Cortex XDR の ID 脅威検出および対応 (ITDR) アドオンは、ID プロバイダー (Active Directory、Okta など) からユーザー、グループ、コンピューターの詳細を同期する Cloud Identity Engine と統合することで、ID ベースの脅威検出を強化します。Cloud Identity Engine がリージョンをまたいで包括的な ID データを提供するには、Cortex XDR テナントのリージョンに合わせて適切に構成および調整する必要があります。
* 正解分析（A）：この問題は、XDRテナントがクラウドアイデンティティエンジンと同じリージョンにないことが原因である可能性が高いです。Cortex XDRテナントはリージョン固有（北米、ヨーロッパなど）であり、クラウドアイデンティティエンジンは同じリージョンのテナントとデータを同期するように構成する必要があります。北米テナントが使用されているにもかかわらず、ヨーロッパのオフィスのIDデータが別のリージョン（ヨーロッパなど）のクラウドアイデンティティエンジンによって管理されている場合、テナントはヨーロッパのユーザーのユーザー、グループ、またはコンピューターの詳細を受信できず、上記のような問題が発生する可能性があります。
* 他の選択肢を選ばなかったのはなぜですか？
* B. Cloud Identity Engine プラグインがインストールおよび構成されていません: 質問では Cloud Identity Engine がオンボーディングされたと述べられており、インストールおよび構成済みであることを示唆しています。
この問題は、統合が完全に欠如しているのではなく、ヨーロッパのオフィスデータに特有のものである。
* C. Cloud Identity Engine をすべてのグローバルリージョンでアクティブ化する必要がある：Cloud Identity Engine をすべてのリージョンでアクティブ化する必要はありません。正しいリージョンのテナントと同期するように構成する必要がありますが、リージョンの不一致の方が起こりやすい問題です。
* D. ITDRアドオンはクラウドアイデンティティエンジンと互換性がありません: ITDRアドオンはクラウドアイデンティティエンジンと連携するように設計されているため、互換性は問題ではありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、クラウド アイデンティティ エンジンの統合について次のように説明しています。「ユーザー、グループ、およびコンピューターの詳細の適切な同期を確保するには、クラウド アイデンティティ エンジンを Cortex XDR テナントと同じリージョンに構成する必要があります」（クラウド アイデンティティ エンジンのセクションからの言い換え）。EDU-260:
Cortex XDRの予防と導入に関するコースでは、ITDRとID統合について取り上げており、「テナントとクラウドIDエンジン間のリージョンの整合性は、正確なIDデータにとって不可欠である」と述べています（コース資料からの要約）。Palo Alto Networks認定XDRエンジニアのデータシートには、「データの取り込みと統合」が主要な試験トピックとして含まれており、クラウドIDエンジンの構成も網羅しています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Palo Alto Networks Cortex XDR/XSIAMでは、解析ルールはXQLの特殊なバリアントを使用して、クラウドデータレイクのストレージライセンスを消費する前に、受信した生ログを処理、正規化、および選択的にフィルタリングします。
コアブロック構造：カスタム解析ルールでは、ログトラフィックをアクティブなリポジトリ（target_datasetで指定）にルーティングするために、INGEST宣言ブロックを使用する必要があります。COLLECTブロック（オプションAおよびCに見られる）は、この解析ワークフローには構造的に不適切です。
フィルタリングメカニズム: ステートメント filter _raw_log not contains "undesired logs"; は、受信したログを評価し、ノイズや不要なシグネチャに一致しない行のみを保持します。
no_hit によるドロップされたトラフィックの処理: ここで重要な設定は、パラメータ no_hit=drop です。この設定により、完全にフィルタリングされたログ行、または解析ロジックの条件に一致しなかったログ行は、取り込み段階で永久にドロップされ、データベースへの書き込みが防止され、取り込み量のメトリクスが削減されます。

