網(wǎng)絡(luò)安全一直是企業(yè)和個(gè)人所關(guān)注的重點(diǎn)問題，而隨著惡意攻擊的不斷增多，其安全防御的要求也越來越高。作為一種新興技術(shù)，EDR已逐漸得到廣泛的應(yīng)用。那么，EDR到底是什么？與傳統(tǒng)的防病毒軟件相比，有什么不同之處呢？接下來，愛陸通幫助你深入了解一下。

什么是網(wǎng)絡(luò)安全EDR？

終端安全響應(yīng)系統(tǒng)（EDR）是為了加強(qiáng)和補(bǔ)充傳統(tǒng)終端安全產(chǎn)品在高級威脅檢測和響應(yīng)方面而發(fā)展起來的。通過威脅情報(bào)、攻防對抗和機(jī)器學(xué)習(xí)等手段，EDR能夠綜合評估企業(yè)網(wǎng)絡(luò)中存在的未知風(fēng)險(xiǎn)，從主機(jī)、網(wǎng)絡(luò)、用戶和文件等多個(gè)維度來分析。其核心在于行為軟件，利用威脅情報(bào)來縮短威脅從發(fā)現(xiàn)到處置的時(shí)間，有效地降低業(yè)務(wù)損失并提高整體安全能力。另外，EDR還能提高企業(yè)網(wǎng)絡(luò)的可見性。

多年來，企業(yè)一直追求一套防病毒軟件，以期在安全領(lǐng)域迎接挑戰(zhàn)。然而，隨著惡意軟件威脅的復(fù)雜化和攻擊范圍的擴(kuò)大，傳統(tǒng)的防病毒軟件的不足也變得十分突出。

為此，一些供應(yīng)商開始重新思考企業(yè)所面臨的安全挑戰(zhàn)。EDR和傳統(tǒng)防病毒軟件有著哪些不同之處呢？

要充分保護(hù)企業(yè)或組織免受威脅，了解EDR與傳統(tǒng)防病毒軟件之間的差異非常重要。這兩種安全方法在本質(zhì)上存在著不同。

傳統(tǒng)防病毒軟件具有以下特點(diǎn)：

1.為企業(yè)提供了一種阻止已知惡意軟件的方法，就是在將文件寫入計(jì)算機(jī)設(shè)備的磁盤時(shí)對其進(jìn)行檢查或掃描。當(dāng)防病毒軟件的掃描程序在惡意文件數(shù)據(jù)庫中找到該文件時(shí)，軟件就會阻止該惡意文件的執(zhí)行。

2.傳統(tǒng)的防病毒數(shù)據(jù)庫由一系列簽名組成，這些簽名可能包含對惡意軟件文件的哈希值或要求文件必須匹配的一系列特征規(guī)則。這些特征通常包括在惡意軟件可執(zhí)行文件中找到的可讀字符串或字節(jié)序列、文件類型、文件大小以及其他文件元數(shù)據(jù)等內(nèi)容。

3.一些防病毒軟件還可以執(zhí)行原始啟發(fā)式分析，對正在運(yùn)行的進(jìn)程進(jìn)行檢查，并核實(shí)重要系統(tǒng)文件的完整性。隨著每天出現(xiàn)大量新的惡意軟件樣本，這些軟件超過了傳統(tǒng)的防病毒軟件供應(yīng)商數(shù)據(jù)庫的更新能力，只能在事后或被感染后才能被添加到數(shù)據(jù)庫中。

隨著威脅不斷增長且防病毒軟件效力下降，一些傳統(tǒng)供應(yīng)商已采用其他服務(wù)來彌補(bǔ)其不足，例如防火墻控制、數(shù)據(jù)加密、進(jìn)程允許和阻止列表等防病毒“套件”工具。這種解決方案通常被稱為“終端保護(hù)平臺”或“EPP”，然而其核心仍然基于簽名方法。

EDR的特點(diǎn)可以總結(jié)為以下幾個(gè)方面：

1.高效性，能夠快速捕獲、分析和響應(yīng)威脅事件。它能夠及時(shí)檢測到潛在的安全問題，并提供實(shí)時(shí)的保護(hù)措施，有效減少安全風(fēng)險(xiǎn)。

2.可靠性，它通過持續(xù)監(jiān)控和記錄系統(tǒng)活動來確保數(shù)據(jù)的準(zhǔn)確性和完整性，以便進(jìn)行后續(xù)分析和溯源。在面對復(fù)雜的攻擊情景時(shí)，EDR能夠提供可靠的數(shù)據(jù)支持，幫助安全人員迅速做出決策和應(yīng)對措施。

3.安全性。它采用加密和權(quán)限控制等多種安全機(jī)制，保護(hù)收集到的敏感數(shù)據(jù)不被未授權(quán)者竊取或篡改。此外，EDR還能夠與其他安全工具和系統(tǒng)集成，形成綜合的安全防護(hù)體系。

4.可擴(kuò)展性。它可以根據(jù)環(huán)境的需求進(jìn)行部署和配置，適應(yīng)不同規(guī)模和復(fù)雜度的網(wǎng)絡(luò)環(huán)境。無論是小型企業(yè)還是大型組織，都可以根據(jù)實(shí)際情況選擇使用EDR，并根據(jù)需求進(jìn)行靈活的擴(kuò)展和升級。

