Windows および macOS において、Cortex XDR Agent がデジタル署名者に基づいてファイルの実行をブロックしないようにするには、署名者を例外として設定する方法の 1 つとして、マルウェア プロファイルの許可リストに署名者を追加することが挙げられます。マルウェア プロファイルとは、エンドポイントにおけるマルウェアの防止と検出に関する設定とアクションを定義するプロファイルです。マルウェア プロファイルでは、マルウェアのスキャンとブロックから除外するファイル、フォルダ、または署名者のリストを指定できます。マルウェア プロファイルの許可リストに署名者を追加することで、Cortex XDR Agent がその署名者によって署名されたファイルをブロックしないようにすることができます1。
包括的な説明をするために、他のオプションについても簡単に説明しましょう。
A . 制限プロファイルで、ファイル名とパスを実行可能ファイルの許可リストに追加します。これは正解ではありません。制限プロファイルでファイル名とパスを実行可能ファイルの許可リストに追加しても、Cortex XDR Agent がデジタル署名者に基づいてファイルの実行をブロックすることを防ぐことはできません。制限プロファイルは、エンドポイントでのファイルまたはプロセスの実行を制限するための設定とアクションを定義するプロファイルです。制限プロファイルを使用すると、ファイル名とパスに基づいて許可またはブロックする実行可能ファイルのリストを指定できます。ただし、この方法ではファイルのデジタル署名者が考慮されないため、ファイル名またはパスが変更された場合は効果がない可能性があります2。
B. 新しいルール例外を作成し、署名者を特性として使用する：これは正解ではありません。新しいルール例外を作成し、署名者を特性として使用しても、Cortex XDR Agent がデジタル署名者に基づいてファイルの実行をブロックすることを防ぐことはできません。ルール例外とは、特定の防止ルールまたは BIOC ルールの動作を変更するために作成できる例外です。ルール例外を使用すると、ファイルハッシュ、プロセス名、IP アドレス、ドメイン名など、例外に適用する特性とアクションを指定できます。ただし、この方法では署名者を特性として使用することはサポートされておらず、すべての防止ルールまたは BIOC ルールに適用できるとは限りません3。
D . アクションセンターページの許可リストに署名者を追加する：これは正解ではありません。アクションセンターページの許可リストに署名者を追加しても、Cortex XDRエージェントがデジタル署名者に基づいてファイルの実行をブロックすることを防ぐことはできません。アクションセンターページは、エンドポイントで実行できるアクション（隔離、スキャン、ファイルの収集、スクリプトの実行など）を作成および管理できるページです。アクションセンターページには、署名者を許可リストに追加するオプションはなく、マルウェアの防止または検出機能とは関係ありません4。
結論として、WindowsおよびmacOSにおいて、Cortex XDRエージェントがデジタル署名者に基づいてファイルの実行をブロックするのを防ぐには、署名者を例外として設定する方法の一つとして、マルウェアプロファイルの許可リストに署名者を追加することが挙げられます。この方法を用いることで、信頼できる署名者によって署名されたファイルをマルウェアスキャンおよびブロックの対象から除外できます。
参照：
新しいマルウェアセキュリティプロファイルを追加する
新しい制限セキュリティプロファイルを追加する
ルール例外を作成する
アクションセンター

成功したエクスプロイトとは、脆弱性を悪用し、標的のシステム上で悪意のあるアクションを実行するソフトウェアまたはコードのことです。脆弱性とは、攻撃者が悪用できるソフトウェアまたはハードウェアコンポーネントの弱点または欠陥のことです。成功したエクスプロイトとは、不正アクセスの取得、任意のコードの実行、権限の昇格、データの侵害など、意図した目的を達成するエクスプロイトを指します。
提示された選択肢の中で、Bのみがエクスプロイト成功例です。これは、Webサーバー、データベース、ネットワークプロトコルなどのローカルサービスの脆弱性を悪用するコードをユーザーが実行することを伴うためです。これにより、攻撃者はサービスの制御権を取得したり、機密情報にアクセスしたり、その他の悪意のあるアクションを実行したりする可能性があります。
オプションAは、Autorunによってマルウェアをコピーしたエンドポイントに未知のメディアを接続するため、エクスプロイトとしては成功しません。Autorunとは、USBドライブなどのリムーバブルメディアがコンピュータに挿入された際に、プログラムやスクリプトを自動的に実行する機能です。この機能は、マルウェア作成者が悪意のあるコードを拡散するために悪用される可能性がありますが、それ自体はエクスプロイトではありません。マルウェアがペイロードを実行し、被害を与えるには、エンドポイントの脆弱性を悪用する必要があります。
オプションCは、サーバー上の脆弱なサービスを特定するため、エクスプロイトとしては成功しません。これは攻撃の偵察段階の1つのステップであり、攻撃者は標的システムをスキャンして、悪用可能な脆弱性を探します。しかし、これは攻撃者が脆弱性の悪用に成功した、あるいは脆弱性が悪用可能であることを意味するものではありません。
オプションDは、既知の署名済みソフトウェアの実行ファイルを実行するため、エクスプロイトとしては成功しません。これは、脆弱性を悪用したり、損害を与えたりすることのない正当な行為です。既知の署名済みソフトウェアとは、広く利用され信頼されているプログラムであり、その真正性と整合性を証明するデジタル署名が付与されています。このようなソフトウェアの実行は、ソフトウェア自体が悪意のあるもの、または侵害されているものでない限り、セキュリティリスクにはなりません。
参照：
Palo Alto Networks Certified Detection and Remediation Analyst (PCDRA) 学習ガイド、8ページ エクスプロイトとは？ 定義、種類、予防策(https://heimdalsecurity.com/blog/what-is-an-exploit/) エクスプロイトの定義と意味 - Merriam-Webster(https://www.merriam-webster.com/dictionary/exploit)

