Cortex XSIAM のログスティッチングは、複雑な攻撃を理解する上で極めて重要です。様々なソース（例：PowerShell 実行を示すエンドポイントログ、異常な出力を示すネットワークログ、フィッシングメールの配信を示すメールログ）からの異なるログエントリを取得し、共通の識別子（プロセス ID、ホスト名、IP アドレス、ユーザーアカウントなど）または時間的な近接性に基づいてそれらを相関させます。この相関関係により、XSIAM は一貫性のあるナラティブをつなぎ合わせ、個別のイベントを一連のアクションに変換します。これは、多段階攻撃の全容とタイムラインを理解する上で不可欠です。

オプションDは、最もパフォーマンスが高く、精度の高い探索手法です。クエリの先頭で「_time > now() -」を使用すると、強力なプレフィルターとして機能し、後続のフィルターで処理されるデータセットを大幅に削減できます。「http_uri_path」を使用する方が、「http_uri contains」を使用するよりも具体的です。重要なのは、「like」を特定のヘッダーコンテンツに使用する方が、「&http_headers contains 'string'」を使用するよりも堅牢であるということです。これは、「http_headers」は多くの場合、すべてのヘッダーを連結した単一の文字列であり、「like」は部分文字列の一致に最適化されているためです。「map」演算子を使用すると、基になるデータを変更することなく、結果を明確にするためにフィールド名を変更できます。オプション E も同様のフィルタリングを試みますが、「http_request_headers_raw」は取り込まれたすべての Web サーバー ログの標準フィールド名ではない可能性があり、「contains」は潜在的に大きな文字列の部分一致において「like」よりもパフォーマンスが低くなる可能性があります。オプション A、B、C は、フィルタリング ロジック、フィールド名、またはパフォーマンス上の考慮事項（事前フィルタリングの時間が不足している、または「join」を不必要に使用しているなど）に関して、それほど洗練されていません。

Cortex XDRのBehavioral Threat Protection（BTP）は、一連のアクションを分析することで、悪意のある行動を検知・防止するように設計されています。ここで説明するアクション（シャドウコピーの列挙、ボリュームシャドウコピーの削除、ファイルの暗号化）は、BTPが脅威チェーンとして識別するランサムウェアの特徴的な行動です。Cortex XDRのRansomware Protection Moduleは、ファイルシステムのアクティビティとプロセスの動作を監視し、ランサムウェアに類似したパターンを検出することで、こうしたタイプの暗号化ベースの攻撃を特に標的として防御します。Threat IntelligenceとWildFireは、一般的な脅威分析とサンドボックス化には重要ですが、BTPやRansomware Protection Moduleのようなリアルタイムの行動ベースの攻撃に対する、主要な直接的な防御メカニズムではありません。

このシナリオでは、ゼロデイ攻撃を迅速かつ的確に、かつ正確に評価する必要があります。オプションBは、XSIAMの高度な機能を活用した最も効果的なソリューションです。リアルタイムデータレイクとターゲットを絞ったXQLクエリを組み合わせることで、特定の指標や行動について、過去および現在のテレメトリを即座に検索できます。カスタムのBehavioral Threat Protectionルールを導入することで、正確なエクスプロイトが不明な場合でも、エクスプロイト後の影響を監視できます。これにより、広範囲のスキャンと比較して誤検知が最小限に抑えられ、大規模環境では非常に効率的です。オプションAでは、従来のAVエンジンでゼロデイ攻撃を検出できる可能性は低いです。オプションCはスケールアウトの面で非現実的です。オプションDは、UBAがプロセスやネットワークの異常ではなく、ユーザーに焦点を当てているため、対象範囲が狭すぎます。オプションEは、アクティブなエクスプロイトの検出ではなく、クラウドの設定ミスを対象としています。

オプションEは、要件の両方の部分に対して、最も包括的で正しく構造化されたXQLと適切な視覚化を提供します。「alter classifications」ステートメントはイベントを正しく分類します。「stats count() as total_events by classification, malware_name」は積み上げ棒グラフのデータを生成します。「join type=leff」と上位5つのアラートエンドポイントのサブクエリは、プライマリイベント数をマージすることなくエンドポイントデータを取り込む最も効率的な方法です。積み上げ棒グラフは、マルウェアファミリーごとにブロックされた数とアラートされた数を表示するのに最適で、テーブルウィジェットは上位5つのエンドポイントとそれぞれのアラートされたイベント数を一覧表示するのに最適です。