Cortex XDRでは、デバイス構成プロファイル（エージェント設定プロファイルの拡張機能）によって、Cortex XDRエージェントがリムーバブルドライブのマウントなどのデバイス関連のアクティビティを監視および管理する方法が制御されます。
デフォルトでは、デバイス構成プロファイルには、USBドライブやその他のリムーバブルメディアがエンドポイントに接続されたときなど、デバイスのマウントイベントを監視する機能が含まれています。これらのイベントはログに記録され、内部関係者による不正アクセスシナリオにおけるドライブの不正使用の検出など、調査のためにアクセスできます。
* 正解分析（A）：Cortex XDRコンソールの「ホストインベントリ」→「マウント」セクションでは、各エンドポイントのマウントイベントの詳細が表示され、システムにマウントされたリムーバブルドライブに関する情報も確認できます。デフォルトのデバイス構成プロファイルでキャプチャされたデバイスマウントイベントが集約されているため、会社のラップトップに不正なリムーバブルドライブがマウントされた証拠を見つけるのに最も簡単な方法です。
* 他の選択肢を選ばなかったのはなぜですか？
* B. dataset = xdr_data | filter event_type = ENUM.MOUNT and event_sub_type = ENUM.
MOUNT_DRIVE_MOUNT: このXQLクエリは、xdr_datadatasetからマウントイベントを取得するという点では技術的には正しいのですが、手動でのクエリ実行と特定のイベントタイプに関する知識が必要です。ホストインベントリの「マウント」セクションは、このデータにアクセスするためのよりユーザーフレンドリーで直接的な方法であり、この問題を調査するエンジニアにとって推奨される選択肢です。
* C. 要求されたデータを取得するには追加の設定が必要です: これは誤りです。デフォルトのデバイス構成プロファイルは既にリムーバブルドライブのマウントイベントをキャプチャするため、追加の設定は必要ありません。
* D. preset = device_control: XQL の device_control preset は、デバイス制御関連のイベント (USB のブロックや許可などのアクション) を取得しますが、明示的に設定しない限り、マウント イベントは含まれない場合があります。この調査には、ホスト インベントリ -> マウント セクションの方が適しています。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、デバイス監視について次のように説明しています。「デフォルトのデバイス構成プロファイルでは、リムーバブル ドライブのマウント イベントがログに記録され、コンソールの [ホスト インベントリ] -> [マウント] セクションで確認できます」（デバイス構成セクションからの言い換え）。EDU-262: Cortex XDR 調査と対応コースでは、調査手法について説明し、「デフォルトのデバイス監視が有効になっているエンドポイントでは、リムーバブル ドライブのマウント イベントは [ホスト インベントリ] で確認できます」（コース資料からの言い換え）。Palo Alto Networks 認定 XDR エンジニア データシートには、エンドポイント イベントの調査を含む「メンテナンスとトラブルシューティング」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRおよびCortex XSIAMでは、ダッシュボードドリルダウンは、アナリストが特定のチャート要素またはウィジェットをクリックした際に、データをさらに詳しく調査するためのインタラクティブな経路を提供するように設計されています。カスタムウィジェットでドリルダウンを設定する場合、システムでは次のターゲットナビゲーションアクションを定義できます。
ドリルダウンを設定することで、既存の別のダッシュボードを開き、クリックしたアイテムからコンテキストフィルターを渡して、ターゲットダッシュボードの範囲を動的に変更できます。
クリックアクションを設定することで、ユーザーを直接 XQL 検索エンジンに誘導し、クリックされたビジュアライゼーションの変数（IP アドレス、ホスト名、アラートの種類など）があらかじめ入力された定義済みのクエリを自動的に実行させることができます。

Cortex XDR/XSIAMでカスタムログの取り込みとデータモデリングを設定する際、解析ルールによって、生のテキストログを特定のスキーマフィールド（IPアドレス、タイムスタンプ、ユーザー名など）に分割する方法が規定されます。
解析ルールは通常、フィルタステージ（SQLライクなフィルタや正規表現条件など）から始まり、より広範なデータストリームから処理が必要な特定のログサブタイプのみを分離して照合します。このフィルタ条件の設定が誤っていたり、制限が厳しすぎたり、タイプミスがあったりすると、解析エンジンは受信レコードの照合に失敗します。誤った解析を行う代わりに、解析エンジンはそれらの特定のログを最終データセットから削除または除外し、同じベンダーソースからのマッピングされていない他のすべてのログは完全にそのままストリームに取り込まれます。

XQLは、アナリストが異常な動作を特定するのに役立つ集計と頻度分析をサポートしています。まれなプロセス実行チェーンは、攻撃者の活動を示すことが多く、プロアクティブな脅威ハンティングにおいて貴重な指標となります。

XDR Collectorはログの収集と取り込みに使用されるものであり、エンドポイントの保護には使用されません。LinuxエンドポイントをCortex XDRの予防および検出機能で保護するには、そのエンドポイントにCortex XDRエージェントをインストールする必要があります。