무료 온라인 액세스 PaloAltoNetworks.XSIAM-Engineer.v2025-11-12.q101 모의 시험 (Page 18)

XSIAM-Engineer 문제 81

한 조직이 지리적으로 분산된 데이터 센터에 브로커 VMS를 구축하고 있습니다. 이 조직은 아웃바운드 인터넷 액세스를 제한하는 엄격한 네트워크 접근 제어 정책을 사용합니다. 모든 아웃바운드 트래픽은 SSL 검사를 수행하는 회사 프록시 서버를 통과해야 합니다. 이러한 조건에서 SSL 검사를 위한 인증서 신뢰 관리를 포함하여 브로커 VM이 Cortex XSIAM 클라우드와 안정적으로 통신하도록 어떻게 구성할 수 있을까요?

A. 옵션 A

B. 옵션 B

C. 옵션 C

D. 옵션 D

E. 옵션 E

XSIAM-Engineer 문제 82

위협 행위자가 피싱 이메일을 통해 엔드포인트에 최초 접근하여 지속성 확보를 시도하고 있습니다. 엔드포인트의 XSIAM 에이전트는 다음과 같은 일련의 이벤트를 관찰합니다.

'Registry.Key' 수정이 관찰되기 전에 이 특정 지속성 메커니즘을 감지하는 데 가장 효과적인 XSIAM BIOC 규칙은 무엇입니까? 목표가 초기 악성 실행 체인을 잡는 것이라고 가정합니다.

XSIAM-Engineer 문제 83

보안 엔지니어가 XSIAM에서 Cortex XDR의 엔드포인트 프로세스 활동, AWS CloudTrail의 클라우드 API 호출, 그리고 Okta의 ID 인증 시도를 모두 활용하는 사용자 지정 탐지 규칙을 개발하고 있습니다. 이 규칙은 손상된 클라우드 관리 계정을 사용하여 EC2 인스턴스를 통해 악성 코드를 배포하고, 이후 무단으로 데이터가 유출되는 특정 내부자 위협 시나리오를 식별하는 것을 목표로 합니다. 이러한 다단계 공격을 탐지하기 위해 서로 다른 데이터 소스의 상관관계를 분석하는 핵심 로직을 보여주는 XQL 쿼리 스니펫을 작성하십시오. 관련 필드가 사용 가능하고 정규화되어 있다고 가정합니다.

C.
{<디>}:

정답: D

이 시나리오는 다단계 공격을 설명합니다. 클라우드 관리자 계정 침해(취약한 인증 가능성 높음), EC2를 통한 악성 코드 배포, 그리고 데이터 유출('악성 코드' 및 '내부자 위협'으로 암시됨)입니다. XQL 쿼리는 이러한 이벤트를 시간순 또는 상황별로 연결해야 합니다. 옵션 E는 이러한 논리를 가장 잘 표현합니다. 1. 'dataset = okta_authentication I filter outcome = 'SUCCESS' and authentication_method = : 이는 클라우드 관리자 계정이 잠재적으로 침해되었음을 나타내는 강력한 지표입니다. 비밀번호만 사용하여 로그인에 성공한 경우를 찾기 때문입니다. 이는 내부자 위협이나 자격 증명 침해에서 흔히 나타나는 취약점입니다. 2. 'join (dataset = aws_cloudtrail I filter event_name = 'RunInstances' and event_source = 'ec2.amazonaws.com') on user_id = : 이 조인은 Okta 인증 이벤트를 'RunInstances'(EC2 인스턴스 시작/배포)에 대한 AWS CloudTrail 로그와 조인합니다. 이때 공통 사용자 식별자(Okta의 'user_id', CloudTrail의 'user_id')를 사용합니다. 이 조인은 의심스러운 로그인을 클라우드 리소스 배포와 연결합니다. 3. 'join (dataset = xdr_data I filter event_type = 'Process' and process_name = 'malicious_payload.exe' and action_type = 'Process Started') on user_id = event_user and host_ip = aws_cloudtrail.source_ip_addresS : 이 마지막 조인은 클라우드 활동과 엔드포인트 프로세스 실행을 연관시킵니다. 'malicious_payload.exe' 프로세스 시작(XDR의 엔드포인트 데이터)을 찾습니다. 여기서 사용자 컨텍스트는 이전 조인(Cuser_id = event_user')의 사용자와 일치하고, 가장 중요한 것은 엔드포인트의 IP 주소가 CloudTrail 'RunInstanceS' 이벤트의 소스 IP와 일치하여 악성 페이로드가 새로 배포된 EC2 인스턴스 또는 해당 활동과 연결된 인스턴스에서 실행되었음을 나타냅니다. 이는 전체 이벤트 체인을 제공합니다. 다른 옵션에는 결함이 있습니다. - A: 실패한 Okta 시도(성공적인 침해에 맞지 않음)와 'mfaAuthenticated=false'로 조인하는 것은 너무 광범위하거나 특정 비밀번호 전용 취약 인증을 놓칠 수 있습니다. - B: XDR에 먼저 조인하는 것은 identity/cloud로 시작하는 다단계 공격에 대해 논리적이지 않으며, = join 조건은 데이터 세트 자격이 없는 일반적입니다. - C: src_ip_address = peer_ip_addresS로 조인하는 것은 모호하며 클라우드 활동을 엔드포인트에 올바르게 연결하지 못할 수 있습니다. 또한 'password_only'보다 더 광범위한 'factor_type 'MFA'S'를 찾습니다. - D: 적절한 데이터 세트 별칭 지정 없이 'source_ip = aws_cloudtrail.source_ip_addresS' 조인을 실행하면 문제가 발생할 수 있으며, 'user_id = principal_user_id'는 일반적입니다. 이 시나리오의 초기 트리거인 ID 이벤트로 시작하지 않습니다.

