Cortex XDR では、デバイス構成プロファイル (エージェント設定プロファイルの拡張) によって、Cortex XDR エージェントがリムーバブル ドライブのマウントなどのデバイス関連のアクティビティを監視および管理する方法が制御されます。
デバイス構成プロファイルには、USBドライブやその他のリムーバブルメディアがエンドポイントに接続された場合など、デバイスマウントイベントの監視がデフォルトで含まれています。これらのイベントはログに記録され、内部者による侵害シナリオにおける不正なドライブ使用の検出など、調査のためにアクセスできます。
* 正解分析 (A): Cortex XDRコンソールの「ホストインベントリ」→「マウント」セクションでは、各エンドポイントのマウントイベントの詳細なビューが提供され、システムにマウントされたリムーバブルドライブに関する情報も表示されます。これは、デフォルトのデバイス構成プロファイルによってキャプチャされたデバイスマウントイベントを集約しているため、会社のラップトップに許可されていないリムーバブルドライブがマウントされた証拠を見つける最も簡単な方法です。
* 他のオプションを選択しないのはなぜですか?
* B. データセット = xdr_data | フィルター event_type = ENUM.MOUNT および event_sub_type = ENUM。
MOUNT_DRIVE_MOUNT: このXQLクエリは、xdr_dataデータセットからマウントイベントを取得するには技術的には正しいですが、手動でクエリを実行し、特定のイベントタイプに関する知識が必要です。ホストインベントリ -> マウントセクションは、このデータにアクセスするためのよりユーザーフレンドリーで直接的な方法であるため、この問題を調査するエンジニアにとって推奨される選択肢です。
* C. 要求されたデータをキャプチャするには追加の構成が必要です: これは誤りです。デフォルトのデバイス構成プロファイルは既にリムーバブル ドライブのマウント イベントをキャプチャしているため、追加の構成は必要ありません。
* D. preset = device_control: XQLのdevice_controlpresetはデバイス制御関連のイベント（例：USBブロックまたは許可アクション）を取得しますが、明示的に設定しない限り、マウントイベントは含まれない場合があります。この調査では、ホストインベントリ -> マウントセクションの方が対象となります。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、デバイス監視について次のように説明しています。「デフォルトのデバイス構成プロファイルは、リムーバブルドライブのマウントイベントを記録します。これらのイベントは、コンソールの「ホストインベントリ」→「マウント」セクションで確認できます」（デバイス構成セクションからの引用）。EDU-262: Cortex XDR調査と対応コースでは、調査手法について説明しており、「デフォルトのデバイス監視が設定されているエンドポイントでは、リムーバブルドライブのマウントイベントはホストインベントリで確認できます」（コース資料からの引用）。Palo Alto Networks認定XDRエンジニアのデータシートには、エンドポイントイベントの調査を含む「メンテナンスとトラブルシューティング」が試験の主要トピックとして記載されています。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア

Cortex XDRのXDRコレクターは、WindowsおよびLinuxシステムを含むサーバーやエンドポイントからログとイベントを収集し、Cortex XDRクラウドに転送して分析するための軽量ツールです。設定を簡素化するために、Cortex XDRは様々なログ収集方法に対応した組み込みテンプレートを提供しています。この質問では、WindowsとLinuxの両方のシステムに適用できる組み込みテンプレートを含む構成プロファイルオプションについて尋ねています。
* 正解分析 (A):Filebeat は、Cortex XDR の XDR Collector でサポートされている多目的ログ シッパーであり、Windows と Linux の両方のシステムのファイルからログを収集するためのテンプレートが組み込まれています。
Filebeatは、様々なソース（アプリケーションログ、システムログなど）からログを収集するように設定でき、プラットフォームに依存しないため、異機種混在環境にも適しています。Cortex XDRは、一般的なログタイプの設定を効率化するための事前設定済みFilebeatテンプレートを提供し、オペレーティングシステム間の互換性を確保します。
* 他のオプションを選択しないのはなぜですか?
* B. HTTPコレクターテンプレート: HTTPコレクターテンプレートは、HTTP経由でデータを取り込むために使用されます。
/HTTPS APIはWindowsやLinuxシステムに固有のものではなく、プラットフォームベースのログ収集方法でもありません。また、Filebeatと比較すると、システムレベルのログ収集ではあまり使用されません。
* C. XDRコレクター設定：「XDRコレクター設定」はXDRコレクターの一般的な設定を指し、特定のテンプレートを指すものではありません。XDRコレクターは実際のログ収集にFilebeatやWinlogbeatなどのテンプレートを使用するため、このオプションは曖昧すぎます。
* D. Winlogbeat: Winlogbeatは、Windowsイベントログの収集に特化したログシッパーです。Linuxシステムではサポートされていないため、どちらのプラットフォームにも適していません。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、XDRコレクターテンプレートについて次のように説明しています。「Filebeatテンプレートは、WindowsとLinuxの両方のシステム上のファイルからログを収集するために提供されており、プラットフォーム間で柔軟なログ収集を可能にします」（データ取り込みセクションからの引用）。EDU-260：Cortex XDRの予防と展開コースでは、XDRコレクターの設定について説明し、「Filebeatは、WindowsとLinux用の組み込みテンプレートでサポートされている、ログ収集のためのクロスプラットフォームソリューションです」（コース資料からの引用）と述べています。Palo Alto Networks認定XDRエンジニアのデータシートには、XDRコレクターテンプレートを含む「データの取り込みと統合」が主要な試験トピックとして記載されています。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の防止と展開コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア

