무료 온라인 액세스 PaloAltoNetworks.NetSec-Analyst.v2025-12-29.q90 모의 시험 (Page 15)

NetSec-Analyst 문제 66

Palo Alto Networks 네트워크 보안 분석가는 로그 뷰어에서 'DNS 싱크홀' 로그 패턴을 발견했습니다. 이 로그는 내부 호스트가 알려진 악성 도메인을 확인하려고 시도하고 있으며, 방화벽이 이러한 요청을 구성된 싱크홀 IP로 성공적으로 리디렉션하고 있음을 나타냅니다. 그러나 내부 침해의 심각도에도 불구하고 인시던트 및 알림 페이지에는 해당 '중요' 또는 '높음' 심각도의 알림이 표시되지 않습니다. 이러한 싱크홀 이벤트로 인한 인시던트 생성을 방해할 가능성이 가장 높은 구성 요소는 무엇입니까?

A. 방화벽의 DNS 프록시 설정이 활성화되어 있지 않아 싱크홀링이 제대로 이루어지지 않습니다.

B. 관련 보안 정책에 적용된 안티스파이웨어 프로필에는 해당 위협 범주에 대한 'DNS 싱크홀' 작업이 '경고' 또는 '차단'으로 설정되어 있지 않습니다.

C. 로그 포마딩 프로필은 사고 상관관계를 위해 '심각도: 높음'의 '위협' 로그를 Cortex Data Lake로 보내도록 구성되지 않았습니다.

D. WildFire 분석 프로필이 DNS 트래픽에 대해 활성화되어 있지 않으므로 판결이 생성되지 않습니다.

E. DNS 트래픽을 허용하는 보안 정책 규칙의 '동작'이 'allow-log' 대신 'allow'로 설정되어 있습니다.

NetSec-Analyst 문제 67

Palo Alto Networks 방화벽은 알려진 악성 URL을 차단하기 위해 'URL' 유형의 외부 동적 목록으로 구성되어 있습니다. 이 목록은 수백만 개의 항목을 포함하는 방대한 목록입니다. 보안팀은 이 대규모 EDL을 구현한 후 방화벽 관리 플레인 CPU 사용률이 크게 증가하고 정책 커밋 작업이 간헐적으로 지연되는 것을 발견했습니다. 보안 효율성을 저해하지 않으면서 이러한 성능 저하를 완화하기 위해 가장 중요한 두 가지 조정 또는 고려 사항은 무엇입니까?

A. EDL의 '반복' 새로 고침 간격을 더 길게(예: 매시간에서 매일로) 줄입니다.

B. EDL 소스 서버가 고가용성이며 응답성이 뛰어나 시간 초과 오류를 최소화할 수 있도록 보장합니다.

C. 위협 범주나 지리적 위치에 따라 하나의 큰 EDL을 여러 개의 작은 EDL로 분할합니다.

D. 전용 로그 수집기나 Panorama 어플라이언스를 활용하여 EDL 처리 부담을 덜어줍니다.

E. 방화벽 모델을 관리 평면 리소스와 메모리가 더 많은 모델로 업그레이드하는 것을 고려하세요.

NetSec-Analyst 문제 68

인터넷 에지 장치로 구축된 Palo Alto Networks 방화벽에서 갑작스럽고 심각한 성능 저하가 발생하여 패킷 대기열이 크게 증가하고 모든 아웃바운드 트래픽에 높은 지연 시간이 발생합니다. 물리적인 HA 링크는 정상으로 보이는데도 방화벽 시스템 로그에 'HA 링크 플래핑(Flapping)' 메시지가 반복적으로 표시됩니다. 최근 구성 변경 사항은 배포되지 않았습니다. HA 상태에 영향을 미치는 '스플릿 브레인(Split-Brain)' 시나리오 또는 잘못된 구성이 의심됩니다. 다음 중 가장 가능성 있는 원인은 무엇이며, 이중화된 구성을 가정할 때 환경을 안정화하기 위해 어떤 즉각적인 조치를 취해야 합니까?

