Cortex XDRは、ファイルアクセスイベントを含む豊富なエンドポイントテレメトリを収集し、Cortex Data Lakeに保存できます。このデータレイクは長期保存向けに設計されており、強力なクエリ（XQL）とレポート作成機能を備えており、PIIへのログ記録と監査可能なアクセスに関するコンプライアンス要件を直接サポートします。このデータに基づいてコンプライアンスダッシュボードを構築できます。

ユーザー行動分析（UBA）は、通常のユーザー行動をベースライン化し、逸脱をフラグ付けすることで、内部脅威を検知するために不可欠です。行動侵害指標（BIOC）はまさにこのために設計されており、異常なイベントや行動のシーケンスを表すもので、これらを組み合わせることで悪意を示唆します。IOC（侵害指標）は通常、過去または現在の侵害を示す静的でアトミックなデータ（ハッシュ、IP、ドメインなど）です。一方、BIOCは、個々のイベントは悪意がないかもしれないものの、その組み合わせが非常に疑わしく、侵害または脅威アクターの活動を示唆する、活動パターンまたはイベントシーケンスを表します。このシナリオでは、アリスの異常なアクセス時間とデータ転送は、BIOCによって最もよく検出される行動異常です。オプションB、C、D、Eは、主要な機能、またはIOCとBIOCの違いを誤って表現しています。

このような異常をリアルタイムで検知する主な役割は、セキュリティ監視とアラートです。侵害の疑いがある場合、特にC2のような異常なアウトバウンドトラフィックが発生した場合、最も緊急かつ最優先の対応は、ホストを隔離し、さらなる拡散やデータ流出を防ぐことです。他の選択肢も有効なSOC機能ですが、この緊急シナリオでは優先度は低くなります。脅威インテリジェンスは初期検知後に実施し、インシデント対応は隔離とその後の対応を網羅します。脆弱性管理は根本原因に対処しますが、差し迫った脅威には対処しません。フォレンジックは封じ込め後に実施します。

「マッパー」と「トランスフォーマー」機能は、異なるシステム間のデータ整合性と動的マッピングを処理する上で極めて重要です。マッパーは、ServiceNow、CMDBなどの統合構成内で使用され、外部からの入力データをXSOARインシデントフィールドにどのようにマッピングし、XSOARインシデントデータを外部システムフィールドにどのようにマッピングするかを定義します。トランスフォーマー（多くの場合、JINJA2テンプレートまたはカスタム自動化スクリプトによって実装されます）は、外部システムとの間でデータを送受信する前に、複雑なデータ操作、フォーマット、およびエンリッチメントを可能にし、データが各システムの期待値に準拠していることを保証します。これは、双方向のデータフローと一貫性の維持にとって非常に重要です。オプションA、B、D、およびEは重要なXSOAR機能ですが、異種システム間のデータマッピングと変換の課題に直接対処するものではありません。

回避的な DOH の流出を検出して防止するには、複数の高度な機能が必要です。
1. 復号プロファイル（SSL/TLSインスペクション）：DOHトラフィックは暗号化されています。復号を行わないと、NGFWはDOHリクエストの内部内容を検査してC2通信や流出したデータを特定できません。
2. WildFire 分析プロファイル: 復号化された後、NGFW は復号化された DOH ペイロード (カスタム マルウェアの C2 トラフィックまたはデータ フラグメントが含まれている可能性があります) を WildFire に転送し、動的分析とゼロデイ検出を行うことができます。
3. Advanced Threat Prevention (ATP) サブスクリプション: DNS トラフィックを含む、より高度な動作分析が可能になり、C2 を示す異常な DOH パターンの識別に役立ちます。
A（ウイルス対策／スパイウェア対策）は既知のシグネチャに依存しており、カスタムマルウェアはこれを回避します。B（URLフィルタリング）は、DOHサーバーが既知の悪意のあるIPアドレスであれば有効かもしれませんが、回避型マルウェアは動的IPアドレスや新規IPアドレスを使用することが多いです。C（カスタムIPS／データフィルタリング）は有効ですが、復号化を行わないとIPSシグネチャはトラフィックを認識できず、データフィルタリングは暗号化されたデータを認識できません。E（DoS／ファイルブロッキング）は範囲が広すぎて、回避型DOHデータの抽出検出に特化していません。