit_log データセットと、これらのデータセットのプリセットを使用できます。BIOC ルールでは、XQL クエリで集計を行わずにフィルター ステージ、変更ステージ、および関数を使用することもできます。クエリは、action_process_image という名前の単一フィールドを返す必要があります。これは、疑わしいプロセスのプロセス イメージ名です。クエリには、ルールをトリガーするイベントのタイプとサブタイプを指定するために、フィルター ステージにevent_typeフィールドとevent_sub_typeフィールドも含める必要があります。
オプション B は、有効な BIOC ルール クエリの要件をすべて満たしているため、正解です。xdr_data データセット、フィルター ステージ、event_type フィールドとevent_sub_type フィールド、および action_process_image_name フィールドを正規表現とともに使用して、次で終わるプロセス イメージ名と一致します。
.pdf.exe または .docx.exe。悪意のあるファイルの一般的な指標です。
オプション A は、BIOC ルール クエリに必須であるフィルター ステージのevent_type フィールドが含まれていないため、不正解です。
オプション C は、フィルター ステージにevent_type フィールドとevent_sub_type フィールドが含まれておらず、BIOC ルール クエリではサポートされていないフィールド ステージを使用しているため、不正解です。また、action_process_image_name フィールドの代わりに action_process_image フィールドも返します。これは、BIOC ルール クエリの予期される出力です。
オプション D は、BIOC ルール クエリではサポートされていないevent_behavior フィールドを使用しているため、不正解です。また、フィルターステージにevent_typeフィールドが含まれておらず、event_sub_typeフィールドが誤って使用されています。
events_sub_type フィールドは、true ではなく、PROCESS_START と等しい必要があります。
参考文献:
* BIOC の操作
* Cortex クエリ言語 (XQL) リファレンス

説明
Cortex XDR Analytics モジュールに関する正しい記述は D です。これは、エンドポイントで観察されるとすぐにパターンに干渉します。Cortex XDR Analytics モジュールは、機械学習と動作分析を使用してエンドポイントに対するネットワークベースの攻撃を検出および防止する Cortex XDR の機能です。Cortex XDR Analytics モジュールは、エンドポイント上のネットワーク トラフィックとアクティビティを分析し、パロアルトネットワークスの脅威調査チームによって定義された攻撃パターンと比較します。Cortex XDR Analytics モジュールは、エンドポイントで攻撃パターンが検出されるとすぐに、悪意のあるネットワーク接続、プロセス、またはファイルをブロックすることで攻撃パターンを阻止します。このようにして、Cortex XDR Analytics モジュールは、損害や侵害が発生する前に攻撃を阻止できます。
他の記述は、次の理由により正しくありません。
* A は不正解です。Cortex XDR Analytics モジュールは、悪意のあるネットワーク接続、プロセス、またはファイルをブロックすることで、エンドポイントの攻撃パターンに干渉します。Cortex XDR Analytics モジュールは、攻撃を阻止するためにファイアウォールやその他のネットワーク デバイスに依存せず、エンドポイントにインストールされた Cortex XDR エージェントを使用して干渉を実行します。
* B は不正解です。Cortex XDR Analytics モジュールは、ファイアウォールによって監視されるとすぐには攻撃パターンに干渉しません。Cortex XDR Analytics モジュールは、ファイアウォールやその他のネットワーク デバイスに依存せず、攻撃の検出や防御を行いますが、エンドポイントにインストールされている Cortex XDR エージェントを使用して分析と干渉を実行します。攻撃者によって攻撃パターンが暗号化、難読化、またはバイパスされている場合、ファイアウォールは攻撃パターンを監視またはブロックできない可能性があります。
* C は不正解です。攻撃を防ぐには、Cortex XDR Analytics モジュールが攻撃パターンに干渉する必要があるからです。Cortex XDR Analytics モジュールは、攻撃パターンを検出するだけでなく、悪意のあるネットワーク接続、プロセス、またはファイルをブロックすることで攻撃の成功を阻止します。Cortex XDR Analytics モジュールは、攻撃を阻止するために他の応答メカニズムや人間の介入に依存せず、エンドポイントにインストールされた Cortex XDR エージェントを使用して干渉を実行します。
参考文献:
* Cortex XDR 分析モジュール
* Cortex XDR 分析モジュールの検出と防止

