Un processus qui ouvre 100 connexions réseau ne laisse pas forcément 100 lignes dans DeviceNetworkEvents. Defender for Endpoint regroupe une partie des événements sur le poste. Les Custom Data Collection Rules comblent ces angles morts en ciblant des processus, des fichiers ou des connexions précis.
Elles demandent Defender for Endpoint Plan 2 et des tags dynamiques, et chaque règle plafonne à 75 000 événements par appareil sur 24 heures. Les données partent dans Microsoft Sentinel, avec des coûts d’ingestion en plus. Jeffrey Appel décrit la création d’une règle pas à pas, avec un exemple sur PowerShell.