様々なベンダーからの外部ログを取り込むには、Cortex XDR Pro（TB単位）ライセンスが必要です。このライセンスでは、Palo Alto Networksおよびサードパーティ製ソース（ファイアウォール、プロキシ、エンドポイント、クラウドサービスなど）からのログを収集・分析できます。ログ転送アプリを使用して、Logging Serviceから外部のSyslogレシーバーにログを転送できます。Cortex XDR Pro（エンドポイント単位）ライセンスは、エンドポイントにインストールされたCortex XDRエージェントからのログのみをサポートします。Cortex XDR Vendor Agnostic ProライセンスとCortex XDR Cloud（ホスト単位）ライセンスは存在しません。参考：
Cortex XDRライセンスタイプ別の機能
Cortex XDR Analytics 用ログ転送アプリ
SaaS ログ収集

Managed Threat Hunting (MTH) チームは、Cortex XDR テナント内の脅威をプロアクティブに探索し、発見事項をまとめたレポートを作成するセキュリティ専門家のグループです。MTH チームは、高度なクエリと調査アクションを用いて、Cortex XDR の防御・検知機能をすり抜けている可能性のあるゼロデイエクスプロイトなどの潜在的な脅威を特定・分析します。また、MTH チームは、お客様が脅威を修復し、セキュリティ体制を強化できるよう、推奨事項とベストプラクティスも提供します。参考資料:
マネージド脅威ハンティングサービス
マネージド脅威ハンティングレポート

ランサムウェアの攻撃経路の一例としては、悪意のある添付ファイルを含むフィッシングメールが挙げられます。フィッシングとは、銀行、企業、政府機関などの正当な送信元を装った詐欺メールを送信する手法です。これらのメールには通常、PDF文書、ZIPアーカイブ、Microsoft Office文書などの悪意のある添付ファイルが含まれており、その中にランサムウェアまたはランサムウェアダウンローダーが含まれています。受信者が添付ファイルを開いたりダウンロードしたりすると、ランサムウェアが実行され、被害者のシステム上のファイルやデータが暗号化されます。攻撃者は、復号鍵と引き換えに、通常は暗号通貨で身代金を要求します。
フィッシングメールは、ファイアウォール、ウイルス対策ソフトウェア、URLフィルタリングなどのセキュリティ対策を回避できるため、ランサムウェアを配布する最も一般的かつ効果的な方法の一つです。また、フィッシングメールは人的要因も利用します。信頼できる送信者になりすましたり、緊急感を醸し出したり、好奇心や欲望に訴えたりといったソーシャルエンジニアリングの手法を用いて、受信者を騙し、添付ファイルを開かせようとするのです。さらに、フィッシングメールは、幹部、従業員、顧客など特定の個人や組織を標的とするスピアフィッシングと呼ばれる手法で、成功率を高めます。
様々な情報源によると、フィッシングメールはランサムウェア攻撃の主な媒介であり、ランサムウェア感染全体の90%以上を占めています12。CryptoLocker、Locky、WannaCryといった悪名高いランサムウェア攻撃の中には、フィッシングメールを主な感染手段として利用しているものもあります3。そのため、フィッシングメールを見分けて回避する方法をユーザーに周知するとともに、悪意のある添付ファイルを検出してブロックできるセキュリティソリューションを導入することが不可欠です。参考：
ランサムウェア攻撃の7つの主なベクトルと被害に遭わないための方法 - Bitsight ランサムウェア攻撃の主なベクトルとは？ 決定版ガイド CryptoLockerランサムウェア情報ガイドとFAQ
[Locky ランサムウェアの情報、ヘルプガイド、FAQ]
[WannaCryランサムウェア攻撃]