網(wǎng)絡安全一直是企業(yè)和個人所關注的重點問題，而隨著惡意攻擊的不斷增多，其安全防御的要求也越來越高。作為一種新興技術，EDR已逐漸得到廣泛的應用。那么，EDR到底是什么？與傳統(tǒng)的防病毒軟件相比，有什么不同之處呢？接下來，愛陸通幫助你深入了解一下。

什么是網(wǎng)絡安全EDR？

終端安全響應系統(tǒng)（EDR）是為了加強和補充傳統(tǒng)終端安全產品在高級威脅檢測和響應方面而發(fā)展起來的。通過威脅情報、攻防對抗和機器學習等手段，EDR能夠綜合評估企業(yè)網(wǎng)絡中存在的未知風險，從主機、網(wǎng)絡、用戶和文件等多個維度來分析。其核心在于行為軟件，利用威脅情報來縮短威脅從發(fā)現(xiàn)到處置的時間，有效地降低業(yè)務損失并提高整體安全能力。另外，EDR還能提高企業(yè)網(wǎng)絡的可見性。

多年來，企業(yè)一直追求一套防病毒軟件，以期在安全領域迎接挑戰(zhàn)。然而，隨著惡意軟件威脅的復雜化和攻擊范圍的擴大，傳統(tǒng)的防病毒軟件的不足也變得十分突出。

為此，一些供應商開始重新思考企業(yè)所面臨的安全挑戰(zhàn)。EDR和傳統(tǒng)防病毒軟件有著哪些不同之處呢？

要充分保護企業(yè)或組織免受威脅，了解EDR與傳統(tǒng)防病毒軟件之間的差異非常重要。這兩種安全方法在本質上存在著不同。

傳統(tǒng)防病毒軟件具有以下特點：

1.為企業(yè)提供了一種阻止已知惡意軟件的方法，就是在將文件寫入計算機設備的磁盤時對其進行檢查或掃描。當防病毒軟件的掃描程序在惡意文件數(shù)據(jù)庫中找到該文件時，軟件就會阻止該惡意文件的執(zhí)行。

2.傳統(tǒng)的防病毒數(shù)據(jù)庫由一系列簽名組成，這些簽名可能包含對惡意軟件文件的哈希值或要求文件必須匹配的一系列特征規(guī)則。這些特征通常包括在惡意軟件可執(zhí)行文件中找到的可讀字符串或字節(jié)序列、文件類型、文件大小以及其他文件元數(shù)據(jù)等內容。

3.一些防病毒軟件還可以執(zhí)行原始啟發(fā)式分析，對正在運行的進程進行檢查，并核實重要系統(tǒng)文件的完整性。隨著每天出現(xiàn)大量新的惡意軟件樣本，這些軟件超過了傳統(tǒng)的防病毒軟件供應商數(shù)據(jù)庫的更新能力，只能在事后或被感染后才能被添加到數(shù)據(jù)庫中。

隨著威脅不斷增長且防病毒軟件效力下降，一些傳統(tǒng)供應商已采用其他服務來彌補其不足，例如防火墻控制、數(shù)據(jù)加密、進程允許和阻止列表等防病毒“套件”工具。這種解決方案通常被稱為“終端保護平臺”或“EPP”，然而其核心仍然基于簽名方法。

EDR的特點可以總結為以下幾個方面：

1.高效性，能夠快速捕獲、分析和響應威脅事件。它能夠及時檢測到潛在的安全問題，并提供實時的保護措施，有效減少安全風險。

2.可靠性，它通過持續(xù)監(jiān)控和記錄系統(tǒng)活動來確保數(shù)據(jù)的準確性和完整性，以便進行后續(xù)分析和溯源。在面對復雜的攻擊情景時，EDR能夠提供可靠的數(shù)據(jù)支持，幫助安全人員迅速做出決策和應對措施。

3.安全性。它采用加密和權限控制等多種安全機制，保護收集到的敏感數(shù)據(jù)不被未授權者竊取或篡改。此外，EDR還能夠與其他安全工具和系統(tǒng)集成，形成綜合的安全防護體系。

4.可擴展性。它可以根據(jù)環(huán)境的需求進行部署和配置，適應不同規(guī)模和復雜度的網(wǎng)絡環(huán)境。無論是小型企業(yè)還是大型組織，都可以根據(jù)實際情況選擇使用EDR，并根據(jù)需求進行靈活的擴展和升級。

