網(wǎng)絡(luò)安全一直是企業(yè)和個(gè)人所關(guān)注的重點(diǎn)問(wèn)題，而隨著惡意攻擊的不斷增多，其安全防御的要求也越來(lái)越高。作為一種新興技術(shù)，EDR已逐漸得到廣泛的應(yīng)用。那么，EDR到底是什么？與傳統(tǒng)的防病毒軟件相比，有什么不同之處呢？接下來(lái)，愛陸通幫助你深入了解一下。

什么是網(wǎng)絡(luò)安全EDR？

終端安全響應(yīng)系統(tǒng)（EDR）是為了加強(qiáng)和補(bǔ)充傳統(tǒng)終端安全產(chǎn)品在高級(jí)威脅檢測(cè)和響應(yīng)方面而發(fā)展起來(lái)的。通過(guò)威脅情報(bào)、攻防對(duì)抗和機(jī)器學(xué)習(xí)等手段，EDR能夠綜合評(píng)估企業(yè)網(wǎng)絡(luò)中存在的未知風(fēng)險(xiǎn)，從主機(jī)、網(wǎng)絡(luò)、用戶和文件等多個(gè)維度來(lái)分析。其核心在于行為軟件，利用威脅情報(bào)來(lái)縮短威脅從發(fā)現(xiàn)到處置的時(shí)間，有效地降低業(yè)務(wù)損失并提高整體安全能力。另外，EDR還能提高企業(yè)網(wǎng)絡(luò)的可見性。

多年來(lái)，企業(yè)一直追求一套防病毒軟件，以期在安全領(lǐng)域迎接挑戰(zhàn)。然而，隨著惡意軟件威脅的復(fù)雜化和攻擊范圍的擴(kuò)大，傳統(tǒng)的防病毒軟件的不足也變得十分突出。

為此，一些供應(yīng)商開始重新思考企業(yè)所面臨的安全挑戰(zhàn)。EDR和傳統(tǒng)防病毒軟件有著哪些不同之處呢？

要充分保護(hù)企業(yè)或組織免受威脅，了解EDR與傳統(tǒng)防病毒軟件之間的差異非常重要。這兩種安全方法在本質(zhì)上存在著不同。

傳統(tǒng)防病毒軟件具有以下特點(diǎn)：

1.為企業(yè)提供了一種阻止已知惡意軟件的方法，就是在將文件寫入計(jì)算機(jī)設(shè)備的磁盤時(shí)對(duì)其進(jìn)行檢查或掃描。當(dāng)防病毒軟件的掃描程序在惡意文件數(shù)據(jù)庫(kù)中找到該文件時(shí)，軟件就會(huì)阻止該惡意文件的執(zhí)行。

2.傳統(tǒng)的防病毒數(shù)據(jù)庫(kù)由一系列簽名組成，這些簽名可能包含對(duì)惡意軟件文件的哈希值或要求文件必須匹配的一系列特征規(guī)則。這些特征通常包括在惡意軟件可執(zhí)行文件中找到的可讀字符串或字節(jié)序列、文件類型、文件大小以及其他文件元數(shù)據(jù)等內(nèi)容。

3.一些防病毒軟件還可以執(zhí)行原始啟發(fā)式分析，對(duì)正在運(yùn)行的進(jìn)程進(jìn)行檢查，并核實(shí)重要系統(tǒng)文件的完整性。隨著每天出現(xiàn)大量新的惡意軟件樣本，這些軟件超過(guò)了傳統(tǒng)的防病毒軟件供應(yīng)商數(shù)據(jù)庫(kù)的更新能力，只能在事后或被感染后才能被添加到數(shù)據(jù)庫(kù)中。

隨著威脅不斷增長(zhǎng)且防病毒軟件效力下降，一些傳統(tǒng)供應(yīng)商已采用其他服務(wù)來(lái)彌補(bǔ)其不足，例如防火墻控制、數(shù)據(jù)加密、進(jìn)程允許和阻止列表等防病毒“套件”工具。這種解決方案通常被稱為“終端保護(hù)平臺(tái)”或“EPP”，然而其核心仍然基于簽名方法。

EDR的特點(diǎn)可以總結(jié)為以下幾個(gè)方面：

1.高效性，能夠快速捕獲、分析和響應(yīng)威脅事件。它能夠及時(shí)檢測(cè)到潛在的安全問(wèn)題，并提供實(shí)時(shí)的保護(hù)措施，有效減少安全風(fēng)險(xiǎn)。

2.可靠性，它通過(guò)持續(xù)監(jiān)控和記錄系統(tǒng)活動(dòng)來(lái)確保數(shù)據(jù)的準(zhǔn)確性和完整性，以便進(jìn)行后續(xù)分析和溯源。在面對(duì)復(fù)雜的攻擊情景時(shí)，EDR能夠提供可靠的數(shù)據(jù)支持，幫助安全人員迅速做出決策和應(yīng)對(duì)措施。

3.安全性。它采用加密和權(quán)限控制等多種安全機(jī)制，保護(hù)收集到的敏感數(shù)據(jù)不被未授權(quán)者竊取或篡改。此外，EDR還能夠與其他安全工具和系統(tǒng)集成，形成綜合的安全防護(hù)體系。

4.可擴(kuò)展性。它可以根據(jù)環(huán)境的需求進(jìn)行部署和配置，適應(yīng)不同規(guī)模和復(fù)雜度的網(wǎng)絡(luò)環(huán)境。無(wú)論是小型企業(yè)還是大型組織，都可以根據(jù)實(shí)際情況選擇使用EDR，并根據(jù)需求進(jìn)行靈活的擴(kuò)展和升級(jí)。

與傳統(tǒng)的防病毒軟件相比，EDR的優(yōu)勢(shì)主要在于以下幾個(gè)方面：

1.檢測(cè)能力更強(qiáng)：EDR的檢測(cè)能力不斷加強(qiáng)，已經(jīng)不僅僅是檢測(cè)病毒、木馬等傳統(tǒng)惡意軟件了，還能夠識(shí)別未知的變異型惡意程序和新型攻擊手段。

2.分析手段更豐富：通過(guò)對(duì)異常事件的采集、分析、管理，EDR能夠更加深入地分析安全事件，得出更準(zhǔn)確的結(jié)論和決策。

3.快速響應(yīng)能力更高：傳統(tǒng)的防病毒軟件是無(wú)法迅速響應(yīng)安全事件的，而EDR在檢測(cè)到異常行為后，能夠快速作出響應(yīng)，并通過(guò)多種手段對(duì)安全事件進(jìn)行跟蹤和分析。

由于防病毒解決方案無(wú)法檢測(cè)到許多樣本，企業(yè)必須假設(shè)他們將面臨無(wú)法被防病毒軟件檢測(cè)到的威脅。

下一點(diǎn)是，即使沒(méi)有重新寫惡意軟件，攻擊者通常也可以很容易地規(guī)避通過(guò)防病毒簽名進(jìn)行的檢測(cè)。因?yàn)楹灻魂P(guān)注一小部分文件特征，惡意軟件開發(fā)者已經(jīng)學(xué)會(huì)了如何創(chuàng)建具有不同特征的惡意軟件，也被稱為多態(tài)惡意軟件。例如，文件的哈希值是最容易改變的文件特征之一，但是內(nèi)部字符串也可以隨惡意軟件的每個(gè)版本構(gòu)建進(jìn)行隨機(jī)化、混淆和加密。

最近，攻擊者出于經(jīng)濟(jì)目的（比如勒索軟件運(yùn)營(yíng)商）已經(jīng)超越了簡(jiǎn)單的基于文件的惡意軟件攻擊。現(xiàn)在，內(nèi)存中或無(wú)文件攻擊已經(jīng)非常普遍。一些攻擊例如Hive，采用人為操作的勒索軟件攻擊方式，還有一些雙重勒索攻擊，例如Maze、Ryuk和其他攻擊方式。這些攻擊可能由于破壞或暴力強(qiáng)制憑證，或者利用遠(yuǎn)程代碼執(zhí)行漏洞（RCE）進(jìn)行，而不會(huì)觸發(fā)基于反病毒簽名的檢測(cè)。這些攻擊可能通過(guò)數(shù)據(jù)泄露來(lái)?yè)p害知識(shí)產(chǎn)權(quán)。

企業(yè)可以通過(guò)專注于檢測(cè)異常活動(dòng)并提供相應(yīng)措施，來(lái)利用EDR技術(shù)。EDR技術(shù)不僅限于檢測(cè)已知的、基于文件的威脅。EDR技術(shù)的主要價(jià)值在于，無(wú)需像防病毒解決方案那樣準(zhǔn)確定義威脅。EDR解決方案能夠?qū)ふ彝话l(fā)、異常和不需要的活動(dòng)模式，并及時(shí)向安全分析師發(fā)出警報(bào)以供檢測(cè)使用。

另外，由于EDR通過(guò)收集大量數(shù)據(jù)來(lái)自所有受保護(hù)的終端進(jìn)行工作，因此它們?yōu)榘踩珗F(tuán)隊(duì)提供了一個(gè)方便、集中的界面，以可視化這些數(shù)據(jù)的機(jī)會(huì)。IT團(tuán)隊(duì)可以獲取這些數(shù)據(jù)并與其他工具集成，以進(jìn)行更深入的分析，這有助于了解組織的整體安全狀況，從而幫助組織確定未來(lái)潛在攻擊的性質(zhì)。來(lái)自EDR的綜合數(shù)據(jù)還可以用于追蹤和分析威脅的溯源。

先進(jìn)的EDR技術(shù)的一個(gè)最大優(yōu)點(diǎn)可能在于能夠獲取相關(guān)數(shù)據(jù)并儲(chǔ)存至設(shè)備中，在不需要人工干預(yù)的情況下減輕威脅。然而，并非所有EDR都能勝任這項(xiàng)任務(wù)，因?yàn)樵S多EDR必須將數(shù)據(jù)傳輸至云端進(jìn)行遠(yuǎn)程分析。

EDR技術(shù)如何幫助防病毒軟件

盡管在單獨(dú)使用或作為EPP解決方案的一部分時(shí)有局限性，但防病毒軟件可以有效補(bǔ)充EDR解決方案，并且大多數(shù)EDR解決方案都會(huì)包含一些簽名元素和基于哈希的阻止措施，作為其“深度防御”策略的一部分。

將防病毒軟件納入更高效的EDR解決方案，企業(yè)安全團(tuán)隊(duì)可以同時(shí)獲得簡(jiǎn)單阻止已知惡意軟件的好處，以及與必備的EDR高級(jí)功能相結(jié)合。

為了減少頻繁的警報(bào)，可以采取主動(dòng)EDR的方法來(lái)應(yīng)對(duì)。

在實(shí)際情況中，很多依賴于EDR的組織并未為他們的IT和安全團(tuán)隊(duì)提供更高的安全性和更少的工作量。這是因?yàn)樗麄冃枰獙?duì)受感染的設(shè)備進(jìn)行分類，并且需要對(duì)堆積如山的EDR警報(bào)進(jìn)行分析。

實(shí)際上，這是對(duì)EDR的錯(cuò)誤應(yīng)用，也許EDR的最有價(jià)值的潛力在于其能夠自動(dòng)緩解威脅，而無(wú)需人為干預(yù)。利用機(jī)器學(xué)習(xí)和人工智能的能力，主動(dòng)EDR減輕了SOC團(tuán)隊(duì)的負(fù)擔(dān)，并且可以在不依賴云資源的情況下自動(dòng)緩解終端上的事件。

這表示威脅可以迅速減輕，比任何遙遠(yuǎn)的云分析都要快，并且無(wú)需人工干預(yù)。