説明
調査への添付ファイルは、investigation_attachment という名前の KV ストア コレクションに保存されます。KV ストアは、データをキーと値のペアとして保存および管理する機能です。Splunk Enterprise Security は、KV ストアを使用して、調査、調査イベント、調査リード、調査添付などの複数のコレクションに調査情報を保存します。KV ストア API エンドポイントを使用して、KV ストア コレクションを表示または変更できます。KV ストア API エンドポイントの使用の詳細については、『Splunk Enterprise REST API リファレンス マニュアル』1 の KV ストア エンドポイントの説明を参照してください。他のオプション B、C、D は正しくありません。
調査への添付ファイルは、注目すべきインデックス、attachments.csv ルックアップ、または
<splunk_home>/etc/apps/SA-Investigations/default/ui/views/attachments ディレクトリ。参考 = Splunk Enterprise Security で調査を管理する

説明
Splunk Enterprise Security のドキュメントによると、デフォルト アカウント アクティビティの検出相関検索では、ローカル ユーザー Intel ルックアップ テーブルを使用して既知のデフォルト アカウントにフラグを立てます。ローカル ユーザー Intel ルックアップ テーブルには、admin、root、guest など、さまざまなシステムおよびアプリケーションのデフォルトのユーザー名とパスワードのリストが含まれています。相関検索では、認証データ モデルからの認証イベントとルックアップ テーブル内のユーザー名が比較され、一致する場合は注目すべきイベントが生成されます。この注目すべきイベントは、システムまたはアプリケーションへのアクセスにデフォルトのアカウントが使用されたことを示しており、ブルート フォース攻撃または構成ミスの兆候である可能性があります。したがって、正解は B. ローカル ユーザー Intel です。参照 = デフォルト アカウント アクティビティが検出されたローカル ユーザー Intel