エアギャップ環境は、直接的なネットワーク接続を遮断し、極めて高い隔離性を実現するように設計されています。クラウドネイティブであるXSIAMは、データの取り込みを必要とします。一方向データダイオードは、エアギャップネットワークからのデータ流出を可能にしますが、侵入は阻止し、隔離性を維持しながらテレメトリの収集を可能にします。これは、機密性の高い隔離環境をクラウドセキュリティプラットフォームと統合するための、一般的で非常に安全なパターンです。オプションBとEはエアギャップの目的を損なうものであり、CはXSIAMがSaaSサービスであるため実現不可能であり、Dは継続的なセキュリティ監視には非常に不向きです。

アラートビュー内でファイルハッシュ、プロセスコマンドライン、ネットワーク接続などの重要な証拠を統合するには、カスタムアラートレイアウトを使用するのが最も適切なXSIAM機能です。これにより、エンジニアは表示するフィールド、その順序、および重要度を定義できるため、対応担当者は特定のアラートタイプ（ランサムウェア検出など）に関する最も関連性の高い情報に迅速にアクセスできます。オプションA、B、D、およびEは、アラートの詳細ビュー内のデータの整理と表示に直接対応していません。

オプション B は、最も正確で効果的な XQL クエリです。これは、GitHub 監査ログ内の Webhook ('action = 'webhook.create') の作成を直接ターゲットにします。次に、これらの Webhook をフィルタリングして、既知のクラウド関数エンドポイント (C.amazonaws.com/lambda' または .azurewebsites.net/api') を指しているものを特定します。最後に、内部結合を使用して、これらのターゲットのクラウド関数が実際に「本番」環境の資産としてマークされていることを確認し、機密環境へのリンクを保証します。これにより、懸念される特定のシナリオが正確に特定されます。オプション A は範囲が広すぎ、リポジトリの作成とクラウド関数の作成を別々にターゲットにしており、Webhook を介してリンクしていません。オプション C は、直接 Webhook をリンクするのではなく、git クローンと API キーの作成に焦点を当てています。オプション D は、特定の GitHub からクラウド関数への統合ではなく、ネットワーク トラフィックと VM の作成に焦点を当てています。オプション E は手動であり、スケーラブルではありません。

この特定のユーザーの特権昇格を最も直接的かつ迅速に修正する方法は、XSIAM で直接手動割り当てを削除することです (オプション A)。XSIAM のロール割り当てロジックは、シナリオによっては、IdP ベースの割り当てよりも直接割り当てを優先するか、それらを統合します。IdP 駆動の割り当てに準拠するためには、手動オーバーライドを削除する必要があります。同時に、「Tier 1 SOC」の IdP グループ マッピングが、適切な、より低い特権ロールにマッピングされていることを確認してください。オプション B は過度に極端で不要です。オプション C は望ましい機能 (手動割り当ての無効化) について説明していますが、単純なトグルとして直接利用できるとは限らず、利用できる場合はすべての手動オーバーライドが防止されるため、一部の環境では厳しすぎる可能性があります。オプション D と E は事後的な解決策であり、問​​題を未然に防ぐのではなく、事後に検出して修正します。

C
joinコマンドは、ホスト名やエンドポイントIDなどの共通フィールドを使用して、複数のデータセットのレコードを結合します。これにより、異なるソースからの関連情報を単一のクエリ内で関連付けることで、セキュリティデータを充実させることができます。