parsing_rules_errorsデータセットには、解析ルールが正しく構築または実行できない場合に発生するコンパイルエラーが記録されます。これにより、エンジニアはログ処理前にルール定義の問題を特定して修正することができます。

オプションのコンテンツパックを選択すると、Cortex XSIAM はそのオプションパックに必要な必須依存関係もすべて含めます。そのため、最初に選択したメインパックでは必要とされていなかったパックでも、必須パックが表示されることがあります。Palo Alto のドキュメントには、インストール時にオプションパックを選択でき、必要な依存関係は自動的に追加されると記載されています。
参考資料：https://docs-cortex.paloaltonetworks.com/r/Cortex-XSIAM/Cortex-XSIAM-Developer-Guide/Content-pack-dependencies

このシナリオでは、相互依存する複数の条件に基づいて分岐ロジックが必要です。ネストされた「条件付き」タスクは、このような場合に最適です。外側の「条件付き」タスクは「ブラックリストに登録された国」をチェックします。条件が真の場合、内側の「条件付き」タスクは「特権ユーザー」をチェックします。これにより、条件の組み合わせに応じて、異なるアクション（アカウントの無効化とエンリッチメント/割り当て）を実行できます。単一の複雑な「AND」では、「その他」のシナリオに対応できません。関連するロジックには、個別のプレイブックは効率が悪くなります。

最初の模擬攻撃が阻止された後もテストを継続できるようにするには、エンジニアはインジケーター除外を追加する必要があります。これにより、特定のテストアーティファクトに対する強制適用がバイパスされ、シナリオを繰り返し実行して、どの Cortex XDR モジュールがアクティビティを検出または阻止するかを検証できるようになります。

他のログソースが正常に動作している場合、問題はWinlogbeatソースに固有のものです。最も論理的な最初のステップは、Winlogbeatサーバー（C）のソース構成を確認し、ブローカーVMを正しく指していることを確認することです。それが正しい場合は、ブローカーVM自体（E）で「データコレクター」サービスの状態とそのログを確認し、Winlogbeatデータを受信、処理、またはエラーが発生しているかどうかを確認することが重要です。ネットワークインターフェイス統計（A）を確認することは一般的なステップとして有効ですが、サービスログを確認するほど的を絞ったものではありません。データコレクタープロファイル（B）を確認することは重要ですが、他のログが流れている場合は、コアサービスが稼働している可能性が高いです。コレクターヘルスダッシュボード（D）は全体的なヘルスチェックには有効ですが、ブローカーVMのローカルログほど効果的に特定のデータソースの問題を特定できない場合があります。