正解は C です。プレイブックの実行を管理者ロールのメンバーに制限する最善の方法は、プレイブックの実行機能が管理者以外のすべてのロールから削除されていることを確認することです。Playbook の実行機能は、ユーザーが任意のコンテナ上で任意の Playbook を実行できるようにする権限です。デフォルトでは、すべてのロールにこの機能がありますが、Phantom UI で [管理] > [ユーザー管理] > [ロール] に移動して削除または追加することができます。管理者を除くすべてのロールからこの機能を削除すると、管理者ユーザーのみが Playbook を実行できるようになります。詳細については、Splunk SOAR ドキュメントを参照してください。管理者ロールのメンバーのみが Phantom サーバー上で特定の Playbook を実行できるようにするための最も効果的なアプローチは、ロールベースのアクセス制御 (RBAC) を直接管理することです。管理者ロールを除くすべてのロールから「プレイブックの実行」機能を削除するようにシステムを構成することで、このルールを強制できます。この方法では、Phantom の組み込み RBAC メカニズムを利用して、プレイブックの実行権限を制限します。これは、必要な管理権限を持つユーザーのみが機密または重要な Playbook の実行を開始できるようにする簡単で安全な方法であり、運用上のセキュリティと制御を維持します。

提供された画像には、Splunk の Phantom Security Orchestration, Automation, and Response (SOAR) プラットフォーム内の検索機能が示されています。検索バーに「マルウェア」などの検索語を入力すると、Splunk Phantom は通常、イベントの識別と分類に最も関連するオブジェクトフィールドを検索します。Phantom のコンテナーは、関連するイベント、インジケーター、ケース、タスクをグループ化するために使用されます。これらには、コンテナの主な識別子であるイベント名や ID など、検索できるさまざまなフィールドが含まれています。この検索は、イベントまたはコンテナにリンクされた補助テキストエントリであるメモやコメントなどのフィールドには拡張されません。アーティファクト名はコンテナのデータ構造の一部ですが、検索範囲に含まれるように特別に構成されていない限り、このコンテキストでは主な検索ターゲットではありません。

説明
Phantom は、完全バックアップとスナップショットバックアップの 2 種類のバックアップをサポートします。完全バックアップでは、すべてのデータ、構成、アプリを含む Phantom システムの完全なコピーが作成されます。スナップショット バックアップでは、Phantom システム構成とアプリのコピーが作成されますが、データは作成されません。増分バックアップと差分バックアップは Phantom ではサポートされていません。参考資料、4ページ。

説明
Splunk SOAR 製品はフル バックアップとデルタ バックアップの 2 種類をサポートしているため、正解は D です。完全バックアップは、構成、データ、ファイルを含む Splunk SOAR システム全体の完全なバックアップです。デルタ バックアップは Splunk SOAR システムの部分バックアップであり、最後の完全バックアップ以降に発生した変更のみが含まれます。Splunk SOAR 製品は複数のタイプのバックアップをサポートしているため、答え A は不正解です。Splunk SOAR 製品は、あらゆる種類の最後のバックアップ以降に発生した変更のバックアップである増分バックアップをサポートしていないため、答え B は不正解です。Splunk SOAR 製品は、あらゆるタイプの最後のバックアップ以降に発生した変更のバックアップである増分バックアップをサポートしていないため、答え C は不正解です。参照: Splunk SOAR 管理者ガイド、67 ページ。

Splunk SOAR は、プラットフォームへの安全なアクセスを確保するために複数のユーザー認証方法をサポートしています。LDAP (Lightweight Directory Access Protocol) と SAML2 (Security Assertion Markup Language 2.0) とは別に、SOAR は認証方法として PIV (Personal Identity Verification) と CAC (Common Access Card) もサポートしています。これらは、システムへの安全かつ認証されたアクセスのために特に政府および軍事組織で使用され、暗号化されたユーザー資格情報を含む物理トークンまたはカードを通じて高レベルのセキュリティを提供します。