MSSPの要件である論理的に分離されたBGPピアリング設定に対応しながら、標準的なルーティングルールとアップデートを効率的に管理するために、Palo Alto NetworksはPAN-OS 11.0で導入されたAdvanced Routing Engineを提供しています。Advanced Routing Engineは、このシナリオで極めて重要な論理ルーターのサポートを含むルーティング機能を強化します。
Aが正しい理由
* 論理ルーターにより、MSSP は顧客ごとに分離された BGP ピアリング構成を作成できます。
* 高度なルーティング エンジンにより、MSSP は標準ルーティング プロファイル (フィルタ、ポリシー、マップなど) を論理ルータ間で共有できるようになり、ルーティング構成の展開と保守が簡素化されます。
* このアプローチでは、各論理ルータが共有ルーティング ルールを活用しながら顧客の固有のニーズに対応できるため、スケーラビリティが確保されます。
他の選択肢が間違っている理由
* B: APIを使用してデプロイメントを自動化することは有益ですが、論理的に分離されたBGPピアリング設定の必要性は解消されません。論理ルーターはネイティブにこの分離機能を提供します。
* C: PAN-OS の仮想ルータは BGP ピアリング設定を分離できますが、複数のルータ間での標準ルーティング ルールとプロファイルの効率的な共有はサポートされていません。
* D: 仮想システム (vsys) は、ルーティング構成ではなく、管理ドメインを分離するために使用されます。
Vsys は、複数の顧客にわたる BGP ピアリング設定を管理するための適切なソリューションではありません。
重要なポイント:
* 論理ルーターを備えた PAN-OS アドバンスド ルーティング エンジンにより、MSSP の BGP ピアリング管理が簡素化されます。
* 論理ルーターは、共有構成プロファイルを有効にしながら、顧客環境に必要な分離を提供します。
参考文献:
Palo Alto Networks PAN-OS 11.0 高度なルーティングドキュメント

Advanced WildFireは、Palo Alto Networksが提供するクラウドベースのマルウェア分析・防御ソリューションです。サンドボックス環境でファイルを実行し、その挙動を観察することで、ファイルが悪意のあるファイルかどうかを判定します。ファイルの分類に関するお客様の懸念に対処するため、システムエンジニアはファイルの挙動を示す証拠を提供する必要があります。各オプションの分析結果は以下の通りです。
* オプションA: 顧客に提供する情報について脅威ログを確認する
* 脅威ログは、悪意のあるファイルに関するイベントと判定の概要を提供できますが、顧客を納得させるために必要な詳細な動作分析は含まれていません。
* ログを確認することは予備的なステップとしては役立ちますが、顧客が必要とするレベルの証明は提供されません。
* このオプションだけでは不十分です。
* オプションB: ログ内のWildFire分析レポートを使用して、ファイルが起動されたときに実行された悪意のあるアクションを顧客に示します。
* WildFire は、ネットワーク アクティビティ、ファイルの変更、プロセス実行、侵害の兆候 (IoC) など、サンドボックス内でのデトネーション中のファイルの動作に関する詳細を含む分析レポートを生成します。
* このレポートは、ファイルが悪意のあるファイルとしてフラグ付けされた理由を示す具体的な証拠を提供します。これは、WildFire の判断が観察された悪意のある動作に基づいていることをお客様に保証する最も正確な方法です。
* これが最善の選択肢です。
* オプションC: 顧客のためにTAGチケットを開き、サポートエンジニアが適切なアクションを決定できるようにします。
* サポート チケットを開くことは、さらなる分析や異議申し立てを行うための有効なアクションですが、顧客に現在の WildFire の判定を直接的に保証する方法ではありません。
* このオプションは、即時証明を求める顧客の要求に直接対応するものではありません。
* このオプションは理想的ではありません。
* オプションD: 顧客はAdvanced WildFireが正しいと認識するので何もしない
* このアプローチは顧客の懸念を無視しており、WildFire の決定を裏付ける証拠を何も提供していません。
* このオプションは不適切です。
参考文献:
* Palo Alto Networks の WildFire に関するドキュメント
* 山火事分析レポート

