Cortex XDRでMicrosoft Azureのアセットデータを統合するには、クラウドインベントリを設定する必要があります。クラウドインベントリは、クラウドプロバイダーアカウント（Azure、AWS、GCPなど）に接続し、仮想マシン、ストレージアカウント、ネットワークインターフェイス、その他のクラウド リソースなどのアセット/リソース インベントリ データを取得します。これにより、Cortex XDRにクラウド コンテキストが付加され、アラートやインシデントが発生した際に、アナリストはXDRコンソールから離れることなく、関連するアセットのクラウド タグ、リソース グループ、リージョン、構成状態など、全体像を確認できます。

Palo Alto Networksの次世代ファイアウォール（NGFW）をCortex XDRに導入する際、まずデバイスを選択して検証し、Cortex XDRにログを送信できることを確認します。この手順の後、ログの取り込みが成功したことを確認することが、統合の妥当性を検証する上で非常に重要です。取り込みを確認する最も直接的で信頼性の高い方法は、XQL（XDRクエリ言語）を使用して取り込まれたログをクエリすることです。これにより、エンジニアはCortex XDR内でNGFWのログデータを検索できます。
* 正解分析 (A):NGFW ログデータに対して XQL クエリを実行することが正しいアクションです。
オンボーディング後、エンジニアは「dataset = panw_ngfw_logs | limit 10」のようなXQLクエリを実行して、Cortex XDRにNGFWログが存在するかどうかを確認できます。これにより、ログが正常に取り込まれ、適切なデータセットに保存されていることが確認され、統合が期待どおりに機能していることが保証されます。
* 他の選択肢を選ばなかったのはなぜですか？
* B. NGFW に関連するインシデントが発生するまで待つ: インシデントが発生するまで待つことは、ログの取り込みを確認するための信頼できる、または積極的な方法ではありません。インシデントは検出ルールに依存するため、ログが取り込まれていてもすぐに発生しない場合があります。
* C. 選択したデバイスに有効な証明書があることを確認します。有効な証明書はオンボーディングプロセス中（安全な通信のためなど）に必要ですが、この手順は検証プロセスの一部であり、検証後にログの取り込みを確認する方法ではありません。
* D. NGFWダッシュボードからデバイス証明書を取得する：NGFWダッシュボードからデバイス証明書を取得することは、Cortex XDRでのログ取り込みの確認とは関係ありません。証明書はセットアップ時に管理され、導入後の検証には使用されません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、NGFW ログの取り込み検証について次のように説明しています。「Palo Alto Networks NGFW ログの取り込みが成功したことを確認するには、XQL クエリ (例: dataset = panw_ngfw_logs) を実行して、ログ データが Cortex XDR に存在することを確認します」（データ取り込みセクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、NGFW の統合について説明し、「XQL クエリは、オンボーディング後に NGFW ログが取り込まれていることを検証するために使用されます」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、「データ取り込みと統合」が主要な試験トピックとして含まれており、ログ取り込み検証も含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Cortex XDR では、alateral movementalert (MITRE ATT&CK T1021 にマッピングされ、例: Remote Services) は、cmd.exe などのプロセスが関与する可能性のある、不正なネットワーク アクティビティを示します。アナリストがこの動作が許可されている (例: 管理目的での cmd /c dir の正当な使用) と判断し、今後フラグを立てるべきではない場合、エンジニアはこの特定の動作に対する今後のアラートを抑制する必要があります。これを実現する最も効果的な方法は、アラート ソース (例: Cortex XDR アナリティクス) やアラート名 (例: "Lateral Movement Detected") などの特定の基準に基づいてアラートを抑制する analert 除外ルールを作成することです。
* 正解分析（B）：アラートソースとアラート名を使用してアラート除外ルールを作成するのが推奨されるアクションです。このアプローチは、指定されたソースからの同じタイプのアラート（横方向の移動）を今後抑制することで要件に直接対応し、正当なアクティビティ（例：cmd.exe による cmd /c dir）がアラートを生成しないようにします。アラート除外は、特定のエンドポイント、ユーザー、またはその他の属性に適用するように細かく調整できるため、ターゲットを絞ったソリューションとなります。
* 他の選択肢を選ばなかったのはなぜですか？
* A. 親プロセスと特定の BIOC に対して、行動指標侵害 (BIOC) 抑制ルールを作成します。横方向の移動: BIOC 抑制ルールは特定の BIOC を抑制できますが、MITRE ATT&CK マッピングとアラートカテゴリからわかるように、問題のアラートは Cortex XDR アナリティクスによって生成されたものと思われます (カスタム BIOC ではありません)。BIOC 抑制は、アナリティクス駆動型アラートではなく、カスタム BIOC ルールにより適しています。
* C. アラートで指定された親プロセスに対して、インジェクションと防止を無効にするルールを作成します。CortexXDRには「インジェクションと防止を無効にするルール」はなく、このオプションはアラートを抑制するという目的に合致しません。インジェクション防止はエクスプロイト保護に関連するものであり、横方向移動アラートとは関係ありません。
* D. アラートで指定された親プロセスとコマンドに対して例外ルールを作成する: 親プロセス (cmd.exe) とコマンド (cmd /c dir) に対して例外を作成することで、一部の検出を防ぐことはできますが、分析に基づく横方向移動アラートを抑制する最も直接的な方法ではありません。例外は通常、エクスプロイトやマルウェアのプロファイルに対して使用され、分析に基づくアラートには使用されません。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、アラート抑制について次のように説明しています。「許可されたアラートの今後のチェックを防止するには、アラート ソースとアラート名を使用してアラート除外ルールを作成し、特定のアラート タイプを抑制します」（アラート管理セクションからの言い換え）。EDU-262: Cortex XDR 調査と対応コースでは、アラート チューニングについて説明し、「ソースと名前に基づくアラート除外ルールは、横方向の移動などの分析駆動型アラートを抑制するのに効果的です」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、アラート抑制技術を含む「検出エンジニアリング」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 調査および対応コースの目標 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer
画像に関する注記：画像は提供されていませんでしたが、親プロセス（cmd.exe）とコマンド（cmd /c dir）が関与する典型的な横方向移動アラートを想定しました。画像を共有していただくか、より詳細な情報を提供していただければ、回答をさらに改善できます。

