アラートレイアウトでカスタムスクリプトを使用するには、まずスクリプトに「general-purpose-dynamic-section」タグを付け、次に汎用動的セクションをレイアウトに追加し、最後にセクション設定を編集して自動化スクリプトを関連付ける必要があります。これにより、スクリプトが実行され、アラートレイアウト内で結果が動的に表示されるようになります。

オプション B は、データ ソース構成内の「パーサー」オブジェクトという、重要な欠落要素を正しく特定しています。生のペイロード (特に JSON) からフィールドを抽出する方法を定義する必要があるカスタム データ ソースの場合、XSIAM の API では「パーサー」の定義が必要です。この「パーサー」には通常、パーサーの「タイプ」(例:「json」、「regex」) と、特定のフィールドを抽出するための「マッピング」または「ルール」が含まれます。最上位レベルの最初のスニペットの「fields」配列は、抽出ルールではなく、想定されるフィールドを定義するためのものです。オプション A は、一般的な API エンドポイントの命名規則を正しく指摘していますが、主な問題はペイロード構造です。オプション C は、「タイプ」とマッピングの構文が間違っています。オプション D は間違っています。UI マッパーは存在しますが、カスタム パーサーの API 駆動型構成は確かに可能です。オプション E は一般的に誤りです。OAuth とサービス アカウントは一般的ですが、コンテキストと設定によっては、さまざまな XSIAM API で API キーが広く使用されています。

オプションCは、XSIAMエコシステム内でこのような自動化を実装および維持するためのベストプラクティスを表しています。「インシデントエスカレーション自動化」専用の新しいコンテンツパックを作成することで、カスタムロジックがモジュール化され、分離され、ベンダー提供のJiraおよびTeamsコンテンツパックの整合性や更新パスに干渉しないことが保証されます。また、この特定の自動化の独立したバージョン管理と管理も可能になります。オプションAは良い出発点ですが、管理しやすいコンテンツパックにカプセル化されていません。オプションBは、ベンダー提供のコンテンツパックを変更するため、更新が困難になるため、好ましくないプラクティスです。オプションDは、XSIAMのネイティブ自動化機能をバイパスします。オプションEは機能する可能性がありますが、XSIAMプレイブックの監査およびオーケストレーションの利点が失われます。

オプションBは業界標準であり、最も効果的なアプローチです。XSIAMからSOARへのリアルタイムアラート取り込みは、認証済みWebhook（プッシュモデル）を使用することで最適に実現でき、即時通知が保証されます。SOARがXSIAMでアクションをトリガーするには、HTTPS経由の認証済みAPI呼び出しが標準的かつ安全な方法です。これにより、安全で拡張性が高く、回復力のある統合が実現します。ポーリング（A）は遅延と非効率性を招きます。オプションC、D、Eは、安全性が低い、非効率的である、または堅牢な統合には対応していません。

正しいクエリは、preset = host_inventory_applications に、application_name に "ai_app" が含まれ、version が ("12.1", "12.2", "12.4", "12.5") のいずれかであるフィルターを適用したものです。これにより、脆弱性のあるアプリケーションと特定のバージョンがインストールされているホストが直接特定され、ゼロデイ CVE にさらされている資産を見つけるというアナリストの要求に合致します。