Cortex XDRでは、解析ルールを使用して、さまざまなソースから取り込まれたログデータからフィールドを抽出し、正規化することで、一貫性のある分析と相関関係を確保します。複数のデータソース間で一貫したログフィールド抽出を行うための再利用可能なルールを作成するには、管理者は解析ルール構成内のCONSTセクションを使用します。CONSTセクションでは、さまざまな解析ルールに適用できる再利用可能な定数またはルールを定義できるため、フィールドの抽出と処理方法に一貫性が生まれます。
CONSTセクションは、RULEセクションやINGESTセクションなど、解析ルールの他の部分で参照できる定数値や再利用可能な式を保持するために特別に設計されています。これは、複数のデータソースで同様のフィールド抽出ロジックが必要な場合に特に役立ちます。冗長性を減らし、一貫性を確保できるからです。たとえば、IPアドレスを抽出するための定数正規表現パターンをCONSTセクションで定義し、複数の解析ルールで再利用することができます。
* 他の選択肢を選ばなかったのはなぜですか？
* ルール: RULE セクションでは、ログエントリからフィールドを解析および抽出するための具体的なロジックを定義しますが、CONST で定義された定数を介して参照しない限り、複数のルール間で再利用することはできません。
* INGEST: INGEST セクションでは、再利用可能なルールが定義される場所ではなく、生のログデータがどのように取り込まれ、前処理されるかを指定します。
* フィルター: FILTER セクションは、条件に基づいてログ エントリを含めるか除外するために使用され、再利用可能な抽出ルールを定義するために使用されません。
正確な抜粋または参照元:
CONST セクションの目的の正確な文言は、一般公開されているドキュメントには直接記載されていませんが (一部の詳細は、EDU-260 や Cortex XDR 管理者ガイドなどの独自のトレーニング資料に記載されています)、Cortex XDR ドキュメント ポータル (docs-cortex.paloaltonetworks.com) では、データ取り込みと解析のワークフローについて説明し、再利用可能な構成のために定数を使用することを強調しています。EDU-260: Cortex XDR 予防と展開コースでは、データのオンボーディングと解析について説明し、「CONST セクションで定義された定数により、ソース間で一貫したフィールド抽出のための再利用可能な解析ロジックが可能になります」と述べています (コースの目的からの言い換え)。さらに、Palo Alto Networks 認定 XDR エンジニアのデータ シートでは、「データ ソースのオンボーディングと統合構成」が重要なスキルとして挙げられており、これには解析ルールとそのコンポーネント (CONST など) を習得することが含まれます。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDRのコンテンツアップデートは、プラットフォームの検出および防御機能を強化します。これには、ルール、ロジック、その他のコンポーネントのアップデートが含まれており、エージェントの完全なアップグレードを必要とせずに脅威検出能力を向上させます。これらのアップデートは、エージェントソフトウェアのアップデート（エージェントのバージョンを変更するもの）やファイアウォールの設定とは異なります。
* 正解分析（B）：Cortex XDR のコンテンツ更新には、通常、行動脅威保護（BTP）ルールとローカル分析ロジックが含まれます。BTP ルールは、エンドポイントの動作に基づいて高度な脅威を検出するためのパターンを定義し、ローカル分析ロジックは、エージェントがファイルやアクティビティをローカルで分析する機能を強化し、検出精度とパフォーマンスを向上させます。
* 他の選択肢を選ばなかったのはなぜですか？
* A. デバイス制御プロファイル、エージェントバージョン、およびカーネルサポート：デバイス制御プロファイルはポリシー構成の一部であり、コンテンツ更新の一部ではありません。エージェントバージョンはソフトウェアアップグレードによって更新され、コンテンツ更新によって更新されるわけではありません。カーネルサポートはエージェントのアップグレードに含まれる場合があり、コンテンツ更新には含まれません。
* C. ウイルス対策定義とエージェントバージョン：ウイルス対策定義は、Cortex XDRのビヘイビアベースのアプローチではなく、従来のウイルス対策ソリューションに関連付けられています。エージェントバージョンは、コンテンツアップデートの一部としてではなく、個別に更新されます。
* D. ファイアウォールルールとウイルス対策定義：ファイアウォールルールは、Cortex XDRのコンテンツアップデートではなく、Palo Alto Networksのファイアウォールによって管理されます。ウイルス対策定義は、Cortex XDRの検出メカニズムとは関係ありません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、コンテンツの更新について次のように説明しています。「コンテンツの更新には、検出機能を強化するための行動脅威保護 (BTP) ルールとローカル分析ロジックが含まれます」（コンテンツの更新セクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、コンテンツ管理について説明しており、「コンテンツの更新により、脅威検出を改善するために BTP ルールとローカル分析機能が強化されます」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、コンテンツの更新を含む「展開後の管理と構成」が主要な試験トピックとして記載されています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

アナリストが特定の警告（横方向の移動警告など）が無害である、または承認された活動を表していると判断し、今後インシデントコンソールをその警告で煩雑にしないようにしたい場合、Cortex XDRは警告除外ルールと呼ばれる合理化されたワークフローを提供します。
ターゲットを絞った抑制：アラート除外ルールを使用すると、アラートソース（Cortex XDR AnalyticsやBIOCなど）とアラート名を使用して、正確な一致条件を定義できます。
グローバルまたはスコープ固有：これにより、これらの識別子に完全に一致する同一の安全なアラートが、将来的にノイズの多いインシデントを発生させる前に自動的にフィルタリングされ、抑制されることが保証されます。

json_extract_scalar は、JSON 形式のログフィールドから文字列、数値、ブール値などのスカラー値を抽出するために使用されます。リモート IP、スキャンされた IP、およびソースログの値はスカラーフィールドであるため、この関数はそれらを構造化フィールドに解析するのに適しています。