Cortex XDRでは、解析ルールを用いて、様々なソースから取り込んだログデータからフィールドを抽出・正規化し、一貫した分析と相関関係を実現します。複数のデータソース間で一貫性のあるログフィールド抽出を実現する再利用可能なルールを作成するには、管理者は解析ルール設定内のCONSTセクションを使用します。CONSTセクションでは、異なる解析ルールに適用できる再利用可能な定数またはルールを定義できるため、フィールドの抽出と処理方法の一貫性が確保されます。
CONSTセクションは、解析ルールの他の部分（RULEセクションやINGESTセクションなど）で参照できる定数値や再利用可能な式を保持するために特別に設計されています。これは、複数のデータソースで同様のフィールド抽出ロジックが必要な場合に特に便利です。冗長性が削減され、一貫性が確保されるためです。例えば、IPアドレスを抽出するための定数正規表現パターンをCONSTセクションで定義し、複数の解析ルールで再利用することができます。
* 他のオプションを選択しないのはなぜですか?
* RULE: RULE セクションでは、ログ エントリからフィールドを解析および抽出するための特定のロジックを定義しますが、CONST で定義された定数を介して参照されない限り、複数のルール間で本質的に再利用できません。
* INGEST: INGEST セクションでは、再利用可能なルールが定義される場所ではなく、生のログ データが取り込まれ、前処理される方法を指定します。
* FILTER: FILTER セクションは、再利用可能な抽出ルールを定義するためではなく、条件に基づいてログ エントリを含めるか除外するために使用されます。
正確な抜粋または参照:
CONSTセクションの目的の正確な文言は、一般向けドキュメントには直接引用されていません（EDU-260やCortex XDR管理者ガイドなどの独自のトレーニング資料に詳細が記載されているため）。Cortex XDRドキュメントポータル（docs-cortex.paloaltonetworks.com）では、データの取り込みと解析のワークフローについて説明されており、再利用可能な設定のための定数の使用が強調されています。「EDU-260：Cortex XDRの予防と展開」コースでは、データのオンボーディングと解析について取り上げ、「CONSTセクションで定義された定数は、ソース間で一貫したフィールド抽出のための再利用可能な解析ロジックを可能にします」（コースの目標からの引用）と述べています。さらに、Palo Alto Networks認定XDRエンジニアのデータシートでは、「データソースのオンボーディングと統合設定」が重要なスキルとして挙げられており、これには解析ルールとそのコンポーネント（CONSTなど）の習得が含まれます。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の防止と展開コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア

高可用性（HA）環境では、Cortex XDRのBroker VMがローカルプロキシとして機能し、エージェント通信、コンテンツキャッシュ、インストーラ配信を容易にすることで、クラウドへの直接接続への依存を軽減します。フェイルオーバー時におけるエージェントインストーラの可用性と効率的なコンテンツキャッシュを確保するには、1つのVMに障害が発生した場合でも、Broker VMがエージェント要求を一貫して処理できるように構成する必要があります。そのためには、適切なSSL証明書管理と、複数のBroker VM間でトラフィックを分散するための負荷分散が必要です。
* 正解分析 (B): エンジニアは、通信をセキュリティで保護し、エージェントとブローカー VM 間の信頼を確保するために、署名された SSL サーバー証明書とキーを各ブローカー VM にアップロードする必要があります。
さらに、ブローカーVMのフロントエンドにロードバランサーを配置することで、トラフィックを複数のVMに分散し、フェイルオーバー時の可用性とパフォーマンスの一貫性を確保できます。ロードバランサーは、設定されたブローカーVMのFQDNを使用してエージェント要求をルーティングし、署名付きSSL証明書によって安全で中断のない通信を保証します。この設定により、エージェントへの安定した接続ポイントが維持され、コンテンツのキャッシュとインストーラーの配布がサポートされます。
* 他のオプションを選択しないのはなぜですか?
