防病毒、EDR 与 XDR 平台

过去 30 年中，端点安全经历了巨大变化。传统防病毒软件使用特征数据库检测已知恶意软件，但随着攻击者发展出混淆和多态技术，静态特征逐渐不足。这推动了端点检测与响应（EDR）的发展，其重点是分析正在运行的进程的行为。近年来，扩展检测与响应（XDR）关联分析来自端点、网络、Cloud 工作负载和 Email 的遥测数据，从而提供统一的威胁检测平台。

传统防病毒软件（AV）通过将文件与已知恶意特征数据库进行比较来运行，这些特征是特定恶意软件样本所独有的字节模式。当文件匹配某个特征时，系统会将其隔离或删除。AV 还会使用启发式分析（扫描可疑代码模式）和沙箱（在隔离环境中执行可疑文件）。其根本弱点在于 AV 是被动响应的。新的恶意软件，尤其是无文件攻击、多态攻击或就地取材攻击，可能完全避开特征匹配，直到厂商添加新的特征为止。

EDR平台会持续监控端点活动，并记录丰富的遥测数据流，包括进程创建、网络连接、文件系统变更、注册表修改和内存分配。系统使用行为模型和威胁情报分析这些遥测数据，以检测基于特征的 AV 所遗漏的恶意活动模式。检测到威胁后，EDR 可以自动将主机与网络隔离、终止恶意进程，并保留取证证据（内存转储、进程树）供调查使用。

除检测之外，EDR 还提供关键的响应功能。远程隔离会切断受入侵主机与网络的连接，同时保持 EDR 管理通道。远程 Shell允许分析人员在隔离主机上运行命令进行调查。进程终止会结束恶意进程。文件隔离会将恶意文件移至隔离存储区。在受支持的文件系统上，回滚可以逆转勒索软件造成的加密。EDR 平台（CrowdStrike 猎鹰、SentinelOne、微软端点防护）还提供威胁搜寻界面，用于主动搜索各类遥测数据。

XDR通过接收并关联来自多个安全层的遥测数据，将 EDR 的可见范围扩展到端点之外：端点代理、网络检测工具、Email 安全网关、身份平台和 Cloud 工作负载传感器。通过关联各层数据，XDR 可以检测在单独查看时看似无害的攻击链。例如，钓鱼 Email（Email 遥测）→凭据窃取（身份遥测）→横向移动（网络遥测）→数据窃取（端点遥测）可以被识别为一个单独事件，而各自孤立的工具可能会为此生成四个互不相关的 ALERT。

MDR是一种服务模式：供应商提供 EDR/XDR 技术，以及一支代表客户全天候监控、调查和响应 ALERT 的分析人员团队。MDR 解决了人才短缺问题——许多组织无法让安全运营中心（SOC）全天候运转。MDR 提供商通常设有 ALERT SLA（15 分钟内响应、1 小时内升级），并提供威胁搜寻和月度报告。MDR 与 MSSP（托管安全服务提供商）并列，但专注于检测与响应，而不是一般性的安全管理。

了解各个平台的发展过程有助于应对考试。AV：特征加启发式检测、文件级隔离，无法查看就地取材攻击。端点防护平台：在单个代理中提供 AV、防火墙和设备控制。EDR：持续的行为遥测、进程级可见性、自动化响应和威胁搜寻。XDR：跨层关联（端点 + 网络 + Email + Cloud + 身份）、统一 ALERT 控制台和 AI 驱动的检测。如今，许多产品将自己宣传为“具备 XDR 功能的 EDR”，使两者之间的区别变得模糊。

现代 EDR/XDR 平台会使用威胁情报源来丰富 ALERT 并改进检测。当端点与 Threat 情报源中的 IP 地址建立连接时，EDR 可以自动提高 ALERT 严重性。IOC 匹配（文件哈希、IP 地址、域名）可以快速检测已知恶意指标。MITRE ATT&CK 集成会使用技术 ID 为检测到的技术添加标签（例如 PowerShell 的 T1059.001），使分析人员能够立即了解某项技术处于攻击生命周期的哪个阶段，以及应采用哪些防御措施。

EDR/XDR 在运营方面面临的最大挑战是ALERT 疲劳。调优不当的 EDR 部署每天可能生成数千个 ALERT，其中大多数都是误报。有效的 EDR 管理需要：调优检测规则，减少对已知正常行为（软件部署脚本、IT 管理工具）的误报；为受信任的进程和路径创建排除项；设置分级 ALERT 严重性，让分析人员优先关注高严重性 ALERT。在任何检测计划中，ALERT 质量都比数量更有价值。

复杂的攻击者会主动尝试规避 EDR 检测。常见技术包括：进程注入（将恶意代码注入 explorer.exe 等合法进程以隐藏代码）、解除挂钩（从内存中移除 EDR API 挂钩以阻止监控）、LOLBins（使用受信任的系统二进制文件来规避基于哈希的检测）以及直接系统调用（完全绕过 Win32 API 层）。安全团队应定期运行 EDR 绕过模拟（Atomic Red Team、MITRE Caldera），验证其控制措施能够检测这些技术。

除技术之外，有效的端点安全还需要由 EDR 工具执行的策略决策。USB 设备控制会阻止未经授权的可移动介质。应用程序允许列表可防止未经授权的软件执行。端点上的Web 内容过滤即使在 VPN 外也能拦截恶意下载。防篡改保护可防止拥有本地管理员权限的攻击者禁用 EDR 代理。组织还应为端点定义可接受使用策略，并通过 MDM 或组策略强制执行，在技术控制措施被绕过时形成第二道防线。

请测试您对本课 CompTIA Security+（SY0-701）相关概念的理解。

在本课中，您学习了以下内容：传统 AV依赖特征和启发式方法，无法检测基于行为的威胁或无文件威胁；EDR提供持续的行为遥测、检测和自动化响应，包括主机隔离；XDR通过关联端点、Email、网络、身份和 Cloud 层的遥测数据扩展 EDR，实现统一的事件检测。接下来，我们将学习 OS 加固技术和 CIS 基准。