検出ルールセットの作成

注: 2025 年の初めに、行動検知エンジンが新しいデータ収集・分析エンジンとして導入され、組織のデバイス上にある Aurora Focus エージェントの能力が強化されて大幅に向上しました。以前の検出ルールセットという方法は行動検知エンジンに置き換わりました。このセクションではそれについて詳しく説明します。詳細および手順については、「Aurora Focus デバイスを検出ルールセットから行動検知エンジンに移行する」を参照してください。行動検知エンジンは、より効率的なエクスペリエンスを提供するように高度に調整されているため、検出精度が向上すると同時に「アラートノイズ」が減ります。これは今後の推奨メカニズムです。検出ルールセットが非推奨となる前に通知が届きます。
検出ルールセットを作成して適用し、Aurora Focus が検出するイベントのタイプと Aurora Focus によるそのイベントへの対応方法を設定します。用意されているデフォルトの検出ルールセットにより、検出ルールの使用方法をテストして評価できます。デフォルトのルールセットでは、検出ルールがすべて有効にされており、自動応答とユーザー通知は無効にされています。

検出ルールセットを作成する場合、初めは、応答アクションとデスクトップ通知を使用せずに目的の検出ルールを有効にすることをお勧めします。検出データを評価した後は、各ルールに対して適切な応答アクションとユーザー通知を設定できます。

  • ルールセットを表示するには、［エンドポイント検出応答］セクションの［ルールセットを表示］および［ルールセットを編集］権限を持つ管理者ロールが必要です。
  • 組織の環境にインポートできるオプションの Aurora Focus ルールの詳細については、「KB 42221115562011」を参照してください。
  1. 管理コンソールのメニューバーで、［Focus］ > ［設定］をクリックします。
  2. ［ルールセット］タブで、［新規作成］をクリックします。
  3. 名前と説明を入力します。
  4. デバイスでルールがトリガーされたときに Aurora Focus エージェントにメッセージを表示させる場合は、［検出通知メッセージ］フィールドにメッセージを入力します。
  5. 使用可能なルールを確認します。各ルールでは、情報アイコンにカーソルを合わせると説明が表示されます。［オン］をクリックして、ルールグループ全体または特定のルールを有効にします。
  6. デバイスでルールがトリガーされたときにデスクトップ通知を表示する場合は、ルールの［デバイスに検出通知を表示］チェックボックスをオンにします。
  7. デバイスでルールがトリガーされたときに Aurora Focus エージェントに応答アクションを実行させるには、ルールの［応答］ドロップダウンリストで、1 つまたは複数のアクションを選択します。各アクションの説明は、情報アイコンにカーソルを合わせることで表示できます。
  8. ［デバイスポリシー］ドロップダウンリストで、検出ルールセットを割り当てるデバイスポリシーを 1 つ以上クリックします。
    デバイスポリシーを作成または変更するときに、デバイスポリシーに検出ルールセットを割り当てることもできます。
  9. ［確認］をクリックします。要約を確認して、再度［確認］をクリックします。
検出ルールセットをデバイスポリシーに割り当てた後、検出内容を表示および管理できます。次に挙げる任意のタスクを実行することもできます。