Splunk Phantom では、ラベルを使用してコンテナを分類し、特定の自動応答をトリガーします。コンテナーが作成されると、イベントの性質、インシデントのタイプ、またはその他の基準に基づいてラベルをコンテナーに割り当てることができます。これらのラベルは、ラベル条件が定義されている Playbook と照合されます。
条件が満たされると、対応する Playbook が自動的に実行されます。ラベルは、サービス レベル アグリーメント、デフォルトの重大度、所有権、機密性、またはアプリの実行権限を直接制御しません。

マルウェアが含まれている疑いのある電子メール添付ファイルの圧縮バージョンを将来の分析のために安全に保存するには、Splunk SOAR 内で最も効果的なアプローチは、Secure Store アプリのアップロード アクションを使用することです。
このアプリは、機密ファイルや潜在的に危険なファイルを SOAR データベース内に安全に保存することで処理できるように特別に設計されており、後でアクセスと分析を制御できるようになります。この方法により、ファイルが安全に格納されるだけでなく、マルウェアにさらされる危険を冒すことなく、将来の法医学や調査目的にも利用できるようになります。オプション A、B、および C は、マルウェアの疑いのあるファイルを処理するための同じレベルのセキュリティと機能を提供しないため、オプション D が最も適切な選択になります。
Secure Store アプリは、SOAR データベースにファイルを安全に保存できる SOAR アプリです。Secure Store アプリには、アップロードとダウンロードという 2 つのアクションが用意されています。アップロード アクションは、ファイルを入力として受け取り、それを圧縮および暗号化された形式で SOAR データベースに保存します。ダウンロード アクションは、ファイル ID を入力として受け取り、SOAR データベースからファイルを取得して復号化します。Secure Store アプリを使用すると、マルウェアの疑いのある電子メールの添付ファイルなど、機密データや悪意のあるデータを含むファイルを将来の分析に備えて保存できます。
したがって、オプション D は、将来の分析のためにマルウェアの疑いのある電子メール添付ファイルの圧縮された安全なバージョンを保存するアクションを示しているため、正解です。オプション A は不正解です。添付ファイルをコピーしてメモに貼り付けると、ファイルは安全に保存されず、メモを閲覧できるすべてのユーザーにファイルの内容が公開されてしまいます。オプション B は不正解です。新しいアーティファクトにファイルへのリンクを追加すると、ファイルは安全に保存されず、ファイルの場所への参照が作成され、アクセスできなかったり、信頼できなかったりする可能性があります。
オプション C は不正解です。「調査」ページの「ファイル」タブを使用して添付ファイルをアップロードすると、ファイルは安全に保存されず、暗号化または圧縮されていない可能性がある SOAR ファイル システムに保存されます。
1: search_web からの Web 検索結果(query="マルウェアの疑いのある Splunk SOAR Automation Developer ストアの電子メール添付ファイル")