A. H에 참여하는 인터페이스에서 네트워크 루프가 감지되었습니다. 두 방화벽 모두에서 HA 선점을 즉시 비활성화한 다음 루프가 있는지 네트워크 토폴로지를 검토합니다.

B. HA 경로 모니터링 또는 링크 모니터링 임계값이 너무 높아서 거짓 양성이 발생합니다. 경로 및 링크 모니터링 임계값을 높이고 커밋하세요.

C. HA 제어 링크(하트비트)에 과도한 지연 시간 또는 패킷 손실이 발생하여 링크 플래핑 현상이 감지됩니다. HA 제어 링크의 지연 시간을 확인하고 링크를 재배치하거나 상호 연결의 혼잡 문제를 해결하는 것을 고려하십시오.

D. HA 경로 모니터링을 위해 구성된 중요 인터페이스가 활성 방화벽에서 장애가 발생하여 수동 모드로 선언되었지만, 수동 방화벽에도 문제가 발생하여 활성 모드로 전환되지 못하고 있습니다. 가능하면 'request high-availability state functional-hold' 명령을 사용하여 정상 상태의 방화벽으로 수동으로 페일오버를 강제 실행하거나, 현재 활성 상태의 방화벽을 재부팅하십시오.

E. 데이터 플레인의 HA 구성이 액티브 방화벽과 패시브 방화벽 간에 동기화되지 않아 트래픽 처리 오류가 발생했습니다. 요청 고가용성 동기화 구성을 사용하여 액티브 장치에서 패시브 장치로 전체 구성 동기화를 푸시하세요.

NetSec-Analyst 문제 69

한 조직에서 특정 내부 서브넷에서만 접근 가능한 매우 민감한 내부 웹 애플리케이션 목록에 대한 사용자 지정 URL 범주를 생성하려고 합니다. 그러나 이러한 애플리케이션은 공개적으로 확인 가능한 공통 루트 도메인(예: 'appl.corp.example.com', 'app2.corp.example.com', 'finance.corp.example.com')을 공유하는 FQDN을 통해 접근합니다. 문제는 '.corp.example.com'이 다른 많은 공개 서비스에서도 사용되고 있으며, 'corp.example.com' 도메인 전체를 차단하면 심각한 비즈니스 중단이 발생한다는 것입니다. 보안팀은 다른 하위 도메인에 영향을 미치지 않고 'appl.corp.example.com', 'app2.corp.example.com', 'finance.corp.example.com'만 포함하도록 사용자 지정 URL 범주를 정확하게 정의한 후 엄격한 액세스 정책을 적용해야 합니다. 'public.corp.example.com'이나 'dev.corp.example.com'과 같은 다른 하위 도메인이 존재하고 포함되어서는 안 된다고 가정할 때, 사용자 지정 URL 범주에 대한 어떤 구성 접근 방식이 가장 정확하고 오탐지가 가장 적습니까?

A.

B.

C.
{<디>}:

D.

