オプション B は、「Pod エスケープ」またはコンテナからホストへの侵害を検出するのに最も効果的です。ホスト レベルの 'xdr_process_eventS で、コンテナ エスケープでよく使用される疑わしいコマンド ('nsenter'、'chroot' や 'mount /dev' などの 'docker' コマンド) を直接検索します。'container_privileged = true' のフィルタリングを使用した 'inner join' により、この疑わしいアクティビティが潜在的に脆弱な特権コンテナと相関していることが保証され、潜在的なエスケープの強力な証拠が提供されます。オプション A はネットワークの観点からは一般的すぎます。オプション C は一般的なホスト侵害の指標であり、コンテナ エスケープに固有のものではありません。オプション D は有効な Kubernetes 監査ですが、ポッドへの 'kubectl exec' 自体はポッド エスケープではありません。オプション E はエスケープ後の攻撃者のアクションの具体的な例ですが、オプション B はエスケープのメカニズムをより広範にカバーし、特権コンテナと相関します。

中核となる要件は、データのトレーサビリティ、不変性、そして長期保存です。Cortex Data Lake (CDL) は XSIAM の基盤となるストレージ層であり、これらの機能を本質的に提供します。CDL は不変ストレージ向けに設計されており、7 年間の要件に直接対応する設定可能な保持ポリシー (A) を提供します。他のコンポーネント (B、C、D、E) は監査可能性とデータ処理に役割を果たしますが、すべてのセキュリティイベントの不変ストレージと長期保存という基本的な要件は、CDL の設計と構成に含まれています。XSIAM はすべての変換とエンリッチメントを CDL 内部に記録し、必要なトレーサビリティを提供します。CDL の保持と不変性を計画することで、これらの厳格な要件への準拠が保証されます。

ディスクI/O待機時間（「iowait」）が高い場合、CPUがディスク操作の完了を待つためにかなりの時間を費やしていることを直接示しています。オプションBは、ディスクI/Oボトルネックの包括的な診断および修復手順を提供します。ディスクの種類を確認し、そのパフォーマンスをベンチマークすることで、ハードウェア自体が制限要因となっているかどうかを確認するのに役立ちます。I/Oスケジューラ設定は、特にSSD/NVMeの場合、ディスクパフォ​​ーマンスの最適化に不可欠です。これらの環境では、「noop」または「deadline」が「cfq」よりもパフォーマンスが優れていることがよくあります。XSIAMエンジンの内部取り込みキュー（ログ経由）を調査することで、ディスクが受信データのボトルネックになっているかどうかを明らかにすることができます。オプションAは、CPU/RAMがI/O待機の主な問題であると誤って想定しています。オプションCは、ネットワークの輻輳の現れ方が異なるため、無関係です。オプションDは症状を緩和する可能性がありますが、根本原因を診断するものではありません。オプションEはせいぜい一時的な解決策であり、根本的なI/Oパフォーマンスの問題には対処していません。

生のログにはフィールドが存在するにもかかわらず、取り込みと解析後に空または不正な値が表示される場合、最も一般的な原因は解析ルールの問題です。オプションBは、正規表現パターンの確認とパーサーのテストを提案することで、この問題に直接対処します。オプションAは、他のフィールドが取り込まれている場合はあまり有効ではありません。オプションCは、フィールドが全く表示されず、空として表示されません。オプションDは可能ですが、特定のフィールドの「空または不正な値」に限定されません。オプションEは、特定のフィールドの解析の問題ではなく、取り込みエラーを引き起こします。

「403 Forbidden」エラーは通常、サーバーがリクエストを理解したものの、クライアントがアクションを実行する権限を持っていないことを示します。クライアント証明書認証が機能している場合、サーバー（CMDB）は証明書自体を検証します。その証明書のCNISANがCMDB側でアクセス用に認識またはホワイトリストに登録されていない場合（B）、403が返されます。証明書が技術的に有効で信頼できる場合でも、それに関連付けられたID（多くの場合、CMDB内の内部ユーザーまたはロールにマッピングされています）に、特定の「更新」操作に必要な権限がない可能性があります（E）。オプションAは正しくありません。XSIAM内のRBACは通常、プレイブックの開始または外部呼び出しへのアクセスを阻止し、外部システムから403エラーは発生しません。オプションCは403エラーが発生する可能性が低くなります。ヘッダーに誤りがあると、400 Bad Requestエラーや解析エラーが発生する可能性がありますが、必ずしも禁止されるとは限りません。オプション D (CMDB サーバー証明書が信頼されていない) では、通常、403 ではなく SSL ハンドシェイク エラーが発生します。