高可用性（HA）環境では、Cortex XDR の Broker VM はローカルプロキシとして機能し、エージェント通信、コンテンツキャッシュ、インストーラ配布を容易にすることで、クラウドへの直接接続への依存度を低減します。フェイルオーバー後もエージェントインストーラの可用性と効率的なコンテンツキャッシュを確保するには、Broker VM が、たとえ 1 つの VM が故障した場合でもエージェント要求を一貫して処理できるように構成する必要があります。そのためには、適切な SSL 証明書管理と負荷分散を行い、トラフィックを複数の Broker VM に分散させる必要があります。
* 正解分析 (B): エンジニアは、通信を保護し、エージェントとブローカー VM 間の信頼を確保するために、署名済みの SSL サーバー証明書とキーを各ブローカー VM にアップロードする必要があります。
さらに、ブローカーVMの前にロードバランサーを配置することで、トラフィックを複数のVMに分散させることができ、フェイルオーバー時にも可用性とパフォーマンスの一貫性を確保できます。ロードバランサーは、設定済みのブローカーVMのFQDNを使用してエージェント要求をルーティングし、署名付きSSL証明書によって安全で途切れのない通信が保証されます。この構成は、エージェントとの安定した接続ポイントを維持することで、コンテンツのキャッシュとインストーラーの配布をサポートします。
* 他の選択肢を選ばなかったのはなぜですか？
* A. すべての Broker VM に共有 SSL 証明書とキーを使用し、フェイルオーバー用に単一の IP アドレスを構成する: 共有 SSL 証明書は使用できますが、フェイルオーバー用に単一の IP アドレスを構成する (VRRP またはフローティング IP 経由など) 方法は、ロード バランサーよりも柔軟性が低く、複数の VM 間でのコンテンツ キャッシュやインストーラーの配布を効率的に処理できない場合があります。Cortex XDR の HA 構成では、ロード バランサーの使用が推奨されます。
* C. ロードバランサーをデプロイし、ロードバランサーで SSL 終端を設定します。ロードバランサーで SSL 終端を行うということは、ロードバランサーがトラフィックを復号化してから Broker VM に転送するため、ロードバランサーと VM 間の通信は暗号化されないことを意味します。Cortex XDR では、セキュリティのために Broker VM にエンドツーエンドの SSL 暗号化が必要であり、SSL 終端を行うと証明書の管理が複雑になるため、この方法は推奨されません。
* D. ブローカー VM 間で同期セッションの永続性を有効にし、自己署名証明書とキーを使用します。自己署名証明書は、エージェントとの信頼性の問題を引き起こし、手動での構成が必要になる可能性があるため、本番 HA 環境では推奨されません。
同期セッションの永続化は、ブローカーVMの標準機能ではなく、コンテンツのキャッシュやインストーラーの可用性には不要です。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、ブローカー VM の HA 構成について次のように説明しています。「高可用性を実現するには、ロード バランサーの背後に複数のブローカー VM をデプロイし、署名済みの SSL サーバー証明書とキーを各 VM にアップロードしてエージェント通信を保護します」（ブローカー VM のデプロイ セクションからの言い換え）。EDU-
260: Cortex XDR 予防と展開コースでは、ブローカー VM のセットアップについて説明し、「署名付き SSL 証明書を備えたロードバランサーは、HA 環境でのエージェントインストーラの可用性とコンテンツのキャッシュを保証します」（コース資料からの要約）と述べています。Palo Alto Networks 認定 XDR エンジニアのデータシートには、
試験の主要トピックは「計画とインストール」であり、HA（高可用性）のためのブローカーVMの展開が含まれます。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

BIOC（行動指標による侵害）は、Cortex XDRにおいて特定の行動を検出し、ブロックするための適切なメカニズムです。ハッシュベースやシグネチャベースの検出とは異なり、BIOCは行動パターン（プロセスアクティビティ、ファイル操作、ネットワーク接続、レジストリ変更など）に基づいて照合を行います。
検出から防止（ブロック）に移行するには、BIOCを強制適用をサポートするプロファイルに追加する必要があります。カスタムBIOCをブロックアクションとともに格納するには、エクスプロイトセキュリティプロファイルが適切なプロファイルタイプです。ブロックアクションを持つBIOCがエクスプロイトプロファイルに追加され、そのプロファイルがポリシーによって適用されると、一致する動作が積極的に防止されます。

Cortex XDR の Broker VM 上の Database Collector アプレットは、データベースに直接クエリを実行することで、データベースのアクティビティ ログを取り込むために使用されます。アプレットを設定するには、データベースに接続するための有効な認証情報（ユーザー名とパスワードなど）が必要です。さらに、収集するデータ（特定のテーブル、列、イベント（ログイン アクティビティやデータ変更など））を指定するために、有効な SQL クエリを指定する必要があります。
* 正解分析（A）：データベースコレクターアプレットを構成するには、目的のデータを対象とした有効なSQLクエリが必要です。このクエリは、どのデータベースレコードまたはイベントを取得してCortex XDRに送信し、分析するかを定義します。これにより、アプレットは関連データのみを収集し、取り込みと分析を最適化します。
* 他の選択肢を選ばなかったのはなぜですか？
* B. データベース監査ログへのアクセス: 監査ログには関連するアクティビティが含まれている可能性がありますが、データベースコレクターアプレットは監査ログにアクセスするのではなく、SQL を使用してデータベースを直接クエリします。
監査ログは通常、Filebeatやsyslogなどの他の方法を介して取り込まれます。
* C. 正しい形式でエクスポートされたデータベーススキーマ：データベースコレクターはエクスポートされたスキーマを必要としません。SQLクエリによってデータ構造が暗黙的に定義され、Cortex XDRは取り込み時にクエリされたデータをそのスキーマにマッピングします。
* D. データベーストランザクションログへのアクセス: トランザクションログは、データベースの復旧またはレプリケーションに使用され、SQLクエリに依存するデータベースコレクターアプレットによる直接的なデータ収集には使用されません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、データベース コレクター アプレットについて次のように説明しています。「データベース コレクターを構成するには、有効な認証情報と、目的のデータベース アクティビティを取得するための有効な SQL クエリを指定します」（ブローカー VM アプレットのセクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、データ取り込みについて説明しており、「データベース コレクター アプレットでは、データベースから取り込むデータを指定するために SQL クエリが必要です」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、データベース コレクターの構成を含む「データ取り込みと統合」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer