EDR / 概念与主要功能
EDR（Endpoint Detection and Response，终端检测与响应）通过收集和分析PC、服务器的活动来发现威胁，并支持调查、设备隔离等响应操作。它不仅判断单个文件是否恶意，还会关联进程、通信和变更记录，帮助确认发生了什么以及影响范围。
EDR的作用及其与杀毒软件的区别
终端是实际运行程序和处理数据的设备，例如员工的台式机、笔记本电脑或业务服务器。EDR通常由设备上的传感器或代理程序，以及集中管理与分析功能组成。支持的操作系统、服务器和虚拟环境范围应以产品和合同为准。
杀毒软件侧重预防和阻止恶意软件执行，EDR侧重终端活动可见性、入侵调查与响应。但现代杀毒软件也使用行为分析和云端分析，因此“杀毒软件只看特征码、EDR只看行为”的说法并不准确。两类功能可能集成在同一产品中。Microsoft的终端安全功能说明也将下一代杀毒与EDR作为不同但互补的功能介绍。
例如，PowerShell本身是合法的管理工具，但若由文档应用意外启动，并与陌生地址通信，就有必要调查。应结合执行路径、命令行、账户和后续活动判断，而非只看程序名称。这些现象组合在一起，也不等于已经确认入侵。
EDR收集和关联哪些信息？
用于安全分析的活动数据称为遥测数据。以下是常见示例，并不意味着所有产品都会在每台设备上记录相同项目。
- 进程：查看可执行文件路径、启动时间、命令行以及父子进程关系。进程树显示哪个程序启动了另一个程序。
- 文件：通过创建、修改、执行记录和文件哈希追踪可疑文件及受影响路径。哈希用于识别和比较文件，哈希值本身不能证明文件恶意。
- 网络：关联进程与目标地址、端口等信息来调查通信。连接记录不一定包含完整通信内容，也不一定能说明所有泄露数据。
- 系统变更：可调查Windows注册表、自动启动设置等与持续运行有关的变更。可收集项目因操作系统而异。
- 账户活动：将登录和执行账户信息与其他活动关联。组织范围的身份验证和邮件记录可能需要额外日志或产品集成。
结合时间线与进程树，可以更清楚地区分初始执行和后续变更。但Microsoft的EDR概述明确指出，它不是记录所有操作的审计日志。没有看到所需证据时，不应直接判定正常，而应检查收集设置、传感器健康状态、保留期限和其他日志。
主要检测、调查与响应功能
不同产品的名称可能不同，但通常会组合以下功能。自动响应、审批流程和可用操作取决于操作系统、许可证和策略。
- 检测与优先级排序：分析行为和威胁情报并生成告警。将相关告警聚合为事件，有助于调查跨设备影响。严重性高也不能替代证据核实。
- 调查与威胁狩猎：利用时间线、进程树和搜索确定原因与范围，也可查找相同文件哈希或通信目标是否出现在其他设备上。
- 遏制扩散：可能提供设备网络隔离、停止特定进程、隔离文件等操作。文件隔离旨在阻止执行，设备隔离则限制网络通信，二者的对象和业务影响不同。
- 响应记录：记录谁请求了什么操作，以及成功、失败或等待中的状态。点击按钮或触发自动策略，与确认操作完成是两回事。
设备隔离有助于阻止扩散，但也可能中断远程访问和业务服务。应预先了解如何维持管理通信、虚拟专用网络（VPN）或代理环境的限制，以及解除隔离的流程。具体条件应查阅相应产品文档，例如Microsoft的设备响应操作说明。
示例：调查可疑文档告警
以下流程假设收到一条告警：文档应用启动了脚本工具并连接外部地址。这是虚构的调查示例，并非真实入侵报告或产品测试结果，应结合组织批准的事件响应流程使用。
- 核实对象与时间。记录设备、用户、告警时间和时区，并确认传感器正在发送最新数据。比对设备标识，避免调查同名的另一台设备。
- 关联执行上下文。在时间线中查看打开文档的程序、子进程、命令行和通信目标。对照用户活动与管理变更记录，判断是否为正常业务自动化；不要在业务PC上直接运行可疑文件。
- 按风险实施遏制。如果恶意活动持续或扩散风险较高，负责人应评估业务影响，再选择隔离等措施。保留必要证据，并确认操作结果和失败原因。
- 扩大范围调查。搜索其他设备上的相同文件、地址和行为，并关联身份验证、邮件等记录。某台设备没有告警，不代表账户或其他系统也安全。
- 验证恢复与复发情况。清除原因、完成必要补丁和账户处置、验证恢复后，按审批流程解除隔离。检查业务服务与新增告警，并记录判断依据。
调查成果不应只是“告警已关闭”。应整理证据、受影响设备与账户、已执行操作及尚存的不确定性，让下一位响应人员能够继续处理。
EDR无法解决的问题与运行限制
传感器未安装或停止、连接故障、保留期限过短，都可能形成调查盲区。合法管理活动可能触发告警，真实攻击也可能漏检。过多排除项会降低可见性，应管理其范围、理由和复查期限。
隔离设备或删除文件，不能追回已泄露数据，也不会自动恢复加密文件。EDR不能代替补丁、最小权限、多因素身份验证（MFA）和备份。CISA、FBI等机构的勒索软件应对指南（PDF）也建议采用隔离备份、恢复测试和事件响应计划。
仍然需要人员调查告警并作出判断。内部能力不足时，可以评估外部托管检测与响应（MDR，Managed Detection and Response）服务。合同应明确监控时段、操作权限、事件交接及恢复责任，不能假设购买EDR软件就自动包含这些运营服务。
部署前应检查什么？
比起产品清单或检测率宣传，更应确认组织是否能实际运营。通过小规模、获授权的测试环境验证以下项目，有助于减少部署后的盲区。
- 覆盖范围：将PC、服务器清单与支持的操作系统和版本对照。除了安装状态，还应确认传感器健康状态及最后通信时间。
- 业务影响：与真实业务应用共同运行，检查CPU、内存、磁盘使用情况、延迟和冲突，并评估与其他安全产品的共存要求。
- 调查数据：确认收集字段、搜索与保留期限、导出方式和现有日志集成。数据可能包含命令行及用户信息，因此也要检查访问权限和存储位置。
- 操作权限与恢复：明确谁审批隔离、进程停止，以及关键服务器如何处理。采用厂商提供的安全测试方法，检查告警生成、人员通知、操作状态和解除隔离。
- 运营成本：除许可证外，还应计算告警审核人员、培训、额外日志存储和外部服务成本。明确负责人和交接流程，才能让检测转化为实际响应。
