20,000を超えるグループを持つ大規模なActive Directory（AD）を同期する場合、すべてのグループを同期すると、特にセキュリティポリシーに必要なグループの一部（例：1,000グループ）のみの場合、大きなオーバーヘッドが発生する可能性があります。最も効率的な方法は、不要な同期を最小限に抑え、管理オーバーヘッドを削減するために、グループマッピングプロファイルにグループリストを含めるように設定することです。
* 「グループマッピングプロファイルにグループリストを含める」必要があるのはなぜですか（正解C）。グループマッピングプロファイルにグループリストを含めると、必要な1,000グループのみがファイアウォールと同期されます。このアプローチには以下の利点があります。
* 同期されるグループの数を制限することで、ファイアウォールのユーザー ID プロセスの負荷を軽減します。
* セキュリティ ポリシーに関連する特定のグループに焦点を当てることで管理を簡素化します。
* 非効率的でリソースを大量に消費するディレクトリ全体 (20,000 グループ) の同期を回避します。
* 「フィルターなしのグループマッピングプロファイルを設定し、すべてのグループを同期する」（オプションB）という方法はなぜ採用しないのでしょうか？20,000グループすべてを同期すると、管理とリソースのオーバーヘッドが不必要に増加します。このアプローチは、管理負担の軽減という要件に反します。
* 「ユーザーロールにマッピングされているLDAP属性用のカスタムフィルターを含むグループマッピングプロファイルを設定する」（オプションA）はなぜダメなのでしょうか？LDAP属性のフィルタリングは確かに便利ですが、このアプローチはグループリストを含める方法に比べて実装と管理が複雑です。同期を特定のグループのサブセットに限定するという問題に直接対処するものではありません。
* 「Cloud Identity Engine (CIE) とエージェントを導入した後、NGFW を AD と同期するように構成する」（オプション D）はなぜ推奨されないのでしょうか？Cloud Identity Engine (CIE) はユーザーとグループのマッピングのための最新のソリューションですが、このシナリオでは必要ありません。対象リストを含む従来のグループマッピングプロファイルで十分であり、実装も簡単です。CIE は通常、複雑なハイブリッド環境やクラウド環境で使用されます。
参考: Palo Alto Networks グループ マッピングのドキュメントでは、ポリシーの適用に AD グループのサブセットのみが必要なシナリオでは、含めるグループ リストを使用することを推奨しています。

Palo Alto Networks NGFWからActive Directoryサーバーへのトラフィック量の増加によってパフォーマンスの問題が発生する場合、NGFWがユーザーとIPアドレスのマッピング情報を収集する方法を最適化することが重要です。Palo Alto Networksは、ユーザーID情報を収集する複数の方法を提供しており、Cloud Identity Engineは、効率的かつ正確なマッピングを維持しながら、ADサーバーの負荷を軽減するソリューションを提供します。
* オプションA（正解）：Cloud Identity Engine を使用すると、NGFW は Active Directory の認証ログやその他の ID ソースから、ユーザーと IP アドレスのマッピング情報を直接収集できるため、AD サーバーに過大なトラフィックを発生させることはありません。この機能を活用することで、NGFW は認証関連タスクをオフロードし、AD サーバーに過負荷をかけることなく効率的にユーザーを識別できます。このソリューションはスケーラブルで、AD サーバーへの頻繁なユーザー ID クエリによって発生するオーバーヘッドを最小限に抑えます。
* オプションB：GlobalProtect Windows SSOを使用してユーザー情報を収集すると、複雑さが増す可能性があり、この問題に対する最も効率的な解決策とは言えません。すべてのユーザーにGlobalProtectエージェントをインストールする必要があり、すべての環境で実行可能とは限らず、運用上の課題が生じる可能性があります。
* オプションC：データ再配分では、ユーザーとIPアドレスのマッピングを1つのNGFW（ハブ）から他のNGFW（スポーク）に再配分します。これによりADサーバーに送信されるクエリ数は削減されますが、ハブが既にADサーバーからマッピングを収集していることが前提となるため、ADサーバーのパフォーマンス問題は依然として残ります。
