Cher community,
Nous étendons les fonctionnalités des règles de suppression dans Elements EDR afin de vous offrir un meilleur contrôle sur les détections volumineuses et complexes. Grâce à cette mise à jour, vous pouvez désormais supprimer individuellement des détections clés depuis la page « Détails BCD », directement à partir des vues « Chronologie », « Arborescence des processus » ou « Détails du processus ».
Qu'est-ce qui change ?
Auparavant, l'assistant de fermeture « Accepted Behavior » était limité aux BCD comportant au maximum cinq détections de clés non masquées. Cette limite a été fixée délibérément afin de garantir que les ensembles de règles générés automatiquement restent concis, précis et faciles à auditer. L'augmenter pourrait entraîner la création de règles trop lourdes ou excessivement permissives.
Avec cette mise à jour :
- Pour les gilets stabilisateurs avec plus de cinq détections clés, vous pouvez désormais désactiver individuellement chaque détection restante après avoir classé le BCD comme « Comportement accepté ».
- Un nouveau suppression par détection Cette option est disponible directement dans la vue « Détails du BCD » (onglets « Chronologie », « Arborescence des processus » et « Détails du processus ») pour tous les BCD clôturés avec le statut « Comportement accepté ».
Hiérarchie organisationnelle à trois niveaux
Les règles de suppression suivent une hiérarchie organisationnelle à trois niveaux : Entreprise, SEP (partenaire de service), et SOP (fournisseur de solutions). Chaque niveau peut créer de manière indépendante sa propre règle de suppression pour la même détection de clé, à raison d'une règle par niveau au maximum. Une règle créée à un niveau donné ne peut être modifiée que par des administrateurs de ce même niveau ou d’un niveau supérieur. Lorsque la modification n’est pas autorisée à votre niveau, le bouton « Modifier » est désactivé et une info-bulle explique qui peut modifier la règle.
Qu'est-ce que cela signifie pour vous ?
- Pour les BCD volumineux comportant plus de cinq détections de clés, vous n'avez plus besoin de contourner la limite de détection : vous pouvez supprimer individuellement les détections restantes après la clôture.
- Vous conservez une précision totale : chaque règle de suppression reste liée à une détection de clé spécifique et est préremplie à partir de son contexte, ce qui garantit que les règles restent ciblées et vérifiables.
- L'assistant « Comportement accepté » existant pour les BCD comportant cinq détections de touches ou moins reste inchangé.
Nous pensons que cette amélioration optimisera considérablement le travail quotidien des teams s de sécurité chargés de gérer des détections volumineuses et complexes, et qu’elle rendra le processus de suppression plus flexible sans compromettre la précision ni la traçabilité.