Broker VMは、サードパーティのデータソースとCortex Data Lake間のデータブローカーとして機能する仮想マシンです。Syslog、NetFlow、データベース、PathFinderなど、さまざまな種類のデータを取り込むことができます。Broker VMのSyslog Collector機能により、ファイアウォール、ルーター、スイッチ、サーバーなどのサードパーティデバイスからSyslogメッセージを受信し、Cortex Data Lakeに転送することができます。Syslog Collectorは、Cortex Data Lakeに送信する前に、Syslogメッセージをフィルタリング、解析、およびエンリッチするように設定できます。また、Syslog Collectorは、Cisco、Fortinet、Check PointなどのサードパーティファイアウォールベンダーからCortex Data Lakeにログを取り込むためにも使用できます。これにより、Cortex XDRはファイアウォールログを分析し、ネットワーク境界全体にわたる可視性と脅威検出を提供できます。参考：
Cortex XDR データブローカー VM
Syslogコレクター
サポートされているサードパーティのファイアウォールベンダー

暗号化、データ窃取、サービス拒否、そして場合によっては嫌がらせなどを利用して被害者を搾取するマルウェアの一種がランサムウェアです。ランサムウェアは、被害者のファイルを暗号化したり、システムへのアクセスをブロックしたりした後、復号鍵の入手またはアクセスの回復と引き換えに身代金を要求するマルウェアです。また、身代金を支払わない場合は被害者のデータを開示または削除すると脅迫することもあります。ランサムウェアは個人、企業、組織に甚大な損害と混乱をもたらす可能性があり、削除や復旧が困難な場合があります。ランサムウェアの例として、CryptoLocker、WannaCry、Ryuk、REvilなどが挙げられます。
参照：
知っておくべき12種類のマルウェアとその例 - CrowdStrike
マルウェアとは？マルウェアの定義、種類、そして防御策
12種類以上のマルウェアを例とともに解説（完全リスト）

Cortex XDRインシデントに含まれるすべてのアラートに除外設定がある場合、Cortex XDRコンソールは自動的にそのインシデントを「解決済み - 誤検知」としてマークします。これは、インシデントが実際の脅威ではなく、アラートをトリガーした無害または正当なアクティビティであったことを意味します。インシデントを「解決済み - 誤検知」としてマークすることで、Cortex XDRコンソールは未解決インシデントのリストからインシデントを削除し、インシデント統計にカウントしません。これにより、アナリストはさらなる調査と対応が必要な真陽性インシデントに集中できるようになります1。
除外とは、アラートのソース、種類、重大度、説明などの特定の基準に基づいて、Cortex XDRコンソールからアラートを非表示にするルールです。除外によってセキュリティポリシーが変更されたり、アラートの発動が阻止されたりすることはありません。コンソールからアラートが非表示になるだけです。除外は、アナリストが関連性や重要性の低い誤検知アラートのノイズを減らしたい場合に役立ちます2。
一方、例外とは、セキュリティポリシーをオーバーライドし、ファイルのハッシュ、パス、名前、署名者などの特定の属性に基づいて、エンドポイントでのプロセスまたはファイルの実行を許可またはブロックするルールです。例外は、セキュリティポリシー3で検出されない悪意のあるファイルやプロセス、あるいは不要なファイルやプロセスによって発生する誤検知アラートを防ぎたい場合に便利です。
BIOCルールは、関心対象または懸念事項となる特定の行動を定義するカスタムXQLクエリに基づいてアラートを作成するルールです。BIOCルールは、アナリストがデフォルトのCortex XDRルール4でカバーされていない異常なアクティビティや疑わしいアクティビティを検出し、アラートを発したい場合に役立ちます。
参照：
Palo Alto Networks Cortex XDR ドキュメント、インシデントの解決1
Palo Alto Networks Cortex XDR ドキュメント、アラート除外2
Palo Alto Networks Cortex XDR ドキュメント、例外3
Palo Alto Networks Cortex XDR ドキュメント、BIOC ルール4

一度に複数のインシデントを選択する場合、ユーザーがインシデントを右クリックした際に表示されるメニューから選択できるオプションは、アナリストにインシデントを一括で割り当て、複数のインシデントのステータスを変更することです。これらのオプションを使用すると、選択したインシデントを特定のアナリストに割り当てたり、ステータスをオープン、進行中、解決済み、またはクローズに変更したりするなど、インシデントを一括で実行できます。これらのオプションは、インシデントをより効率的かつ効果的に管理および優先順位付けするために役立ちます。これらのオプションを使用するには、ユーザーはインシデント テーブルからインシデントを選択し、それらを右クリックして、メニューから目的のオプションを選択する必要があります。ユーザーは、Ctrl+A ですべてのインシデントを選択、Ctrl+Shift+A でインシデントをアナリストに割り当て、Ctrl+Shift+S でインシデントのステータスを変更するなど、キーボード ショートカットを使用してこれらのアクションを実行することもできます12 参照:
アナリストにインシデントを一括割り当て
複数のインシデントのステータスを変更する

Cortex XDR用Broker VMは、組織内に導入されているすべてのCortex XDRエージェントの中央通信ハブとして機能する仮想マシンです。Broker VMにより、エージェントはCortex XDRクラウドサービスと通信できるようになり、エージェントのアクティビティを一元的に管理・監視できます。Broker VMのシステム要件は次のとおりです。
CPU: 4コア
メモリ: 8 GB
ディスク容量: 256 GB
ネットワーク: インターネット アクセスとすべての Cortex XDR エージェントへの接続
ディスク容量の要件は、エージェントの数とコンテンツ更新の頻度によって決まります。Broker VM はコンテンツ更新をローカルに保存し、エージェントに配信します。ディスク容量は、コンテンツ更新の保持期間によっても異なります。保持期間は、Broker VM の設定で設定できます。デフォルトの保持期間は 30 日です。
参照：
Cortex XDR 用ブローカー VM
PCDRA 学習ガイド