端点检测和响应 (EDR)

什么是端点检测和响应？

端点检测和响应（EDR）是一种网络安全解决方案，包括持续监控和收集端点数据，以实时发现和应对网络威胁。EDR 也称为端点威胁检测与响应 (ETDR)，它通过主动识别网络威胁和预防大范围的安全事件，扩展了端点防护平台 (EPP)的功能。
端点检测和响应

电子数据记录仪的工作原理

根据 Gartner 的说法，端点检测和响应（EDR）解决方案 "存储端点系统级行为，使用各种数据分析技术检测可疑的系统行为，提供上下文信息，阻止恶意活动，并提供修复建议以恢复受影响的系统"。

电子数据记录程序解决方案必须具备这四项主要功能：

1.检测安全事件

网络威胁检测是 EDR 解决方案的一项基本功能。EDR 解决方案必须持续分析进入网络环境的所有文件，并准确检测威胁，以便对其进行控制和清除。由于现代网络威胁既隐蔽又不断演变出新的变种，因此 EDR 解决方案应在出现恶意行为的第一时间对进入的文件进行标记，最好能更快。人工智能驱动的网络安全解决方案可利用大数据、机器学习（ML）和高级文件分析，在威胁发动攻击之前就将其检测出来，防止其渗透，而不是在事件发生后进行补救。

2.将事件控制在终端

一旦检测到恶意文件，EDR 解决方案就会遏制网络威胁。这种遏制限制了网络与恶意软件的接触，最大限度地减少了攻击对进程、应用程序和用户的影响。

3.调查安全事件

一旦检测到并包含恶意文件，EDR 解决方案就会对网络攻击进行调查，以深入了解威胁入侵网络的原因，无论是由于网络或端点漏洞、新型高级威胁还是其他原因。确定恶意文件性质的测试应仅限于隔离环境，以避免额外的网络暴露。调查结果有助于防止今后发生类似的攻击。

4.提供补救指导

对于 EDR 解决方案而言，对检测到的威胁做出响应包括消除恶意文件并修复网络中受影响和可能受影响的任何部分。EDR 解决方案还能提供恶意文件历史的可见性，包括其来源、进入点、与之交互的网络文件和应用程序以及是否复制。这些信息可用于自动修复网络，使其恢复到感染前的状态。 

EDR 功能

为了有效地检测、控制、分析和补救网络攻击，电子病历解决方案应包括各种工具：

端点数据收集代理可监控和收集有关文件传输、进程、活动和连接的数据，并将其存入中央存储库供分析。

集成在网络系统中的自动应答，可根据预先配置的规则采取行动，例如在出现已知类型的违规行为时注销用户并向安全团队发出警报。

分析和取证，包括用于分流潜在恶意事件的实时分析，以及用于威胁搜索和攻击后调查的取证工具。

Gartner 认为，有效的 EDR 解决方案还应具备这些高级功能：

  • 现代预防技术与检测和响应能力的结合
  • 单一轻量级代理
  • 云托管基础设施
  • 将多种工具统一到一个控制台中，并提供更多集成选项

人工智能和 ML在有效的 EDR 中扮演着越来越重要的角色，因为许多网络威胁演变得更快，在基于签名的 EDR 解决方案更新以识别和遏制它们之前就已经发作。人工智能驱动的 EDR可以发现人类无法发现的网络威胁。

电子数据记录仪的优点

EDR 解决方案可预防和保护网络免受网络威胁。随着越来越多的企业为员工提供灵活的工作安排，包括远程 办公和混合家庭办公，有效的 EDR 对于防范针对用户设备的网络攻击至关重要。

提高能见度

EDR 解决方案可持续收集数据并进行分析，汇总成统一的视图。这样，安全团队就能轻松访问并了解其所有网络端点的状态。

更快的修复

EDR 解决方案可根据预先设定的规则自动应对事件，包括阻止被入侵的用户账户。它们还可以启动和开展修复活动，减少安全团队的工作量。当安全人员收到警报时，他们会获得相关信息和背景情况，从而做出快速有效的反应。

优化威胁捕猎

EDR 解决方案的自动响应功能可帮助安全团队腾出时间，开展更高级别的工作，如威胁猎捕。通过 EDR 解决方案获取相关的上下文数据和分析，团队可以更有效地识别和调查网络威胁。

EDR 与 EPP

EDR 和 EPP 解决方案都有助于保护企业网络免受源于端点的安全事件的影响，但两者的方式不同，互为补充。EPP 解决方案侧重于在网络外围预防威胁；EDR 解决方案可检测和识别 EPP 解决方案未过滤的高级网络威胁，为安全团队提供信息和工具，以增强威胁捕猎能力。

EDR 与 XDR

扩展检测和响应（XDR）是 EDR 的扩展，在网络、服务器、云和应用程序层面提供额外保护。EDR 和 XDR 都涉及对网络威胁的持续监控、威胁检测和自动响应，但 EDR 的范围通常仅限于端点，而 XDR 则更为全面。与传统的 EDR 解决方案相比，XDR 通过统一检测和分析网络威胁，可以更有效地抵御针对企业网络、云工作区和端点的网络威胁。

常见问题

什么是 EDR？

端点检测和响应（EDR）是一种网络安全解决方案，包括持续监控和收集端点数据，以实时发现和应对网络威胁。EDR 通过主动识别网络威胁和预防大范围的安全事件，扩展了端点防护平台（EPP）的功能。

什么是 EDR 系统？

EDR 系统或解决方案是一个内部部署、基于云或混合的软件平台，可监控网络端点的安全事件，识别和应对网络攻击，并向安全团队提供上下文信息，以猎取高级威胁。

XDR 比 EDR 更好吗？

尽管 EDR 是抵御网络攻击的有效手段，但 XDR 在 EDR 的基础上，在网络、服务器、云和应用程序层面提供了额外的保护。EDR 和 XDR 都涉及对网络威胁的持续监控、威胁检测和自动响应，但 EDR 的范围通常仅限于端点，而 XDR 则更为全面。

CylanceOPTICS 用于 EDR

全球向远程工作安排的转变增加了网络安全风险，超出了专家最初的估计。为了应对日益增多和日益严重的网络威胁，CISO 和安全分析师必须超越传统的 EDR 解决方案，开始考虑 XDR。尽管确保端点安全对于保护企业环境至关重要，但如今扩大的工作场所需要包括网络遥测、行为分析和持续身份验证在内的整体解决方案。

云原生CylanceOPTICS®可在几毫秒内为整个组织提供设备威胁检测和修复功能。

了解更多

相关资源：

资源图标 数据丢失防护（DLP） 资源图标 端点安全 资源图标 端点防护平台（EPP） 资源图标 端点检测和响应 (EDR) 资源图标 扩展检测和响应 (XDR) 资源图标 身份和访问管理（IAM） 资源图标 托管检测和响应 资源图标 托管 XDR 资源图标 MITRE ATT&CK 框架 资源图标 移动威胁防御（MTD） 资源图标 用户和实体行为分析 (UEBA) 资源图标 零信任架构 资源图标 零信任网络接入（ZTNA） 资源图标 零信任安全 资源图标 安全信息与事件管理（SIEM） 资源图标 安全接入服务边缘 (SASE)
更多资源