説明
Linux エンドポイント上のファイルを削除するための最善のアクションは、Cortex XDR コンソールから修復提案を開始することです。修復の提案は、エンドポイントに対する悪意のあるアクティビティの影響を元に戻すための推奨アクションを提供する Cortex XDR の機能です。Cortex XDR コンソールで各アラートまたはインシデントの修復提案を表示し、それらを適用するかどうかを決定できます。修復の提案は、エンドポイントを元の状態に復元したり、悪意のあるファイルやプロセスを削除したり、レジストリやシステム設定を修正したりするのに役立ちます。修復の提案は、Cortex XDR エージェントによって収集されたフォレンジック データと Cortex XDR によって実行された分析に基づいています。
他のオプションは次の理由により正しくありません。
* A は不正解です。エンドポイントの問題を手動で修復することは、ファイルを削除する便利な方法でも効率的な方法でもないからです。問題を手動で修復するには、エンドポイントに直接アクセスし、root としてログインし、ファイルを見つけて削除する必要があります。また、エンドポイントにアクセスするために必要な権限と資格情報を持っていること、ファイルの正確なパスと名前を知っていることも必要になります。
問題を手動で修復しても、監査証跡や削除の確認は得られません。
* B は不正解です。Cortex XDR コンソールから X2go を開くことは、サポートされていない、または安全なファイル削除方法ではありません。X2go は、グラフィカル ユーザー インターフェイスから Linux エンドポイントにアクセスできるようにするサードパーティのリモート デスクトップ ソフトウェアです。ただし、X2go は Cortex XDR と統合されていないため、X2go を使用するには、Cortex XDR コンソールとエンドポイントの両方に X2go をインストールして構成する必要があります。また、X2go を使用すると、エンドポイントがネットワーク攻撃や不正アクセスにさらされる可能性があり、監査証跡や削除の確認は提供されません。
* D は不正解です。Cortex XDR コンソールから NFS 接続を開くことは、ファイルを削除するための実行可能または信頼できる方法ではないためです。NFS は、リモート サーバー上のファイルにローカルであるかのようにアクセスできるようにするネットワーク ファイル システム プロトコルです。ただし、NFS は Cortex XDR と統合されていないため、NFS を使用するには、Cortex XDR コンソールとエンドポイントの両方で NFS サーバーとクライアントをセットアップして維持する必要があります。NFS の使用はネットワークの可用性とパフォーマンスにも依存し、監査証跡や削除の確認は提供されません。
参考文献:
* 修復の提案
* 修復提案を適用する

説明
Broker VM は、サードパーティ データ ソースと Cortex Data Lake の間のデータ ブローカーとして機能する仮想マシンです。syslog、netflow、データベース、パスファインダーなど、さまざまな種類のデータを取り込むことができます。Broker VM の Syslog Collector 機能を使用すると、ファイアウォール、ルーター、スイッチ、サーバーなどのサードパーティ デバイスから syslog メッセージを受信し、Cortex Data Lake に転送できます。Syslog コレクターは、Cortex Data Lake に送信する前に syslog メッセージをフィルター、解析、強化するように構成できます。Syslog Collector を使用して、Cisco、Fortinet、Check Point などのサードパーティ ファイアウォール ベンダーから Cortex Data Lake にログを取り込むこともできます。これにより、Cortex XDR はファイアウォール ログを分析し、ネットワーク境界全体の可視性と脅威検出を提供できるようになります。参考文献:
* Cortex XDR データ ブローカー VM
* Syslog コレクター
* サポートされているサードパーティ ファイアウォール ベンダー

説明
各アラートで最も関連性の高いアーティファクトを特定し、イベントに関連するすべてのアラートをインシデントに集約するエンジンは、因果関係分析エンジンです。因果関係分析エンジンは、エンドポイント、ネットワーク、クラウドなどのさまざまなソースから収集されたデータに対して高度な分析を実行する Cortex XDR のコア コンポーネントの 1 つです。因果関係分析エンジンは、機械学習と動作分析を使用して、根本原因、攻撃チェーン、各アラートの影響を特定します。また、アラート間の時間的および論理的な関係に基づいて、関連するアラートをインシデントにグループ化します。因果関係分析エンジンは、アラートやインシデントのノイズと複雑さを軽減し、攻撃ストーリーの明確かつ簡潔なビューを提供します12。
包括的な説明を提供するために、他のオプションについて簡単に説明します。
A: センサー エンジン: これは正しい答えではありません。センサー エンジンは、各アラートで最も関連性の高いアーティファクトを特定したり、イベントに関連するすべてのアラートをインシデントに集約したりする責任を負いません。センサー エンジンは、エンドポイントにインストールされた Cortex XDR エージェント上で実行されるコンポーネントです。センサー エンジンは、プロセス、ファイル、レジストリ キー、ネットワーク接続、ユーザー アクティビティなどのエンドポイント データを収集および分析します。また、センサー エンジンはエンドポイント セキュリティ ポリシーを適用し、予防および対応アクションを実行します3。
C: ログステッチングエンジン: これは正しい答えではありません。ログ結合エンジンは、各アラートで最も関連性の高いアーティファクトを特定したり、イベントに関連するすべてのアラートをインシデントに集約したりする責任を負いません。ログ ステッチング エンジンは、Cortex XDR のクラウドベースのデータ ストレージおよび処理プラットフォームである Cortex Data Lake 上で実行されるコンポーネントです。ログ ステッチング エンジンは、ファイアウォール、プロキシ、エンドポイント、クラウドなどのさまざまなソースからのデータを正規化し、結合します。ログ ステッチング エンジンにより、Cortex XDR は複数のソースからのデータを関連付けて分析し、ネットワーク アクティビティと脅威の状況を統合したビューを提供できるようになります4。
D: 因果関係連鎖エンジン: これは正しい答えではありません。Causality Chain Engine は、Cortex XDR エンジンのいずれに対しても有効な名前ではありません。Cortex XDR には、各アラートで最も関連性の高いアーティファクトを特定し、イベントに関連するすべてのアラートをインシデントに集約する機能を実行するエンジンはありません。
結論として、因果関係分析エンジンは、各アラートで最も関連性の高いアーティファクトを特定し、イベントに関連するすべてのアラートを 1 つのインシデントに集約するエンジンです。Cortex XDR は、因果関係分析エンジンを使用することで、包括的かつ正確な検出および対応機能をセキュリティ アナリストに提供できます。
参考文献:
* Cortex XDR Pro 管理者ガイド: 因果関係分析エンジン
* Cortex XDR Pro 管理者ガイド: インシデントの詳細の表示
* Cortex XDR Pro 管理者ガイド: センサー エンジン
* Cortex XDR Pro 管理者ガイド: ログ ステッチング エンジン