정답: A

이 시나리오에서는 과도한 차단을 방지하기 위해 URL 범주 정의의 정확성을 강조합니다.다음 옵션을 분석해 보겠습니다.A. 사용자 지정 URL 범주 유형: URL, 항목: 'appl.corp.example.com', 'app2.corp.example.com', 'finance.corp.example.com'(올바른 유형) URL: 이 유형은 전체 URL 또는 FQDN의 정확한 문자열 일치에 사용됩니다. FQDN(예: 'appl.corp.example.com')만 항목으로 제공하면 방화벽은 'http://appl.corp.example.com', Shttps://appl.corp.example.com' 및 그 뒤의 모든 경로 또는 쿼리 문자열(예: 'https://appl.corp.example.com/login')을 일치시킵니다.이 방법은 'corp.example.com'의 다른 하위 도메인이나 루트 도메인 자체에 영향을 미치지 않고 명시적으로 나열된 민감한 애플리케이션에 대한 가장 정확한 일치를 제공합니다.이는 고정된 FQDN 목록에 대한 가장 간단하고 정확한 방법입니다. B. 사용자 지정 URL 범주 유형: 와일드카드, 항목: 'appl.corp.example.com', 'app2.corp.example.com', 'finance.corp.example.com' 유형: 와일드카드: 와일드카드 유형이 존재하지만, 실제 와일드카드 없이 전체 FQDN을 제공하면 C ' )는 이 특정 사례에서 'URL' 유형과 유사하게 동작하지만, 전체 FQDN 또는 URL에 대해 'URL'이 더 명확하고 의도된 유형입니다. 항목이 '.corp.example.com'인 경우 와일드카드가 되지만, 그러면 과도한 차단이 발생합니다. C. 사용자 지정 URL 범주 유형: 정규식, 패턴: 'Ahttps?://(appl lapp21finance)\.corp\.example\.com(/. )?$ 유형: 정규식: 이 정규식은 기술적으로 정확하고 정확합니다. 그러나 고정되고 작은 FQDN 목록의 경우 'URL' 유형(옵션 A)을 사용하는 것이 더 간단하고 효율적이며 정규식 전문가가 아닌 관리자에게 정규식 관련 오류가 발생할 가능성이 적습니다.Palo Alto Networks 설명서에서는 종종 가장 간단하고 효과적인 방법을 권장합니다.목록이 동적이거나 복잡한 패턴이 있는 경우 정규식을 선호하지만 여기서는 그렇지 않습니다.D. 사용자 지정 URL 범주 유형: 도메인, 항목: 'appl .corp.example.com', 'app2.corp.example.com', 'finance.corp.example.com' 유형: 도메인: 이 유형은 전체 도메인과 모든 하위 도메인과 일치합니다.예를 들어 'corp.example.com'을 추가하면 'appl .corp.example.com', 'public.corp.example.com', 'dev.corp.example.com' 및 'www.corp.example.com'과도 일치합니다. 'appl .corp.example.com'과 같은 특정 FQDN을 '도메인' 유형 항목으로 추가하면 일반적으로 'appl.corp.example.com'과 모든 하위 도메인(예: 'test.appl.corp.example.com')이 일치하게 되며, 이는 특정 FQDN을 정확하게 차단하기 위한 것이 아닙니다. E. 사용자 지정 URL 범주 유형: 정규식, 패턴: ' . (appl 유형: 정규식: 이 정규식은 시작과 끝에 .을 사용하여 너무 광범위합니다. 'badappl.corp.example.com' 또는 'test-appl.corp.example.com'과 일치하여 거짓 양성으로 이어집니다.호스트 이름이나 특정 하위 도메인의 시작 부분에 고정되어 있지 않아 문제가 될 수 있습니다.

NetSec-Analyst 문제 70

한 조직이 Palo Alto Networks 방화벽을 사용하고 있으며, 비정상적인 DNS 쿼리에 대한 매우 구체적인 로깅 및 경고가 필요합니다. 이 조직은 도메인에 대한 DNS 쿼리가 특정 정규식 패턴 'A(?!. (?:googlelmicrosoftlamazon)\.com$)'과 일치하고, 해당 쿼리가 'Guest_Network' 영역 내의 클라이언트에서 시작될 때마다 사용자 지정 로그 항목을 생성하려고 합니다. 또한, 로그 항목에는 일치하는 도메인과 클라이언트의 IP 주소가 포함되어야 합니다. 데이터 패턴과 사용자 지정 로그 프로필을 사용하는 사용자 지정 로그 구성 중 어떤 것이 성능 영향을 최소화하면서 이러한 요구 사항을 충족할 수 있을까요?

A.

B.

C.
{<디>}:

D.

