LoLBin とポリモーフィック型マルウェアは、シグネチャベースの検出 (A) を回避するように設計されており、単独で見ると通常のシステム アクティビティのように見えることがよくあります (B)。手動による相関関係の特定 (E) は非効率的で、大規模な場合には人的エラーが発生しやすくなります。ディープ パケット インスペクション (D) は有用ですが、エンドポイント レベルの実行チェーン全体を捕捉することはできません。このような高度な攻撃に対抗できる Cortex XDR のログ ステッチングの強みは、高度な行動分析および ML (C) との統合にあります。これらのエンジンは、微妙で異常な行動 (例: rund1132.exe の異常な動作、certutil.exe が疑わしい URL からダウンロードしている、schtasks.exe が異常なタスクを作成しているなど) を特定します。ログ ステッチングは、これらの「点」を因果関係 (例: rund1132 が certutil につながり、さらに schtasks につながる)、共通のホスト/ユーザー コンテキスト、および時間的な近接性に基づいて接続し、攻撃の全容を明らかにする単一の高精度なインシデントを生成します。これは、「環境寄生型」攻撃を検出するための基本です。

Cortex XDRのUEBA機能は、基本的に機械学習、特に教師なし学習によって駆動され、ユーザーとエンティティの行動の動的なベースラインを構築します。特定のユーザーにとって「正常」な行動（ログインパターン、アクセスしたリソース、データ転送習慣など）をプロファイリングします。観測されたアクティビティ（通常とは異なる位置情報、ほとんど使用されない機密ファイルへのアクセス、パーソナルクラウドへのデータの持ち出しなど）がこの確立されたベースラインから大きく逸脱した場合、それらは異常として識別されます。その後、システムはこれらの個々の異常を相関させ、リスクスコアを集計し、コンテキスト化することで、潜在的なアカウント侵害や内部脅威に関する高精度なアラートを生成します。このアプローチは、動的な環境に適応し、特定の攻撃パターンに関する事前知識なしに新たな脅威を検出するため、静的ルールや脅威インテリジェンスのみを使用するよりも優れています。

このシナリオは、一般的なEDRを回避するように設計された、高度に回避性の高いゼロデイ攻撃について説明しています。Cortex XDRの「Prevention First（予防優先）」アプローチは、シグネチャや一般的な行動パターンにとどまりません。オプションBは、その多層的なAI駆動型検出エンジンを正確に説明しています。Behavioral Threat Protection（BTP）は、特定のマルウェアが不明な場合でも、異常なプロセス動作（プロセスホロウイングやインジェクションなど）を特定します。機械学習は、ファイルの特性（静的分析）と実行動作を分析し、シグネチャに依存せずにポリモーフィック型マルウェアやカスタムマルウェアを検出します。この組み合わせは、既知の指標に依存することが多い標準的なEDRでは見逃されがちな、高度で回避的な脅威を検出するように設計されています。

オプションCは、この複雑なシナリオに対する最も洗練された適切なアプローチです。直接APIが利用できない場合、Cortex XSIAMのPlaybookフレームワーク内の「コンテナ化されたアプリ/パック」を使用すると、制御された環境でカスタムコード（Pythonスクリプトなど）を実行できます。このスクリプトは、ブラウザ自動化ライブラリ（Seleniumなど）を活用して、従来のPAMシステムのWeb UIとやり取りすることで、統合ギャップを効果的に埋めることができます。自動化ルールは、疑わしいログインを検出すると、このPlaybookとそのカスタムアクションをトリガーします。オプションA、B、D、Eは、誤った仮定、手動、または問題を回避するためのものです。

この質問は、XDRの「X」とCortex XDRの統合性に特に焦点を当てています。EDRクエリはエンドポイントのコンテキストを提供しますが、断片化されています。A: Cortex XDRのインシデントストーリーラインは、EDRだけでは実現できない攻撃の全体像を提供するという重要なメリットです。B: ネイティブネットワークトラフィック分析は、EDRの可視性が限られているラテラルムーブメントとC2を理解するために不可欠です。Cortex XDRは、ネットワークファイアウォールまたは専用のNTAのデータを活用します。C: UBAは、エンドポイントプロセス分析にとどまらず、侵害されたアカウントや内部脅威の検出に不可欠です。D: 複数のセキュリティドメインにまたがる自動修復は、迅速な対応のための重要なXDR機能ですが、EDRは通常、エンドポイント固有の分離を提供します。E: Cortex XDRには高度なエンドポイント保護が含まれていますが、リアルタイムのシグネチャベースのAVスキャンは基本的なEDR/EPP機能であり、この複雑な調査における「EDRを超える」機能を表すものではありません。