Cortex XDR では、データ取り込みの管理には、ストレージと処理を最適化するためにログを収集、フィルタリング、または破棄するルールを定義することが含まれます。目標は、不要なログを破棄して、取り込まれるデータ量を減らすことです。オプションで使用される構文は、取り込みルールのメタデータ (例: [COLLECT] または [INGEST]) とフィルタリングロジックの組み合わせのようで、おそらくログ処理用の簡略化されたクエリ言語で記述されています。dropaction は条件に一致するログを明示的に破棄しますが、filterwithnot contains は条件に一致しないログのみを保持することで同様の結果を得ることができます。
* 正解分析 (C):オプション C のメソッド、[COLLECT:vendor="vendor", product=" product", target_dataset="", no_hit=drop] * drop _raw_log contains "undesired logs"; は、生ログの内容に「undesired logs」が含まれているログを明示的に削除します。[COLLECT] ディレクティブはログ収集範囲 (vendor、product、および dataset) を定義し、no_hit=drop パラメータは一致しないログが削除されることを示します。drop _raw_log contains "undesired logs" ステートメントは、「undesired logs」パターンに一致するログが破棄されることを保証し、取り込まれるデータ量を効果的に削減します。
* 他の選択肢を選ばなかったのはなぜですか？
* A. [COLLECT:vendor="vendor", product="product", target_brokers="", no_hit=drop] * drop _raw_log contains "undesired logs";: これはオプション C と似ていますが、target_brokers="", を使用します。これは通常、データセットの直接取り込みではなく、ブローカー VM 構成に使用されます。機能する可能性はありますが、オプション C の方が target_dataset="". を使用するため、より分かりやすいです。
* B. [INGEST:vendor="vendor", product="product", target_dataset="
vendor_product_raw", no_hit=drop] * filter _raw_log not contains "undesired logs";: このメソッドは、filter _raw_log not contains "undesired logs" を使用して条件に一致しないログを保持し、間接的に不要なログを削除します。ただし、オプション C のドロップ アクションの方が、取り込み量を削減するのに明確かつ効率的です。
* D. [INGEST:vendor="vendor", product="product", target_brokers="
vendor_product_raw", no_hit=keep] * filter _raw_log not contains "undesired logs";: no_hit=keep パラメータは、一致しないログを保持することを意味し、これはデータ削減の目的に合致しません。filter ステートメントはデータを削減しますが、no_hit=keep は一致しないログを保持することでこれを打ち消す可能性があり、オプション C よりも効果が劣ります。
正確な抜粋または参照元:
Cortex XDR ドキュメント ポータルでは、ログ取り込みルールについて次のように説明しています。「データ取り込み量を減らすには、_raw_log に 'pattern' が含まれるなどの特定のパターンに一致するログを破棄する drop アクションを使用します」（データ取り込みセクションからの言い換え）。EDU-260: Cortex XDR 予防と展開コースでは、データ取り込みの最適化について説明し、「drop _raw_log contains を使用して特定の内容のログを破棄することは、取り込まれるデータ量を減らす効果的な方法です」（コース資料からの言い換え）と述べています。Palo Alto Networks 認定 XDR エンジニア データシートには、ログのフィルタリングと破棄を含む「データ取り込みと統合」が主要な試験トピックとして含まれています。
参考文献：
Palo Alto Networks Cortex XDR ドキュメント ポータル: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR の予防と展開コースの目的 Palo Alto Networks 認定 XDR エンジニア データシート: https://www.paloaltonetworks.com/services/education
/certification#xdr-engineer

Palo Alto Networksは、ID管理において厳格な地域別データプライバシーおよびコンプライアンスの境界を適用しています。Cloud Identity Engine（CIE）がユーザー、グループ、またはコンピュータのメタデータをCortex XDR/XSIAMテナントと正常に同期および共有するには、両方のサービスが同じ地理的リージョンに存在する必要があります。
Cortexチームが、異なるリージョンのテナントに属するCloud Identity Engineインスタンスをオンボーディングした場合、またはCIEテナントの場所を北米Cortex XDRテナントに正しく設定しなかった場合、リージョン間のデータ共有がブロックされます。これにより、ヨーロッパのオフィスディレクトリインフラストラクチャが、その特定のXDRコンソールビューに反映されなくなります。