この質問は、XSIAM が新規およびポリモーフィック型の脅威を検知する際の中核的な差別化要因に直接的に言及しています。選択肢 B は、XSIAM の高度な検知機能を正確に説明しています。統合データレイク全体で機械学習と AI を活用することで、既知のシグネチャのない脅威（ポリモーフィック型マルウェアやゼロデイなど）にとって極めて重要な、行動異常の検知を可能にします。行動脅威保護、ネットワーク脅威検知、UBA はすべて、エンドポイント、ネットワーク、ユーザー全体のアクティビティを分析する、この機能に貢献する主要コンポーネントです。選択肢 A は、従来のシグネチャベースの検知について説明しています。選択肢 C は機能ではありますが、新規脅威検知における主要な差別化要因ではありません。選択肢 D と E は、予防的または間接的な対策について説明しており、新規脅威の検知メカニズムの中核的なものではありません。

これは高度な回避策を伴う複雑なシナリオです。選択された各オプションが、考えられる理由と有効な調整方法である理由を分析してみましょう。A：「DNSデータ流出」または「異常なDNSクエリ」の動作モデルが十分に調整されていませんでした。DNSトンネリングは検知が難しいものです。動作モデルがDNSトンネリングの特性（異常に長いクエリ長、単一ドメインに対するA/TXTレコードの高頻度、非標準のサブドメインなど）に合わせて特別にトレーニングまたは調整されていない場合、特にデータがゆっくりと流出する場合、検出を見逃す可能性があります。高度なDNS分析がここでは不可欠です。C：「データ流出を伴うPowerShell実行」を検出するために特別に設計されたBehavioral Threat Protection（BTP）ルールが広すぎたり狭すぎたりしていました。BTPは動作シーケンスの認識に依存しています。難読化されたPowerShellスクリプトや、DNSトンネリングのような非常に異常な流出方法は、一般的なBTPルールをバイパスする可能性があります。 PowerShellアクティビティとDNS異常のこの特定の組み合わせを探すためにBTPをカスタマイズするか、新しい動作指標（BI）を作成することは、直接的な改善につながるでしょう。D: Cortex XDRの機械学習モデルは、「正常な」PowerShellのCPU使用率とネットワークトラフィックのベースラインを十分に設定していませんでした…「ゆっくりとデータを抜き出す」という表現は、ベースラインの粒度が十分でなければ、純粋に統計的な観点から見ると、「高いCPU使用率」がPowerShellの「正常な」偏差内であった可能性を示唆しています。さらに重要なのは、ネットワークトラフィック（DNSトンネリング）の性質が非常に異常であるにもかかわらず、モデルがこれを具体的に探していなかった場合、または異常しきい値が高すぎた場合、見逃される可能性があるということです。ベースライン設定と感度調整の改善が鍵となります。E: 組織のネットワークアーキテクチャが原因で、Cortex XDRはDNSクエリの完全な内容を観察できませんでした…これはDNSトンネリングの検出に極めて重要です。 Cortex XDR（またはその基盤となるセンサー）が送信元/宛先のIPアドレスとポート番号のみしか認識できない場合、DNSクエリの内容（サブドメイン内の窃取されたデータなど）を分析することはできません。DNSクエリログの完全な可視性は不可欠です。B：外部の脅威インテリジェンスフィードとの統合不足…脅威インテリジェンス（TI）は常に有益ですが、ゼロデイ攻撃やカスタム開発されたC2/窃取ドメインを即座に見逃す主な理由となる可能性は低いです。APTグループは、攻撃時点では既存のTIフィードには存在しない、新規登録または侵害された正規のドメインを使用することが多いです。TIは事後分析と将来の予防に役立ちますが、行動分析は未知の脅威を捕捉することを目的としています。したがって、TIは有益ではありますが、他のオプションほど行動自体を見逃す直接的な原因にはなりません。

このシナリオは、従来のシグネチャベースやルールベースの方法では捕捉が非常に困難な「低速でゆっくりとした」データ流出を表しています。個々のイベント（正規のチャネルを介した小規模なデータ転送）は一見無害に見えるかもしれません。ここで、ログスティッチングと統合されたUEBAの威力が極めて重要になります。「C」（UEBAモデル）は最も重要な機能です。XSIAMのUEBAは、ユーザーとエンティティの「正常な」行動のベースライン（典型的なデータ転送量、一般的な送信先、データ同期の通常のタイミングなど）を構築します。内部脅威アクターが徐々にデータを流出させ始めると、たとえ個々のチャンクが小さくても、累積的な影響、または頻度、送信先、または総量の観点からベースラインからのわずかな逸脱は、UEBAによって異常としてフラグ付けされます。 XSIAMのログスティッチングは、これらの個々の異常イベント（複数のログソースや時間に分散している可能性があります）を統合し、段階的なデータ流出のパターンを示す信頼性の高いインシデントを生成します。これは、人間のアナリストや単純なルールではノイズの中から見つけるのが難しいものです。他のオプションは、この特定の「低速でゆっくりとした」かつ「正当なチャネル」による流出手法には効果がありません。

特定の行動パターンを持つゼロデイエクスプロイトには、XQLを用いた高度な行動ルールが最適です。XQLは、様々なテレメトリポイント（プロセス、ネットワーク、メモリ）を相関させる複雑なクエリを実行し、エクスプロイト固有の特性を特定できます。これを既知の正当なアクティビティに対するアラート抑制と組み合わせることで、誤検知の削減に役立ちます。静的シグネチャ（A）は未知の脅威には効果がなく、ハッシュベースのルール（C）は事前の知識が必要であり、広範なネットワークブロック（D）は混乱を招きます。機械学習（E）は強力ですが、ターゲットを絞ったカスタムルールを使用することで、新たに発見されたゼロデイエクスプロイトを迅速かつ正確に検出できます。

このシナリオは、マルチクラウド環境における XDR の重要性を強調しています。オプション A は、最も効果的で統合されたアプローチを提供します。クラウド セキュリティ モジュールの統合: Cortex XDR は、クラウド プロバイダーのログ (AWS の場合は CloudTrail、Azure の場合はアクティビティ ログ) と統合されます。これは、クラウドネイティブ攻撃の検出と調査に不可欠です。API キーの識別: CloudTrail ログには、API 呼び出しの「Userldentity.accessKeyld」が正確に記録されるため、侵害されたキーを直接識別できます。クラウド間の相関: Cortex XDR (Cortex Data Lake 経由など) 内で AWS と Azure の両方のログを取り込んで相関させる機能により、調査担当者は侵害された「accessKeyld」または関連する「CallerlpAddressS」を両方の環境で追跡し、ピボットを特定できます。影響評価: クラウド ログの「operationName」、「ResourceGroup」、および「Subscriptionld」に焦点を当てることで、どのようなアクションが実行され、どのクラウド資産が影響を受けたかを判断するのに役立ちます。インシデントグラフ：インシデントグラフで複雑で多段階的なクロスクラウド攻撃を可視化することで、キルチェーン、タイムライン、そして異なるクラウド環境におけるイベント間の関係性を把握しやすくなります。オプションB、C、D、Eは、事後対応的、手動対応が多すぎる、クラウド間の相関関係を考慮していない、あるいは特定のAPIキーの侵害とピボットを対象とする調査ではなく、一般的なセキュリティ対策に重点を置くといった問題があります。