Palo Alto Networksの次世代ファイアウォール（NGFW）をCortex XDRにオンボーディングする際は、デバイスの選択と検証を行い、Cortex XDRにログを送信できることを確認するプロセスが必要です。このステップの後、ログの取り込みが成功したことを確認することが、統合の検証において不可欠です。取り込みを確認する最も直接的かつ確実な方法は、XQL（XDRクエリ言語）を使用して取り込んだログをクエリすることです。これにより、エンジニアはCortex XDR内でNGFWのログデータを検索できます。
* 正解分析 (A): NGFW ログ データに対して XQL クエリを実行するのが正しいアクションです。
オンボーディング後、エンジニアはdataset = panw_ngfw_logs | limit 10などのXQLクエリを実行して、Cortex XDRにNGFWログが存在するかどうかを確認できます。これにより、ログが正常に取り込まれ、適切なデータセットに保存されていることが確認でき、統合が期待どおりに機能していることが保証されます。
* 他のオプションを選択しないのはなぜですか?
* B. NGFWに関連するインシデントが発生するまで待つ：インシデントが発生するまで待つことは、ログの取り込みを確認するための信頼性が高く、またプロアクティブな方法とは言えません。インシデントは検出ルールに依存しており、ログが取り込まれていてもすぐには発生しない可能性があります。
* C. 選択したデバイスに有効な証明書があることを確認します。オンボーディング プロセス中は有効な証明書が必要ですが (安全な通信のためなど)、この手順は検証プロセスの一部であり、検証後にログの取り込みを確認する方法ではありません。
* D. NGFWダッシュボードからデバイス証明書を取得する：NGFWダッシュボードからデバイス証明書を取得することは、Cortex XDRへのログ取り込みの確認とは無関係です。証明書はセットアップ時に管理され、オンボーディング後の検証には使用されません。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、NGFWログの取り込み検証について次のように説明しています。「Palo Alto Networks NGFWログの取り込みが成功したことを確認するには、XQLクエリ（例：dataset = panw_ngfw_logs）を実行して、Cortex XDRにログデータが存在することを確認します」（データ取り込みセクションからの引用）。EDU-260：Cortex XDRの予防と展開コースでは、NGFW統合について取り上げており、「オンボーディング後にNGFWログが取り込まれていることを検証するためにXQLクエリが使用されます」（コース資料からの引用）。Palo Alto Networks認定XDRエンジニアのデータシートには、ログ取り込み検証を含む「データの取り込みと統合」が試験の主要トピックとして記載されています。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の防止と展開コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア

Cortex XDRでは、ダッシュボードのドリルダウン機能により、ユーザーはウィジェット（グラフや表など）の要素をクリックして詳細情報にアクセスしたり、アクションを実行したりすることができます。ドリルダウンは、関連データやビューへのリンクを提供することで、ダッシュボードの調査機能を強化します。
* 正解分析（A、C）：
* A. 別のダッシュボードへの移動：ドリルダウンを設定することで、別のダッシュボードに移動し、より詳細なビューや関連指標を表示できます。例えば、ウィジェット内のアラート数をクリックすると、アラートの詳細にフォーカスしたダッシュボードが開きます。
* C. XQLクエリへのリンク：ドリルダウンは、クリックした要素（アラート名やソースなど）に基づいてデータをフィルタリングするXQLクエリにリンクしていることがよくあります。これにより、ユーザーはクエリビルダーや調査ビューで生のイベントや詳細なレコードを表示できます。
* 他のオプションを選択しないのはなぜですか?
* B. 自動対応アクションの開始：ドリルダウンは主にナビゲーションとデータ探索を目的としており、自動対応アクションのトリガーには使用されません。対応アクション（エンドポイントの隔離など）は通常、ダッシュボードではなく、インシデントビューまたはアラートビューから開始されます。
* D. コンソールユーザーへのアラート送信：ドリルダウンではユーザーにアラートは送信されません。アラートは相関ルールまたはBIOCによって生成され、ダッシュボードはアラート配信ではなく可視化に使用されます。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、ドリルダウン機能について次のように説明しています。「ダッシュボードのドリルダウンでは、別のダッシュボードに移動したり、XQLクエリにリンクして、選択したウィジェット要素に基づいて詳細なデータを表示したりできます」（ダッシュボードとウィジェットセクションからの引用）。EDU-262: Cortex XDR調査と対応コースではダッシュボードについて説明しており、「ドリルダウンにより、他のダッシュボードやXQLクエリに移動してより詳細な分析を行うことができます」（コース資料からの引用）。Palo Alto Networks認定XDRエンジニアのデータシートには、ドリルダウンの設定を含む「ダッシュボードとレポート」が試験の主要トピックとして記載されています。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア