オプション A、C、および D はすべて、このシナリオで誤検知を減らすための効果的な戦略です。 A: parent_process_name でフィルタリング: 正当なデバッグツールや更新ツールには、多くの場合、予測可能な親プロセスがあります。これらの既知の正当な親から発生したインジェクションを除外することは、ノイズを減らすための非常に効果的な方法です。 C: 追加条件で絞り込む: 悪意のあるインジェクションは、多くの場合、高権限のプロセスを標的にするか、リモートで発生します。「プロセスインジェクション」イベントの XDR データで利用可能な場合、「injection_type」などのフィールドを活用することで、悪意のある意図に対するルールの精度を高めることができます。 D: デジタル署名/ハッシュによる事前フィルタリング: 正当なソフトウェアには、有効なデジタル署名と既知のハッシュがあります。これらの基準に一致するプロセスのアラートを抑制することは、良性のイベントをフィルタリングするための非常に強力な方法です。これには、多くの場合、個別の事前フィルタリング ルールを作成するか、XSIAM の信頼できる署名者/ハッシュ機能を活用することが含まれます。 オプション B (risk_score しきい値) は、アラートのトリアージに対するリアクティブな対策であり、ルール自体のコンテンツ最適化ではありません。根本的なアラートは生成されますが、エスカレーションされない可能性があります。オプションE（より短い時間枠）は、プロセスインジェクションのような瞬間的なイベントには一般的に適用できず、多段階攻撃の検出漏れを引き起こす可能性があります。

特定の統合タスク (Azure AD) のバックログが増加している状態で「保留中」状態になっている場合、XSIAM エンジンの一般的な制限ではなく、その統合のリクエスト処理能力に問題があることを強く示唆しています。外部 API のレート制限 (A) に達すると、外部サービスへのリクエストがキューに溜まる非常に一般的な原因となります。リモート API は応答を停止するか、ステータス コード 429 で応答します。XSIAM 統合は、レート制限がリセットされるまでリクエストをキューに溜めます。もう 1 つの可能性の高い原因は、リトライ メカニズムの設定ミス (D) です。タスクが最初に失敗した場合 (たとえば、一時的な問題や、ハードな失敗としてすぐには顕在化しない権限エラーなど)、リトライ ロジックが積極的すぎるか、正しくバックオフしない場合、統合の利用可能なワーカー プロセスが枯渇し、以降のすべてのタスクが永続的に「保留中」状態になる可能性があります。オプション B は、問題が Azure AD タスクに固有のものであるため、可能性は低いと考えられます。オプションC（ネットワーク遅延）の場合、タイムアウトが非常に長い場合を除き、通常はタイムアウトが発生し、エラーが発生します。単に「保留中」状態が続くことはありません。オプションE（アクセス許可の問題）の場合、通常はAzure ADから即座に403 Forbiddenエラーが発生します。このエラーは、統合がこのようなエラーに対して無期限に再試行するように設計されていない限り、プレイブックのログに「保留中」状態として反映されるのではなく、ログに反映されるはずです。

各オプションを分析してみましょう。A. データレイク: データレイクは検出ルールに投入される生データを保存しますが、スコアリングルール自体の処理には直接関与しません。スコアリングルールは、データレイクから派生した「アラート」オブジェクトとその属性に対して動作しますが、データレイク自体はスコアリングを実行するコンポーネントではありません。B. 検出ルール: 検出ルールは、それぞれに基本スコアを持つ初期アラートを生成します。スコアリングルールは、これらのアラートのスコアを変更します。したがって、検出ルールは、スコアリングルールの上流かつ基礎的なコンポーネントです。C. アラート: スコアリングルールは、「アラート」オブジェクトに対して直接動作し、変更します。スコアはアラートの属性です。D. アラートグループ化ポリシー: これらのポリシーは、スコアリング後にアラートをインシデントに統合するために使用されます。実際のスコア計算や変更プロセスには直接関与しません。 E. レピュテーションリスト：スコアリングルールでは、アラートに関係するエンティティの評判に基づいてアラートのスコアを上げるか下げるかを判断するために、条件にレピュテーションリスト（カスタム許可リス​​ト、ブロックリスト、信頼済みエンティティなど）がよく使用されます。たとえば、「送信元IPがtrusted_ipsリストに含まれている場合は、スコアを下げる」といった具合です。したがって、検出ルール、アラート、およびレピュテーションリストは、スコアリングルールの処理に直接関与します。

各入力に対して、サブプレイブックは一致する入力位置をループ処理します。最終イテレーションでは、複数値入力からの最後の値、つまり x = Green と y = 3 を受け取ります。単一値入力 z = High は、各イテレーションで再利用されます。