Cortex XSIAM のデータ モデルは、分析検出をマップされたすべてのネットワークおよび認証データに拡張します。
これらのモデルは、データの構造化と正規化に役立ち、さまざまなデータ ソースにわたるより効果的で包括的な分析を可能にし、プラットフォーム内の検出および対応機能を向上させます。

Cortex Data Lake（現在はStrata Logging Serviceという名称で呼ばれる場合もありますが、XDRでは引き続きCortex Data Lakeと呼ばれます）は、エンドポイントテレメトリ、ログ、分析データを保存することでCortex XDRをサポートするクラウドベースのストレージソリューションです。お客様のストレージニーズは、Cortex XDRクライアントの数、転送データのサブセット、保存期間、そして保存するデータの種類（高度な分析のための高忠実度ログなど）によって異なります。では、問題を段階的に分析し、新しいストレージ要件を特定してみましょう。
初期設定:
* Cortex XDRクライアント合計数: 300
* Cortex XDRデータを転送するクライアント: 300 (すべてのクライアントがデータを転送しています)
* 保存期間: 30日間
* 追加要件: Cortex XDR の高度な分析をサポートするための、より忠実度の高いログのストレージ
* 最初に注文したストレージ: 2 TB
この構成は、高度な分析ログに必要な追加のストレージを含め、30 日間の保持期間で 300 台のクライアント (すべての転送データ) をサポートするには 2 TB で十分であることを示しています。
新しい構成:
* Cortex XDRクライアント合計数: 1,000
* Cortex XDRデータを転送するクライアント: 300 (初期設定から変更なし)
* 保存期間: 30日間 (変更なし)
* 追加要件：Cortex XDRの高度な分析をサポートするための、より忠実度の高いログ用のストレージ（変更なし） 主な変更点は、Cortex XDRクライアントの総数が300台から1,000台に増加したことです。ただし、データを転送するクライアント数は300台のままで、保存期間と分析要件は変更されていません。これがストレージ要件にどのような影響を与えるかを判断する必要があります。
Cortex XDR の Cortex Data Lake ストレージのサイズ設定:
Palo Alto Networksは、データを転送するエンドポイントの数、保存期間、保存されるデータの種類に基づいて、Cortex Data Lakeのサイジングガイドラインを提供しています。ストレージ要件は主に以下の要素によって決まります。
* データを転送するクライアント: Cortex Data Lake にテレメトリをアクティブに送信するエンドポイント (データ収集が強化された Cortex XDR Pro エンドポイントなど) のみが、ストレージのニーズに大きく貢献します。
* 保持期間: データが保持される日数によって、ストレージ要件が直接決まります。
* データ タイプ: 高度な分析 (例: 行動分析などの XDR Pro 機能) のための高忠実度のログでは、基本ログと比較してエンドポイントあたりのストレージが増加します。
* Cortex XDR Prevent: 最小限のデータ転送 (アラートのみなど) による基本的なエンドポイント保護を提供します。通常、ストレージへの影響を最小限に抑えながら 30 日間の保持ベースラインに含まれています。
* Cortex XDR Pro: 高度な分析のための強化されたエンドポイント データ収集 (プロセス実行、ネットワーク アクティビティなど) が含まれており、有効にするとストレージのニーズが大幅に増加します。
問題によると、当初の300台のクライアントすべてがデータを転送しており、新しいセットアップでも同じ300台が高度な分析機能をサポートした状態で引き続きデータを転送しています。これは、これらのクライアントがCortex XDR Proクライアントである可能性が高いことを示唆しています。完全なテレメトリおよび分析機能を使用するにはProが必要です。
ストレージ計算:
Palo Alto Networks はエンドポイントごとのストレージの正確な数値を公開していませんが、初期構成と業界ベンチマークから要件を推測することはできます。
* 初期セットアップ (300 クライアント、30 日間、2 TB):
* 2 TB は、高度な分析機能を使用して 30 日間データを転送する 300 台のクライアントをサポートします。
* クライアントあたり、これは次のように近似されます:2 TB÷300 クライアント=0.00667 TB/client2 \, \text{TB} \div 300 \, \text
{クライアント} = 0.00667 \, \text{TB/クライアント} 2TB÷300クライアント=0.00667TB/クライアント、または、より忠実度の高いログを使用した場合、30 日間でクライアントあたり 6.67 GB。
* これは、アクティビティ レベルと分析機能に応じて拡張データ収集 (例: エンドポイントあたり 30 日あたり 5 ～ 10 GB) が一般的となる、一般的な XDR Pro ストレージの見積もりと一致します。
* 新しいセットアップ (合計クライアント数 1,000、転送数 300、30 日間):
* データを転送するクライアント: 300 のまま、変更なし。
* 保持期間: 引き続き 30 日間、変更ありません。
* 分析ログ: 引き続き必須ですが、変更はありません。
* ストレージ使用量は、クライアントの総数ではなく、データ転送を行う300台のクライアントによって決まります。残りの700台のクライアント（1,000 - 300 = 700）はデータを転送していません。これは、Cortex XDR Preventライセンスを使用しているか、データ収集が完全に有効化されていないため、ストレージ使用量がごくわずかである可能性を示唆しています（例：アラートのみで、これはごくわずかです）。
したがって、ストレージ要件は次のようになります。
300クライアント×6.67GB/クライアント=2,001GB#2TB
参考文献:
Cortex XDR ドキュメント: ストレージは、エージェントの合計数ではなく、データ収集が有効になっているエンドポイントに基づいて計算されることを示します (例: docs-cortex.paloaltonetworks.com)。
Cortex Data Lake のサイズ設定: Palo Alto のサイズ設定ツール (Strata Logging Service Estimator など) は、ライセンスの合計数ではなく、アクティブなデータ ソースと保持期間を重視します。
業界標準: XDR ソリューションでは通常、高度な分析を行うためにエンドポイントごとに 30 日あたり 5 ～ 15 GB が必要で、これは 300 クライアントの場合は 2 TB に相当します。

参考: https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-Pro-Administrator-Guide
/ユーザーロールの管理

参考: https://www.eccouncil.org/cybersecurity-exchange/ethical-hacking/gaining-access-techniques- implications-safeguards/