* オプションD：GlobalProtectエージェントを使用してユーザー情報を収集する方法は、GlobalProtectが既に導入されている環境では有効な手段ですが、今回の問題に対する最も効率的かつ直接的な解決策ではありません。また、エージェントの導入、構成、管理に依存関係が生じます。
ユーザー ID マッピング用の Cloud Identity Engine を実装する方法:
* Palo Alto Networks コンソールから Cloud Identity Engine を有効にします。
* Cloud Identity Engine を AD サーバーと統合して、認証ログを直接取得できるようにします。
* AD サーバーに直接クエリを実行するのではなく、ユーザー ID マッピングに Cloud Identity Engine を使用するように NGFW を構成します。
* パフォーマンスを監視して、AD サーバーが過負荷になっていないこと、およびマッピングが効率的に取得されていることを確認します。
参考文献:
Cloud Identity Engine の概要: https://docs.paloaltonetworks.com/cloud-identity ユーザー ID のベスト プラクティス: https://docs.paloaltonetworks.com

Palo Alto NetworksファイアウォールのAdvanced DNS Securityは、幅広いDNSベースの攻撃を識別・防御するように設計されています。リストされているオプションの中で、「高エントロピーDNSドメイン」は、Advanced DNS Securityが検出・ブロックできるDNS攻撃の具体的な例です。
* なぜ「高エントロピーDNSドメイン」なのか（正解A）？高エントロピーDNSドメインは、マルウェアやボットが検出を回避するためにランダムに生成されたドメイン名（例：gfh34ksdu.com）を利用する攻撃でよく使用されます。これは、ドメイン生成アルゴリズム（DGA）ベースの攻撃の特徴です。
高度なDNSセキュリティ機能を備えたPalo Alto Networksファイアウォールは、機械学習を用いてDNSクエリのエントロピー（ランダム性）を分析することで、このようなドメインを検出します。エントロピー値が高い場合、動的に生成されたドメイン、または悪意のあるドメインである可能性が高いことを示します。
* 「ポリモーフィックDNS」（オプションB）ではないのはなぜですか？ポリモーフィックDNSは、検出を回避するためにDNSレコードを動的に変更する手法を指しますが、Palo Alto Networksのドキュメントでは、Advanced DNS Securityによって軽減される攻撃の種類として明確には示されていません。ファイアウォールは、DGAドメインや異常なDNSトラフィックパターンの検出など、DNSクエリの挙動に重点を置いています。
* 「CNAMEクローキング」（オプションC）はなぜダメなのでしょうか？CNAMEクローキングとは、CNAMEレコードを利用してDNSクエリを悪意のあるドメインや隠蔽されたドメインにリダイレクトすることです。Palo Altoのファイアウォールは悪意のあるDNSリダイレクトを検出してブロックできますが、Advanced DNS Securityは主にDGAドメイン、トンネリング、高エントロピークエリといったDNS不正利用のパターンを特定することに重点を置いています。
* 「DNSドメインのリブランディング」（オプションD）はなぜダメなのか？DNSドメインのリブランディングとは、悪意のある活動に関連付けられたドメイン名を変更し、検出を回避することです。これは通常、持続的な活動を行うために用いられる戦術ですが、Advanced DNS Securityが特に対処しているDNS攻撃の種類ではありません。
高度なDNSセキュリティは、高エントロピードメイン、DNSトンネリング、プロトコル違反といった疑わしいDNSパターンを動的かつリアルタイムで特定することに重点を置いています。高エントロピーDNSドメインはDGAなどの攻撃メカニズムと直接結びついているため、これが正解です。

MSSPの要件である論理的に分離されたBGPピアリング設定に対応しながら、標準的なルーティングルールとアップデートを効率的に管理するために、Palo Alto NetworksはPAN-OS 11.0で導入されたAdvanced Routing Engineを提供しています。Advanced Routing Engineは、このシナリオで極めて重要な論理ルーターのサポートを含むルーティング機能を強化します。
