XQLクエリを使用してBIOCルールを作成するには、有効なBIOCルールとなるように、少なくともevent_typeフィールドでフィルタリングする必要があります。event_typeフィールドは、アラートをトリガーしたイベントの種類（PROCESS、FILE、REGISTRY、NETWORK、USER_ACCOUNTなど）を示します。このフィールドでフィルタリングすることで、クエリの範囲を絞り込み、ユースケースに関連するイベントに焦点を絞ることができます。causality_chain、endpoint_name、threat_eventなどのその他のフィールドはオプションであり、クエリをさらに絞り込んだり、アラートに追加情報を表示したりするために使用できます。参考：
Palo Alto Networks Certified Detection and Remediation Analyst (PCDRA) 学習ガイド、9ページ Palo Alto Networks Cortex XDR ドキュメント、BIOC ルールのクエリ構文

Broker VM のエージェントインストーラおよびコンテンツキャッシュアプ​​レットは、Palo Alto Networks サーバーから Cortex XDR エージェントのインストールパッケージとコンテンツアップデートをダウンロードしてキャッシュするために使用されます。このアプレットは、Cortex XDR エージェントが Cortex Data Lake および Cortex XDR 管理コンソールと通信するためのプロキシサーバーとしても機能します。Broker VM と Cortex XDR エージェント間の安全な通信を確保するには、Broker VM に強力な暗号 SHA256 ベースの SSL 証明書をインストールする必要があります。SSL 証明書には、Broker VM の FQDN または IP アドレスと一致する共通名またはサブジェクト代替名が必要です。また、SSL 証明書は、パブリック CA によって署名された証明書を使用するか、エンドポイントに手動で証明書をインストールすることで、Cortex XDR エージェントによって信頼されている必要があります。参考:
エージェントインストーラーとコンテンツキャッシュ
ブローカーVMにSSL証明書をインストールする

Cortex XDRでは、エージェント例外プロファイルとグローバル例外プロファイルの2種類の例外プロファイルを作成できます。エージェント例外プロファイルは、プロファイルに割り当てられた特定のエンドポイントに適用されます。グローバル例外プロファイルは、ネットワーク内のすべてのエンドポイントに適用されます。例外プロファイルを使用して、プロセス例外、サポート例外、行動脅威保護ルール例外、ローカル分析ルール例外、高度な分析例外、デジタル署名者例外など、さまざまな種類の例外を設定できます。例外プロファイルは、エンドポイントのセキュリティポリシーを微調整し、誤検知を削減するのに役立ちます。参考：
例外セキュリティプロファイル
エージェント例外プロファイルを作成する
グローバル例外プロファイルを作成する

サイバー攻撃の一般的な戦術は、サイバーキルチェーンモデルに基づいています。これは、攻撃者の視点からサイバー侵入の段階を記述したものです。サイバーキルチェーンモデルは、偵察、兵器化、配信、悪用、インストール、コマンド＆コントロール、そして目標達成に向けた行動という7つのフェーズで構成されています。これらのフェーズについて、以下に簡単に説明します。
偵察：攻撃者は、標的のネットワーク、システム、脆弱性、従業員、事業運営などに関する情報を収集します。攻撃者は、スキャン、フィッシング、オープンソースの検索など、様々な手法を用いて、攻撃計画に役立つデータを収集します。
武器化：攻撃者は、マルウェア、エクスプロイト、スクリプトなど、標的への侵入に使用可能な悪意のあるペイロードを作成または入手します。また、ペイロードをメールの添付ファイル、Webリンク、リムーバブルメディアなどの配信メカニズムに埋め込むこともあります。
配信：攻撃者は、兵器化されたペイロードを直接または間接的に標的に送信または配信します。攻撃者は、電子メール、Web、物理アクセスなど、さまざまなチャネルを使用して標的のネットワークまたはシステムに到達します。
エクスプロイト：攻撃者は標的のネットワークまたはシステムの脆弱性や弱点を悪用してペイロードを実行します。脆弱性は、ソフトウェアの欠陥などの技術的なもの、またはソーシャルエンジニアリングのトリックなどの人的なものである場合があります。
インストール：攻撃者は、標的のネットワークまたはシステムにマルウェアやツールを追加インストールまたはドロップすることで、足掛かりを築き、持続的な活動を維持します。攻撃者は、レジストリの変更、ファイルの操作、プロセスインジェクションなど、様々な手法を用いて存在を隠蔽し、検出を回避します。
コマンド＆コントロール：攻撃者は、侵害した標的とリモートサーバーまたはコントローラーとの間に通信チャネルを確立します。攻撃者は、HTTP、DNS、IRCなどの様々なプロトコルを使用して、標的にコマンドを送信し、データを受信します。
目的達成のための行動：攻撃者は、データの窃取、ファイルの破壊、システムの暗号化、サービスの妨害など、目的を達成するための最終的な行動を実行します。また、攻撃者は、より多くのリソースやデータにアクセスするために、標的のネットワークまたはシステム内で水平移動を試みることもあります。
参照：
サイバー キル チェーン: このドキュメントでは、サイバー キル チェーン モデルと、それを使用してサイバー攻撃を分析し、対応する方法について説明します。
サイバー攻撃の戦術: このドキュメントでは、一般的なサイバー攻撃の戦術の概要と、脅威の攻撃者がそれらをどのように使用するかの例を示します。

BIOCルールは、Cortexクエリ言語（XQL）を使用して潜在的な脅威を示す動作またはアクションを定義するカスタム検出ルールです。BIOCルールでは、xdr_dataデータセットとcloud_audit_logデータセット、およびこれらのデータセットのプリセットを使用できます。BIOCルールでは、XQLクエリでフィルターステージ、変更ステージ、および集計なしの関数を使用することもできます。クエリは、疑わしいプロセスのプロセスイメージ名であるaction_process_imageという単一のフィールドを返す必要があります。また、フィルターステージには、ルールをトリガーするイベントのタイプとサブタイプを指定するためのevent_typeフィールドとevent_sub_typeフィールドを含める必要があります。
オプションBは有効なBIOCルールクエリの要件をすべて満たしているため、正解です。xdr_dataデータセット、フィルターステージ、event_typeおよびevent_sub_typeフィールド、そしてaction_process_image_nameフィールドと正規表現を用いて、悪意のあるファイルの一般的な指標である.pdf.exeまたは.docx.exeで終わるプロセスイメージ名を照合します。
オプション A は、BIOC ルール クエリに必須であるフィルター ステージの event_type フィールドが含まれていないため、正しくありません。
オプションCは不正解です。フィルターステージにevent_typeフィールドとevent_sub_typeフィールドが含まれていないため、またBIOCルールクエリではサポートされていないfieldsステージを使用しているためです。また、BIOCルールクエリで期待される出力であるaction_process_image_nameフィールドではなく、action_process_imageフィールドが返されます。
選択肢Dは不正解です。BIOCルールクエリではサポートされていないevent_behaviorフィールドを使用しています。また、フィルターステージにevent_typeフィールドが含まれておらず、event_sub_typeフィールドの使用方法も誤りです。event_sub_typeフィールドはPROCESS_STARTと等しくなければなりませんが、正しくはありません。
参照：
BIOCとの連携
Cortex クエリ言語 (XQL) リファレンス