この勧告では、Python のコマンドライン呼び出し (例: python.
特に非技術系のビジネス部門向けに、Windows エンドポイント上での Python のコマンドライン実行 (exe または py.exe) を検知します。これには、特定の動作 (Python のコマンドライン実行) を特定し、予防措置 (プロセスのブロックなど) を強制することが含まれます。Cortex XDR では、行動侵害指標 (BIOC) を使用して、コマンドライン操作などのエンドポイント上の特定の動作パターンを定義および検出します。また、制限プロファイルと組み合わせて動作をブロックすることもできます。
* 正解分析（B）：行動指標侵害（BIOC）ルールを実装する必要があります。BIOCは、プロセス名（python.exeまたはpy.exe）やコマンドライン引数などの条件を定義することで、Pythonのコマンドライン呼び出しを検出するように構成できます。
例えば、BIOC ルールでは、コマンド ライン パターンが cmd のようなプロセス = python.exe を探すかもし​​れません。
exe /c python*。この BIOC は、非技術系のビジネスユニットによる Python の実行を防止するために制限プロファイルに追加できます。このプロファイルは、特定のエンドポイント グループ (例えば、非技術系のユニットに割り当てられたエンドポイント グループ) に適用することで対象を絞り込むことができます。
* 他の選択肢を選ばなかったのはなぜですか？
* A. 分析行動指標（ABIOC）：ABIOCは、Cortex XDRの機械学習と行動分析によって生成される分析駆動型ルールであり、ユーザー定義ルールではありません。そのため、ここで必要とされるようなカスタム検出および防止ルールの作成には適していません。
* C. 相関: 相関ルールは、複数のデータセット (ネットワークデータやエンドポイントデータなど) 間でイベントを相関させることでアラートを生成するために使用されますが、コマンドライン実行などの動作を直接防止するものではありません。
* D. 侵害指標 (IOC): IOC は、既知の脅威に関連付けられた特定のアーティファクト (ファイルハッシュ、IP アドレスなど) を検出するために使用され、コマンドライン実行などの動作パターンを検出および防止するためには使用されません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、BIOC ルールについて次のように説明しています。「侵害の行動指標 (BIOC) は、Python などのプロセスのコマンドライン呼び出しといった特定のエンドポイントの動作を検出し、制限プロファイルに追加することでそれを防止できます」（BIOC セクションからの言い換え）。EDU-260:
Cortex XDR 予防および展開コースでは、検出エンジニアリングについて説明し、「BIOC は、Windows エンドポイントでのコマンドライン実行などの特定の動作を検出してブロックするために使用されます」（コース資料からの要約）と述べています。Palo Alto Networks 認定 XDR エンジニアのデータシートには、
「検出工学」は試験の重要なトピックであり、BIOCルールの作成も含まれる。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDR の ID 脅威検出および対応 (ITDR) アドオンは、ID プロバイダー (Active Directory、Okta など) からユーザー、グループ、コンピューターの詳細を同期する Cloud Identity Engine と統合することで、ID ベースの脅威検出を強化します。Cloud Identity Engine がリージョンをまたいで包括的な ID データを提供するには、Cortex XDR テナントのリージョンに合わせて適切に構成および調整する必要があります。
* 正解分析（A）：この問題は、XDRテナントがクラウドアイデンティティエンジンと同じリージョンにないことが原因である可能性が高いです。Cortex XDRテナントはリージョン固有（北米、ヨーロッパなど）であり、クラウドアイデンティティエンジンは同じリージョンのテナントとデータを同期するように構成する必要があります。北米テナントが使用されているにもかかわらず、ヨーロッパのオフィスのIDデータが別のリージョン（ヨーロッパなど）のクラウドアイデンティティエンジンによって管理されている場合、テナントはヨーロッパのユーザーのユーザー、グループ、またはコンピューターの詳細を受信できず、上記のような問題が発生する可能性があります。
* 他の選択肢を選ばなかったのはなぜですか？
* B. Cloud Identity Engine プラグインがインストールおよび構成されていません: 質問では Cloud Identity Engine がオンボーディングされたと述べられており、インストールおよび構成済みであることを示唆しています。
この問題は、統合が完全に欠如しているのではなく、ヨーロッパのオフィスデータに特有のものである。
* C. Cloud Identity Engine をすべてのグローバルリージョンでアクティブ化する必要がある：Cloud Identity Engine をすべてのリージョンでアクティブ化する必要はありません。正しいリージョンのテナントと同期するように構成する必要がありますが、リージョンの不一致の方が起こりやすい問題です。
