Sehr geehrte Damen und Herren von „ community “,
Wir erweitern die Funktionen für Unterdrückungsregeln in „ Elements “ ( EDR ), um Ihnen mehr Kontrolle über umfangreiche, komplexe Erkennungen zu geben. Mit diesem Update können Sie nun wichtige Erkennungen einzeln in den BCD-Details unterdrücken – direkt aus den Ansichten „Zeitleiste“, „Prozessbaum“ oder „Prozessdetails“.
Was ändert sich?
Bisher war der Assistent zum Schließen von „Accepted Behavior“ auf BCDs mit bis zu fünf nicht unterdrückten Tastenerkennungen beschränkt. Diese Beschränkung wurde bewusst eingeführt, um automatisch generierte Regelsätze klein, präzise und leicht überprüfbar zu halten. Eine Anhebung dieser Grenze könnte zu unübersichtlichen oder zu großzügigen Regeln führen.
Mit diesem Update:
- Für BCDs mit mehr als fünf Schlüsselerkennungen, können Sie nun jede verbleibende Erkennung einzeln unterdrücken, nachdem Sie das BCD als „akzeptiertes Verhalten“ geschlossen haben.
- Ein neuer Unterdrückung pro Erkennung Diese Option ist direkt in der Ansicht „BCD-Details“ (Registerkarten „Zeitleiste“, „Prozessbaum“ und „Prozessdetails“) für alle BCDs verfügbar, die als „Akzeptiertes Verhalten“ abgeschlossen wurden.
Dreistufige Organisationshierarchie
Unterdrückungsregeln folgen einer dreistufigen Organisationshierarchie: Unternehmen, SEP (Servicepartner), und SOP (Lösungsanbieter). Jede Ebene kann unabhängig eigene Unterdrückungsregeln für dieselbe Tastenerkennung erstellen, wobei pro Ebene maximal eine Regel zulässig ist. Eine auf einer bestimmten Ebene erstellte Regel kann nur von Administratoren derselben oder einer höheren Ebene bearbeitet werden – wenn die Bearbeitung auf Ihrer Ebene nicht zulässig ist, ist die Schaltfläche „Bearbeiten“ deaktiviert und ein Tooltip erklärt, wer die Regel ändern darf.
Was bedeutet das für Sie?
- Bei großen BCDs mit mehr als fünf Schlüsseldetektionen müssen Sie die Nachweisgrenze nicht mehr umgehen – Sie können die verbleibenden Detektionen nach dem Abschluss einzeln unterdrücken.
- Sie behalten die volle Präzision – jede Unterdrückungsregel ist weiterhin an eine bestimmte Schlüsselerkennung gebunden und wird anhand ihres Kontexts vorab ausgefüllt, wodurch die Regeln zielgerichtet und nachvollziehbar bleiben.
- Der bestehende Assistent für zulässiges Verhalten bei BCDs mit fünf oder weniger Tastenerkennungen bleibt unverändert.
Wir sind davon überzeugt, dass diese Verbesserung die tägliche Arbeit der Sicherheits teams en bei der Bearbeitung umfangreicher, komplexer Erkennungsergebnisse erheblich erleichtern und den Workflow zur Behebung von Vorfällen flexibler gestalten wird, ohne dabei die Genauigkeit oder Nachvollziehbarkeit zu beeinträchtigen.