説明
正解は A です。Splunk からのイベントを含むコンテナーで、注目すべきイベント用に設計されたコンテキスト認識アクションを使用するには、注目すべきイベントのevent_id フィールドを含めて、アーティファクトのラベルを Splunk の注目すべきイベント ID に設定する必要があるからです。コンテキスト認識アクションは、Splunk の注目すべきイベント、Jira チケット、ServiceNow インシデントなど、特定のタイプのアーティファクトに固有のアクションです。コンテキスト認識アクションを使用するには、アーティファクトに適切なタイプのラベルを付け、必須フィールド。Splunk の注目すべきイベントの場合、必須フィールドはevent_id です。これは、Splunk 内のイベントの一意の識別子です。詳細については、Splunk SOAR ドキュメントを参照してください。

正解は D です。これは、Phantom からの接続を許可するために Splunk で設定する必要があるデフォルトのポートが SplunkWeb (8000)、SplunkD (8089)、および HTTP Collector (8088) であるためです。SplunkWeb は、Splunk Web インターフェイスにアクセスするために使用されるポートです。SplunkD は、Splunk サーバーとの通信に使用されるポートです。
HTTP コレクターは、HTTP イベント コレクター (HEC) を使用して Splunk にデータを送信するために使用されるポートです。2 つの製品間の統合を可能にするには、これらのポートを Splunk と Phantom で設定する必要があります。詳細については、Splunk SOAR ドキュメントを参照してください。
Splunk Phantom から Splunk への接続を許可するには、特定のデフォルト ポートが開いており、適切に設定されている必要があります。デフォルトのポートには、Web アクセス用の SplunkWeb (8000)、Splunk の管理ポート用の SplunkD (8089)、および Splunk へのデータの取り込みに使用されるポート 8088 の HTTP イベント コレクター (HEC) が含まれます。これらのポートは、Splunk Phantom と Splunk 間の通信に不可欠であり、2 つのプラットフォーム間のデータ交換、検索機能、およびさまざまな機能の統合を促進します。

説明
Splunk Cloud インスタンスを Phantom の外部 Splunk インスタンスとして使用したいユーザーは、Splunk Cloud インスタンスで TCP 8088 ポートと TCP 8099 ポートを開く必要があります。TCP 8088 は、Phantom が Splunk Cloud にデータを送信できるようにする HTTP Event Collector (HEC) サービスに使用されます。TCP 8099 は Splunk REST API サービスに使用され、Phantom が Splunk Cloud からデータをクエリできるようになります。他のポートの組み合わせは、このシナリオでは無効です。Splunk Cloud は、Phantom の外部 Splunk インスタンスとしてサポートされています。参考資料、6ページ。

説明
Playbook は、重大度設定アクション ブロックを使用してコンテナの重大度を変更できます。このブロックを使用すると、ユーザーはコンテナーの新しい重大度レベルを指定したり、以前のアクション結果からの変数を使用したりできます。注意事項とアクションはコンテナの重大度には影響しません。また、SLA の有効期限はコンテナのステータスにのみ影響し、重大度には影響しません。参考資料、10ページ。