community 様、
Elements （EDR ）の抑制ルールの機能を拡張し、大規模で複雑な検出結果に対してよりきめ細かな制御が可能になりました。今回のアップデートにより、BCD詳細画面から、タイムライン、プロセスツリー、またはプロセス詳細ビューの各ビューに直接アクセスして、主要な検出結果を個別に抑制できるようになりました。
何が変化しているのでしょうか？
これまで、「許容される動作」のクローズウィザードは、抑制されていないキー検出が最大5件までのBCDに限定されていました。この制限は、自動生成されるルールセットをコンパクトかつ正確で、監査しやすい状態に保つために意図的に設けられています。この制限を緩和すると、扱いにくいルールや、過度に寛容なルールが生成される恐れがあります。
今回のアップデートでは：
- 以下のBCDについては、 5件以上の主要な検出, BCDを「許容される動作」として閉じた後、残りの各検出を個別に無効にできるようになりました。
- 新しい 検出ごとの抑制 「Accepted Behavior」としてクローズされたすべてのBCDについて、このオプションは「BCD詳細」ビュー（「タイムライン」、「プロセスツリー」、「プロセス詳細」の各タブ）から直接利用できます。
3段階の組織階層
抑制ルールは、3段階の階層構造に従います： 会社, SEP（サービスパートナー）、および SOP（ソリューション・プロバイダー）. 各レベルでは、同じキーの検出に対して独自の抑制ルールを個別に作成できますが、1レベルにつき最大1つのルールまでです。 特定のレベルで作成されたルールは、そのレベルまたはそれ以上のレベルの管理者だけが編集できます。自分のレベルで編集が許可されていない場合、「編集」ボタンは無効になり、ツールチップにルールを変更できるユーザーが表示されます。
これはあなたにとってどのような意味があるのでしょうか？
- 5つ以上のキー検出がある大規模なBCDの場合、検出限界を回避するための対応はもはや必要ありません。クロージャー後に、残りの検出を個別に抑制することができます。
- 完全な精度を維持できます。各抑制ルールは依然として特定のキー検出に関連付けられており、そのコンテキストから事前に入力されるため、ルールは対象を絞り込んだ状態が保たれ、監査も可能です。
- キー検出数が5以下のBCD向けの既存の「許容される動作」ウィザードについては、変更はありません。
この改善により、大規模かつ複雑な検知を管理するセキュリティ担当者の日常業務teams が大幅に改善され、精度や監査可能性を損なうことなく、検知抑制のワークフローがより柔軟になると考えています。