動的なIOC（侵害指標）の場合、オプションBとCの両方が有効です。オプションBは、XSIAMの脅威インテリジェンスフィード統合による頻繁なポーリングで、定期的な更新を保証します。オプションCは、Webhookリスナーを使用することで、TIPが新しいIOCを公開するとすぐにほぼリアルタイムの更新を提供します。オプションAは古いデータにつながります。オプションDは不要な複雑さと遅延を招きます。オプションEは完全に手動であり、拡張性がありません。

インシデント概要ビューに条件付き書式設定を使用して「SLA違反」インジケーターを直接表示するには、XSIAMで最も効果的な方法は、インシデントレイアウト内にカスタムフィールドを設定し、XQLを使用して経過時間を計算し、カスタムレンダラーを使用してSLA違反に基づいて条件付き書式設定（例：赤色）を適用することです。これにより、インシデント自体に関するリアルタイムの視覚的フィードバックが得られます。オプションAは、インシデント概要ではなく、別のダッシュボードです。オプションC、D、およびEは、この目的のためにインシデントレイアウトを直接最適化しない外部プロセスまたは手動プロセスです。

実行中のプロセスにインジェクションおよび防御無効化ルールが適用されると、そのプロセスの存続期間中はセキュリティ機能が無効になります。ルールを無効化した後も、セキュリティ機能は自動的に再適用されません。セキュリティ機能を復元するには、プロセスを再起動する必要があります。

正しい方法は、環境にブローカーVMをインストールし、そのCSVコレクターアプレットを設定して、Ubuntuサーバーから.csvログファイルを直接取り込むことです。これにより、アプリケーションを変更したり、サーバーにXDRエージェントをインストールしたりすることなく、カスタムアプリケーションログをCortex XSIAMに安全に取り込むことができます。

オプション D は、永続化につながる悪意のある実行チェーンを検出するのに最も効果的です。オプション A は範囲が広すぎるため、誤検出（Word によって起動された正当な PowerShell スクリプトなど）につながる可能性があります。オプション B はキルチェーンの初期段階で、ドキュメントを開いたことしか示しません。オプション C は永続化が確立された後に検出するため、防止には適していません。オプション E は最初の起動のみを検出し、悪意のある実行は検出しません。オプション D は、Word によってエンコードされたコマンドで起動される PowerShell の疑わしいアクティビティを特にターゲットにしています。これは、悪意のあるドキュメント マクロがペイロードを実行するためによく使われる手法です。この BIOC は、最初のアクセスや最終的な永続化アーティファクトだけでなく、悪意のあるアクティビティの高精度な指標に焦点を当てています。