* A. すべてのBroker VMで共有SSL証明書とキーを使用し、フェイルオーバー用に単一のIPアドレスを設定します。共有SSL証明書を使用することもできますが、フェイルオーバー用に単一のIPアドレスを設定する（VRRPやフローティングIPなど）と、ロードバランサよりも柔軟性が低く、複数のVM間でのコンテンツのキャッシュやインストーラの配布を効率的に処理できない可能性があります。Cortex XDRのHA設定にはロードバランサが推奨されます。
* C. ロードバランサを導入し、ロードバランサでSSLターミネーションを設定する：ロードバランサでSSLターミネーションを設定すると、ロードバランサはトラフィックをブローカーVMに転送する前に復号化するため、ロードバランサとVM間の通信は暗号化されません。ブローカーVMはセキュリティのためにエンドツーエンドのSSL暗号化を必要とし、SSLターミネーションは証明書管理を複雑にするため、Cortex XDRでは推奨されません。
* D. ブローカー VM 間で同期されたセッションの永続性を有効にし、自己署名証明書とキーを使用します。自己署名証明書は、エージェントとの信頼の問題が発生し、手動での構成が必要になる可能性があるため、運用 HA 環境には推奨されません。
同期されたセッションの永続性は、Broker VM の標準機能ではないため、コンテンツのキャッシュやインストーラーの可用性には必要ありません。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、ブローカーVMのHA構成について次のように説明しています。「高可用性を実現するには、ロードバランサーの背後に複数のブローカーVMを展開し、署名済みのSSLサーバー証明書とキーを各VMにアップロードして、エージェントの通信を保護します」（ブローカーVMの展開セクションからの引用）。EDU-
260: Cortex XDRの予防と導入コースでは、ブローカーVMのセットアップについて説明し、「署名付きSSL証明書を備えたロードバランサは、HA環境におけるエージェントインストーラの可用性とコンテンツのキャッシュを確保する」と述べています（コース資料より抜粋）。Palo Alto Networks認定XDRエンジニアのデータシートには、
試験の主要トピックとして「計画とインストール」を取り上げ、HA のためのブローカー VM の展開を網羅します。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の防止と展開コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア

Cortex XDRのPathfinderは、ネットワーク内の管理対象外エンドポイントを検出するためのツールです。多くの場合、Kerberosなどの認証方式を使用してシステムに安全にアクセスします。Kerberos認証は、ホスト名の解決と、クライアント、サーバー、Kerberos鍵配布センター（KDC）間の適切な通信の確保のために、DNSに大きく依存しています。PathfinderでKerberos認証が正しく機能するには、特定のDNS設定を検証する必要があります。
* 正解分析（B、C）：
* B. 逆DNSゾーン：逆DNSゾーンは、IPアドレスをホスト名（PTRレコード）にマッピングするために必要です。Kerberosは、このPTRレコードを使用してサーバーとクライアントのIDを検証します。逆DNSゾーンが適切に設定されていない場合、ホスト名解決の問題によりKerberos認証が失敗する可能性があります。
* C. 逆引きDNSレコード：逆引きDNSゾーン内の逆引きDNSレコード（PTRレコード）は、関連するすべてのホストに対して正しく設定されている必要があります。これらのレコードは、IPアドレスが正しいホスト名に解決されることを保証します。これは、KerberosがPathfinderのエンドポイントへのアクセスを認証するために不可欠です。
* 他のオプションを選択しないのはなぜですか?
* A. DNSフォワーダー：DNSフォワーダーは、ローカルDNSサーバーがDNSクエリを解決できない場合に、外部サーバーにDNSクエリをルーティングするために使用されます。一般的なDNS解決には役立ちますが、Kerberos認証やPathfinderには特に必要ありません。
* D. AD DS統合ゾーン：Active Directoryドメインサービス（AD DS）統合ゾーンは、AD環境におけるDNS管理を強化しますが、Kerberos認証に必須ではありません。Kerberosは、AD固有のDNS構成ではなく、適切な正引きおよび逆引きDNS解決に依存します。
正確な抜粋または参照:
Cortex XDRドキュメントポータルでは、Pathfinderの設定について次のように説明しています。「Kerberos認証では、DNSサーバーにホスト名解決をサポートする逆引きDNSゾーンと逆引きDNSレコードが適切に設定されていることを確認してください」（Pathfinderの設定セクションからの引用）。EDU-260：Cortex XDRの予防と導入コースでは、Pathfinderの設定について説明しており、「Kerberos認証には有効な逆引きDNSゾーンとPTRレコードが必要です」（コース資料からの引用）。Palo Alto Networks認定XDRエンジニアのデータシートには、Pathfinderの認証設定を含む「計画とインストール」が試験の主要トピックとして記載されています。
参考文献:
Palo Alto Networks Cortex XDR ドキュメント ポータル:https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の防止と展開コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート:https://www.paloaltonetworks.com/services/education
/認定#xdr-エンジニア