Cortex XDR では、データ取り込みの管理には、ストレージと処理を最適化するためにログを収集、フィルタリング、または破棄するルールを定義することが含まれます。目標は、不要なログを破棄して、取り込まれるデータ量を減らすことです。オプションで使用される構文は、取り込みルールのメタデータ (例: [COLLECT] または [INGEST]) とフィルタリングロジックの組み合わせのようで、おそらくログ処理用の簡略化されたクエリ言語で記述されています。dropaction は条件に一致するログを明示的に破棄しますが、filterwithnot contains は条件に一致しないログのみを保持することで同様の結果を得ることができます。
* 正解分析 (C):オプション C のメソッド、[COLLECT:vendor="vendor", product=" product", target_dataset="", no_hit=drop] * drop _raw_log contains "undesired logs"; は、生ログの内容に「undesired logs」が含まれているログを明示的に削除します。[COLLECT] ディレクティブはログ収集範囲 (vendor、product、および dataset) を定義し、no_hit=drop パラメータは一致しないログが削除されることを示します。drop _raw_log contains "undesired logs" ステートメントは、「undesired logs」パターンに一致するログが破棄されることを保証し、取り込まれるデータ量を効果的に削減します。
* 他の選択肢を選ばなかったのはなぜですか？
* A. [COLLECT:vendor="vendor", product="product", target_brokers="", no_hit=drop] * drop _raw_log contains "undesired logs";: これはオプション C と似ていますが、target_brokers="", を使用します。これは通常、データセットの直接取り込みではなく、ブローカー VM 構成に使用されます。機能する可能性はありますが、オプション C の方が target_dataset="". を使用するため、より分かりやすいです。
* B. [INGEST:vendor="vendor", product="product", target_dataset="
vendor_product_raw", no_hit=drop] * filter _raw_log not contains "undesired logs";: このメソッドは、filter _raw_log not contains "undesired logs" を使用して条件に一致しないログを保持し、間接的に不要なログを削除します。ただし、オプション C のドロップ アクションの方が、取り込み量を削減するのに明確かつ効率的です。
* D. [INGEST:vendor="vendor", product="product", target_brokers="
vendor_product_raw", no_hit=keep] * filter _raw_log not contains "undesired logs";: no_hit=keep パラメータは、一致しないログを保持することを意味し、これはデータ削減の目的に合致しません。filter ステートメントはデータを削減しますが、no_hit=keep は一致しないログを保持することでこれを打ち消す可能性があり、オプション C よりも効果が劣ります。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、ログ取り込みルールについて次のように説明しています。「データ取り込みを減らすには、_raw_log に 'pattern' が含まれるなどの特定のパターンに一致するログを破棄する drop アクションを使用します」（データ取り込みセクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、データ取り込みの最適化について説明し、「drop _raw_log contains を使用して特定の内容のログを破棄することは、取り込まれるデータ量を削減する効果的な方法です」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、ログのフィルタリングと破棄を含む「データ取り込みと統合」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRでは、静的エンドポイントグループは、エンドポイント識別子（IPアドレス、ホスト名、エイリアスなど）を含むファイルを「ファイルからアップロード」機能を使用してアップロードすることで作成される、手動で定義されたエンドポイントのグループです。グループに追加されるエンドポイントの数が想定よりも少ない場合（例えば、321ではなく244の場合）、エンドポイントの状態や登録に関連するいくつかの原因が考えられます。
* 正解分析（C、D）：
* **C. グループに追加されたエンドポイントは、グループメンバーシップが追加された時点でグループステータスが切断または接続喪失の状態でした: エンドポイントが切断または接続喪失の状態 (つまり、Cortex XDR テナントとアクティブに通信していない) の場合、グループに正常に追加されない可能性があります。これは、Cortex XDR がグループメンバーシップを検証および処理するためにアクティブな登録を必要とするためです。