説明
Cortex に報告されたばかりの新しいインシデントの「割り当て先」フィールドの値は「未割り当て」です。これは、インシデントがまだどのアナリストにもグループにも割り当てられておらず、誰かがインシデントの所有権を取得するのを待っていることを意味します。「担当者」フィールドは、インシデント レイアウトに表示されるデフォルト フィールドの 1 つで、インシデント リスト内のインシデントをフィルタリングおよび並べ替えるのに使用できます。「割り当て先」フィールドは、アナリストが手動で変更することも、プレイブックやルールによって自動的に変更することもできます12。
包括的な説明を提供するために、他のオプションについて簡単に説明します。
A: 保留中: これは正しい答えではありません。保留中は、「担当者」フィールドの有効な値ではありません。保留中は、インシデントの現在の状態を示す「ステータス」フィールドの可能な値です。ステータス フィールドには、「新規」、「アクティブ」、「完了」、「クローズ」、または「保留中」などの値を設定できます3。
B: 空白です: これは正しい答えではありません。どのインシデントでも「担当者」フィールドが空白になることはありません。プレイブックまたはルールによって特定のアナリストまたはグループに割り当てられていない限り、新しいインシデントのデフォルト値は常に「未割り当て」になります12。
D: 新しい: これは正しい答えではありません。New は、「担当者」フィールドの有効な値ではありません。New は、インシデントの現在の状態を示す「ステータス」フィールドの値です。ステータス フィールドには、「新規」、「アクティブ」、「完了」、「クローズ」、または「保留中」などの値を設定できます3。
結論として、Cortex に報告されたばかりの新しいインシデントの「割り当て先」フィールドの値は「未割り当て」です。
このフィールドは、インシデントの所有権と責任を管理するために使用でき、手動または自動で変更できます。
参考文献:
* Cortex XDR Pro 管理者ガイド: インシデントの管理
* Cortex XDR Pro 管理者ガイド: インシデントの割り当て
* Cortex XDR Pro 管理者ガイド: インシデント ステータスの更新

説明
WSS (WebSocket Secure) プロトコルは、インターネット上で安全な通信チャネルを提供する WebSocket プロトコルの拡張機能です。これは、クライアント (この場合は Cortex XDR エージェント) とサーバー (Cortex XDR 管理コンソールやその他のコンポーネントなど) の間に永続的な全二重通信チャネルを確立するために使用されます。Cortex XDR エージェントは、WSS プロトコルを使用して、Cortex XDR 管理コンソールまたはパロアルトネットワーク セキュリティ エコシステム内の他のコンポーネントとの安全でリアルタイムの双方向通信チャネルを確立します。この通信チャネルを使用すると、エージェントはセキュリティ イベント、アラート、その他の関連情報などのデータを管理コンソールに送信し、コマンド、ポリシーの更新、および応答を受信できます。WSS プロトコルを使用することにより、Cortex XDR エージェントは管理コンソールとの永続的な接続を維持できるため、セキュリティ関連情報のタイムリーな通信が可能になり、効率的なインシデント対応と修復アクションが可能になります。質問で言及されている他のオプションにも CortexXDR エージェントとさまざまなコンポーネント間の通信が含まれることに注意することが重要ですが、WSS プロトコルの使用については特に言及されていません。例えば：
* A: 新しいセキュリティ コンテンツをダウンロードする Cortex XDR エージェントは通常、HTTP や HTTPS などのプロトコルを利用します。
* B: Cortex XDR エージェントがアラート データをアップロードするとき、データを安全に送信するために HTTP や HTTPS などのプロトコルを使用する場合があります。
* C: Cortex XDR エージェントが WildFire に接続して分析用のファイルをアップロードする場合、通常は HTTP や HTTPS などのプロトコルを使用します。したがって、Cortex XDR エージェントが双方向通信チャネルを確立する場合、正解は D です。参考文献:
* デバイス通信プロトコル - AWS IoT Core
* WebSocket - ウィキペディア
* パロアルトネットワークス認定検出および修復アナリスト (PCDRA) - パロアルトネットワークス
※【WebSocketとは何ですか？| Webセキュリティアカデミー】
* [Palo Alto Networks Certified Detection and Remediation Analyst PCDRA 認定試験の練習問題と解答 (Q&A) ダンプは、詳細な説明と参考資料が無料で提供されており、Palo Alto Networks Certified Detection and Remediation Analyst PCDRA 試験に合格し、Palo Alto Networks Certified Detection を取得するのに役立ちます。および修復アナリスト PCDRA 認定。]