課題は、利用可能なパッチや特定のシグネチャがないゼロデイ攻撃です。すべてのHTTP/HTTPS（A）をブロックすると、正当なトラフィックが妨害されます。カスタムシグネチャ（C）は理想的ですが、外部のインテリジェンスが迅速に提供しない限り、ゼロデイ攻撃には利用できません。GlobalProtect（D）はクライアントアクセス用であり、サーバー保護用ではありません。DoS防御（E）はDoSを軽減するものであり、エクスプロイトを軽減するものではありません。最も効果的な即時補償制御はApp-ID（B）です。正当なアプリケーショントラフィック（「Webブラウジング」や特定のサブアプリケーションなど）のみを厳密に定義して許可し、それ以外をブロックすることで、NGFWは、特定の脆弱性シグネチャがなくても、ゼロデイ攻撃に悪用される可能性のある悪意のあるコードや異常なプロトコルの実行を阻止できます。これは、「ポジティブセキュリティモデル」の適用にとって強力な機能です。

この質問は、ゼロトラストの適用のために、Cortex製品間で複数のインジケータータイプを動的に統合する能力を評価します。A（誤）：XSOARはNGFWと統合できますが、特定のファイルハッシュでアンチマルウェアプロファイルを更新することは、NGFWの一般的な動的またはリアルタイムのアクションではありません。NGFWは主にファイルベースの防御にWildFireを使用し、Palo Alto Networksから動的な更新を受け取ります。XDRはエンドポイントのファイルブロッキングに適しています。B（正解）：これは動的マイクロセグメンテーションの好例です。XSOARはNGFWセキュリティポリシーを自動的に作成または更新できます。エフェメラルIPに動的アドレスグループを使用すると、IPが変更されても柔軟にブロックできます。これにより、脅威インテリジェンス（IPインジケーター）に基づいてネットワークアクセスを制限することで、ゼロトラストを直接適用できます。C（正解）：これはCortex XDRの中核機能です。悪意のあるファイル（ファイルハッシュインジケーター）が検出されると、XDRのEDR機能によってファイルが自動的に隔離され、エンドポイントが分離されます。これは、ラテラルムーブメントを防止し、ホストレベルで脅威を封じ込めるために不可欠であり、「決して信じず、常に検証する」というゼロトラスト原則に合致しています。D（正解）：XSOARは、ドメインおよびURLインジケーターを効果的に運用化できます。NGFWのURLフィルタリングプロファイルで使用されるEDLにドメインを自動的に追加することで、疑わしいドメインへの通信をネットワーク全体で即座にブロックできます。さらに、XDRの「カスタムインジケーター」リストにURL全体を追加することで、エンドポイント固有の検出機能が強化され、ドメインが他の目的で部分的に許可されている場合でも、XDRは特定のURLパターンへのアクセスを警告またはブロックできます。この包括的なアプローチは、URL/ドメインインジケーターのネットワーク層とエンドポイント層の両方をカバーします。E（不正解）：修復には「ライブターミナル」を使用できますが、手動のPowerShellスクリプトとローカルホストファイルの更新に依存することは、拡張性、自動化、および企業向けの動的なゼロトラスト適用との整合性に欠けます。XDRに組み込まれた防止ポリシーとXSOARのオーケストレーションが適切なツールです。

