端点检测和响应 (EDR) 是一种端点安全解决方案，包括实时监控和使用自动威胁响应机制收集端点安全数据。端点检测和响应是 Gartner 提出的一个术语，用于描述一类新兴的安全系统，用于检测和调查主机和端点上的可疑活动，这可以通过利用通知安全团队并实现快速响应的高度自动化来实现。
端点检测和响应系统提供五个主要功能，它们是：
- 主动监控端点并从可能表明存在威胁的活动中收集数据
- 对收集的数据进行分析，以识别任何已知的威胁模式
- 对所有已识别的威胁生成自动响应，以删除或遏制它们
- 自动通知安全人员已检测到威胁
- 利用分析和取证工具对可能导致其他可疑活动的已识别威胁进行研究
端点检测和响应有什么好处？
端点检测和响应系统已成为现代安全团队的清单项目。EDR 以多种关键方式保护数字边界免受已知和不断演变的威胁和安全问题的影响。
首先，监控数据的全面收集使 EDR 系统能够编译潜在攻击的完整视图。对所有端点（在线和离线）的持续监控简化了分析和事件响应。这可以进行深入的分析和洞察，使专业人员能够了解组织网络的异常和漏洞，从而更好地为未来的网络犯罪事件做好准备。对每个端点威胁的检测都超越了传统的防病毒软件，EDR 能够对各种威胁提供实时响应，让安全团队能够实时可视化潜在的攻击和威胁，即使它们正在演变。
这可以通过在发生严重损失或妥协之前在初始阶段切断攻击来防止损失。实时响应还可以让组织发现网络上的可疑或未经授权的行为，在威胁影响运营之前找到威胁的根本原因。最后，EDR 系统可以与其他安全工具集成，使来自端点、网络和 SIEM 的数据相互关联，从而更深入地了解不良行为者试图获得未经授权访问数字资产的做法和技术。
为什么端点检测和响应很重要？
威胁形势不断变化，新病毒、恶意软件和其他网络威胁每天都在出现。为了应对这种不断演变的威胁，实时收集和检测可能的异常变得越来越重要。越来越多的流动劳动力加剧了这些挑战。当员工远程连接时——Covid 大流行加速了这种情况，用于访问组织数字资产的端点通常是员工所有的。 这些 BYOD 设备可能由员工的家人共享并在其共享的网络上，因此可能在员工不知情的情况下感染恶意软件。
通过采用 EDR，组织可以通过以下方式帮助缓解这些挑战：
- 识别和阻止可能执行恶意行为的可执行文件
- 防止 USB 设备被用于未经授权的数据访问或下载机密或受保护的信息
- 阻止可能感染端点设备的无文件恶意软件攻击技术
- 控制脚本的执行
- 防止恶意电子邮件有效负载引爆其附件
- 防止零日攻击，并防止它们造成损害
EDR 还可以与第三方威胁情报服务合作，以提高其端点安全解决方案的有效性，因为它们的集体情报可以提高 EDR 识别零日攻击和其他多层攻击的能力。许多端点检测和响应解决方案现在正在结合机器学习和人工智能 (ML/AI)，通过“学习”组织的基线行为并在检测到攻击时使用该信息来解释结果，从而进一步自动化流程。
端点检测和响应如何工作？
端点检测和响应的工作原理是监控网络和端点上的流量，将可能与安全问题相关的信息收集到中央数据库中以供以后分析，并促进对威胁事件的报告和调查。
并非所有 EDR 解决方案都是平等的——它们执行的活动范围可能因供应商而异。典型 EDR 解决方案的关键组件包括：
- 数据收集代理。这些代理安装在端点上，监控并收集正在运行的进程、与网络和设备的连接、活动量和数据传输的数据
- 中央枢纽。 这个集成的中心收集、关联和分析收集的端点数据。中央枢纽还协调对直接威胁的警报和响应
- 响应自动化。 EDR 系统利用规则（通常是预先配置的）识别收集的数据何时表明存在已知威胁并触发自动响应，例如提醒安全人员或将用户注销系统
- 取证和分析。 EDR 可以包括取证工具，以帮助根除威胁或执行事后分析，实时分析有助于快速发现与现有预配置规则不匹配的威胁
EDR 和防病毒软件之间的区别
EDR 解决方案可被视为传统防病毒程序的超集，与较新的 EDR 解决方案相比，其范围有限。这样，防病毒软件就成为了 EDR 解决方案的一部分。
防病毒执行基本功能，例如扫描、检测和删除病毒，而 EDR 执行许多其他功能。除了防病毒之外，EDR 还可能包含多种功能，包括监控、白/黑名单等，所有这些都旨在针对已知和新出现的威胁提供更全面的保护。
由于数字网络边界已扩展到任何地方，传统的防病毒软件无法再保护用于访问公司资源的所有各种设备。端点检测和响应系统更适合防御高级网络攻击，而 EDR 自动响应有助于确保 IT 团队不会因为试图保护组织免受攻击而超负荷工作。
由于威胁形势的快速演变，这一点变得越来越重要。由于不良行为者正在改进他们的攻击并利用高级威胁进入网络，简单的基于签名的防病毒软件无法及时检测到零日或多层威胁，而 EDR 系统可以检测到所有类型的端点威胁，提供对已识别的人的实时响应。