* D. エンドポイントの IP アドレス、ホスト名、またはエイリアスは、テナントに登録されている既存のエージェントと一致する必要があります。エンドポイントを静的グループに追加するには、アップロードされたファイル内の識別子 (IP アドレス、ホスト名、またはエイリアス) が Cortex XDR テナントに登録されているエージェントに対応している必要があります。識別子が登録済みのエージェントと一致しない場合、それらのエンドポイントはグループに追加されません。
* 他の選択肢を選ばなかったのはなぜですか？
* A. ファイルから追加する場合、静的グループのエンドポイントの制限は 250 です。Cortex XDR の「ファイルからアップロード」機能を使用する場合、静的グループのエンドポイントの制限が 250 であるという文書化された制限はありません。
このプラットフォームは多数のエンドポイントをグループとしてサポートしており、これは正当な理由にはなりません。
* B. 新しいグループに追加されたエンドポイントは、以前に既存のグループに追加されていた：Cortex XDRでは、競合を避けるためにエンドポイントはポリシー適用用に単一のグループに割り当てられますが、これは作成時にエンドポイントが新しい静的グループに追加されることを防ぐものではありません。問題は、以前のグループメンバーシップではなく、登録または接続性にあります。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、エンドポイント グループ管理について次のように説明しています。「エンドポイントを静的グループに追加するには、エンドポイントがテナントに登録され、アクティブに接続されている必要があります。未登録または切断されたエンドポイントはグループに含めることができません」（エンドポイント管理セクションからの言い換え）。EDU-
260: Cortex XDR 予防および展開コースでは、グループの作成について説明されており、「静的グループには有効な登録済みエンドポイント識別子が必要であり、切断されたエンドポイントは追加できない」と記載されています（コース資料からの要約）。Palo Alto Networks 認定 XDR エンジニアのデータシートには、エンドポイント グループ管理を含む「Cortex XDR エージェント構成」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRエージェントは、コンテンツの更新受信、エージェントのアップグレード、テレメトリデータの送信などのタスクのためにクラウドと通信しますが、これらのタスクは相当なネットワーク帯域幅を消費する可能性があります。エージェントの機能を損なうことなく帯域幅の使用を最適化するには、エンジニアは、検出、防御、および対応機能を完全に維持しながらネットワークトラフィックを削減する手法を実装する必要があります。
* 正解分析（A、C）：
* A. エージェントのアップグレードとコンテンツの更新用に P2P ダウンロード ソースを設定します。ピアツーピア (P2P) ダウンロード ソースを使用すると、Cortex XDR エージェントは、同じネットワーク上の他のエージェントとコンテンツの更新やエージェントのアップグレードを共有できるため、各エージェントがクラウドから直接データをダウンロードする必要性が軽減されます。これにより、特にエンドポイントが多い環境では、帯域幅の使用量が大幅に削減されます。
* C. エージェントコンテンツ管理の帯域幅制御を有効にする：Cortex XDRは、コンテンツ管理構成で帯域幅制御設定を提供し、管理者がコンテンツの更新とエージェント通信に使用される帯域幅を制限できるようにします。この機能は、データ転送を制限してネットワークへの影響を最小限に抑えつつ、更新が確実に配信されるようにします。
* 他の選択肢を選ばなかったのはなぜですか？
* B. マイナーコンテンツバージョン更新を有効にする：マイナーコンテンツバージョン更新を有効にすると、エージェントは増分更新を受け取ることができますが、これだけではデータ転送量や頻度に対処するものではないため、帯域幅を大幅に最適化することはできません。これは標準的な手法ではありますが、主要な帯域幅最適化手法ではありません。
* D. Broker VM をデプロイし、ローカルエージェント設定アプレットをアクティブ化します。Broker VM はエージェント通信のローカルプロキシとして機能し、クラウドトラフィックを削減できる可能性がありますが、ローカルエージェント設定アプレットはエージェント設定をローカルで構成するために使用され、帯域幅の最適化には使用されません。
さらに、ブローカーVMの導入にはかなりのセットアップが必要であり、P2Pや帯域幅制御と比較して、コンテンツの更新やアップグレードに必要な帯域幅の問題に直接対処できない可能性があります。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、帯域幅の最適化について、「P2P ダウンロード ソースを使用すると、エージェントがコンテンツの更新とアップグレードをローカルで共有できるため、クラウドの帯域幅の使用量が削減されます」および「コンテンツ管理の帯域幅制御により、管理者はエージェントの更新によるネットワークへの影響を制限できます」（エージェント管理およびコンテンツ更新のセクションからの言い換え）と説明しています。EDU-260: Cortex XDR 予防と展開コースでは、展開後の最適化について説明しており、「P2P ダウンロードと帯域幅制御設定は、ネットワーク使用量を最小限に抑えるための重要な手法です」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、帯域幅の最適化を含む「展開後の管理と構成」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Windowsエンドポイント上のXDRコレクターは、ログ（Windowsイベントログなど）を収集し、分析のためにCortex XDRコンソールに転送します。OSのアップグレードは、特にログのフォーマット、サイズ、または互換性に影響を与える場合、コレクターの機能に影響を与える可能性があります。アップグレード後にログイベントが観測されなくなった場合は、ログの処理方法または送信方法の変更が原因である可能性が高いです。Cortex XDRは、効率的な取り込みと処理を確保するために、ログイベントのサイズに制限を設けています。
