Microsoft Defender for Endpoint on Linux のクイックスキャンは、再起動後やエンジン更新後にマウント先ディレクトリを再スキャンしますか？

Question

Microsoft Defender for Endpoint on Linux のクイックスキャンの動作仕様について確認したいです。

 環境:

・OS: Linux

・Defender for Endpoint for Linux 使用

・クイックスキャンを定期実行

 

事象:

これまでクイックスキャンのスキャン対象ファイル数は約1万ファイル程度でしたが、OSパッチ適用および再起動後に実行されたクイックスキャンで約500万ファイルがスキャンされました。

 

確認したい点:

 

1. Linux版 Defender のクイックスキャンは、再起動後や Defender エンジン／インテリジェンス更新後に、過去にスキャン済みの領域を再評価する仕様がありますか。

 

2. クイックスキャン対象ディレクトリの一覧は公開されていますか。

また、バージョンによって対象ディレクトリが変更されることはありますか。

 

3. クイックスキャン実行時に、NFS、SMB/CIFS、その他のマウントポイント配下のファイルを走査することはありますか。

 

4. クイックスキャンのスキャン対象ファイル数が、通常約1万ファイルから約500万ファイルへ増加する事象として考えられる要因はありますか。

 

5. クイックスキャンで実際にスキャンされたパスを確認できるログまたは診断方法があれば教えてください。

 

公開ドキュメントでは、クイックスキャンは malware が実行・登録されやすい場所を対象とすると理解していますが、今回のような大幅なスキャン数増加の要因を確認したいと考えています。

 

よろしくお願いいたします。