FIPS 140-2 に準拠するには、ソフトウェアで使用される暗号化モジュールが FIPS 認証済みである必要があります。Cortex XDR エージェントは、多くのアプリケーションと同様に、基盤となるオペレーティングシステムの暗号化ライブラリを利用することがよくあります。そのため、エージェント通信の FIPS 準拠を確保するには、オペレーティングシステム自体を FIPS モードに設定し、FIPS 認証済みの暗号化モジュールを有効にする必要があります。オプション A はファイアウォール ルールに関するもので、暗号化に関するものではありません。オプション C はデータ ストレージに関するもので、通信に関するものではありません。オプション D は、通常、標準的なエージェント操作には必要ありません。オプション E は、セキュリティのベスト プラクティスおよび FIPS 要件に違反する、古くて安全性の低いアルゴリズムの使用を提案しています。

XSIAM プレイブックは、複雑な複数ステップの自動化ワークフロー向けに設計されており、シナリオに正確に対応します。「条件付きステップ」をサポートし、「if-then」ロジック（例：重要な資産グループのチェック）を実装できます。また、「外部 API 統合」により、CMDB などのサードパーティ システムと連携してデータを拡充したり、エンドポイント セキュリティ ソリューションと連携して隔離したりできます。オプション A、B、D、E は、単純すぎるか、ワークフローの自動化向けに設計されていないか、手動による介入が必要となります。

特定の認証ヘッダーを必要とするカスタム API エンドポイントの場合、XSIAM 内でカスタム プレイブック アクション (オプション C) を開発するのが最も効果的なアプローチです。これにより、アラートのエンリッチメント中に内部 TI プラットフォームへの動的なクエリが可能になり、オンデマンドでコンテキストを提供できます。オプション A は標準フィード用です。オプション B は TI をログとして取り込みますが、必ずしもアラートの直接的なエンリッチメントを目的としたものではありません。オプション D は手動であり、リアルタイムではありません。オプション E は汎用的すぎるため、カスタム認証をサポートしていない可能性があります。

オプション B は、ターゲットを絞った ASM 検出ルールに最適です。XQL クエリを使用すると、アセット メタデータ (xdr_asset_inventory のタグ) とネットワーク テレメトリ (xdr_network_sessions) を効果的に組み合わせて、指定されたタグを持ち、ポート 3389 で通信していることが観測されたマシンを正確に識別できます。これにより、特定の組織コンテキストに基づいてきめ細かな検出が可能になります。オプション A も存在する可能性がありますが、XQL を介して OU および環境タグに基づいてカスタマイズすることで、より高い精度が得られます。オプション C は視覚的な識別用であり、自動検出用ではありません。オプション D は修復アクションであり、検出ルールではありません。オプション E は定期的なスキャン方式ですが、ASM ルールはライブ テレメトリに基づいて継続的な監視を提供します。

不可能な移動などの分析は、正規化されたフィールドに依存します。解析されたカスタムVPN認証ログをXDM認証スキーマにマッピングすることで、分析エンジンがデータを利用できるようになります。
参考資料：https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-3.x-Documentation/XDM-fields-for-mapping-authentication-events