C と D はどちらも、この複雑なシナリオに対処するための強力で効果的な方法です。C: 個別のルールを作成する: これは、アカウントの種類に基づいて異なるロジックを適用する、単純かつ効果的な方法です。標準ユーザーアカウント（しきい値が低い）用のルールと、特定のサービスアカウントを特にターゲットとする、同一のルール（しきい値が高い）を作成します。これにより、監視ロジックが明確に分離されます。D: コンテキストテーブル/ルックアップリストを活用する: これは、特に多数のサービスアカウントがある場合や、サービスアカウントの種類ごとに異なるしきい値を設定している場合に、より洗練されたスケーラブルなソリューションです。XSIAM で「コンテキストテーブル」（「ルックアップリスト」とも呼ばれます）を管理し、サービスアカウント名と必要なログイン失敗しきい値をマッピングします。インジケータールールのXQLクエリは、このテーブルを「結合」または「検索」して、イベント内の「user_name」に基づいて適切なしきい値を動的に適用できます。これにより、しきい値管理が一元化され、複数の静的ルールの必要性が軽減されます。オプションAは、すべてのアカウントの感度を低下させ、ユーザーベースのブルートフォース攻撃を見逃す可能性があります。オプションBは、依然として侵害の指標となる可能性のあるサービスアカウントの問題を完全に無視します。オプションEは、ルールの最適化ではなく、検出後の自動化です。それでも誤検知が発生し、アラートのトリアージに時間がかかります。

インシデント対応者の効率を向上させ、MTTRを短縮するための最も効果的なコンテンツ最適化戦略は、インシデントレイアウトを再設計することです。主要なIOC、MITRE ATT&CK手法、影響を受ける資産を上部に目立つように表示することで、対応者は無関係なデータを精査することなく、最も重要な情報を迅速に把握でき、アラート疲れや優先順位付けの問題に直接対処できます。XSIAMのインシデントレイアウトカスタマイズは、この目的のために設計されています。オプションAはアラートを抑制するだけで、調査のためにコンテンツを最適化するものではありません。オプションCは不要な複雑さをもたらします。オプションDとEは、コンテンツの最適化や効率化には対応していません。

オプション C は、最も完全で効率的なアプローチを提供します。-「DNS 解決: XSIAM 内でドメインを IP に直接解決します。-「WHOIS ドメイン ルックアップ」と「WHOIS IP ルックアップ (「ループ」内): ドメインと IP の WHOIS ルックアップ専用のタスク。-「SLOOP」(「汎用 API 呼び出し」を使用した複数の TIPS 用): レピュテーション チェックに API を使用し、さまざまな TIPS を効率的に反復処理できるようにします。-「インシデント フィールドの設定」(データ ストレージ用): 収集されたエンリッチメント データをインシデント コンテキスト内に保存する正しい方法です。-「インシデント タグの更新」: 分析に基づいて関連するタグを適用します。-「汎用 API 呼び出し」(NGFW API 用): 特に今回のような動的ブロックの場合、ブロッキングのために Palo Alto Networks NGFW と対話する標準的で安全な方法です。オプション B は「コマンド ラインの実行」を使用しますが、これは統合性が低く、外部のルックアップや対話には安全性が低くオプション D と E はシナリオとはまったく関係ありません。

オプション D は、スコアリング ルールに最も適切な XQL パターンです。スコアリング ルールは、アラート オブジェクト自体を操作します。「アラート」データセットには (暗黙的に、または強化されたアラートの一部のコンテキストでは明示的に) などのフィールドが含まれます。ドメイン パターンで「endsWith」または「contains」を使用すると、クラウド サービスで一般的なサブドメインに対する柔軟なマッチングが可能になります。オプション A は、アラート オブジェクトではなく、生の XDR データをクエリします。オプション B は構文的には妥当ですが、containS は「endsWith」よりもドメイン マッチングの精度が低くなります。オプション C は、スコアリング ルールの条件内での単純なアラート フィールド チェックでは通常必要なく、直接サポートされない結合を試行します。オプション E は構成変更であり、スコアリング ルールの XQL クエリではありません。

オプションBは、ターゲットを絞ったASM検出ルールに最適です。XQLクエリは、アセットメタデータ（xdr_asset_inventoryのタグ）とネットワークテレメトリ（xdr_network_sessions）を効果的に組み合わせることで、ポート3389で通信している特定のタグを持つマシンを正確に特定できます。これにより、特定の組織コンテキストに基づいたきめ細かな検出が可能になります。オプションAも利用可能ですが、XQLによるOUタグと環境タグに基づくカスタマイズにより、より正確な検出が可能になります。オプションCは自動検出ではなく、視覚的な識別を目的としています。オプションDは修復アクションであり、検出ルールではありません。オプションEは定期的なスキャンアプローチですが、ASMルールはライブテレメトリに基づく継続的な監視を提供します。