指定された決定ブロックでは、2 つのアクション ブロック (geolocate_ip_1 と file_reputation_2) の結果を評価しようとしています。geolocate_ip_1 の結果に基づいて決定を行うための正しい構成は、アクション結果の country_iso_code フィールドをチェックし、評価オプションを != (等しくない) に設定し、「値の選択」ボックスに特定の値を指定しないことです。これは基本的に、アクション結果に有効な国 ISO コードが存在するかどうかをチェックし、空でないか特定の値と異なる場合は続行します。これは、ジオロケーション結果を使用して応答が返されたかどうかを確認するときによく行われるチェックです。
その他のオプション (B、C、および D) には、応答コードまたはリスト比較が含まれますが、これらは、country_iso_code フィールドに基づいて動作する必要がある前述の決定構造と一致しません。
参考文献:
* Splunk SOAR プレイブック開発ガイド。
* 意思決定ブロックとアクション結果評価に関する Splunk SOAR ドキュメント。