XSIAM プレイブックは、統合をオーケストレーションするための適切なコンポーネントです。プレイブック内では、「変換」ステップ（または API 呼び出しアクション内の直接マッピング）を使用して、関連する XSIAM アラートフィールドを ServiceNow インシデント作成 API ペイロード内の対応するフィールドにマッピングします。これにより、正確で一貫性のあるデータ転送が保証されます。データレイクはデータを保存し、XQL クエリはデータを取得し、アラートルールはアラート条件を定義し、ダッシュボードはデータを視覚化します。自動化ワークフロー内の外部 API 呼び出し中にデータマッピングを直接担当するものは、いずれもありません。

カスタム Python スクリプトのみをサポートする独自の「ブラック ボックス」データベースの場合、最も堅牢で安全な双方向統合アーキテクチャは、取り込みのために XSIAM との直接 API 操作と、自動応答のための安全なリモート実行を伴います。取り込み: JSON イベントを XSIAM イベント取り込み API に直接プッシュする、頻繁に実行されるようにスケジュールされたカスタム Python スクリプトは、ほぼリアルタイムの取り込みに最も効率的な方法です。これにより、中間ファイルのポーリングやカスタム リスナーが不要になります。自動化: データベースへのアクションをトリガーするには、2 番目の Python スクリプトが存在する専用サーバーで「コマンドの実行」アクションを実行する XSIAM Playbook が理想的です。これは、XSIAM の安全なリモート実行機能を活用します (リモート実行機能が有効になっている XSIAM Broker が必要です)。「コマンドの実行」は、2 番目のスクリプトを効果的に呼び出し、その後、データベースの API/SDK とやり取りします。セキュリティ上の課題: このアプローチでは、次のことが必要です。1. XSIAM 取り込み API キーの安全な管理。 2. リモート実行のための XSIAM ブローカーの安全な構成。これには、きめ細かな権限設定と専用サーバーへのネットワークアクセス (SSH キー経由など) が含まれます。 3. Python スクリプト自体が安全であることを確認する。必要最小限のデータベース認証情報 (最小権限のサービス アカウントなど) を使用し、堅牢なエラー処理、入力検証、ログ記録機能を備えていること。 4. 「ブラックボックス」の性質上、イベント抽出のためのデータベース スキーマとアクションのための API/SDK 機能の理解が不可欠です。リバース エンジニアリングや不十分なドキュメントは、統合リスクを高めます。

目標は、異なるベンダーの不整合なフィールド名とデータ型を、XSIAM コンテンツ最適化ルールを使用して CIM のような構造に正規化することです。特に「protocol_id」と「bytes_in」についてです。 オプション A: 有力な候補です。 - 「map_field」: ソース システムが数値コードを使用し、ターゲット (CIM) が読みやすい名前を期待する場合によくある正規化タスクである、「protocol_id」（例: 整数「6」）を文字列「TCP」に変換する処理を直接行います。 - 「transform_field」と「to_integer」: 「bytes_in」のデータ型変換を直接行い (「in_byteS」が文字列またはその他の非整数型であると想定)、CIM の同等のものに名前を変更します。 オプション E: 有力な候補であり、A と非常によく似ており、代替構文またはルール タイプを示しています。 - 'standardize_values': このルールタイプは、'protocol_id' の複数のソース値を単一の標準出力値にマッピングすることを明示的に処理します。これは、'protocol_id' の正規化にまさに必要なものです。 - このルールタイプは、データ型のキャスト (たとえば、'bytes_in' が 'long' 整数であることを保証する) とフィールド名の変更の両方を、単一の明確なステップで組み合わせます。これは、データ型と名前を同時に正規化する非常に一般的で効率的な方法です。 他のルールタイプが最適でない理由: - B : 汎用的な 'normalize_protocor' とルールタイプを使用します。これは概念的には正しいですが、提供される YAML スニペットは A または E よりも XSIAM の典型的な構文に特化しておらず、'normalize_protocol' は明示的なマッピングがないと曖昧です。 'target_type' によって名前の変更が暗黙的に示される場合、'output_field' は冗長です。 - C : 'extract_regex' は、既存の構造化フィールドをマッピングするのではなく、非構造化文字列からデータを抽出するために使用されます。 'calculate_field' は、単なる型変換や名前変更ではなく、計算を意味します。また、'cisco_input_octets / 8' は不要な変換です (明示的に指定しない限り、バイトはビットではなくバイトです)。 - D : 'rename_field' は名前には適していますが、'bytes_in' に 'lookup_table' を使用した 'enrich_field' は、単純な型変換には意味がありません。エンリッチメントは、新しいコンテキストを追加するためのものであり、既存の数値フィールドの型を変更するためのものではありません。

XSIAM Broker VM は、syslog を含むさまざまなオンプレミス データ ソースの安全な仲介役として機能するように設計されています。Broker VM を介して syslog ソースを正常にオンボーディングするには、オプション B が正解です。ネットワーク センサーで、syslog を Broker VM の IP アドレスに送信するように構成します (通常は、信頼性の高い配信のために TCP 601 などの標準 syslog ポートを使用しますが、UDP 514 も可能です)。重要なのは、Broker VM 自体で、XSIAM コンソール (Broker VM 構成経由) 内で「Syslog Collector」サービスを明示的に有効化して構成する必要があることです。このコレクターは、指定されたポート (たとえば、TCP 601) でリッスンするように設定し、受信したログを安全に XSIAM クラウドに転送します。受信ログが XSIAM が認識する標準形式でない場合は、受信ログのパーサー プロファイルを指定する必要がある場合もよくあります。オプション A は、Broker VM が受信したすべての syslog を自動的に転送しないため、正しくありません。コレクターを構成する必要があります。オプションCは、syslogをXSIAMクラウド取り込みURLに直接送信するという方法は通常のsyslogの動作方法ではないため、誤りです。syslogの正常な動作にはコレクター/フォワーダーが必要です。オプションDは、ブローカーVM上でsyslog-ng/rsyslogを手動で構成することを想定していますが、これは標準的または推奨されるXSIAMの方法ではありません。ブローカーVMには、XSIAMコンソールを介して構成できる組み込みのsyslog収集機能が備わっています。オプションEも誤りです。ブローカーVMは、Cortex XDRエージェント通信だけでなく、syslogを含むさまざまなデータタイプをサポートしています。

オプション B が最小権限の原則に最も合致しています。XSIAM には組み込みロールがありますが、きめ細かな制御にはカスタムロールが必要になることがよくあります。レベル 1 のアナリストは表示アクセスのみが必要で、これは特定の表示権限で実現できます。レベル 2 のインシデントレスポンダーは変更および拡張機能が必要で、より高度な権限が必要です。完全な管理制御を持つ SOC マネージャーには、通常「管理者」ロールまたは同等の広範な権限を持つカスタムロールが割り当てられます。SOC マネージャーに「スーパー管理者」を使用すると、日々の運用に厳密に必要な権限よりも多くの権限が付与され、最小権限に違反する可能性があります。オプション D のレベル 2 の「セキュリティ オペレーション センター - 管理者」は範囲が広すぎます。オプション A、C、および E は、組み込みロールを指定された要件に正しくマッピングしていません。