Palo Alto Networks AIOps for NGFW は、テレメトリ データと機械学習 (ML) を活用して、プロアクティブな運用分析情報、ベスト プラクティスの推奨事項、問題の防止を提供するクラウド配信サービスです。
* なぜ「無料版とプレミアム版の 2 つのライセンス層で提供される」のですか (正解 B)。AIOps for NGFW は次の 2 つの層で利用できます。
* 無料レベル: 追加費用なしで、基本的な運用上の洞察とベスト プラクティスを提供します。
* プレミアム レベル: AI を活用した予測、問題の予防、強化された ML ベースの推奨事項などの高度な機能を提供します。
* 「テレメトリデータを用いて問題を予測、予防、または特定し、機械学習（ML）を用いてプロセスを調整・強化する」（正解C）理由は何ですか？AIOpsは、NGFWからのテレメトリデータを用いて運用傾向を分析し、潜在的な問題を予測し、問題が発生する前に解決策を提案します。MLは、実世界のデータから学習することでこれらの洞察を継続的に洗練させ、時間の経過とともに精度と有効性を高めます。
* 「商用エディションとエンタープライズ エディションの 2 つのライセンス レベルで提供されます」(オプション A) ではダメですか? これは誤りです。AIOps のライセンス モデルは、「商用」エディションと「エンタープライズ」エディションではなく、「無料」および「プレミアム」レベルに基づいているためです。
* 「問題を予測、防止、または特定するためにログデータをAdvanced WildFireに転送し、機械学習（ML）を使用してプロセスを改善し、適応させる」（オプションD）ではダメなのでしょうか？AIOpsはAdvanced WildFireに依存しません。代わりに、NGFWから直接テレメトリデータを取得し、運用およびセキュリティ分析を実行します。

この設問は、Palo Alto Networks (PANW) Strataハードウェアファイアウォールがゼロトラスト原則の一環としてトランザクションのマッピングをどのように実現するかを問うもので、システムエンジニア (SE) は顧客向けRFPへの回答として2つの説明文を提供する必要があります。ゼロトラストとは、デフォルトで信頼を前提としないセキュリティモデルであり、ネットワークの内外を問わず、すべてのトランザクション、ユーザー、デバイスの継続的な検証が必要です。Strataポートフォリオの一部であるPalo Alto Networks次世代ファイアウォール (NGFW) は、高度な可視性、復号化、ポリシー適用機能を通じてこれをサポートします。以下は、Palo Alto Networksの公式ドキュメントに基づき、選択肢BとDが正しい説明文である理由を詳しく説明したものです。
ステップ1: PAN-OSにおけるゼロトラストとトランザクションマッピングを理解する
NIST SP 800-207などのフレームワークで定義されているゼロトラスト原則は、ユーザーID、アプリケーション、データなどのコンテキストに基づいて、すべてのトランザクション（ネットワークフロー、アプリケーションリクエストなど）を識別および検証することに重点を置いています。Palo Alto NetworksのNGFWにおいて、「トランザクションのマッピング」とは、ネットワークトラフィックをきめ細かく識別、分類、制御する機能を指し、ゼロトラストに準拠した検証と適用を可能にします。
PAN-OS オペレーティング システムは、次の方法でこれを実現します。
* App-ID: ポートやプロトコルに関係なくアプリケーションを識別します。
* ユーザー ID: IP アドレスをユーザー ID にマッピングします。
* コンテンツ ID: 可視性を確保するための復号化を含め、コンテンツを検査して保護します。
* セキュリティ ポリシー: これらのマッピングに基づいてルールを適用します。

