エンドポイントが切断され、現在のスーパーバイザーパスワードが利用できない場合、エンジニアはCortexコンソールでエンドポイントのトークンハッシュを使用して、一時的なローカルCytoolパスワードを生成できます。これにより、保護されたエージェント機能の認証済みローカル管理が可能になります。
参考資料：https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/Cortex-XDR-3.x-Documentation/Manage-agent-tokens
https://docs-cortex.paloaltonetworks.com/r/Cortex-XDR/7.7/Cortex-XDR-Agent-Release-Notes/Features-Introduced-in-Cortex-XDR-Agent-7.7

最も効果的で、回復力が高く、パフォーマンスに優れたソリューションは、Cortex XDRとXSIAMのネイティブ統合を活用することです。XSIAMはXDRアラートとインシデントを直接取り込み、自動化のための豊富なデータソースを提供します。XSIAMプレイブック内の「Cortex XDR - エンドポイントの隔離」および「Cortex XDR - エンドポイントの詳細の取得」アクションは、これらのタスク専用に設計されており、信頼性とシームレスな通信を保証します。プレイブックの重要な考慮事項には、API呼び出しの堅牢なエラー処理（エンドポイントがオフラインの場合やXDRエージェントが応答しない場合など）、一時的な障害に対する再試行ロジック、および隔離アクションの成功の検証が含まれます。また、プレイブックは、取得したエンドポイントの詳細がXSIAMインシデントフィールドに正しくマッピングされ、一貫性のあるエンリッチメントが実現されるようにする必要があります。このアプローチにより、カスタム開発を最小限に抑え、統合されたPalo Alto Networksエコシステムの価値を最大限に高めることができます。

最小限の遅延と高い信頼性を備えた双方向統合は、イベント駆動型メカニズムを使用することで最適に実現できます。XSIAM のアウトバウンド Webhook (カスタム コンテンツ パックで構成) は、インシデントの更新をほぼリアルタイムでカスタム プラットフォームの API エンドポイントにプッシュするのに最適です。逆方向の場合、カスタム プラットフォームを構成して Webhook を使用して更新を XSIAM データ インジェスト API エンドポイントにプッシュするのが最適となります。その後、この取り込まれたデータによって XSIAM プレイブックがトリガーされ、更新を解析して対応する XSIAM インシデントを変更できます。データ マッピングの重要な考慮事項には、一貫した同期を確保し、データの不整合を回避するために、両方のプラットフォーム間でインシデント ID、ステータス フィールド、割り当ての詳細、およびコメント構造を整合させることが含まれます。ポーリング (A、E) は遅延と非効率性を引き起こし、手動の方法 (D) は拡張性や信頼性に欠けます。メッセージ キュー (C) も選択肢の一つですが、両方のプラットフォームでサポートされている場合は、直接 API 統合には Webhook の方が簡単な場合が多いです。

オプションBは、最も堅牢で安全なアプローチです。暗号化されたSyslog（TLS）により、ローカルログの転送が保護されます。TLS 1.2+を使用したHTTPSと相互TLS認証により、データコレクターとデータレイク間の通信に強力な認証と暗号化が実現され、機密性の高いセキュリティデータにとって非常に重要です。専用のVPNトンネルは、パブリックインターネット上にプライベートな暗号化パスを作成することでセキュリティをさらに強化し、ゼロトラストの原則に準拠します。オプションA、C、D、Eは、セキュリティが不十分であるか、非効率的であるか、必要なコンポーネントやベストプラクティスを省略しています。

正しいコマンドは !ToTable data=${parentIncidentFields.custom_fields.incidentassignment} です。このコマンドは、指定されたコンテキストデータを表形式に変換します。これにより、プレイブックタスクのトラブルシューティング時に、runStatus や startDate などのフィールドを表形式で明確に表示できます。