정답: B

이는 다양한 사용자 지정 객체 유형의 미묘한 차이와 특히 DNS 쿼리에 대한 로깅 의미를 이해해야 하는 까다로운 문제입니다.문제 분석: 대상: DNS 쿼리.패턴: 도메인 이름(DNS 쿼리 이름)에 대한 정규식.조건: 'Guest_Network'에서 발생.조치: 일치하는 도메인 및 클라이언트 12를 포함하는 사용자 지정 로그 항목(알림) 생성 제약 조건: 성능 영향 최소화.옵션 평가: A: 데이터 패턴/데이터 필터링: 데이터 패턴은 주로 애플리케이션 페이로드(예: 파일 전송, 웹 양식) 내의 콘텐츠 검사 및 데이터 손실 방지를 위해 설계되었습니다.'dns-query-name'은 데이터 패턴의 컨텍스트가 될 수 있지만 DNS 쿼리에 대한 간단한 정규식 매칭에 사용하는 것은 일반적으로 위협 시그니처보다 효율이 떨어지고 관용적이지 않습니다.더 무겁습니다.또한 데이터 필터링 로그는 이러한 유형의 이상에 대한 표준 위치가 아닙니다. B: 사용자 지정 위협 시그니처/취약점 보호 프로필(정확): 1. 사용자 지정 위협 시그니처: DNS와 같은 네트워크 프로토콜에서 비정상적인 패턴을 탐지하는 데 가장 적합한 객체입니다. 'dns-query-name' 위치는 DNS 쿼리에서 도메인 이름과 일치하는 항목을 찾는 데 적합합니다. 유형을 '스파이웨어' 또는 '취약점'으로 설정하면 위협 관련 이상 징후 탐지에 적합합니다. 정규 표현식이 올바르게 정의되어 있습니다. 2. 취약성 보호 프로필: 이 프로필은 위협 시그니처에 대한 조치를 정의하는 곳입니다. '경고'로 설정하는 것이 필수 조건입니다. 3. 로그 전달 프로필: 위협 로그에는 일치하는 위협 ID(사용자 지정 시그니처 ID), 소스 IP, 대상 IP, 그리고 가장 중요한 일치 패턴 문자열(도메인 이름)을 포함한 자세한 정보가 포함됩니다. 이는 로깅 요구 사항을 완벽하게 충족합니다. 4. 보안 규칙 적용: '취약점 보호 프로필'을 'dns'로 향하는 "Guest_Network" 트래픽에 대한 특정 보안 규칙에 적용하면 관련 트래픽만 검사됩니다. 이 접근 방식은 이러한 위협 탐지를 위해 특별히 제작되었습니다.C: 사용자 지정 애플리케이션: 사용자 지정 애플리케이션은 고유한 특성(포트, 핸드셰이크, HTTP 헤더, URI 등)을 기반으로 애플리케이션을 식별하기 위한 것입니다.특정 쿼리 이름을 가진 DNS 트래픽을 '사용자 지정 앱'으로 기술적으로 식별할 수 있지만, App-ID의 주요 목적은 세분화된 패턴 탐지 알림이 아니라 정책 시행을 위한 분류입니다.결과 로그는 '트래픽 로그'가 되며, 위협 로그와 달리 SIEM 구문 분석을 위한 전용 필드에 일치하는 DNS 쿼리 이름의 구체적인 세부 정보가 쉽게 제공되지 않을 수 있습니다.D: 사용자 지정 URL 범주/URL 필터링: URL 범주 및 URL 필터링 프로필은 웹(HTTP/HTTPS) 트래픽을 위해 특별히 설계되었습니다.이들은 원시 DNS 쿼리가 아닌 URL에서 작동합니다.DNS가 URL 확인에 관여하는 반면, URL 필터링은 DNS 확인 후에 발생하며 HTTP/HTTPS 세션에 적용됩니다.이는 직접적인 DNS 쿼리 검사에는 전혀 적합하지 않습니다. E: 로그 쿼리/이메일 알림: 이 옵션은 생성된 로그를 모니터링하는 방법을 설명합니다. 특정 DNS 쿼리 패턴을 기반으로 초기 로그/알림을 생성하도록 방화벽을 구성하는 방법은 설명하지 않습니다. 이는 탐지 메커니즘이 아닌 탐지 후 분석 메커니즘입니다.