この質問は、Prisma Cloud のようなクラウド セキュリティ ポスチャ管理 (CSPM) とクラウド ワークロード保護プラットフォーム (CWPP) 内で脅威インテリジェンスを積極的に活用し、単純な検出から予防的かつ自動化された対策に移行することに焦点を当てています。
オプション B (カスタム RQL ルール + CIICD 統合): これは最も効果的なプロアクティブなアプローチです。
カスタム RQL ルール: RQL は、特定のリソース構成と関係を識別するための Prisma Cloud の強力なクエリ言語です。
脅威インテリジェンス (一般的な構成ミス、過度に許容的なポリシーのパターンなど) を活用して正確な RQL ルールを記述することで、組織はクラウド環境を積極的にスキャンして、これらの脆弱性を正確に検出できます。
CIICDパイプライン統合：これらのRQLチェックをCI/CDパイプライン（Prisma Cloudのlacセキュリティ機能など）に統合することで、設定ミスのあるIAMロールや公開されたAPIキーをデプロイ前に検出し、本番環境でのインシデント発生を効果的に防止できます。これは、攻撃者のTTP（戦術・技術・プロセス）に関するインテリジェンスによって直接推進される「シフトレフト・セキュリティ」の実践例です。
他のオプションが最適ではない理由を分析してみましょう。
A: 「AdministratorAccess」の自動修復は（原則的には有効ですが）、きめ細かな制御や特定の脅威インテリジェンスからのコンテキストがなければ、範囲が広すぎて混乱を招く可能性があります。公開されているAPIキーを無効にするのは、事後対応的な対応です。
C: 動的クラウド環境において、手動によるレビューは、プロアクティブな予防策を講じるには拡張性や迅速性が不十分です。自動化が鍵となります。
D: Prisma Cloud のネットワーク保護は、ネットワーク レベルのトラフィック検査を目的としています。これは有用ですが、脅威インテリジェンスによって明らかにされた最初の攻撃ベクトルである IAM ロールと API キーの誤った構成に直接対処するものではありません。
E フィードを購読するのは良いことですが、インシデント対応チームがこのインテリジェンスをどのように積極的に活用して予防につなげるかが問われています。一般的なフィード購読では、そのインテリジェンスをカスタムRQLルールやCI/CD統合といったプロアクティブなセキュリティ制御に反映させるための具体的なアクションは説明されていません。

オプション B は、既存のカスタム Python スクリプトを XSOAR に統合するための最も堅牢でアーキテクチャ的に健全なアプローチであり、投資を保護し、スケーラビリティと保守性を考慮します。コンテナ化 (例: Docker) により、カスタムコードとその依存関係をパッケージ化して、一貫した実行環境を確保できます。これらのコンテナは、XSOAR 内にカスタム統合としてデプロイでき、マーケットプレイス パックのプレイブックを含むプレイブックから呼び出すことができます。このアプローチは、カスタムコードに優れた分離性、移植性、およびバージョン管理を提供し、スケーラブルで保守性の高いコードを実現します。コンテナ オーケストレーションのオーバーヘッドは増加しますが、XSOAR のエンジンはこれらのコンテナを効果的に管理できます。オプション A は、大幅なリファクタリング作業であり、「投資の保護」を無効にします。オプション C には、依存関係とバージョン管理の問題があります。オプション D と E は、外部依存関係と潜在的なパフォーマンス/信頼性の問題をもたらします。

オプションCは、最も効率的で堅牢な方法です。Cortex XSOARs War Roomは、カスタムコマンドや統合コマンドなど、さまざまなコマンドをサポートしており、特定のタイプの証拠、メモ、エントリを直接追加できます。 のようなコマンド（または同様の事前構成済みコマンド/スクリプト）を使用すると、単一のアクションで複数の目的を達成できます。つまり、構造化されたWar Roomエントリの追加、証拠としての分類、検索用のタグ付け、そしてすべての共同作業者がすぐに閲覧できるようにすることです。オプションBとEも妥当ですが、オプションCは、構造化されたデータエントリと自動化された証拠処理のための直接コマンド実行の威力を特に強調しています。これは、効率的なインシデント対応を実現するWar Roomの主要な強みです。オプションBはエントリの追加について説明していますが、「証拠」エントリタイプは、多くの場合、特定の証拠収集コマンドまたは出力に関連付けられています。オプションEは、プレイブックタスクの出力に関するものであり、必ずしもWar Room CLI内でアナリストが直接アクションを実行して証拠を即座に記録することを意味するものではありません。