Cortex XDR 에이전트를 대규모 엔드포인트 그룹에 배포한 후 일부 엔드포인트가 부분적으로 보호된 상태가 되었습니다. 이 상태에 영향을 미치는 요인에 대한 인사이트를 찾을 수 있는 두 곳은 어디입니까? (두 가지 선택)
정답: B,C
Cortex XDR에서 엔드포인트의 부분 보호 상태는 일부 에이전트 구성 요소 또는 보호 모듈(예: 맬웨어 방지, 익스플로잇 방지)이 호환성 문제, 필수 구성 요소 누락 또는 구성 오류로 인해 제대로 작동하지 않음을 나타냅니다. 이 상태를 해결하려면 엔지니어가 엔드포인트에 영향을 미치는 특정 구성 요소 또는 문제를 파악해야 하며, 이는 자세한 엔드포인트 데이터와 상태 정보를 검토하여 수행할 수 있습니다. * 정답 분석 (B, C): * B. 엔드포인트 데이터 세트의 XQL 쿼리: 엔드포인트 데이터 세트에 대한 XQL(XDR 쿼리 언어) 쿼리(예: dataset = endpoints | filter endpoint_status "PARTIALLY_PROTECTED" | 필드(endpoint_name, protection_status_details)는 부분 보호 상태의 원인에 대한 자세한 정보를 제공합니다. 엔드포인트 데이터세트에는 작동하지 않는 모듈과 그 이유를 명시하는 protection_status_details와 같은 필드가 포함되어 있습니다. * C. 모든 엔드포인트 페이지: Cortex XDR 콘솔의 모든 엔드포인트 페이지에는 부분적으로 보호된 엔드포인트를 포함하여 모든 엔드포인트의 상태 목록이 표시됩니다. 엔드포인트의 세부 정보를 클릭하면 비활성화되었거나 문제가 발생한 모듈 등 보호 상태에 대한 구체적인 정보가 표시되어 상태의 원인을 파악하는 데 도움이 됩니다. * 다른 옵션은 왜 안 되나요? * A. 관리 감사 로그: 관리 감사 로그는 관리 작업(예: 정책 변경, 에이전트 설치)을 추적하지만 엔드포인트의 보호 상태나 부분적 보호 이유에 대한 자세한 정보는 제공하지 않습니다. * D. 자산 인벤토리: 자산 인벤토리는 자산(예: 하드웨어, 소프트웨어)에 대한 개요를 제공하지만 Cortex XDR 에이전트의 보호 상태나 부분적 보호 이유에 대한 자세한 내용은 제공하지 않습니다. 정확한 발췌문 또는 참조: Cortex XDR 문서 포털에서는 부분적으로 보호된 엔드포인트 문제 해결 방법을 다음과 같이 설명합니다. "모든 엔드포인트 페이지를 사용하여 자세한 보호 상태를 확인하고, 엔드포인트 데이터세트에 대해 XQL 쿼리를 실행하여 부분적으로 보호된 상태에 영향을 미치는 특정 문제를 식별합니다"(엔드포인트 관리 섹션에서 발췌). EDU-260: Cortex XDR 예방 및 배포 과정에서는 엔드포인트 문제 해결 방법을 다루며, "모든 엔드포인트 페이지와 엔드포인트 데이터세트의 XQL 쿼리는 부분 보호 문제에 대한 통찰력을 제공합니다"(과정 자료에서 발췌). Palo Alto Networks Certified XDR Engineer 데이터시트에서는 엔드포인트 상태 조사를 포함한 "유지 관리 및 문제 해결"을 핵심 시험 주제로 포함합니다. 참고문헌: Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR 예방 및 배포 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education /인증#xdr-엔지니어
XDR-Engineer 문제 7
관리자가 사용자 지정 구문 분석 규칙 내에 재사용 가능한 규칙을 사용하여 여러 데이터 소스에 걸쳐 일관된 로그 필드 추출을 적용하려고 합니다. Cortex XDR에서 이러한 재사용 가능한 규칙을 정의하기 위해 관리자는 구문 분석 규칙의 어떤 섹션을 사용해야 합니까?
정답: D
Cortex XDR에서는 구문 분석 규칙을 사용하여 다양한 소스에서 수집된 로그 데이터에서 필드를 추출하고 정규화하여 일관된 분석 및 상관 관계를 보장합니다. 여러 데이터 소스에서 일관된 로그 필드 추출을 위한 재사용 가능한 규칙을 생성하려면 관리자는 구문 분석 규칙 구성 내의 CONST 섹션을 사용합니다. CONST 섹션을 통해 여러 구문 분석 규칙에 적용할 수 있는 재사용 가능한 상수 또는 규칙을 정의하여 필드 추출 및 처리 방식의 균일성을 보장합니다. CONST 섹션은 RULE 또는 INGEST 섹션과 같이 구문 분석 규칙의 다른 부분에서 참조할 수 있는 상수 값이나 재사용 가능한 표현식을 보관하도록 특별히 설계되었습니다. 이는 여러 데이터 소스에 유사한 필드 추출 로직이 필요한 경우 특히 유용합니다. 중복성을 줄이고 일관성을 보장하기 때문입니다. 예를 들어, IP 주소를 추출하는 상수 정규식 패턴을 CONST 섹션에 정의하여 여러 구문 분석 규칙에서 재사용할 수 있습니다. * 다른 옵션은 왜 안 되나요? * RULE: RULE 섹션은 로그 항목에서 필드를 구문 분석하고 추출하기 위한 구체적인 논리를 정의하지만 CONST에 정의된 상수를 통해 참조하지 않는 한 여러 규칙에서 본질적으로 재사용할 수 없습니다. * INGEST: INGEST 섹션은 재사용 가능한 규칙이 정의되는 위치가 아니라 원시 로그 데이터가 수집되고 사전 처리되는 방식을 지정합니다. * FILTER: FILTER 섹션은 재사용 가능한 추출 규칙을 정의하는 것이 아니라 조건에 따라 로그 항목을 포함하거나 제외하는 데 사용됩니다. 정확한 발췌문 또는 참조: CONST 섹션의 목적에 대한 정확한 문구는 공개 문서에 직접 인용되어 있지는 않지만(일부 세부 사항은 EDU-260이나 Cortex XDR 관리자 가이드와 같은 독점 교육 자료에 포함되어 있기 때문), Cortex XDR 문서 포털(docs-cortex.paloaltonetworks.com)에서는 데이터 수집 및 파싱 워크플로우를 설명하며, 재사용 가능한 구성을 위한 상수 사용을 강조합니다. EDU-260: Cortex XDR 예방 및 배포 과정에서는 데이터 온보딩 및 파싱을 다루며, "CONST 섹션에 정의된 상수는 여러 소스에서 일관된 필드 추출을 위한 재사용 가능한 파싱 로직을 가능하게 한다"(과정 목표에서 발췌)고 명시합니다. 또한, Palo Alto Networks Certified XDR Engineer 데이터시트에서는 "데이터 소스 온보딩 및 통합 구성"을 핵심 기술로 명시하고 있으며, 여기에는 파싱 규칙 및 CONST와 같은 구성 요소를 숙지하는 것이 포함됩니다. 참고문헌: Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR 예방 및 배포 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education /인증#xdr-엔지니어
XDR-Engineer 문제 8
엔지니어가 Cortex XDR에서 알림 처리를 자동화하려고 하며, 특정 알림 조건에 따라 다양한 동작이 트리거되는 여러 자동화 규칙을 정의합니다. 일부 알림은 예상대로 자동화 규칙을 트리거하지 않습니다. 자동화 규칙이 특정 알림에 적용되지 않는 이유를 설명하는 것은 무엇입니까?
정답: A
Cortex XDR에서 자동화 규칙(응답 작업 또는 플레이북이라고도 함)은 알림 유형, 심각도 또는 출처와 같은 특정 조건에 따라 알림 처리를 자동화하는 데 사용됩니다. 이러한 규칙은 정의된 순서대로 실행되며, 알림 조건과 일치하는 첫 번째 규칙이 관련 작업을 트리거합니다. 자동화 규칙이 예상대로 트리거되지 않는 경우, 문제는 구성 또는 실행 순서에 있는 경우가 많습니다. * 정답 분석(A): 자동화 규칙은 순차적으로 실행되며, 각 알림은 정의된 순서대로 규칙과 비교 평가됩니다. 규칙이 제대로 구성되지 않은 경우(예: 이전 규칙의 조건이 지나치게 광범위하거나 우선순위가 잘못된 경우), 알림이 이전 규칙과 일치하여 의도한 규칙 대신 해당 동작을 트리거하거나, 조건이 잘못 구성되어 어떤 규칙과도 일치하지 않을 수 있습니다. 이는 일부 알림이 예상된 자동화 규칙을 트리거하지 않는 이유를 설명합니다. * 다른 옵션은 왜 안 되나요? * B. 자동화 규칙은 시스템에서 인시던트로 그룹화된 새 알림에만 적용되며, 자동화 작업을 트리거하는 인시던트를 생성하는 알림에만 적용됩니다. 자동화 규칙은 독립형 알림과 인시던트로 그룹화된 알림 모두에 적용될 수 있으며, 인시던트 관련 알림에만 국한되지 않습니다. * C. 심각도가 높은 알림에 의해서만 트리거될 수 있습니다. 심각도가 낮거나 정보 제공용인 알림은 자동화 규칙을 트리거하지 않습니다. 자동화 규칙은 심각도 수준(높음, 보통, 낮음 또는 정보 제공)에 따라 트리거되도록 구성할 수 있으므로 이는 제한 사항이 아닙니다. * D. 이러한 규칙은 모든 알림에 적용될 수 있지만 분석가가 알림을 수동으로 인시던트로 그룹화한 경우에만 작동합니다. 자동화 규칙은 수동 인시던트 그룹화를 요구하지 않습니다. 인시던트 상태에 관계없이 정의된 조건에 따라 모든 알림에 적용될 수 있습니다. 정확한 발췌문 또는 참조: Cortex XDR 문서 포털에서는 자동화 규칙에 대해 다음과 같이 설명합니다. "자동화 규칙은 순차적으로 실행되며, 알림 조건과 일치하는 첫 번째 규칙이 해당 동작을 트리거합니다. 규칙을 잘못 구성하거나 순서를 잘못 지정하면 예상 동작이 적용되지 않을 수 있습니다." (자동화 규칙 섹션에서 발췌) EDU-262: Cortex XDR 조사 및 대응 과정에서는 자동화에 대해 다루며, 다음과 같이 설명합니다. "자동화 규칙을 순차적으로 실행하려면 올바른 작업이 트리거되도록 신중하게 구성해야 합니다"(교과서에서 발췌). Palo Alto Networks Certified XDR Engineer 데이터시트에는 자동화 규칙 구성을 포함한 "플레이북 생성 및 자동화"가 핵심 시험 주제로 포함되어 있습니다. 참고문헌: Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 조사 및 대응 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education /인증#xdr-엔지니어
XDR-Engineer 문제 9
어떤 방법을 사용하면 원치 않는 로그를 삭제하고 수집되는 데이터 양을 줄일 수 있을까요?
정답: C
Cortex XDR에서 데이터 수집 관리는 저장 및 처리를 최적화하기 위해 로그를 수집, 필터링 또는 삭제하는 규칙을 정의하는 것을 포함합니다. 목표는 원치 않는 로그를 삭제하여 수집되는 데이터 양을 줄이는 것입니다. 옵션에 사용된 구문은 수집 규칙 메타데이터(예: [COLLECT] 또는 [INGEST])와 필터링 로직을 조합한 것으로 보이며, 로그 처리를 위해 단순화된 쿼리 언어로 작성된 것으로 보입니다. 'drop' 액션은 조건과 일치하는 로그를 명시적으로 삭제하는 반면, 'filterwithnotcontains' 액션은 조건과 일치하지 않는 로그만 유지하여 유사한 결과를 얻을 수 있습니다. * 정답 분석(C): 옵션 C의 메서드인 [COLLECT:vendor="vendor", product="product", target_dataset="", no_hit=drop] * drop _raw_log contains "undesired logs";는 원시 로그 내용에 "undesired logs"가 포함된 로그를 명시적으로 삭제합니다. [COLLECT] 지시어는 로그 수집 범위(vendor, product, dataset)를 정의하고, no_hit=drop 매개변수는 일치하지 않는 로그를 삭제함을 나타냅니다. drop _raw_log contains "undesired logs" 문은 "undesired logs" 패턴과 일치하는 로그를 삭제하여 수집되는 데이터 양을 효과적으로 줄입니다. * 다른 옵션은 왜 안 되나요? * A. [COLLECT:vendor="vendor", product="product", target_brokers="", no_hit=drop] * drop _raw_log contains "undesired logs";: 이는 옵션 C와 유사하지만 target_brokers=""를 사용합니다. target_brokers=""는 일반적으로 직접적인 데이터셋 수집보다는 브로커 VM 구성에 사용됩니다. 이 옵션도 효과적일 수 있지만, 옵션 C는 target_dataset=""를 사용하는 것이 더 간단합니다. * B. [INGEST:vendor="vendor", product="product", target_dataset=" vendor_product_raw", no_hit=drop] * filter _raw_log not contains "undesired logs";: 이 메서드는 filter _raw_log not contains "undesired logs"를 사용하여 조건과 일치하지 않는 로그를 보관하고, 이를 통해 원하지 않는 로그를 간접적으로 삭제합니다. 그러나 옵션 C의 삭제 동작은 수집을 줄이는 데 더 명확하고 효율적입니다. * D. [INGEST:vendor="vendor", product="product", target_brokers=" vendor_product_raw", no_hit=keep] * filter _raw_log에 "원치 않는 로그"가 포함되지 않습니다. no_hit=keep 매개변수는 일치하지 않는 로그를 유지함을 의미하며, 이는 데이터 감소라는 목표에 부합하지 않습니다. 필터 문은 데이터를 감소시키지만, no_hit=keep은 일치하지 않는 로그를 유지함으로써 이를 상쇄할 수 있으므로 옵션 C보다 효과가 떨어집니다. 정확한 발췌문 또는 참조: Cortex XDR 문서 포털에서는 로그 수집 규칙을 다음과 같이 설명합니다. "데이터 수집을 줄이려면 삭제 작업을 사용하여 _raw_log contains 'pattern'과 같은 특정 패턴과 일치하는 로그를 삭제합니다"(데이터 수집 섹션에서 발췌). EDU-260: Cortex XDR 예방 및 배포 과정에서는 데이터 수집 최적화를 다루며, "drop _raw_log contains를 사용하여 특정 내용이 포함된 로그를 삭제하는 것은 수집되는 데이터 양을 줄이는 효과적인 방법입니다"(과정 자료에서 발췌). Palo Alto Networks Certified XDR Engineer 데이터시트에서는 로그 필터링 및 삭제를 포함한 "데이터 수집 및 통합"을 핵심 시험 주제로 다룹니다. 참고문헌: Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR 예방 및 배포 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education /인증#xdr-엔지니어
XDR-Engineer 문제 10
보안 감사 결과, Windows Cortex XDR 호스트 기반 방화벽이 특정 원격 근무자의 아웃바운드 RDP 연결을 차단하지 않는 것으로 확인되었습니다. 감사 보고서는 다음 사항을 확인합니다. * 모든 기기에서 정상적인 Cortex XDR 에이전트가 실행되고 있습니다. * 모든 아웃바운드 RDP를 차단하는 단일 호스트 기반 방화벽 규칙이 구현되었습니다. * 규칙이 포함된 프로필을 호스팅하는 정책은 모든 Windows 엔드포인트에 적용됩니다. * 방화벽 규칙 내의 논리는 적절합니다. * 추가 테스트 결과, 회사 본사에서 테스트한 모든 기기에서 RDP가 성공적으로 차단되는 것으로 나타났습니다. * 에이전트 설정의 네트워크 위치 구성은 모든 Windows 엔드포인트에서 활성화되어 있습니다. RDP 연결이 차단되지 않는 이유는 무엇일까요?