與傳統(tǒng)的防病毒軟件相比，EDR的優(yōu)勢主要在于以下幾個方面：

1.檢測能力更強：EDR的檢測能力不斷加強，已經(jīng)不僅僅是檢測病毒、木馬等傳統(tǒng)惡意軟件了，還能夠識別未知的變異型惡意程序和新型攻擊手段。

2.分析手段更豐富：通過對異常事件的采集、分析、管理，EDR能夠更加深入地分析安全事件，得出更準確的結論和決策。

3.快速響應能力更高：傳統(tǒng)的防病毒軟件是無法迅速響應安全事件的，而EDR在檢測到異常行為后，能夠快速作出響應，并通過多種手段對安全事件進行跟蹤和分析。

由于防病毒解決方案無法檢測到許多樣本，企業(yè)必須假設他們將面臨無法被防病毒軟件檢測到的威脅。

下一點是，即使沒有重新寫惡意軟件，攻擊者通常也可以很容易地規(guī)避通過防病毒簽名進行的檢測。因為簽名只關注一小部分文件特征，惡意軟件開發(fā)者已經(jīng)學會了如何創(chuàng)建具有不同特征的惡意軟件，也被稱為多態(tài)惡意軟件。例如，文件的哈希值是最容易改變的文件特征之一，但是內部字符串也可以隨惡意軟件的每個版本構建進行隨機化、混淆和加密。

最近，攻擊者出于經(jīng)濟目的（比如勒索軟件運營商）已經(jīng)超越了簡單的基于文件的惡意軟件攻擊。現(xiàn)在，內存中或無文件攻擊已經(jīng)非常普遍。一些攻擊例如Hive，采用人為操作的勒索軟件攻擊方式，還有一些雙重勒索攻擊，例如Maze、Ryuk和其他攻擊方式。這些攻擊可能由于破壞或暴力強制憑證，或者利用遠程代碼執(zhí)行漏洞（RCE）進行，而不會觸發(fā)基于反病毒簽名的檢測。這些攻擊可能通過數(shù)據(jù)泄露來損害知識產權。

企業(yè)可以通過專注于檢測異?；顒硬⑻峁┫鄳胧?，來利用EDR技術。EDR技術不僅限于檢測已知的、基于文件的威脅。EDR技術的主要價值在于，無需像防病毒解決方案那樣準確定義威脅。EDR解決方案能夠尋找突發(fā)、異常和不需要的活動模式，并及時向安全分析師發(fā)出警報以供檢測使用。

另外，由于EDR通過收集大量數(shù)據(jù)來自所有受保護的終端進行工作，因此它們?yōu)榘踩珗F隊提供了一個方便、集中的界面，以可視化這些數(shù)據(jù)的機會。IT團隊可以獲取這些數(shù)據(jù)并與其他工具集成，以進行更深入的分析，這有助于了解組織的整體安全狀況，從而幫助組織確定未來潛在攻擊的性質。來自EDR的綜合數(shù)據(jù)還可以用于追蹤和分析威脅的溯源。

先進的EDR技術的一個最大優(yōu)點可能在于能夠獲取相關數(shù)據(jù)并儲存至設備中，在不需要人工干預的情況下減輕威脅。然而，并非所有EDR都能勝任這項任務，因為許多EDR必須將數(shù)據(jù)傳輸至云端進行遠程分析。

EDR技術如何幫助防病毒軟件

盡管在單獨使用或作為EPP解決方案的一部分時有局限性，但防病毒軟件可以有效補充EDR解決方案，并且大多數(shù)EDR解決方案都會包含一些簽名元素和基于哈希的阻止措施，作為其“深度防御”策略的一部分。

將防病毒軟件納入更高效的EDR解決方案，企業(yè)安全團隊可以同時獲得簡單阻止已知惡意軟件的好處，以及與必備的EDR高級功能相結合。

為了減少頻繁的警報，可以采取主動EDR的方法來應對。

在實際情況中，很多依賴于EDR的組織并未為他們的IT和安全團隊提供更高的安全性和更少的工作量。這是因為他們需要對受感染的設備進行分類，并且需要對堆積如山的EDR警報進行分析。

實際上，這是對EDR的錯誤應用，也許EDR的最有價值的潛力在于其能夠自動緩解威脅，而無需人為干預。利用機器學習和人工智能的能力，主動EDR減輕了SOC團隊的負擔，并且可以在不依賴云資源的情況下自動緩解終端上的事件。

這表示威脅可以迅速減輕，比任何遙遠的云分析都要快，并且無需人工干預。