* 正解分析（A）：考えられる原因は、ログイベントが5MBを超えていることです。Cortex XDRには、取り込み時のパフォーマンス問題を防止するため、個々のログイベントのサイズ制限（通常約5MB）が設定されています。OSのアップグレードによってログの生成方法（詳細度の増加やメタデータの追加など）が変更され、イベントがこの制限を超える場合があります。ログイベントが5MBを超えると、XDRコレクターはそれらを破棄するため、コンソールにログが表示されなくなります。
* 他の選択肢を選ばなかったのはなぜですか？
* B. それらはWinlogbeat形式です。WinlogbeatはWindowsイベントログを収集するためのサポートされているログシッパーであり、XDRコレクターはこの形式と互換性があります。設定ミスがない限り、形式自体に問題はありません。ただし、そのような設定ミスは示されていません。
* C. ファイルビート形式であること：XDR Collectorは、ファイルベースのログに対してFilebeatもサポートしています。OSのアップグレードによってログソースが変更された場合を除き、形式が原因である可能性は低いですが、その変更については明記されていません。
* D. 1MB未満の場合: Cortex XDRではログイベントの最小サイズ制限がないため、1MB未満であってもログが表示されなくなることはありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、ログの取り込み制限について次のように説明しています。「5MB を超える個々のログ イベントは、OS のアップグレードなどの変更後に発生する可能性のある取り込みの問題を防止するために、XDR コレクターによって破棄されます」（XDR コレクターのトラブルシューティング セクションからの言い換え）。EDU-260: Cortex XDR の予防と展開コースでは、ログ収集の問題について取り上げており、「5MB を超えるログ イベントは取り込まれません。これは、ログ サイズが増加する OS のアップグレード後によく発生する問題です」（コース資料からの言い換え）と述べています。
Palo Alto Networks認定XDRエンジニアのデータシートには、ログの取り込みに関する問題を含む「保守とトラブルシューティング」が主要な試験トピックとして記載されています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRでは、データは異なる階層に保存されます。ホットストレージ（最近頻繁にアクセスされるデータ用）、コールドストレージ（古い、アクセス頻度の低いデータ用）、およびクエリ中にコールドストレージから取得されるデータ用の一時ホットストレージキャッシュです。コールドストレージからデータがクエリされると、後続のクエリのアクセスを高速化するために、データは一時ホットストレージキャッシュに移動されます。この質問は、このデータがキャッシュに保持される期間と、再クエリの最大期間を尋ねています。
* 正解分析（B）：コールドストレージから取得したデータは、一時的なホットストレージキャッシュに24時間保持されます。この期間内にデータが再照会された場合、キャッシュ内でアクセス可能です。再照会の最大期間は7日間で、その後はデータをコールドストレージから再度取得する必要があり、追加の処理時間が発生します。
* 他の選択肢を選ばなかったのはなぜですか？
* A. 1 時間、最大 12 時間まで再照会: これらの期間は短すぎ、ホット ストレージ キャッシュの Cortex XDR のデータ保持ポリシーと一致しません。
* C. 24 時間、最大 14 日間まで再クエリ可能: 初期の 24 時間キャッシュ期間は正しいですが、再クエリの最大 14 日間は長すぎ、Cortex XDR のドキュメントではサポートされていません。
* D. 1 時間、最大 24 時間まで再照会: Cortex XDR は照会されたデータを 24 時間保持するため、1 時間の初期キャッシュ期間は誤りです。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、データ ストレージについて次のように説明しています。「コールド ストレージからクエリされたデータは、ホット ストレージに 24 時間キャッシュされ、再クエリできる期間は最大 7 日です」（データ管理セクションからの言い換え）。EDU-262: Cortex XDR 調査および対応コースでは、データ保持について説明しており、「クエリされたコールド ストレージ データは、ホット キャッシュに 24 時間保持され、再クエリにより最大 7 日間アクセス可能です」（コース資料からの言い換え）。Palo Alto Networks 認定 XDR エンジニア データ シートには、データ ストレージ管理を含む「メンテナンスとトラブルシューティング」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer