Cortex XDR에서 정적 엔드포인트 그룹은 수동으로 정의된 엔드포인트 그룹으로, 종종 파일에서 업로드 기능을 사용하여 엔드포인트 식별자(예: IP 주소, 호스트 이름 또는 별칭)가 포함된 파일을 업로드하여 생성됩니다. 예상보다 적은 수의 엔드포인트가 그룹에 추가되는 경우(예: 321개가 아닌 244개), 엔드포인트 상태 또는 등록과 관련된 몇 가지 이유가 있을 수 있습니다.
* 정답 분석 (C, D):
* **C. 그룹 멤버십이 추가될 때 그룹에 추가된 엔드포인트가 연결 끊김 또는 연결 끊김 상태였습니다. 엔드포인트가 연결 끊김 또는 연결 끊김 상태(즉, Cortex XDR 테넌트와 적극적으로 통신하지 않음)인 경우 Cortex XDR에서 그룹 멤버십을 검증하고 처리하려면 활성 등록이 필요하므로 그룹에 성공적으로 추가되지 않을 수 있습니다.
* D. 엔드포인트의 IP 주소, 호스트 이름 또는 별칭은 테넌트에 등록된 기존 에이전트와 일치해야 합니다. 정적 그룹에 엔드포인트를 추가하려면 업로드된 파일의 식별자(IP 주소, 호스트 이름 또는 별칭)가 Cortex XDR 테넌트에 등록된 에이전트와 일치해야 합니다. 식별자가 등록된 에이전트와 일치하지 않으면 해당 엔드포인트는 그룹에 추가되지 않습니다.
* 다른 옵션은 왜 안 되나요?
* A. 정적 그룹은 파일로 추가할 때 엔드포인트가 250개로 제한됩니다. Cortex XDR에서 파일에서 업로드 기능을 사용할 때 정적 그룹에 대한 엔드포인트가 250개로 제한된다는 문서화된 제한은 없습니다.
해당 플랫폼은 그룹 단위로 많은 수의 엔드포인트를 지원하는데, 이는 타당한 이유가 아닙니다.
* B. 새 그룹에 추가된 엔드포인트가 이전에 기존 그룹에 추가된 경우: Cortex XDR에서는 충돌을 방지하기 위해 엔드포인트를 정책 적용을 위해 단일 그룹에 할당하지만, 이는 생성 과정에서 엔드포인트가 새 정적 그룹에 추가되는 것을 막지는 못합니다. 문제는 등록 또는 연결에 있으며, 이전 그룹 멤버십에는 없습니다.
정확한 발췌문 또는 참조:
Cortex XDR 문서 포털에서는 엔드포인트 그룹 관리에 대해 다음과 같이 설명합니다. "정적 그룹에 추가되려면 엔드포인트를 등록하고 테넌트에 적극적으로 연결해야 합니다. 등록되지 않았거나 연결이 끊긴 엔드포인트는 그룹에 포함될 수 없습니다." (엔드포인트 관리 섹션에서 발췌) TheEDU-
260: Cortex XDR 예방 및 배포 과정에서는 그룹 생성을 다루며, "정적 그룹에는 유효하고 등록된 엔드포인트 식별자가 필요하며, 연결이 끊긴 엔드포인트는 추가할 수 없습니다"(과정 자료에서 발췌)라고 명시되어 있습니다. Palo Alto Networks Certified XDR Engineer 데이터시트에는 엔드포인트 그룹 관리를 포함한 "Cortex XDR 에이전트 구성"이 핵심 시험 주제로 포함되어 있습니다.
참고문헌:
Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-260: Cortex XDR 예방 및 배포 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education
/인증#xdr-엔지니어

Cortex XDR에서 제공되는 XQL(XDR 쿼리 언어) 쿼리는 데이터를 검색하고 처리하여 엔드포인트 활동에 대한 통찰력을 제공합니다. 쿼리의 목적을 이해하기 위해 쿼리를 분석해 보겠습니다.
* 데이터 세트 = xdr_data | 필드 agent_hostname, _time, _product: xdr_data 데이터 세트(일반 이벤트 데이터)를 선택하고 에이전트 호스트 이름, 타임스탬프, 제품(예: 에이전트 유형 또는 구성 요소)에 대한 필드를 검색합니다.
* comp latest as latest_time by agent_hostname, _product: agent_hostname과 _product의 각 조합에 대한 최신 타임스탬프(_time)를 계산하고, 결과의 이름을 latest_time으로 지정합니다. 이는 각 엔드포인트와 제품의 가장 최근 활동을 식별합니다.
* join type=inner (dataset = endpoints | fields endpoint_name, endpoint_status, endpoint_type) as lookup lookup.endpoint_name = agent_hostname: endpoints 데이터세트와 내부 조인을 수행하여 endpoint_name(endpoints 데이터세트에서)과 agent_hostname(xdr_data에서)을 일치시키고 endpoint_status 및 endpoint_type과 같은 필드를 검색합니다.
* filter endpoint_status = ENUM.CONNECTED: CONNECTED 상태인 엔드포인트만 포함하도록 결과를 필터링합니다.
* 필드 agent_hostname, endpoint_status, latest_time, _product: 최종 필드인 호스트 이름, 상태, 최신 활동 시간 및 제품을 출력합니다.
* 정답 분석(A): 이 쿼리는 엔드포인트의 최신 활동을 모니터링하는 것입니다. 이벤트 데이터(xdr_data)를 엔드포인트 메타데이터(엔드포인트)와 결합하고 연결된 엔드포인트를 필터링하여 연결된 각 엔드포인트(에이전트 호스트 이름)의 최신 활동(latest_time)을 계산합니다. 이를 통해 활성 엔드포인트의 최신 활동을 확인할 수 있으며, 이는 엔드포인트의 상태 및 최근 이벤트를 모니터링하는 데 유용합니다.
* 다른 옵션은 왜 안 되나요?
* B. 네트워크에서 연결이 끊긴 엔드포인트 식별: endpoint_status에 대한 쿼리 필터는 ENUM.CONNECTED이므로 연결된 엔드포인트만 포함하고 연결이 끊긴 엔드포인트는 포함하지 않습니다.
* C. 연결된 방화벽 엔드포인트의 최신 활동 모니터링: 이 쿼리는 방화벽 엔드포인트를 필터링하지 않습니다(예: endpoint_type 또는 _product를 사용하여 방화벽을 지정하는 경우). 방화벽뿐만 아니라 연결된 모든 엔드포인트에 적용됩니다.
* D. 오래된 에이전트 버전이 있는 엔드포인트 확인: 쿼리는 에이전트 버전 정보(예: agent_version 필드)를 검색하거나 비교하지 않습니다. 최신 활동 시간에 초점을 맞춥니다.
정확한 발췌문 또는 참조:
Cortex XDR 문서 포털에서는 XQL 쿼리에 대해 다음과 같이 설명합니다. "comp latest 및 조인을 엔드포인트 데이터 세트와 함께 사용하는 쿼리는 최신 이벤트 타임스탬프를 계산하여 연결된 엔드포인트의 최신 활동을 모니터링할 수 있습니다"(XQL 참조 가이드에서 발췌). EDU-262: Cortex XDR 조사 및 대응 과정에서는 모니터링을 위한 XQL을 다루며, "xdr_data 및 엔드포인트 데이터 세트를 최신 계산과 결합하여 최근 엔드포인트 활동을 모니터링합니다"(과정 자료에서 발췌). Palo Alto Networks Certified XDR Engineer 데이터시트에서는 "대시보드 및 보고"를 주요 시험 주제로 다루며, 모니터링을 위한 XQL 쿼리를 포괄합니다.
참고문헌:
Palo Alto Networks Cortex XDR 문서 포털: https://docs-cortex.paloaltonetworks.com/ EDU-262: Cortex XDR 조사 및 대응 과정 목표 Palo Alto Networks 인증 XDR 엔지니어 데이터시트: https://www.paloaltonetworks.com/services/education
/인증#xdr-엔지니어