Palo Alto Networks NGFWのデフォルト設定には、明示的なルールが定義されていない場合のトラフィックの処理方法を決定するデフォルトのセキュリティルールセットが含まれています。各オプションの説明は以下のとおりです。
* オプションA: セキュリティプロファイルはデフォルトですべてのポリシーに適用され、ファイアウォールを通過するデータの暗黙的な信頼を排除します。
* セキュリティプロファイル（ウイルス対策、スパイウェア対策、URLフィルタリングなど）は、デフォルトではどのポリシーにも適用されません。管理者がセキュリティルールに明示的に適用する必要があります。
* この記述は誤りです。
* オプションB: ゾーン内トラフィックのデフォルトのポリシーアクションは拒否であり、セキュリティゾーン内の暗黙の信頼を排除します。
* デフォルトでは、同一ゾーン内のトラフィック（ゾーン内トラフィック）は許可されます。例えば、「信頼」ゾーン内のデバイス間のトラフィックは、管理者が明示的に拒否しない限り許可されます。
* この記述は誤りです。
* オプションC: デフォルトのポリシーアクションは、明示的に拒否されない限り、すべてのトラフィックを許可します。
* Palo Alto Networks ファイアウォールには、「すべて許可」のデフォルトルールはありません。代わりに、ゾーン間トラフィックに対してはデフォルトで「すべて拒否」ルールが、ゾーン内トラフィックに対しては暗黙的に「許可」ルールが設定されます。
* この記述は誤りです。
* オプションD: ゾーン間トラフィックのデフォルトのポリシーアクションは拒否であり、セキュリティゾーン間の暗黙の信頼を排除します。
* デフォルトでは、異なるゾーン間のトラフィック（ゾーン間トラフィック）は拒否されます。これはゼロトラストの原則に準拠しており、ゾーン間のトラフィックが暗黙的に許可されないようにします。
管理者は、ゾーン間トラフィックを許可するための明示的なルールを定義する必要があります。
* この記述は正しいです。
参考文献:
* セキュリティポリシーのデフォルトに関する Palo Alto Networks のドキュメント
* デフォルトのセキュリティルールに関するナレッジベースの記事

Palo Alto NetworksファイアウォールのAdvanced DNS Securityは、幅広いDNSベースの攻撃を識別・防御するように設計されています。リストされているオプションの中で、「高エントロピーDNSドメイン」は、Advanced DNS Securityが検出・ブロックできるDNS攻撃の具体的な例です。
* なぜ「高エントロピーDNSドメイン」なのか（正解A）？高エントロピーDNSドメインは、マルウェアやボットが検出を回避するためにランダムに生成されたドメイン名（例：gfh34ksdu.com）を利用する攻撃でよく使用されます。これは、ドメイン生成アルゴリズム（DGA）ベースの攻撃の特徴です。
高度なDNSセキュリティ機能を備えたPalo Alto Networksファイアウォールは、機械学習を用いてDNSクエリのエントロピー（ランダム性）を分析することで、このようなドメインを検出します。エントロピー値が高い場合、動的に生成されたドメイン、または悪意のあるドメインである可能性が高いことを示します。
* 「ポリモーフィックDNS」（オプションB）ではないのはなぜですか？ポリモーフィックDNSは、検出を回避するためにDNSレコードを動的に変更する手法を指しますが、Palo Alto Networksのドキュメントでは、Advanced DNS Securityによって軽減される攻撃の種類として明確には示されていません。ファイアウォールは、DGAドメインや異常なDNSトラフィックパターンの検出など、DNSクエリの挙動に重点を置いています。
* 「CNAMEクローキング」（オプションC）はなぜダメなのでしょうか？CNAMEクローキングとは、CNAMEレコードを利用してDNSクエリを悪意のあるドメインや隠蔽されたドメインにリダイレクトすることです。Palo Altoのファイアウォールは悪意のあるDNSリダイレクトを検出してブロックできますが、Advanced DNS Securityは主にDGAドメイン、トンネリング、高エントロピークエリといったDNS不正利用のパターンを特定することに重点を置いています。
* 「DNSドメインのリブランディング」（オプションD）はなぜダメなのか？DNSドメインのリブランディングとは、悪意のある活動に関連付けられたドメイン名を変更し、検出を回避することです。これは通常、持続的な活動を行うために用いられる戦術ですが、Advanced DNS Securityが特に対処しているDNS攻撃の種類ではありません。
高度なDNSセキュリティは、高エントロピードメイン、DNSトンネリング、プロトコル違反といった疑わしいDNSパターンを動的かつリアルタイムで特定することに重点を置いています。高エントロピーDNSドメインはDGAなどの攻撃メカニズムと直接結びついているため、これが正解です。
参考: Palo Alto Networks の Advanced DNS Security ドキュメントによると、高エントロピー ドメインの検出はサービスの中核機能であり、機械学習と動作分析を活用して、このような悪意のあるアクティビティを識別してブロックします。