Palo Alto Networksは、エンドポイント上でファイルの削除、プロセスの強制終了、マルウェアの隔離など、様々なアクションを実行できる、あらかじめ用意されたスクリプトセットを提供しています。これらのスクリプトはPythonで記述されており、Cortex XDRコンソールのエージェントスクリプトライブラリから利用できます。これらのスクリプトはそのまま使用することも、ニーズに合わせてカスタマイズすることもできます。用意されているスクリプトは以下のとおりです。
delete_file: ローカル ドライブまたはリムーバブル ドライブから特定のファイルを削除します。
quarantine_file: 特定のファイルをローカル ドライブまたはリムーバブル ドライブ上の場所から保護されたフォルダーに移動し、実行されないようにします。
process_kill_name: エンドポイント上のプロセスを名前で強制終了します。
process_kill_pid: エンドポイント上のプロセス ID (PID) によってプロセスを強制終了します。
process_kill_tree: エンドポイントでプロセスとそのすべての子プロセスをその名前で強制終了します。
process_kill_tree_pid: エンドポイント上の PID によってプロセスとそのすべての子プロセスを強制終了します。
process_list: エンドポイントで実行されているすべてのプロセスと、その名前、PID、およびコマンド ラインを一覧表示します。
process_list_tree: エンドポイントで実行されているすべてのプロセスと、その名前、PID、コマンド ライン、親プロセスを一覧表示します。
process_start: 名前またはパスでエンドポイント上のプロセスを開始します。
registry_delete_key: Windows レジストリからレジストリ キーとそのすべてのサブキーおよび値を削除します。
registry_delete_value: Windows レジストリからレジストリ値を削除します。
registry_list_key: Windows レジストリ内のレジストリ キーの下にあるすべてのサブキーと値を一覧表示します。
registry_list_value: Windows レジストリ内のレジストリ値の値とデータを一覧表示します。
registry_set_value: Windows レジストリ内のレジストリ値の値とデータを設定します。
list_directories スクリプトは、Palo Alto Networks が提供する既成のスクリプトではありません。Python コマンドを使用して独自に作成できるカスタムスクリプトです。
参照：
エンドポイントでスクリプトを実行する
エージェントスクリプトライブラリ
あらかじめ用意されたスクリプト

Broker VMは、ネットワークに導入することでCortex XDRエージェントに様々なサービスと機能を提供できる仮想マシンです。Broker VMが提供するサービスの一つに、ローカルエージェント設定アプレットがあります。このアプレットでは、エージェントプロキシ、エージェントインストーラ、コンテンツキャッシュの設定を構成できます。ローカルエージェント設定アプレットは、Broker VMごとに最大10,000個のエージェントをサポートできます。ネットワークに10,000個を超えるエージェントがある場合は、追加のBroker VMを導入し、負荷を分散させる必要があります。参考：
Broker VM の概要: このドキュメントでは、Broker VM の概要とその機能、要件、および展開オプションについて説明します。
Broker VM を構成する: このドキュメントでは、ESXi 環境で Broker VM をインストール、セットアップ、および構成する方法について説明します。
Cortex XDR 管理コンソールから Broker VM を管理する: このドキュメントでは、Cortex XDR 管理コンソールから Broker VM アプレットをアクティブ化および管理する方法について説明します。

