A. XSIAM 수집기의 버퍼가 너무 작아서 여러 줄로 구성된 대용량 JSON 이벤트를 처리할 수 없습니다. 구성 파일을 통해 수집기의 수집 버퍼 크기를 늘리세요.

B. XSIAM의 다중 줄 로그 처리 로직이 이벤트의 끝을 정확하게 식별하지 못합니다. 'message' 필드에 이스케이프된 줄바꿈 문자('In')가 있으면 파서가 혼란스러워 이벤트를 조기에 종료합니다. XSIAM 파싱 규칙에는 새 JSON 객체의 시작('A(S) 또는 이벤트 CAY의 끝)을 명시적으로 식별하는 더욱 강력한 'multiline_regex'가 필요합니다.

C. JSON 데이터에 XSIAM에서 구문 분석할 수 없는 잘못된 유니코드 문자가 포함되어 있습니다. 수집기로 전송하기 전에 소스 로그를 UTF-8로 변환하세요.

D. 소스 어플라이언스가 XSIAM 수집기가 처리할 수 있는 속도보다 빠르게 이벤트를 전송하여 이벤트가 삭제되거나 잘립니다. 소스에서 흐름 제어를 구현하거나 전송 속도를 줄이십시오.

E. XSIAM의 사용자 지정 데이터 소스 매핑이 'details.message' 필드를 단일 줄 문자열로 구문 분석하려고 시도하여 잘림 현상이 발생합니다. 여러 줄 문자열이나 CLOB 데이터 유형(가능한 경우)을 처리할 수 있도록 스키마를 수정하세요.

A. 옵션 A

B. 옵션 B

C. 옵션 C

D. 옵션 D

E. 옵션 E

A. _이벤트_유형

B. _삽입_시간

C. _호스트_이름

D. _클라우드_아이디

A. XDR이 XSIAM으로 시스템 로그 알림을 전송하도록 구성합니다. 이러한 알림에 의해 트리거된 XSIAM 플레이북은 '발신 웹훅'을 사용하여 격리를 위해 XDR 관리 API를 호출합니다. 엔드포인트 원격 측정 데이터는 XDR API를 통해 다른 XSIAM 플레이북에서 주기적으로 수집되어 인시던트에 주석으로 추가됩니다. 고려 사항: XSIAM에서 XDR API에 접근할 수 있도록 하고 API 속도 제한을 처리합니다.

B. XSIAM 내 기본 Cortex XDR 통합을 활용합니다. XSIAM은 XDR 알림 및 인시던트를 직접 수신합니다. XDR 인시던트로 트리거되는 XSIAM 플레이북은 'Cortex XDR - 엔드포인트 격리' 작업을 활용합니다. 강화를 위해 플레이북은 'Cortex XDR - 엔드포인트 세부 정보 가져오기' 작업을 사용하여 실시간 엔드포인트 세부 정보를 자동으로 가져오고 XSIAM 인시던트 필드를 업데이트합니다. 고려 사항: 플레이북 로직은 격리 중 잠재적인 엔드포인트 통신 장애를 처리하고 XDR 에이전트가 활성 상태이며 연결 가능한지 확인해야 합니다.

C. XSIAM에서 별도의 서버에서 사용자 지정 스크립트를 실행하는 '대응 조치'를 수동으로 생성합니다. 이 스크립트는 XDR API를 사용하여 엔드포인트를 격리합니다. 원격 측정의 경우, XDR은 SFTP를 통해 주기적으로 전체 엔드포인트 데이터 덤프를 XSIAM으로 전송합니다. 고려 사항: 스크립트 실행 및 대용량 데이터 전송에는 수동 개입이 필요합니다.

D. XDR 알림을 메시지 큐(예: Kafka)로 전달합니다. 사용자 지정 애플리케이션은 Kafka에서 데이터를 수신하고 XDR API를 통해 엔드포인트를 격리한 후, XSIAM Ingest API를 통해 관련 원격 측정 데이터를 XSIAM으로 다시 전송합니다. 고려 사항: 중간 메시지 큐와 사용자 지정 애플리케이션 개발로 인해 복잡성이 증가합니다.

E. 사전 정의된 XDR 규칙에 따라 엔드포인트를 자동으로 격리하도록 XDR을 구성합니다. XSIAM은 격리가 완료된 후에만 알림을 수신합니다. 강화를 위해 XSIAM은 XDR의 초기 알림 데이터에만 의존합니다. 고려 사항: 격리 결정에 대한 XSIAM의 제어가 제한적이며 강화의 세부적인 내용이 부족합니다.

A. 방화벽 업그레이드로 인해 내보낸 로그의 'app_id' 필드 형식이나 위치가 변경되었으며, 기존 XSIAM 구문 분석 규칙이 더 이상 유효하지 않습니다.

B. Palo Alto Networks NGFW 로그용 XSIAM 콘텐츠 팩은 방화벽 업그레이드로 도입된 새로운 로그 형식을 지원하도록 업데이트해야 합니다.

C. NGFW와 XSIAM Collector 사이에 네트워크 지연 문제가 있어 로그 전송이 완료되지 않고 필드가 손상됩니다.

D. XSIAM 데이터 레이크에서 높은 쓰기 지연 시간이 발생하여 필드 인덱싱이 지연되고 초기 쿼리 중에 '알 수 없는' 값이 발생합니다.

E. 사용자 지정 매핑 충돌로 인해 XSIAM 정규화 프로세스에서 'sapp_id'를 잘못 매핑하고 있습니다. 이 데이터 소스에 사용자 지정 매핑이 적용되어 있는지 검토하십시오.