XSIAM-Engineer 문제 84

Cortex XSIAM 테넌트를 활성화할 때, 저장 데이터는 AES 128 암호화로 어떻게 구성됩니까?

A. 고급 -> 암호화 방법에서 테넌트를 처음 설정하는 동안 원하는 암호화 방법을 선택합니다.

B. 고급에서 "BYOK"를 선택하고 암호화 방법 섹션에 설명된 대로 마법사의 지침을 따릅니다.

C. AES 128로 암호화 키를 생성하고 Cortex Gateway를 통해 안전하게 업로드합니다.

D. 테넌트를 처음 설정한 후 고급 -> 암호화 방법에서 원하는 암호화 방법을 선택합니다.

XSIAM-Engineer 문제 85

정교한 공격자가 사용자 지정 콘텐츠 팩 통합 코드의 취약점을 악용하여 XSIAM 인스턴스를 손상시켰습니다. 이 취약점은 XSOAR 엔진에서 임의의 명령 실행을 허용했습니다. 사고 발생 후, 이러한 재발을 방지하고 콘텐츠 팩 보안을 강화하기 위해 개발 및 유지 관리 과정에서 다음 중 어떤 조치를 우선적으로 취해야 할까요?

A. 사용자 정의 통합에서 사용되는 모든 외부 데이터에 대한 입력 검증 및 정리를 구현합니다. 특히 셸 명령이나 파일 경로에서 사용되는 경우에 그렇습니다.

B. 최소한의 필수 권한과 엄격한 리소스 제한을 사용하여 격리된 Docker 컨테이너에서 모든 사용자 정의 통합을 실행합니다.

C. 프로덕션에 배포하기 전에 정적 분석(SAST) 및 동적 분석(DAST)을 포함하여 모든 사용자 지정 콘텐츠 팩 코드에 대한 정기적인 보안 감사를 수행합니다.

D. XSIAM의 내장된 '실행 허용 목록' 기능을 활용하여 사용자 정의 콘텐츠 팩에서 실행할 수 있는 명령과 스크립트를 명시적으로 정의합니다.

E. XSOAR 엔진 호스트의 운영 체제와 모든 종속성이 최신 안정 버전으로 정기적으로 패치되고 업데이트되는지 확인하세요.

최근 업로드: 651Cisco.300-435.v2026-09-03.q259; 331Oracle.1Z0-1045-26.v2026-09-03.q17; 596IIA.IIA-CIA-Part1.v2026-09-03.q627; 443Fortinet.NSE6_OTS_AR-7.6.v2026-09-03.q95; 449Snowflake.DAA-C01.v2026-09-03.q67; 3465Salesforce.AP-223.v2026-09-01.q94; 2564Splunk.SPLK-5001.v2026-09-01.q60; 3871Cisco.300-540.v2026-09-01.q62; 5147Microsoft.MS-102-KR.v2026-09-01.q239; 3524Microsoft.AI-900-KR.v2026-09-01.q162