與傳統(tǒng)的防病毒軟件相比，EDR的優(yōu)勢主要在于以下幾個(gè)方面：

1.檢測能力更強(qiáng)：EDR的檢測能力不斷加強(qiáng)，已經(jīng)不僅僅是檢測病毒、木馬等傳統(tǒng)惡意軟件了，還能夠識別未知的變異型惡意程序和新型攻擊手段。

2.分析手段更豐富：通過對異常事件的采集、分析、管理，EDR能夠更加深入地分析安全事件，得出更準(zhǔn)確的結(jié)論和決策。

3.快速響應(yīng)能力更高：傳統(tǒng)的防病毒軟件是無法迅速響應(yīng)安全事件的，而EDR在檢測到異常行為后，能夠快速作出響應(yīng)，并通過多種手段對安全事件進(jìn)行跟蹤和分析。

由于防病毒解決方案無法檢測到許多樣本，企業(yè)必須假設(shè)他們將面臨無法被防病毒軟件檢測到的威脅。

下一點(diǎn)是，即使沒有重新寫惡意軟件，攻擊者通常也可以很容易地規(guī)避通過防病毒簽名進(jìn)行的檢測。因?yàn)楹灻魂P(guān)注一小部分文件特征，惡意軟件開發(fā)者已經(jīng)學(xué)會了如何創(chuàng)建具有不同特征的惡意軟件，也被稱為多態(tài)惡意軟件。例如，文件的哈希值是最容易改變的文件特征之一，但是內(nèi)部字符串也可以隨惡意軟件的每個(gè)版本構(gòu)建進(jìn)行隨機(jī)化、混淆和加密。

最近，攻擊者出于經(jīng)濟(jì)目的（比如勒索軟件運(yùn)營商）已經(jīng)超越了簡單的基于文件的惡意軟件攻擊。現(xiàn)在，內(nèi)存中或無文件攻擊已經(jīng)非常普遍。一些攻擊例如Hive，采用人為操作的勒索軟件攻擊方式，還有一些雙重勒索攻擊，例如Maze、Ryuk和其他攻擊方式。這些攻擊可能由于破壞或暴力強(qiáng)制憑證，或者利用遠(yuǎn)程代碼執(zhí)行漏洞（RCE）進(jìn)行，而不會觸發(fā)基于反病毒簽名的檢測。這些攻擊可能通過數(shù)據(jù)泄露來損害知識產(chǎn)權(quán)。

企業(yè)可以通過專注于檢測異常活動并提供相應(yīng)措施，來利用EDR技術(shù)。EDR技術(shù)不僅限于檢測已知的、基于文件的威脅。EDR技術(shù)的主要價(jià)值在于，無需像防病毒解決方案那樣準(zhǔn)確定義威脅。EDR解決方案能夠?qū)ふ彝话l(fā)、異常和不需要的活動模式，并及時(shí)向安全分析師發(fā)出警報(bào)以供檢測使用。

另外，由于EDR通過收集大量數(shù)據(jù)來自所有受保護(hù)的終端進(jìn)行工作，因此它們?yōu)榘踩珗F(tuán)隊(duì)提供了一個(gè)方便、集中的界面，以可視化這些數(shù)據(jù)的機(jī)會。IT團(tuán)隊(duì)可以獲取這些數(shù)據(jù)并與其他工具集成，以進(jìn)行更深入的分析，這有助于了解組織的整體安全狀況，從而幫助組織確定未來潛在攻擊的性質(zhì)。來自EDR的綜合數(shù)據(jù)還可以用于追蹤和分析威脅的溯源。

先進(jìn)的EDR技術(shù)的一個(gè)最大優(yōu)點(diǎn)可能在于能夠獲取相關(guān)數(shù)據(jù)并儲存至設(shè)備中，在不需要人工干預(yù)的情況下減輕威脅。然而，并非所有EDR都能勝任這項(xiàng)任務(wù)，因?yàn)樵S多EDR必須將數(shù)據(jù)傳輸至云端進(jìn)行遠(yuǎn)程分析。

EDR技術(shù)如何幫助防病毒軟件

盡管在單獨(dú)使用或作為EPP解決方案的一部分時(shí)有局限性，但防病毒軟件可以有效補(bǔ)充EDR解決方案，并且大多數(shù)EDR解決方案都會包含一些簽名元素和基于哈希的阻止措施，作為其“深度防御”策略的一部分。

將防病毒軟件納入更高效的EDR解決方案，企業(yè)安全團(tuán)隊(duì)可以同時(shí)獲得簡單阻止已知惡意軟件的好處，以及與必備的EDR高級功能相結(jié)合。

為了減少頻繁的警報(bào)，可以采取主動EDR的方法來應(yīng)對。

在實(shí)際情況中，很多依賴于EDR的組織并未為他們的IT和安全團(tuán)隊(duì)提供更高的安全性和更少的工作量。這是因?yàn)樗麄冃枰獙κ芨腥镜脑O(shè)備進(jìn)行分類，并且需要對堆積如山的EDR警報(bào)進(jìn)行分析。

實(shí)際上，這是對EDR的錯誤應(yīng)用，也許EDR的最有價(jià)值的潛力在于其能夠自動緩解威脅，而無需人為干預(yù)。利用機(jī)器學(xué)習(xí)和人工智能的能力，主動EDR減輕了SOC團(tuán)隊(duì)的負(fù)擔(dān)，并且可以在不依賴云資源的情況下自動緩解終端上的事件。

這表示威脅可以迅速減輕，比任何遙遠(yuǎn)的云分析都要快，并且無需人工干預(yù)。