[2026-09-29更新,112問] 無料Palo Alto Networks XSIAM-Engineer試験問題集、XSIAM-Engineer模擬対策問題(ページ 4)

XSIAM-Engineer 試験問題 11

XSIAM プレイブックは、特定の条件が満たされた後にインシデントを自動的にクローズするように構成されています (例: 24 時間新しいアラートがない、関連するすべてのインジケーターが正常)。アナリストは、持続的な脅威に関連する一部の重大なインシデントが時期尚早にクローズされていることに気づきました。調査の結果、プレイブックの「条件付き」タスクで使用されている式が、特定のカスタムインシデントフィールド「threat_level」が「Critical」に設定されていることを考慮していないことがわかりました。「Critical」インシデントの時期尚早なクローズを防ぐために、「条件付き」タスクの式に最も適切な変更を加える JSON 構造は次のうちどれですか?

【そして】：

XSIAM-Engineer 試験問題 12

ある組織は、メールゲートウェイを迂回して認証情報を盗み出す高度なフィッシング攻撃を検出するために、XSIAMコンテンツを強化しています。これらの攻撃では、ユーザーが悪意のあるURLをクリックし、その後、不審なブラウザアクティビティが発生し、フィッシングサイトへのネットワーク接続が行われることがよくあります。このシナリオにおいて、最も包括的かつ高精度な検出を実現するには、XSIAM XDRデータソースと検出ロジック（BIOCとIOC）のどの組み合わせが最適でしょうか？（該当するものをすべて選択してください）

A. IOCルール: 'Network.URL' は、リアルタイム脅威インテリジェンスフィード Curl_feed_match('phishing_domains')' からの既知のフィッシングドメインと一致します。

B. BIOC ルール: 'Process.Name' が Web ブラウザ (例: 'chrome.exe'、'firefox.exe') であり、かつ 'Network.DestinationPort' が '80' または '443' であり、かつ 'Network.DestinationAddress' が '新たに観測されたドメイン' (NOD) であり、かつ 'HTTP.ResponseCode' が '200' であり、かつ 'HTTP.Referer' が内部ドメインである。

C. BIOC ルール: 'Process.Name' はウェブブラウザであり、かつ 'Process.CommandLine' には 'javascript:' または 'data:text/html' スキームが含まれており、かつ 'User.ActivityCount' から 'Network.DestinationAddress' までの数が短期間で異常に高い。

D. BIOC ルール: 'Process.Name' はウェブブラウザであり、'Network.DestinationlJRL' の評判が低い。接続後にパスワードマネージャーまたはブラウザ認証情報ファイルの File.Creation が観測される。

E. IOCルール: 「Email.Subject」に「Urgent」または「Action Required」が含まれています。

正解: A,B,D

この質問では、包括的な検出のために IOC と BIOC の両方を網羅する、複数の正解を選択する必要があります。 A. IOC ルール: 「Network.URL」がリアルタイムの脅威インテリジェンスフィードからの既知のフィッシングドメインに一致するこれは基本的な IOC ルールです。リアクティブですが、既知の脅威に対して非常に効果的で、即時のブロックまたはアラートに不可欠です。 XSIAM の脅威インテリジェンスフィードとの統合により、これが効率的になります。 B. BIOC ルール: 「Process.Name」が Web ブラウザ (例: 「chrome.exe」、「firefox.exe」) かつ「Network.DestinationPort」が「80」または「443」かつ「Network.DestinationAddress」が「新たに観測されたドメイン」(NOD) かつ「HTTP.ResponseCode」が「200」かつ「HTTP.Referer」が内部ドメインである。これは優れた BIOC です。NOD はフィッシングでよく使用されます。ブラウザのアクティビティを、HTTP 応答が成功し、内部リファラー (ユーザーが内部ソースからクリックしたことを示唆) を持つ NOD と関連付けることは、未知のフィッシングサイトであっても、フィッシングの試みの強力な指標となります。 C. BIOC ルール: 'process.Name' は Web ブラウザであり、'Process.CommandLine' には 'javascript:' または 'data:text/html' スキームが含まれており、'lJser.ActivityCount' から 'Network.DestinationAddresS' への短時間での異常に高い値です。 'process.CommandLine' に 'data:text/htmr' が含まれていることは疑わしいですが、これは一般的なフィッシングランディングページではそれほど一般的ではありません。これは、潜在的に悪意のあるローカルスクリプトの実行または特定のリダイレクトメソッドを示している可能性が高く、説明されている主要なフィッシングベクトルに直接結びついているわけではありません。高い 'User.ActivityCount' は良い行動指標ですが、コマンドラインの側面は、特定のシナリオではそれほど忠実ではない可能性があります。 D. BIOC ルール: 「Process.Name」が Web ブラウザであり、「Network.DestinationlJRL」の評判が低く、接続後にパスワードマネージャーまたはブラウザ認証情報ファイルの「File.Creation」が観測される。これは非常に強力で洗練された BIOC です。Web アクティビティを外部の評判サービス (XSIAM の surl_reputation) と関連付け、その後、評判の低いサイトにアクセスした後に機密認証情報ファイルを作成または変更するという、非常に疑わしいアクションを探します。これは、フィッシングの認証情報窃盗の側面を直接ターゲットにします。 E. IOC ルール: 「Email.Subject」に「Urgent」または「Action Required」が含まれる。これらは一般的なフィッシングの誘い文句ですが、メールの件名のキーワードだけに頼ると誤検知が発生しやすく、攻撃者によって簡単に回避されます。これは非常に弱い指標であり、説明されているシナリオに対する堅牢な検出戦略ではありません。

XSIAM-Engineer 試験問題 13

内部監査により、管理者権限を持たないユーザーが「seclogon.exe」（RunAs）や「psexec.exe」（Sysinternals）などのWindows組み込みツールを使用した権限昇格の試みを検出する際に、ギャップがあることが判明しました。これらのツールは正規のツールですが、悪用されることが少なくありません。目標は、標準ユーザーコンテキストから「seclogon.exe」または「psexec.exe」が呼び出され、その後に別のシステムで機密性の高いコマンドを実行しようとしたり、ローカルで権限を昇格しようとしたりするプロセスを検出することです。正当なIT運用による誤検知を最小限に抑えつつ、この動作をBIOCとして効果的に捕捉できるXQLクエリはどれでしょうか？

【そして】：

XSIAM-Engineer 試験問題 14

高度な XSIAM ダッシュボードを使用して、「横方向移動」の試みを分析し、特に非標準の内部サブネットから重要なサーバーへの RDP 接続に焦点を当てる必要があります。ダッシュボードには、検出されたすべての試みについて、1) 送信元 IP アドレス、2) 宛先 IP アドレス、3) ユーザー、4) 接続時間を表示する必要があります。さらに、「既知の危険な内部 IP アドレス」のカスタムルックアップテーブルに基づいて、各接続に「リスクスコア」を提供する必要があります。XQL、ルックアップ、および視覚化のどの組み合わせが、最も洞察力のあるダッシュボードを作成するでしょうか？