MITRE ATT&CKは、攻撃者の戦術と技術を構造化されたフレームワークに整理したものです。
検出結果をATT&CKにマッピングすることで、アナリストは攻撃の進行状況を理解し、調査の優先順位を付け、脅威ハンティング戦略を改善することができます。

自動応答プレイブックの正確なトリガー条件を設計するには、要求された運用パラメータを明示的に一致させる必要があります。
「重大度の高いマルウェアアラート」$\rightarrow$ A（アラートの重大度が高）この条件により、プレイブックは情報、低、または中程度の重大度のイベントを除外し、インシデントが高リスクのしきい値に達した場合にのみアクティブ化されます。Cortex XDR 分析エンジンによって生成されたアラートのトリガーであり、カスタム BIOC のトリガーではありません」
$\rightarrow$ B (アラートソースは Cortex XDR Analytics)アラートソースフィールドは、アラートを生成した検出エンジンを指定します。ソースを Cortex XDR Analytics に制限することで、機械学習/異常アラートを完全に分離し、BIOC または IOC ルールエンジンから生成されたイベントを無視することで、要件をネイティブに満たすことができます。

パーミッシブモードでは、エンドポイントがユーザーに割り当てられたスコープに一致する場合、そのエンドポイントが他のエンドポイントグループにも属している場合でもアクセスが許可されます。Site2をユーザースコープに追加することで、ユーザーは他のグループメンバーシップに関係なく、そのグループ内のすべてのエンドポイントにアクセスできるようになります。

Cortex XDRの相関ルールは、データレイクに対してスケジュールに基づいて実行されます。新しい相関ルールが作成され、その条件が満たされると、相関ルールの最小実行/スケジュール間隔である10～20分後に、最短でアラートが自動的に生成されます。
この点が、相関ルールとBIOC（バイオインテリジェンス・オペレーションズ・コントロール）との違いです。BIOCはエージェントレベルでリアルタイム（即時）に動作します。相関ルールは取り込まれたログデータに対してバッチ処理されるため、必然的に遅延が発生します。

数千台のエンドポイントがPalo Alto Networksクラウド（Cortex XDRテナント）から直接アップデートをダウンロードする際に発生する帯域幅コストを削減するには、ファイルの配布先をローカライズする必要があります。選択された2つの手法は、いずれもこの目的を効果的に達成します。
Cortex XDRは、エージェントのアップグレードおよびコンテンツの更新において、ピアツーピア（P2P）配信をサポートしています。
有効にすると、同じローカルサブネット上のエンドポイント間でダウンロードしたファイルが共有されます。
1,000台のリモートマシンやオフィスマシンがインターネットから100MBのアップデートをダウンロードする代わりに、ごく一部のマシンだけがクラウドからダウンロードし、残りのマシンはLAN/WLAN経由でローカルにダウンロードすることで、外部帯域幅のコストを大幅に削減できます。
オンプレミスのブローカーVMをデプロイし、そのキャッシュ機能を有効にすることで、Cortex XDRのローカルプロキシサーバーとして機能します。ブローカーVMはクラウドからコンテンツアップデートとエージェントインストーラを一度ダウンロードし、すべてのローカルエンドポイントはブローカーVMを経由してアップデートを取得するため、インターネット帯域幅の消費を最小限に抑えることができます。