팔로 알토 인증 및 인증 인증 팔로 알토 네트웍스 시험을 잘 준비하기위한 새로운 PCDRA 덤프 [Q21-Q40].

설명
방화벽 로그가 저장되는 클라우드 기반 저장소를 제공하는 것이 Cortex Data Lake의 목적입니다. Cortex Data Lake는 기업의 보안 데이터를 수집, 변환, 통합하여 팔로알토 네트웍스 솔루션을 지원하는 서비스입니다. 이 서비스는 AI 및 머신 러닝, 탐지 정확도, 앱 및 서비스 혁신을 지원합니다. Cortex Data Lake는 차세대 방화벽, Prisma Access, Cortex XDR을 비롯한 보안 인프라 전반에서 데이터를 자동으로 수집, 통합, 정규화합니다. 통합된 데이터를 통해 고급 AI 및 머신 러닝을 실행하여 Cortex 기반 앱으로 보안 운영을 획기적으로 간소화할 수 있습니다. Cortex Data Lake는 여러 지역에서 사용할 수 있으며 데이터 보존 및 개인정보 보호 요구 사항을 지원합니다. 참조:
* Cortex Data Lake - 팔로알토 네트웍스
* Cortex Data Lake - 팔로알토 네트웍스
* Cortex XDR의 기반 기술인 Cortex Data Lake - Palo Alto Networks
* CORTEX 데이터 레이크 - 팔로알토 네트웍스
* 코어텍스 데이터 레이크 스토리지 사이징 - Palo Alto Networks

Cortex XDR용 애드온 모듈인 Host Insights는 취약성 평가, 애플리케이션 및 시스템 가시성, 강력한 검색 및 삭제 기능을 결합하여 위협을 식별하고 억제하는 데 도움을 줍니다. 취약성 평가는 엔드포인트 전반의 취약성 노출 및 현재 패치 수준에 대한 실시간 가시성을 제공합니다. 호스트 인벤토리는 호스트 애플리케이션 및 설정에 대한 자세한 정보를 제공하며, 검색 및 삭제는 모든 엔드포인트에서 위협을 신속하게 찾아서 제거할 수 있게 해줍니다. 호스트 인사이트는 엔드포인트 가시성 및 공격 차단에 대한 총체적인 접근 방식을 제공하여 위협에 대한 노출을 줄여 향후 침해를 방지할 수 있도록 도와줍니다.

설명
현재 Cortex XDR에서 사용할 수 있는 BIOC 규칙의 유형은 Discovery입니다. Discovery BIOC 규칙은 Cortex XDR 데이터를 기반으로 엔드포인트에서 의심스럽거나 악의적인 동작을 탐지하는 규칙입니다. Discovery BIOC 규칙은 파일, 인젝션, 로드 이미지, 네트워크, 프로세스, 레지스트리 또는 사용자와 같은 다양한 이벤트 유형을 사용하여 규칙의 기준을 정의할 수 있습니다. 또한 연산자, 함수, 변수를 사용하여 규칙에 대한 복잡한 로직과 조건을 만들 수 있습니다. Discovery BIOC 규칙은 규칙이 트리거될 때 경고를 생성할 수 있으며, 이러한 경고를 인시던트로 그룹화하여 추가 조사 및 대응12을 수행할 수 있습니다.
포괄적인 설명을 제공하기 위해 다른 옵션에 대해 간략하게 설명하겠습니다:
A: 위협 행위자: 이것은 정답이 아닙니다. 위협 행위자는 현재 Cortex XDR에서 사용할 수 있는 BIOC 규칙의 한 유형이 아닙니다. 위협 행위자는 사이버 공격 또는 위협 캠페인에 책임이 있는 개인 또는 그룹을 지칭하는 용어입니다. Cortex XDR은 위협 행위자를 기반으로 하는 BIOC 규칙 생성을 지원하지 않지만, Unit 42, AutoFocus 또는 Cortex XSOAR3와 같은 다양한 소스에서 위협 인텔리전스 및 컨텍스트를 제공할 수 있습니다.
C: 네트워크: 이것은 정답이 아닙니다. 네트워크는 현재 Cortex XDR에서 사용할 수 있는 BIOC 규칙의 유형이 아닙니다. 네트워크는 소스 IP, 대상 IP, 소스 포트, 대상 포트, 프로토콜 또는 도메인과 같은 네트워크 속성을 기반으로 기준을 정의하기 위해 Discovery BIOC 규칙에서 사용할 수 있는 이벤트 유형입니다. 네트워크는 독립적인 유형의 BIOC 규칙이 아니라 Discovery BIOC 규칙의 일부입니다2.
D: 드롭퍼: 이것은 정답이 아닙니다. 드로퍼는 현재 Cortex XDR에서 사용할 수 있는 BIOC 규칙의 한 유형이 아닙니다. 드로퍼는 손상된 시스템에 다른 악성 파일이나 프로그램을 다운로드하여 설치하도록 설계된 멀웨어의 한 유형을 지칭하는 용어입니다. Cortex XDR은 드로퍼에 기반한 BIOC 규칙 생성을 지원하지 않지만 행동 위협 보호, 익스플로잇 방지 또는 WildFire 분석4과 같은 다양한 방법을 사용하여 드로퍼를 탐지하고 방지할 수 있습니다.
결론적으로, 현재 Cortex XDR에서 사용할 수 있는 BIOC 규칙의 유형은 Discovery입니다. Discovery BIOC 규칙을 사용하면 특정 사용 사례 및 시나리오에 맞는 사용자 지정 탐지 규칙을 만들 수 있습니다.
참조:
* BIOC 규칙 만들기
* BIOC 규칙 이벤트 유형
* 위협 인텔리전스 및 컨텍스트
* 멀웨어 방지

설명
보안 이벤트와 관련된 추가 기술 지원을 받기 위해 TAC에 문의할 때 상담원으로부터 수집해야 하는 두 가지 중요한 정보는 다음과 같습니다:
* 상담원 기술 지원 파일입니다. 에이전트의 구성, 상태, 로그 및 시스템 정보 등 에이전트에 대한 진단 정보가 들어 있는 파일입니다. 에이전트 기술 지원 파일은 TAC가 에이전트 또는 엔드포인트의 문제를 해결하고 문제를 해결하는 데 도움이 될 수 있습니다. 에이전트 기술 지원 파일은 Cortex XDR 콘솔 또는 에이전트 자체에서 생성 및 다운로드할 수 있습니다.
* 알림의 예방 아카이브. 프로세스 트리, 네트워크 활동, 레지스트리 변경 사항 및 관련 파일 등 알림과 관련된 포렌식 데이터가 포함된 파일입니다. 예방 아카이브는 TAC가 알림과 악성 활동을 분석하고 이해하는 데 도움이 될 수 있습니다. 다음을 생성하고
* 방지 아카이브는 Cortex XDR 콘솔 또는 에이전트 자체에서 다운로드하세요.
다른 옵션은 TAC에 중요한 정보가 아니며 모든 보안 이벤트에 사용할 수 있거나 관련되지 않을 수 있습니다. 예를 들어
* 에이전트의 배포 ID는 에이전트가 엔드포인트에 설치될 때 에이전트에 할당되는 고유 식별자입니다. 배포 ID는 TAC가 에이전트 및 해당 프로필을 식별하는 데 도움이 될 수 있지만 기술 지원이나 포렌식 분석을 제공하기에는 충분하지 않습니다. 배포 ID는 Cortex XDR 콘솔 또는 에이전트 설치 폴더에서 찾을 수 있습니다.
* 현재 에이전트에 적용된 모든 예외 목록은 에이전트의 보안 정책에서 제외되는 파일, 프로세스 또는 동작을 정의하는 규칙의 집합입니다. 예외는 TAC가 에이전트의 구성 및 동작을 이해하는 데 도움이 될 수 있지만 기술 지원이나 포렌식 분석을 제공하는 데 필수적인 것은 아닙니다. 예외는 Cortex XDR 콘솔 또는 상담원 구성 파일에서 찾을 수 있습니다.
* 고유 에이전트 ID는 에이전트가 Cortex XDR에 등록할 때 에이전트에 할당되는 고유 식별자입니다. 고유 에이전트 ID는 TAC가 에이전트와 해당 엔드포인트를 식별하는 데 도움이 될 수 있지만 기술 지원이나 포렌식 분석을 제공하기에는 충분하지 않습니다. 고유 에이전트 ID는 Cortex XDR 콘솔 또는 에이전트 로그 파일에서 찾을 수 있습니다.
참조:
* 상담원 기술 지원 파일 생성 및 다운로드
* 예방 아카이브 생성 및 다운로드
* Cortex XDR 에이전트 관리자 가이드: 에이전트 배포 ID
* Cortex XDR 에이전트 관리자 가이드: 예외 보안 프로필
* [Cortex XDR 에이전트 관리자 가이드: 고유 에이전트 ID]

설명
Cortex XDR 에이전트를 수동으로 업그레이드하려면, 자산 관리 페이지 또는 Cortex XDR 콘솔의 엔드포인트 관리 페이지를 사용할 수 있습니다. 자산 관리 페이지에서 하나 이상의 엔드포인트를 선택하고 작업 > 에이전트 업그레이드를 클릭할 수 있습니다. 엔드포인트 관리 페이지에서 하나 이상의 에이전트 버전을 선택하고 업그레이드를 클릭할 수 있습니다. 에이전트 설치 페이지를 사용하여 자동 에이전트 업그레이드를 예약할 수도 있습니다. 참조:
* 자산 관리
* 엔드포인트 관리
* 에이전트 설치

설명
XQL 쿼리를 사용하여 BIOC 규칙을 만들려면 유효한 BIOC 규칙이 되려면 최소한 event_type 필드에 필터를 적용해야 합니다. event_type 필드는 프로세스, 파일, 등록, 네트워크, 사용자 계정 등 경고를 트리거한 이벤트의 유형을 나타냅니다. 이 필드를 필터링하면 쿼리 범위를 좁히고 사용 사례와 관련된 이벤트에 집중하는 데 도움이 됩니다. 원인_체인, 엔드포인트_이름, 위협_이벤트 등의 다른 필드는 선택 사항이며 쿼리를 더욱 세분화하거나 알림에 추가 정보를 표시하는 데 사용할 수 있습니다. 참조:
* 팔로알토 네트웍스 공인 탐지 및 치료 분석가(PCDRA) 학습 가이드, 9페이지
* 팔로알토 네트웍스 Cortex XDR 설명서, BIOC 규칙 쿼리 구문

설명
Cortex XDR을 사용하면 네트워크에서 위협을 탐지하고 대응하는 데 사용할 수 있는 다양한 유형의 IOC(침해 지표)를 기반으로 IOC 규칙을 정의할 수 있습니다. Cortex XDR에서 정의할 수 있는 IOC 유형 중 하나는 로컬 엔드포인트가 통신 중인 원격 호스트의 IP 주소인 대상 IP 주소입니다. 이 유형의 IOC를 사용하여 명령 및 제어 서버, 피싱 사이트 또는 멀웨어 배포 호스트에 대한 연결과 같은 악의적인 네트워크 활동을 식별할 수 있습니다. 또한 네트워크 트래픽의 방향(인바운드 또는 아웃바운드)과 대상 IP 주소 IOC에 대한 프로토콜(TCP 또는 UDP)을 지정할 수도 있습니다. 참조:
* Cortex XDR 문서 포털
* 쿼리에 사용하기 위해 IOC 목록을 만들 수 있나요?
* Cortex XDR 데이터시트

설명
Cortex XDR Analytics는 머신 러닝과 인공 지능을 사용하여 네트워크 공격을 탐지하고 방지하는 클라우드 기반 서비스입니다. Cortex XDR 분석은 엔드포인트에서 공격 패턴이 관찰되는 즉시 악성 프로세스, 파일 또는 네트워크 연결을 차단하는 보호 정책을 적용하여 공격 패턴을 방해할 수 있습니다. 이렇게 하면 Cortex XDR Analytics는 공격이 시스템을 손상시키거나 손상되기 전에 공격을 차단할 수 있습니다. 참조:
* [Cortex XDR 애널리틱스 개요]
* [Cortex XDR 애널리틱스 보호 정책]

설명
한 번에 여러 개의 인시던트를 선택하는 경우 사용자가 인시던트를 마우스 오른쪽 버튼으로 클릭하면 메뉴에서 사용할 수 있는 옵션은 다음과 같습니다: 분석가에게 인시던트 일괄 배정하기 및 여러 인시던트의 상태 변경하기입니다. 이러한 옵션을 사용하면 선택한 인시던트에 대해 특정 애널리스트에게 배정하거나 상태를 진행 중, 진행 중, 해결됨 또는 종료됨으로 변경하는 등의 대량 작업을 수행할 수 있습니다. 이러한 옵션을 통해 사용자는 인시던트를 보다 효율적이고 효과적으로 관리하고 우선 순위를 지정할 수 있습니다. 이러한 옵션을 사용하려면 인시던트 테이블에서 인시던트를 선택하고 마우스 오른쪽 버튼으로 클릭한 다음 메뉴에서 원하는 옵션을 선택해야 합니다. 사용자는 키보드 단축키를 사용하여 이러한 작업을 수행할 수도 있습니다(예: 모든 인시던트를 선택하려면 Ctrl+A, 분석가에게 인시던트를 할당하려면 Ctrl+Shift+A, 인시던트 상태를 변경하려면 Ctrl+Shift+S) 12 참조:
* 분석가에게 일괄적으로 인시던트 할당하기
* 여러 인시던트의 상태 변경

설명
방금 Cortex에 보고된 새 인시던트의 "할당 대상" 필드 값이 "할당되지 않음"입니다. 이는 인시던트가 아직 어떤 분석가나 그룹에도 배정되지 않았으며 누군가가 소유권을 갖기를 기다리고 있음을 의미합니다. "할당 대상" 필드는 인시던트 레이아웃에 표시되는 기본 필드 중 하나이며, 인시던트 목록에서 인시던트를 필터링하고 정렬하는 데 사용할 수 있습니다. '할당 대상' 필드는 분석가가 수동으로 변경하거나 플레이북 또는 규칙12에 의해 자동으로 변경할 수 있습니다.
포괄적인 설명을 제공하기 위해 다른 옵션에 대해 간략하게 설명하겠습니다:
A: 보류 중입니다: 이것은 정답이 아닙니다. 보류 중은 '배정 대상' 필드에 유효한 값이 아닙니다. 보류 중은 인시던트의 현재 상태를 나타내는 '상태' 필드에 사용할 수 있는 값입니다. 상태 필드에는 "신규", "활성", "완료", "종료" 또는 "보류 중"3과 같은 값이 있을 수 있습니다.
B: 비어 있습니다: 이것은 정답이 아닙니다. '할당 대상' 필드는 어떤 인시던트에도 비어 있지 않습니다. 플레이북이나 규칙에서 특정 분석가나 그룹12에 할당하지 않는 한 새 인시던트에 대한 기본값은 항상 "할당되지 않음"입니다.
D: 신규: 이것은 정답이 아닙니다. 신규는 '배정 대상' 필드에 유효한 값이 아닙니다. 인시던트의 현재 상태를 나타내는 '상태' 필드에 사용할 수 있는 값은 신규입니다. 상태 필드에는 "신규", "활성", "완료", "종료" 또는 "보류 중"3과 같은 값이 있을 수 있습니다.
결론적으로 방금 Cortex에 보고된 새 인시던트의 '할당 대상' 필드 값은 '할당되지 않음'입니다.
이 필드는 인시던트의 소유권 및 책임을 관리하는 데 사용할 수 있으며 수동 또는 자동으로 변경할 수 있습니다.
참조:
* Cortex XDR Pro 관리 가이드: 인시던트 관리
* Cortex XDR Pro 관리 가이드: 인시던트 할당
* Cortex XDR Pro 관리 가이드: 인시던트 상태 업데이트

설명
암호화, 데이터 도용, 서비스 거부 및 괴롭힘을 사용하여 피해자를 이용하는 멀웨어의 일종으로 랜섬웨어가 있습니다. 랜섬웨어는 피해자의 파일을 암호화하거나 시스템에 대한 액세스를 차단한 다음 암호 해독 키 또는 액세스 복원을 위해 몸값을 요구하는 멀웨어의 일종입니다.
랜섬웨어는 몸값을 지불하지 않으면 피해자의 데이터를 노출하거나 삭제하겠다고 협박할 수도 있습니다. 랜섬웨어는 개인, 기업, 조직에 심각한 피해와 혼란을 야기할 수 있으며 제거하거나 복구하기 어려울 수 있습니다. 랜섬웨어의 몇 가지 예로는 CryptoLocker, WannaCry, Ryuk, REvil 등이 있습니다.
참조:
* 12가지 멀웨어 유형 + 알아야 할 예시 - CrowdStrike
* 멀웨어란 무엇인가요? 멀웨어 정의, 유형 및 보호
* 예제와 함께 설명하는 12가지 이상의 멀웨어 유형(전체 목록)

설명
"별표 표시"된 인시던트만 표시되도록 표시를 필터링하려면 위젯에서 별표를 클릭해야 합니다. 그러면 인시던트 별표 표시 구성에서 정의한 특정 조건과 일치하는 알림인 별표 표시된 알림이 포함된 인시던트만 표시하는 필터가 적용됩니다. 인시던트 별표 표시 기능을 사용하여 환경에서 가장 중요하거나 관련성이 높은 인시던트의 우선 순위를 정하고 집중할 수 있습니다1.
포괄적인 설명을 제공하기 위해 다른 옵션에 대해 간략하게 설명하겠습니다:
A: 사용자 지정 XQL 위젯을 만듭니다: 이것은 정답이 아닙니다. 별표 표시된 인시던트만 표시하도록 표시를 필터링하기 위해 사용자 지정 XQL 위젯을 만들 필요는 없습니다. 사용자 지정 XQL 위젯은 XQL 쿼리 언어를 사용하여 데이터 소스 및 시각화 유형을 정의하여 만드는 위젯입니다. 사용자 지정 XQL 위젯을 사용하여 자신만의 대시보드나 보고서를 만들 수 있지만 별표로 인시던트를 필터링하는 데는 필요하지 않습니다2.
B: 현재 지원되지 않습니다: 이것은 정답이 아닙니다. 별표 표시된 인시던트만 표시하도록 디스플레이를 필터링하는 기능은 현재 Cortex XDR에서 지원됩니다. 위젯의 별 아이콘을 사용하여 이 필터를 적용하거나 필터 빌더를 사용하여 별표 표시된 필드1를 기반으로 사용자 지정 필터를 만들 수 있습니다.
C: 사용자 지정 보고서를 만들고 별표 표시된 인시던트를 필터링합니다: 이것은 정답이 아닙니다. 사용자 지정 보고서를 만들고 별표 표시된 인시던트를 필터링하는 것만이 별표 표시된 인시던트만 표시하도록 화면을 필터링하는 유일한 방법은 아닙니다.
사용자 지정 보고서는 보고서 작성기를 사용하여 데이터 소스, 레이아웃 및 일정을 정의하여 만드는 보고서입니다. 사용자 지정 보고서를 사용하여 Cortex XDR 데이터에 대한 정기 보고서를 생성하고 공유할 수 있지만, 별3별로 인시던트를 필터링하는 유일한 옵션은 아닙니다.
결론적으로 위젯에서 별표를 클릭하면 '별표'가 표시된 인시던트만 표시되도록 화면을 필터링하는 가장 간단하고 쉬운 방법입니다. 이 기능을 사용하면 사용자 환경에서 가장 중요하거나 관련성이 높은 인시던트를 빠르게 식별하고 집중할 수 있습니다.
참조:
* 별별로 인시던트 필터링
* 사용자 지정 XQL 위젯 만들기
* 사용자 지정 보고서 만들기