修復提案は、Cortex XDRの機能であり、インシデントの根本原因と影響を修復するための推奨アクションを提供します。修復提案は、因果関係の連鎖、悪意のあるファイルまたはプロセスの動作、そしてインシデント対応のベストプラクティスの分析に基づいています。修復提案は、インシデントを迅速かつ効果的に封じ込め、解決し、将来の再発を防止するのに役立ちます。
修復提案を有効にするには、次の手順に従う必要があります。
Cortex XDR 管理コンソールで、「インシデント」に移動し、修復するインシデントを選択します。
インシデントの因果関係の連鎖をグラフィカルに表示するには、「因果関係ビュー」をクリックします。
「アクション」をクリックし、「修復の提案」を選択します。これにより、因果関係チェーン内の各ノードに対する推奨アクションを示す新しいウィンドウが開きます。
提案されたアクションを確認し、適用したいものを選択してください。提案されたアクションを編集または削除したり、独自のカスタムアクションを追加したりすることもできます。
「適用」をクリックすると、影響を受けるエンドポイントで選択したアクションが実行されます。また、アクションを後で実行するようにスケジュールを設定することもできます。
参照：
悪意のあるアクティビティによる変更の修復: このドキュメントでは、修復提案を使用してインシデントの根本原因と影響を修復する方法について説明します。
因果関係ビュー: このドキュメントでは、因果関係ビューを使用してインシデントの因果関係の連鎖を調査する方法について説明します。

Windows レジストリは、オペレーティングシステムと Windows 上で実行されるアプリケーションの設定を保存する階層型データベースです。レジストリには、Microsoft Windows オペレーティングシステムのすべてのバージョンにインストールされているプログラムとハードウェアに関する情報、設定、オプション、その他の値が含まれています。レジストリは「ハイブ」と呼ばれる 5 つの主要セクションで構成されており、各セクションにはキー、サブキー、および値が含まれています。Cortex XDR エージェントは、レジストリを使用して構成、ステータス、ログを保存し、エンドポイントのセキュリティ機能を監視および制御します。Cortex XDR エージェントでは、エンドポイント上のレジストリキーと値の読み取り、書き込み、または削除を行うスクリプトを実行することもできます。参考：
Windowsレジストリ - Wikipedia
レジストリ操作

インシデントにおけるWildFireレポートを表示するには、インシデントの詳細ページに移動し、WildFire分析に関連する重要なアーティファクトを探す必要があります。重要なアーティファクトとは、アラートまたはインシデントに関連付けられた証拠であり、ファイルハッシュ、レジストリキー、IPアドレス、ドメイン名、フルパスなどが含まれます。重要なアーティファクトがWildFire分析に関連している場合、そのアーティファクトの横にWildFireアイコンが表示されます。これは、そのアーティファクトに対応するWildFireレポートが利用可能であることを示します。WildFireアイコンをクリックするとレポートが表示され、判定、動作、重大度、シグネチャ、スクリーンショットなど、アーティファクトに関する詳細情報が表示されます12。
包括的な説明をするために、他のオプションについても簡単に説明しましょう。
B . 「レスポンス」→「アクションセンター」：これは正解ではありません。アクションセンターは、エンドポイントで実行できるアクション（隔離、スキャン、ファイル収集、スクリプト実行など）を作成および管理できる機能です。アクションセンターでは、インシデントに関するWildFireレポートは表示されませんが、適切なアクションを適用することでインシデントを修復するのに役立ちます3。
C . 歯車アイコンの下の「エージェント監査ログ」：これは正解ではありません。エージェント監査ログは、Cortex XDRエージェントで発生したアクティビティとイベント（インストール、アップグレード、接続、ポリシー更新、予防など）を示すログです。エージェント監査ログにはインシデントのWildFireレポートは表示されませんが、エージェントの問題のトラブルシューティングやエージェントのステータス確認に役立ちます。4
D . apps.paloaltonetworks.com の HUB ページ：これは正解ではありません。HUB ページは、Cortex XDR、Cortex XSOAR、Prisma Cloud、AutoFocus などの Palo Alto Networks アプリケーションにアクセスし、管理できる Web ポータルです。HUB ページではインシデントの WildFire レポートは表示されませんが、さまざまなアプリケーションに移動したり、通知やアラートを確認したりするのに役立ちます。5
結論として、インシデントにおけるWildFireレポートを表示するには、インシデントの詳細ページに移動し、WildFire分析に関連する重要なアーティファクトを探す必要があります。WildFireレポートを表示することで、インシデントとアーティファクトに関するより詳細な情報とコンテキストを得ることができます。
参照：
インシデントの詳細を表示
山火事レポートを見る
アクションセンター
エージェント監査ログ
ハブ