정답: D
Cortex XDR의 호스트 기반 방화벽 기능을 통해 관리자는 아웃바운드 원격 데스크톱 프로토콜(RDP) 연결(일반적으로 TCP 포트)을 차단하는 등 엔드포인트의 네트워크 트래픽을 제어하는 규칙을 정의할 수 있습니다. 3389). 방화벽 규칙은 규칙 그룹으로 구성되며, 엔드포인트의 네트워크 위치(예: 내부 또는 외부)에 따라 적용될 수 있습니다. 에이전트 설정의 네트워크 위치 구성은 엔드포인트가 내부(예: 본사 네트워크)인지 외부(예: 공용 네트워크의 원격 근무자)인지 여부를 결정합니다. 감사를 통해 아웃바운드 RDP를 차단하는 규칙이 존재하고, 규칙 논리가 올바르며, 본사에서는 작동하지만 원격 근무자에게는 작동하지 않음을 확인합니다. * 정답 분석(D): 원격 근무자의 RDP 연결이 차단되지 않는 이유는 해당 호스트 기반 방화벽 규칙 그룹이 내부 규칙 그룹에만 적용되기 때문일 가능성이 높습니다. 네트워크 위치 구성이 활성화되어 있으므로 Cortex XDR은 내부(예: 본사) 네트워크와 외부(예: 원격 근무자) 네트워크를 구분합니다. RDP 차단 규칙이 포함된 방화벽 규칙 그룹이 내부 규칙 그룹에만 적용되는 경우, 감사를 통해 확인된 바와 같이 본사(내부 네트워크)의 엔드포인트에만 적용됩니다. 외부 네트워크의 원격 근무자는 이 규칙 그룹의 적용을 받지 않으므로 아웃바운드 RDP 연결이 허용됩니다. * 다른 옵션은 왜 안 되나요? * A. 아웃바운드 트래픽에 대한 프로필의 기본 동작이 허용으로 설정되어 있습니다. 기본 동작이 허용으로 설정되어도 규칙과 일치하지 않는 트래픽을 허용할 수 있지만, 감사 결과 RDP 차단 규칙의 로직이 적절하고 본사에서 제대로 작동하는 것으로 확인되었습니다. 이는 규칙이 내부 엔드포인트에는 올바르게 적용되지만 외부 엔드포인트에는 적용되지 않음을 시사하며, 이는 기본 동작보다는 규칙 그룹 범위 설정 문제를 나타냅니다. * B. 해당 호스트 기반 방화벽 규칙 그룹은 외부 규칙 그룹에만 적용됩니다. 규칙 그룹이 외부 규칙 그룹에만 적용되는 경우 원격 작업자(외부 네트워크)의 RDP가 차단되지만 감사에서는 반대로 본사(내부)에서는 RDP가 차단되지만 원격 작업자의 경우에는 차단되지 않는 것으로 나타납니다. * C. 프로필 구성의 보고서 설정에서 보고 모드가 "활성화"로 설정되어 있습니다. 보고 모드가 활성화된 경우, 방화벽 규칙은 RDP 트래픽만 기록하고 차단하지는 않지만, 이는 모든 엔드포인트(본사와 원격 근무자 모두)에 영향을 미칩니다. 감사 결과, 본사에서 RDP가 차단된 것으로 나타나 보고 모드가 활성화되어 있지 않습니다. 정확한 발췌문 또는 참조: Cortex XDR 문서 포털에서는 호스트 기반 방화벽 구성에 대해 다음과 같이 설명합니다. "방화벽 규칙 그룹은 에이전트 설정의 네트워크 위치 구성에 따라 내부 또는 외부 네트워크 위치에 적용될 수 있습니다. 내부 규칙 그룹에 적용된 규칙은 외부 네트워크의 엔드포인트에 영향을 미치지 않습니다." (호스트 기반 방화벽 섹션에서 발췌) EDU-260: Cortex XDR 예방 및 배포 과정에서는 방화벽 규칙을 다루며, "네트워크 위치 설정은 규칙 그룹이 내부 또는 외부 엔드포인트에 적용되는지 여부를 결정하며, 이는 규칙 시행에 영향을 미칩니다." (과정 자료에서 발췌) Palo Alto Networks Certified XDR Engineer 데이터시트에서는 호스트 기반 방화벽 설정을 포함하는 "Cortex XDR 에이전트 구성"을 주요 시험 주제로 다룹니다. 참고문헌: Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR 예방 및 배포 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education /인증#xdr-엔지니어
