このシナリオでは、カスタム脅威インテリジェンスを用いたゼロデイ攻撃に対するプロアクティブな防御を重視しています。オプションCは、Palo Alto Networksにとって最も包括的かつ効果的なアプローチです。
正規表現を使用したカスタム脅威対策シグネチャ（IPS）：これは、ベンダーのシグネチャでカバーされていないトラフィックパターン（URLパターンやHTTPヘッダーなど）をプロアクティブに検出してブロックするための最も強力な方法です。正規表現は、複雑なパターンを柔軟にマッチングします。
ユーザーエージェントのカスタム アプリケーション オーバーライド: 防止には直接的ではありませんが、他の方法が適用できない場合や追加レイヤーとして使用できない場合に、特定の悪意のあるユーザーエージェントによるトラフィックを分類してブロックするのに役立ちます。
他の人がなぜそれほど効果的でないのかを分析してみましょう。
' A (カスタム URL フィルタリング): URL には適していますが、カスタム HTTP ヘッダーまたはユーザーエージェントを包括的に処理しません。
B（カスタムスパイウェア対策/脆弱性保護）：一般的な HTTP 要素またはユーザーエージェントに対して特定のスパイウェア対策または脆弱性保護シグネチャを作成することは可能ですが、エクスプロイトパターン自体のカスタム IPS シグネチャよりも精度や効率が低くなる可能性があります。IPS はエクスプロイトの検出を目的として設計されています。
（URL用EDL、ユーザーエージェント用カスタムIPS）：EDLはIP/ドメインのブロッキングには適していますが、URLパターンの細分性は低くなります。ユーザーエージェント用のカスタムIPSは可能ですが、すべてのIOCを単一のIPSシグネチャに統合する方が効率的です。
E (データフィルタリング/ファイルブロッキング): データフィルタリングは、HTTPヘッダーを介したエクスプロイトの試みではなく、機密データの流出を対象とします。ファイルブロッキングは、エクスプロイトのパターンではなく、ファイルの種類を対象とします。

この質問では、XQL が WildFire データとどのように統合されるかを理解する必要があります。WildFire を含む一般的な XQL クエリは、ファイルなどのテーブルを、WildFire の送信や判定に関連する情報と結合します。オプション A: プロセス内の WildFire の判定に重点を置いたクエリは、この目的に直接役立ち、成功した WildFire 検出を識別します。オプション B: WildFire の判定データを (「悪意のある」「フィッシング」) プロセス実行、ネットワーク接続、またはファイル書き込みイベント (XQL で一般的) と結合することにより、アナリストはキル チェーンを再構築し、悪意のあるファイルの実行内容を理解し、影響を受けたエンドポイントを識別できます。これは、インシデント対応と脅威ハンティングにとって重要です。オプション C: このクエリはローカルのマルウェア対策に関するものであり、WildFire の判定とは直接関係ありません。オプション D: WildFire は再分類できますが、この特定のクエリ タイプは、グレーウェアとして始まり後で変化した「ポリモーフィック型亜種」を識別するのには直接的ではありません。オプション E: XQL でも可能ですが、送信タイプと件数のクエリが必要になります。これは、WildFire のコア機能によって暗示される「悪意のある」または「フィッシング」判定の焦点に直接関連する主な目的ではなく、XQL 分析のより広範な使用例です。

オプションAは適切かつ実用的なソリューションです。ファイル分析において厳格なデータレジデンシー要件を持つ組織では、オンプレミスのWildFireアプライアンス（WF-500など）の導入が不可欠です。このアプライアンスは動的分析をローカルで実行し、機密ファイルが組織のネットワーク外に漏洩することを防ぎます。つまり、拡張性はアプライアンスのハードウェア容量に左右され、ソフトウェアアップデート、パッチ適用、ハードウェアヘルスチェックなどのメンテナンスは組織が責任を負うことになります。オプションEは、オンプレミス導入シナリオ向けにPalo Alto Networksが取り扱う「WildFireのプライベートクラウドインスタンス」として一般には提供されていない、将来的に提供される可能性のある、または特殊なサービスを指します。通常、WildFireクラウドサービスが主要なモデルとなります。

「封じ込め、根絶、復旧」フェーズの目的は、拡散を阻止し、根本原因を取り除き、サービスを復旧することです。未開封の悪意のあるメールに対しては、送信者をブロックし、メールを削除すること（B）が、即時の封じ込めおよび根絶のステップとなります。WildFire分析を開始することは、脅威インテリジェンスを更新し、同様の将来の攻撃を防止し、根絶と将来的な予防と整合させるために不可欠です。エンドポイントの隔離（A）は封じ込めステップですが、この段階では侵害が確認されていないため、ネットワーク全体のスキャンは範囲が広すぎる可能性があり、ユーザーに削除を通知するよりも強制削除の方が効果的です。添付ファイルが開かれていない場合、再イメージ化（C）は過剰です。フォレンジック分析（D）は通常、差し迫った脅威が封じ込められた後の根絶/インシデント後分析の一部です。法執行機関への報告（E）はインシデント後の活動であり、即時の封じ込めステップではありません。

オプションBは、独自のXML解析と動的な信頼度スコアリングを備えた複雑なカスタムフィードに最適な、最も適切で強力なソリューションです。「カスタムフィード」統合：これにより、フェッチロジックを完全に制御できます。「フェッチインジケーター」用のカスタムPythonスクリプト：このスクリプトには、内部エンドポイントへのAPI呼び出しを行うロジックが含まれます。固有のXML形式を解析します（例：Pythonの「xml.etree.ElementTree」を使用）。特定のインジケータータイプ（SHA256、C2ドメイン）を抽出します。それらをXSOARの「値」、「タイプ」、「有効期限」、「評判」にマッピングし、さらに重要な点として、XML属性に基づいて「スコア（信頼度）」を動的に計算して割り当てます。このレベルの動的スコアリングと解析は、通常、標準的なマッパーでは対応できません。XSOARがインジケーターに期待する形式でデータを返します。オプションAの組み込みマッパーは、動的スコアリングや非常に固有のXML構造に対応できない可能性があります。オプションCは手動取り込み用で、自動化機能がありません。オプションDは、APIエンドポイントからデータを積極的に取得するのではなく、受信用であり、インシデント作成に重点を置いています。オプションEは、XSOARのネイティブフィード管理機能をバイパスする外部ソリューションであるため、XSOAR自体との統合性が低く、管理が困難です。