Cortex XDRでは、自動化プレイブック（応答アクションまたは自動化ルールとも呼ばれます）を使用すると、エンジニアはトリガー条件に基づいて特定の警告に対する自動応答を定義できます。このシナリオのプレイブックでは、Cortex XDR分析エンジンによって生成された重大度の高いマルウェア警告（カスタムBIOC警告を除く）について、エンドポイントを隔離し、電子メール通知を送信する必要があります。これを実現するには、エンジニアは、警告の重大​​度、カテゴリ、およびソースに一致する条件を使用して、プレイブックのトリガーを設定する必要があります。
* 正解分析（A、C）：
* A. アラートの重大度が「高」の場合：要件で指定されているように、プレイブックは重大度の高いアラートに対してのみトリガーされる必要があります。条件「アラートの重大度が高」を設定することで、エンジニアの目標に沿って、重大度レベルが「高」のアラートのみがプレイブックをアクティブ化することが保証されます。
* C. アラートカテゴリがマルウェア: このプレイブックは、マルウェアのアラートを特に対象としています。「アラートカテゴリがマルウェア」という条件により、プレイブックはマルウェアとして分類されたアラートにのみ応答し、他の種類のアラート（横方向の移動、エクスプロイトなど）は除外されます。
* 他の選択肢を選ばなかったのはなぜですか？
* B. アラートソースが Cortex XDR Analytics の場合: この条件により、プレイブックは Cortex XDR 分析エンジンからのアラートのみをトリガーし (カスタム BIOC はトリガーしない) ますが、BIOC アラートは通常、異なるカテゴリに分類されるため (カスタムアラートや特定の BIOC カテゴリなど)、BIOC を除外するという要件は既に​​暗黙的に満たされています。アラートカテゴリ (マルウェア) と深刻度 (高) の条件は、分析によって生成されるマルウェアアラートを対象とするのに十分であり、ソース条件を追加することは、明示された要件を満たすために厳密には必要ありません。ただし、エンジニアがより明確にしたい場合は、この条件を検討することもできますが、質問では、深刻度とカテゴリという 2 つの最も重要な条件を求めています。
* D. アラートステータスが新規: アラートステータス（新規、進行中、解決済みなど）によってアラートの調査段階が決まりますが、要件ではプレイブックが新規アラートに対してのみトリガーされるべきとは規定されていません。「進行中」ステータスのアラートでも、隔離が必要な重大度の高いマルウェアアラートである可能性があるため、この条件は必須ではありません。
アラート ソースに関する追加注記: カスタム BIOC を除外し Cortex XDR 分析アラートに焦点を当てるという要件は、分析駆動型マルウェア アラート (e.
例えば、WildFireや行動分析から得られたアラートは「マルウェア」に分類されますが、BIOCアラートは多くの場合、異なるタグ（例えば、カスタムルール）が付けられます。質問がソースによる明示的なフィルタリングの必要性を強調していた場合、オプションBが適切ですが、プレイブックの主な条件は深刻度とカテゴリです。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、自動化プレイブック トリガーについて次のように説明しています。「プレイブック トリガーは、アラートの重大度 (例: 高) やアラート カテゴリ (例: マルウェア) などの条件で構成でき、エンドポイントの隔離や電子メール通知などの対応を自動化できます」（自動化ルール セクションからの言い換え）。
EDU-262: Cortex XDR調査および対応コースでは、プレイブックの作成について説明しています。
「アラートの重大度やカテゴリなどの条件により、プレイブックは、アナリティクスからの重大度の高いマルウェアアラートなど、特定のアラートタイプを対象とすることができます」（コース資料からの要約）。Palo Alto Networks認定XDRエンジニアのデータシートには、トリガー条件の設定を含む「プレイブックの作成と自動化」が主要な試験トピックとして記載されています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDR の XDR Collector は、Windows および Linux システムを含むサーバーやエンドポイントからログとイベントを収集し、分析のために Cortex XDR クラウドに転送する軽量ツールです。設定を簡素化するために、Cortex XDR はさまざまなログ収集方法に対応した組み込みテンプレートを提供しています。この質問は、Windows システムと Linux システムの両方に適用できる組み込みテンプレートを備えた構成プロファイルオプションについて尋ねています。
* 正解分析 (A): Filebeat は Cortex XDR の XDR Collector でサポートされている多機能ログシッパーで、Windows と Linux システムの両方のファイルからログを収集するための組み込みテンプレートを備えています。
Filebeatは、さまざまなソース（アプリケーションログ、システムログなど）からログを収集するように設定でき、プラットフォームに依存しないため、多様な環境に適しています。Cortex XDRは、一般的なログタイプの設定を効率化し、オペレーティングシステム間の互換性を確保するために、事前に設定されたFilebeatテンプレートを提供します。
* 他の選択肢を選ばなかったのはなぜですか？
* B. HTTPコレクターテンプレート：HTTPコレクターテンプレートは、HTTP経由でデータを取り込むために使用されます。
HTTPS APIは、WindowsやLinuxシステムに特化したものではなく、プラットフォームベースのログ収集方法でもありません。また、Filebeatと比較すると、システムレベルのログ収集にはあまり使用されていません。
* C. XDR コレクター設定: 「XDR コレクター設定」は XDR コレクターの一般的な構成を指しますが、特定のテンプレートではありません。XDR コレクターは実際のログ収集に Filebeat や Winlogbeat などのテンプレートを使用するため、このオプションは曖昧すぎます。
* D. Winlogbeat: Winlogbeatは、Windowsイベントログの収集専用に設計されたログシッパーです。Linuxシステムではサポートされていないため、どちらのプラットフォームにも適していません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、XDR コレクター テンプレートについて次のように説明しています。「Filebeat テンプレートは、Windows システムと Linux システムの両方のファイルからログを収集するために提供されており、プラットフォーム間での柔軟なログ取り込みを可能にします」（データ取り込みセクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、XDR コレクターの設定について説明し、「Filebeat は、Windows と Linux 用の組み込みテンプレートによってサポートされる、クロス プラットフォームのログ収集ソリューションです」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、XDR コレクター テンプレートを含む「データ取り込みと統合」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer