2つのゾーン（「Internal-Users」と「VLAN-Zone」など）間に定義されたセキュリティポリシールールが、ファイアウォールを通過するトラフィックによって評価され、一致する可能性がある場合、そのトラフィックがファイアウォールに出入りするインターフェースを、ポリシールールで指定されたそれぞれの送信元ゾーンと宛先ゾーンに割り当てる必要があります。「VLAN-Zone」用の新しいVLANインターフェースが作成されたが、設定で「VI-AN-Zone」オブジェクトに明示的に関連付けられていない場合、そのインターフェースに着信するトラフィックは「VI-AN-Zone」を発信元（または方向に応じて宛先）と見なさないため、ゾーンベースのポリシールールと一致しません。その後、トラフィックはルールリストを下っていき、暗黙的な拒否にヒットします。オプションAはインターフェースモードについて説明していますが、根本的な問題はゾーンの割り当て自体にあります。オプションCは一般的なポリシーのトラブルシューティング手順ですが、ポリシー検索においてトラフィックが正しいゾーンに関連付けられていないという初期の問題には対処していません。オプションDは、トラフィックを転送しない特定のゾーンタイプについて説明していますが、質問から、ゾーン設定は正しいものの、インターフェース割り当てが不足している可能性があることが示唆されています。オプションEは無関係です。ゾーン名とタイプはポリシーの論理ラベルであり、インターフェース割り当ての不足のような直接的な障害ではありません。

このシナリオでは、IJRL カテゴリと機密データ コンテンツの両方に基づいて、異なるアクションでポリシーを適用する必要があります。 - オプション A (正解): URL カテゴリのブロックは、URL フィルタリング プロファイルで、必要なカテゴリを「ブロック」アクションに設定することにより行われます。 - オプション B (正解): 警告を提供するには、特定のカテゴリの URL フィルタリング プロファイルで「続行」アクションが必要です。警告メッセージはカスタマイズ可能です。 - オプション C (正解): 機密データのアップロードを防止するのは、データ フィルタリング プロファイルの機能です。プロファイルはパターンを検出し、一致が発生した場合、このプロファイル (一致するアップロード アクティビティ) を適用するセキュリティ ポリシー ルールは「ブロック」または「警告」に設定されます。 - オプション D (不正解): 脅威防止はマルウェア/エクスプロイト用であり、機密データ パターン用ではありません。機密データの検出は、DLP サブスクリプションを使用したデータ フィルタリング プロファイルによって行われます。 - オプション E (正解):オプションCは機密データの検出とアクションを処理します。オプションEは、セキュリティポリシーを介してプロファイルをトラフィックフローに関連付けます。

特にネットワーク設定の下のプロファイルに関連する「デフォルト プロファイル設定のインターフェイス」の検出結果は、通常、運用監視プロファイルを指します。 - オプション A: ゾーンに割り当てられていないインターフェイスは、異なる、より重大な検出結果をトリガーする可能性があります。 - オプション B (正解): この検出結果は通常、実際のリンクの特定の特性に合わせてプローブ設定 (間隔、しきい値、宛先) が調整されているカスタム プロファイルではなく、デフォルトのリンク監視プロファイルまたはパス監視プロファイル (汎用プローブ設定を持つ) が WAN インターフェイスに適用されていることを示します。これにより、リンク状態の検出が不正確になったり、SD-WAN のパフォーマンスが最適ではなくなったりする可能性があります。ベスト プラクティスは、カスタム監視プロファイルを作成することです。 - オプション C: MTU/デュプレックス設定はインターフェイス設定の一部ですが、「デフォルト プロファイル設定」の検出結果は、具体的には監視プロファイルを指します。 - オプション D: User-ID/Device-ID はゾーン/インターフェイスに適用される機能ですが、この検出結果はプロファイル設定、具体的には監視プロファイルに関するものです。 - オプション E: デフォルトのゾーン名を使用することは命名規則の問題であり、通常は「デフォルト プロファイル設定」違反としてフラグが付けられません。

データ損失防止（DLP）とデータフィルタリングは、トラフィックストリームのコンテンツを検査します。トラフィックが暗号化されている場合（HTTPSなど）、そのコンテンツは復号されない限りファイアウォールには表示されません。オプションA、C、D、Eはポリシーマッチングやその他のセキュリティ機能にとって重要ですが、暗号化されたペイロード内の機密データを検査するには、復号が前提条件となります。SSLフォワードプロキシ復号は、クラウドストレージへのアップロードなど、送信側の暗号化トラフィックに使用されます。

Prisma SD-WAN ION デバイスにはゾーンベースのファイアウォール機能が含まれており、他の Palo Alto Networks NGFW フォーム ファクターと同様にセキュリティ ゾーンを活用します。 - オプション A (不正解): ION デバイスは、ポリシー適用にセキュリティ ゾーンを使用します。 - オプション B (正解): 異なる内部セグメントに異なるセキュリティ ポリシーを適用するための標準的な方法は、それらのセグメントに接続されているインターフェイス (VLAN サブインターフェイスなど) を別々のセキュリティ ゾーンに割り当てることです。その後、ポリシーは各ソース ゾーン (「企業ゾーン」、「ゲスト ゾーン」など) から宛先ゾーン (「インターネット ゾーン」) に書き込まれ、発信元ゾーンに基づいて異なるルール、アプリケーション、およびセキュリティ プロファイル (ゲストに対してより厳格なカテゴリを使用した URL フィルタリングなど) を適用できます。 - オプション C (不正解): ユーザー ID はゾーン内のユーザーに基づいてポリシーを差別化できますが、根本的に異なるネットワーク セグメント (企業とゲストなど) に別々のゾーンを使用すると、よりクリーンで堅牢なポリシー構造が提供され、セグメンテーションの標準的なベスト プラクティスとなります。 - オプション D (不正解): クラウド管理コンソールで定義されたゾーンは、ION デバイスで構成されたインターフェースにマップされます。 - オプション E (不正解): ゾーンは、セキュリティ ポリシー (許可/拒否/検査) とパス ポリシー (ステアリング) の両方にとって基本ですが、この質問では、セグメントに基づくセキュリティ ポリシーの適用について具体的に尋ねています。