설명
알림과 인시던트의 올바른 관계는 주어진 시간 내에 발생하는 동일한 인과 관계 체인을 가진 알림을 인시던트로 함께 그룹화하는 것입니다. 인과 관계 체인은 멀웨어 감염, 측면 이동 또는 데이터 유출과 같은 동일한 악성 활동과 관련된 일련의 이벤트입니다. Cortex XDR은 알림 소스, 유형, 기간 등 알림의 다양한 속성을 고려하는 일련의 규칙을 사용하여 알림이 동일한 인과관계 체인에 속하는지 여부를 결정합니다. 관련 경보를 인시던트로 그룹화하여 검토해야 할 개별 이벤트의 수를 줄이고 풍부한 조사 세부 정보를 통해 공격에 대한 전체적인 그림을 제공합니다1.
동일한 호스트의 알림이 주어진 시간 프레임에서 반드시 하나의 인시던트로 그룹화되는 것은 아니므로 옵션 A는 올바르지 않습니다. 동일한 호스트에 대한 알림은 서로 다른 인과 관계 체인에 속하거나 악성 활동과 관련이 없을 수 있습니다. 예를 들어, 호스트에 멀웨어 감염과 네트워크 이상이 있는 경우, 이러한 알림은 동일한 공격의 일부가 아닌 한 동일한 인시던트로 그룹화되지 않을 수 있습니다.
3시간 이내에 발생하는 알림이 항상 하나의 인시던트로 그룹화되는 것은 아니므로 옵션 B는 올바르지 않습니다. 시간 프레임만이 알림을 인시던트로 그룹화하는 유일한 기준은 아닙니다. 3시간 이내에 발생하는 알림은 서로 다른 인과 관계 체인에 속하거나 악의적인 활동과 관련이 없을 수 있습니다. 예를 들어, 호스트에서 3시간 이내에 파일 다운로드와 레지스트리 수정이 발생한 경우, 이러한 알림은 동일한 공격의 일부가 아닌 한 동일한 인시던트로 그룹화되지 않을 수 있습니다.
모든 알림이 새 인시던트를 만들지 않으므로 옵션 D는 올바르지 않습니다. 모든 알림에 대해 새 인시던트를 만들면 알림의 피로도가 높아지고 조사가 비효율적으로 이루어질 수 있습니다. Cortex XDR은 인과 관계 체인 및 기타 속성을 기반으로 관련 경보를 하나의 인시던트로 그룹화하여 인시던트 수를 줄이는 것을 목표로 합니다.
참조:
* 팔로알토 네트웍스 공인 탐지 및 치료 분석가(PCDRA) 학습 가이드, 9페이지
* 팔로알토 네트웍스 Cortex XDR 설명서, 사고 관리 개요2
* Cortex XDR: AI 기반 사이버 보안으로 침해 차단1

설명
파일 검색 및 삭제는 엔드포인트에서 악성 파일을 검색하고 제거할 수 있는 Cortex XDR의 기능입니다. 이 기능을 사용하면 정규식 매개변수를 사용하여 해시, 전체 경로 또는 부분 경로로 파일을 찾을 수 있습니다. 그런 다음 검색 결과에서 파일을 선택하여 해시 또는 경로별로 파일을 삭제할 수 있습니다. 해시를 기준으로 파일을 파기하면 엔드포인트의 모든 파일 인스턴스가 제거됩니다. 파일 검색 및 삭제는 위협에 신속하게 대응하고 추가 피해를 방지하는 데 유용합니다. 참조:
* 악성 파일 검색 및 삭제
* Cortex XDR Pro 관리자 가이드

참조:
%20process