複数のSAMLアイデンティティプロバイダ（IdP）からユーザーを認証するようにGlobalProtectを設定するには、IdPごとに1つずつ、複数の認証プロファイルを作成するのが正しい方法です。各オプションの分析は以下のとおりです。
* オプションA: 各SAML IdPに複数の認証プロファイルを備えたGlobalProtect
* GlobalProtect では、それぞれ特定の IdP に対応する複数の SAML 認証プロファイルを設定できます。
* これらのプロファイルはGlobalProtectポータルまたはゲートウェイに関連付けられています。ユーザーが認証を試みると、ドメインやその他の属性に基づいて適切なIdPに誘導されます。
* これは、複数の IdP からのユーザーの認証を有効にするための正しい方法です。
* オプション B: GlobalProtect ポータルおよびゲートウェイで使用するための複数認証モードの Cloud Identity Engine 認証プロファイル
* Cloud Identity Engine (CIE) は複数のディレクトリの ID を同期できますが、共有 GlobalProtect セットアップの複数の SAML IdP を直接サポートしません。
* このオプションは適用されません。
* オプションC: 異なる認証方法を使用する複数の認証プロファイルを持つ認証シーケンス
* 認証シーケンスを使用すると、同じユーザーに対して複数の認証方法 (LDAP、RADIUS、SAML など) を順番に試すことができますが、複数の SAML IdP を処理するようには設計されていません。
* このオプションはシナリオには適していません。
* オプション D: 各ビジネス ユニットに複数の Cloud Identity Engine テナント
* 各ビジネス ユニットに複数の CIE テナントを展開すると、不要な複雑さが追加されますが、複数の SAML IdP に対してユーザーを認証するように GlobalProtect を構成する必要はありません。
* このオプションは適切ではありません。

* Prisma Access (回答 A):
* Strata Cloud Manager (SCM) と Panorama は、リモート ユーザーとブランチ オフィス向けの Palo Alto Networks のクラウド配信セキュリティ プラットフォームである Prisma Access の集中的な可視性と管理を提供します。
* NGFW（回答D）：
* SCM と Panorama はどちらも、オンプレミス、ハイブリッド、またはマルチクラウド環境に導入された Palo Alto Networks 次世代ファイアウォール (NGFW) を管理および監視するために使用されます。
* Prisma SD-WAN (回答 E):
* SCM と Panorama は Prisma SD-WAN と統合してブランチの接続性とセキュリティを管理し、SD-WAN 環境でのシームレスな運用を保証します。
* なぜBではないのか:
* Prisma Cloud は、クラウド ネイティブ セキュリティ向けに設計された独自のプラットフォームであり、Strata Cloud Manager または Panorama を通じて直接管理されるものではありません。
* なぜCではないのか:
* Cortex XSIAM (Extended Security Intelligence and Automation Management) は Cortex プラットフォームの一部であり、SCM または Panorama によって管理されません。
Palo Alto Networks ドキュメントからの参照:
* Strata Cloud Managerの概要
* パノラマの機能と利点

このシナリオでは、企業はオンプレミスのActive Directoryを使用せず、Entra IDとJamfを使用してデバイスを管理します。これは、クラウドネイティブかつ最新の管理環境を意味します。以下は各オプションの評価です。
* オプションA: キャプティブポータル
* キャプティブポータルは、管理対象外デバイスやゲストユーザーに対してIDマッピングが必要な環境で一般的に使用されます。ユーザーがWebインターフェースを通じて認証を行うためのメカニズムを提供します。
* ただし、今回のケースでは、企業はEntra IDとJamfを使用してデバイスを管理しており、ID情報は既に他の手段で一元管理できる可能性があります。キャプティブポータルは理想的なソリューションではありません。
* このオプションは適切ではありません。
* オプション B: WMI クライアント プローブ用に構成されたユーザー ID エージェント
* WMI (Windows Management Instrumentation) クライアントプロービングは、Windows 環境において IP アドレスとユーザー名をマッピングするために使用されるメカニズムです。このアプローチはオンプレミスの Active Directory 展開に特有のものであり、Windows エンドポイントとの直接通信が必要です。
※当社ではオンプレミスADを導入しておらず、Entra IDとJamfを使用しているため、この方法は適用できません。
* このオプションは適切ではありません。
* オプションC: 内部ゲートウェイを導入したGlobalProtect
* GlobalProtectは、Palo Alto NetworksのVPNソリューションであり、安全なリモートアクセスを実現します。また、内部ゲートウェイと連携して導入することで、IDベースのマッピングもサポートします。
* この場合、内部ゲートウェイを備えた GlobalProtect は、ゲートウェイを介して接続する管理対象デバイスに基づいて、ユーザーとデバイスの可視性を提供するメカニズムとして機能します。
* このオプションは適切です。
* オプションD: Cloud Identity EngineをEntra IDと同期
* Cloud Identity Engine は、Entra ID (旧 Azure AD) などの ID プロバイダーからの ID 情報を同期するためのクラウドベースのアプローチを提供します。
* Entra ID と Jamf を使用したクラウド ネイティブ環境では、Cloud Identity Engine がシームレスに統合され、アプリケーションとデータの ID 可視性を提供するため、最適です。
* このオプションは適切です。
参考文献:
* Cloud Identity Engine に関する Palo Alto Networks のドキュメント
* Palo Alto Knowledge Base の GlobalProtect の構成と使用例