Aが正しい理由
* 論理ルーターにより、MSSP は顧客ごとに分離された BGP ピアリング構成を作成できます。
* 高度なルーティング エンジンにより、MSSP は標準ルーティング プロファイル (フィルタ、ポリシー、マップなど) を論理ルータ間で共有できるようになり、ルーティング構成の展開と保守が簡素化されます。
* このアプローチでは、各論理ルータが共有ルーティング ルールを活用しながら顧客の固有のニーズに対応できるため、スケーラビリティが確保されます。
他の選択肢が間違っている理由
* B: APIを使用してデプロイメントを自動化することは有益ですが、論理的に分離されたBGPピアリング設定の必要性は解消されません。論理ルーターはネイティブにこの分離機能を提供します。
* C:PAN-OS の仮想ルータは BGP ピアリング設定を分離できますが、複数のルータ間での標準ルーティング ルールとプロファイルの効率的な共有はサポートされていません。
* D: 仮想システム（vsys）は、ルーティング設定ではなく、管理ドメインを分離するために使用されます。vsysは、複数の顧客にわたるBGPピアリング設定の管理には適切なソリューションではありません。
重要なポイント:
* 論理ルーターを備えた PAN-OS アドバンスド ルーティング エンジンにより、MSSP の BGP ピアリング管理が簡素化されます。
* 論理ルーターは、共有構成プロファイルを有効にしながら、顧客環境に必要な分離を提供します。
参考文献:
* Palo Alto Networks PAN-OS 11.0 高度なルーティングドキュメント

SSL/TLS復号化を有効にしたファイアウォールの導入を計画する際には、暗号化されたトラフィックの復号化と検査によって発生する追加の処理オーバーヘッドを考慮することが重要です。各ステートメントの詳細は次のとおりです。
* 「SSL復号トラフィックの量はネットワークごとに異なる」のはなぜですか（正解A）？SSL復号トラフィックの量は、組織固有のネットワーク環境、ユーザーの行動、アプリケーションによって異なります。例えば、Webトラフィック、クラウドアプリケーション、暗号化されたVoIPトラフィックが多いネットワークでは、SSL/TLS復号処理の要件がより高くなります。この変動性のため、各導入環境を適切に評価し、それに応じて規模を調整する必要があります。
* 「Diffie-Hellman Ephemeral (DHE) や Elliptic-Curve Diffie-Hellman Exchange (ECDHE) などの Perfect Forward Secrecy (PFS) 一時鍵交換アルゴリズムは、Rivest-Shamir-Adleman (RSA) アルゴリズムよりも多くの処理リソースを消費する」のはなぜですか (正解 C)？DHE や ECDHE などの PFS アルゴリズムは、接続ごとに固有のセッション鍵を生成するため、セキュリティは向上しますが、RSA 鍵交換に比べて大幅に多くの処理能力を必要とします。復号化が有効になっている場合、ファイアウォールは暗号化されたセッションごとにこれらの計算コストの高い操作を処理する必要があり、パフォーマンスとサイジング要件に影響を与えます。
* 「平均トランザクションサイズが大きいほど、復号化に必要な処理能力が増加する」（オプションB）ではなぜダメなのでしょうか？トランザクションサイズが大きいと追加のリソースを消費する可能性がありますが、SSL/TLSの復号化はトランザクションサイズよりも、セッション数と使用される暗号化アルゴリズムの複雑さに大きく依存します。したがって、これはベストプラクティスの主要な考慮事項ではありません。
* 「Rivest-Shamir-Adleman（RSA）証明書認証方式は楕円曲線デジタル署名アルゴリズム（ECDSA）よりも多くのリソースを消費しますが、ECDSAの方が安全です」（オプションD）としないのはなぜですか？この記述は証明書認証方式について述べているものであり、SSL/TLSの復号化パフォーマンスについて述べているものではありません。ECDSAはRSAよりも効率的で安全ですが、復号化を有効にしたファイアウォール導入におけるサイジングの検討とは直接関係がありません。
参考: Palo Alto Networks SSL 復号化のベスト プラクティスでは、SSL トラフィックの変動や ECDHE などの暗号化アルゴリズムの影響など、復号化を使用した展開のサイズ設定に関する考慮事項について概説しています。