* D. ITDRアドオンはクラウドアイデンティティエンジンと互換性がありません: ITDRアドオンはクラウドアイデンティティエンジンと連携するように設計されているため、互換性は問題ではありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、クラウド アイデンティティ エンジンの統合について次のように説明しています。「ユーザー、グループ、およびコンピューターの詳細の適切な同期を確保するには、クラウド アイデンティティ エンジンを Cortex XDR テナントと同じリージョンに構成する必要があります」（クラウド アイデンティティ エンジンのセクションからの言い換え）。EDU-260:
Cortex XDRの予防と導入に関するコースでは、ITDRとID統合について取り上げており、「テナントとクラウドIDエンジン間のリージョンの整合性は、正確なIDデータにとって不可欠である」と述べています（コース資料からの要約）。Palo Alto Networks認定XDRエンジニアのデータシートには、「データの取り込みと統合」が主要な試験トピックとして含まれており、クラウドIDエンジンの構成も網羅しています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRは、Microsoft Azureなどのクラウドプラットフォームとの統合をサポートし、資産データを取り込むことで、クラウドベースの資産に対する可視性を向上させ、クラウドイベントとエンドポイントおよびネットワークデータを関連付けることでインシデント調査を強化します。Cortex XDRのクラウドインベントリ機能は、Azureを含むクラウドプロバイダーから資産データを収集および管理するように設計されており、仮想マシン、ストレージアカウント、ネットワーク構成などの詳細情報を提供します。
* 正解分析 (C):クラウドインベントリは、Microsoft Azure から資産データを統合するように構成する必要があります。この機能により、Cortex XDR は、コンピューティング インスタンス、ネットワーク リソース、構成などの Azure 資産に関するメタデータを取得できるため、インシデント調査中の可視性と相関性が向上します。管理者は、API 認証情報 (Azure サービス プリンシパルの使用など) を使用して Azure に接続し、資産データを Cortex XDR に同期することで、クラウドインベントリを構成します。
* 他の選択肢を選ばなかったのはなぜですか？
* A. Azure Network Watcher: Azure Network Watcherは、ネットワークの問題を監視および診断するためのMicrosoft Azureサービスですが、資産データの取り込みのためにCortex XDRと直接統合されていません。
* B. クラウドアイデンティティエンジン：クラウドアイデンティティエンジンは、IDプロバイダー（Azure ADなど）と統合して、VMやストレージなどの一般的な資産データではなく、IDベースの脅威検出のためにユーザーおよびグループデータを同期します。
* D. Microsoft 365: Cortex XDR の Microsoft 365 統合は、メールや生産性スイートのデータ (Exchange や Teams など) を取り込むためのものであり、Azure アセット データのためのものではありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、クラウド統合について次のように説明しています。「Cloud Inventory は Microsoft Azure と統合して資産データを収集し、クラウド リソースの詳細を提供することで可視性とインシデント調査を強化します」（Cloud Inventory セクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、クラウド データ統合について取り上げており、「Cloud Inventory は Azure に接続して資産メタデータを取り込み、可視性を向上させます」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、「データ取り込みと統合」が主要な試験トピックとして含まれており、Cloud Inventory の設定も含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRでは、解析ルールを使用して、取り込み時に生ログデータからフィールドを抽出し、正規化することで、データが分析や相関分析に適した構造になっていることを確認します。解析プロセスには、フィルタリング、解析、マッピングなどの段階が含まれます。フィールドデータが解析されるログが欠落している一方で、同じデータソースからの他のログは想定どおりに取り込まれている場合、問題は解析ルール自体、特にどのログを処理するかを決定するフィルタリング段階にある可能性が高いです。
* 正解分析 (C): フィルタ ステージでログがドロップされていることが最も可能性の高い原因です。解析ルールには、特定の条件に基づいてどのログを処理するかを決定するフィルタ ステージが含まれていることがよくあります (例:
（例：ログの内容、ソース、またはタイプ）。新しい解析ルールのフィルタ段階が正しく設定されていない場合（例：log_type != expected_type のような誤った条件を使用したり、ログに一致しない正規表現を使用したりした場合）、解析対象のログが破棄され、取り込みパイプラインから除外される可能性があります。同じデータソースからの他のログは正しく取り込まれているため、この問題は解析ルールのフィルタに固有のものであり、より広範な取り込みの問題ではありません。
* 他の選択肢を選ばなかったのはなぜですか？
* A. ブローカーVMがオフラインです。ブローカーVMがオフラインの場合、解析ルールで対象とした特定のログだけでなく、データソースからのすべてのログの取り込みに影響します。質問では、同じデータソースからの他のログは想定どおりに取り込まれていると述べられているため、ブローカーVMは正常に動作していると考えられます。
* B. 解析ルールがデータベースを破損させた：解析ルールは取り込み時に受信ログに対して動作し、Cortex XDRデータベースと直接やり取りしたり、データベースを破損させたりすることはありません。これは考えにくい原因であり、データベースの破損は特定のログの欠落だけでなく、より広範な問題を引き起こす可能性があります。
* D. XDRコレクターがログをドロップしている: XDRコレクターはログをCortex XDRに転送しますが、ログをドロップしている場合は、解析ルールで対象としたログだけでなく、データソースからのすべてのログに影響が出る可能性があります。他のログは正しく取り込まれているため、問題はコレクターレベルではなく、解析ルールの下流にあります。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、解析ルールの動作について次のように説明しています。「解析ルールのフィルタ ステージでは、どのログが処理されるかが決定されます。フィルタの設定が間違っているとログがドロップされ、取り込みから除外される可能性があります」（データ取り込みセクションからの言い換え）。EDU-260: Cortex XDR の予防と展開コースでは、解析ルールのトラブルシューティングについて説明し、「解析中に特定のログが欠落している場合は、フィルタ ステージでログがドロップされる可能性のある条件を確認してください」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、「データ取り込みと統合」が主要な試験トピックとして含まれており、解析ルールの設定とトラブルシューティングも含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRのコンテンツアップデートは、プラットフォームの検出および防御機能を強化します。これには、ルール、ロジック、その他のコンポーネントのアップデートが含まれており、エージェントの完全なアップグレードを必要とせずに脅威検出能力を向上させます。これらのアップデートは、エージェントソフトウェアのアップデート（エージェントのバージョンを変更するもの）やファイアウォールの設定とは異なります。
* 正解分析（B）：Cortex XDR のコンテンツ更新には、通常、行動脅威保護（BTP）ルールとローカル分析ロジックが含まれます。BTP ルールは、エンドポイントの動作に基づいて高度な脅威を検出するためのパターンを定義し、ローカル分析ロジックは、エージェントがファイルやアクティビティをローカルで分析する機能を強化し、検出精度とパフォーマンスを向上させます。
* 他の選択肢を選ばなかったのはなぜですか？
* A. デバイス制御プロファイル、エージェントバージョン、およびカーネルサポート：デバイス制御プロファイルはポリシー構成の一部であり、コンテンツ更新の一部ではありません。エージェントバージョンはソフトウェアアップグレードによって更新され、コンテンツ更新によって更新されるわけではありません。カーネルサポートはエージェントのアップグレードに含まれる場合があり、コンテンツ更新には含まれません。
* C. ウイルス対策定義とエージェントバージョン：ウイルス対策定義は、Cortex XDRのビヘイビアベースのアプローチではなく、従来のウイルス対策ソリューションに関連付けられています。エージェントバージョンは、コンテンツアップデートの一部としてではなく、個別に更新されます。
* D. ファイアウォールルールとウイルス対策定義：ファイアウォールルールは、Cortex XDRのコンテンツアップデートではなく、Palo Alto Networksのファイアウォールによって管理されます。ウイルス対策定義は、Cortex XDRの検出メカニズムとは関係ありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、コンテンツの更新について次のように説明しています。「コンテンツの更新には、検出機能を強化するための行動脅威保護 (BTP) ルールとローカル分析ロジックが含まれます」（コンテンツの更新セクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、コンテンツ管理について説明しており、「コンテンツの更新により、脅威検出を改善するために BTP ルールとローカル分析機能が強化されます」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、コンテンツの更新を含む「展開後の管理と構成」が主要な試験トピックとして記載されています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer