オプションCは最も安全で推奨される方法です。XSIAM（XSOAR）は、APIキーなどの機密情報を管理するために特別に設計されたセキュアな認証情報ストア（統合では「セキュアパラメータ」または「インスタンス設定」と呼ばれることが多い）を提供します。これらのパラメータは保存時に暗号化され、統合インスタンスから安全に参照できるため、コードや設定ファイルで機密データが漏洩することはありません。オプションA、B、Dは非常に安全性の低い方法です。オプションEは自動化されたプレイブックには適していません。

オプションBは、新しくプロビジョニングされたパブリックストレージを検出するのに最適です。クラウドプラットフォームのログ（XSIAMに「xdr_cloud_events」として取り込まれる）は、リソース作成イベント（S3のCreateBucket、AzureのPutcontainerなど）に関する詳細情報を提供します。重要なのは、これらのログには、アクセスポリシーやパブリックアクセスブロック設定など、初期設定に関するメタデータが含まれていることが多いことです。XQLクエリは、これらの作成イベントをフィルタリングし、関連フィールド（「access_policy」）を抽出して分析し、作成時にパブリック読み取り/書き込みアクセスが許可されたかどうかを判断できます。オプションAは事後対応型であり、作成時の誤設定を検出しません。オプションCは、作成後のACL変更に焦点を当てています。オプションDは手動です。オプションEはアクセス試行に関するものであり、誤設定そのものではありません。

オプションCは、サービスプロバイダー（XSIAM）が開始するSSOにおける典型的なSAML 2.0フローを正確に説明しています。IdPがSAMLアサーションに署名し、XSIAMがIdPの公開証明書を使用してこの署名を検証します。XSIAM（SP）が認証リクエストにも署名する場合、IdPはそれらのリクエストを検証するためにXSIAMの公開証明書を必要とします。HTTPSは、転送中のSAMLメッセージを保護する上で不可欠です。オプションA、B、D、Eは、誤ったSAMLフローを説明しているか、重要な証明書交換が欠落しているか、XSIAMを使用したSAML SSOの標準ではない全く異なる認証メカニズムを参照しています。

カスタムAPIと動的な有効期限を備えた独自の脅威インテリジェンスフィードを利用する場合、XSIAMのお客様にとって最も効果的でスケーラブルなソリューションは、「コード」タスクを備えたXSIAMプレイブックを活用することです。これにより、カスタムREST APIとの直接的な認証済みインタラクション、詳細なIOCの正確な解析、XSIAM「インジケータ」オブジェクトへの正確なマッピングが可能になります。特に重要なのは、プレイブックを定期的に実行するようにスケジュール設定し、フィードを更新することで、有効期限を管理できることです。プレイブック内のPythonスクリプトは、有効期限が切れたインジケーター（またはフィードによって期限切れとフラグ付けされたインジケーター）を照会し、ステータスを更新できます（例：'set 'lifeCycleStatus': 'retired"）。設計上の重要な考慮事項には、XSIAMのボールト内にAPIトークンを安全に保存すること、API接続とデータ解析のための堅牢なエラー処理を実装すること、そして潜在的に大量のIOCを効率的に処理することが含まれます。カスタムIOCフィールド（信頼度スコアやTTPなど）をXSIAMのインジケーター属性に適切にマッピングすることは、XSIAMの分析と自動化におけるそれらの有用性を最大限に高めるために不可欠です。