EDR 与杀毒软件

传统的防病毒软件（AV）和现代EDR都能保护端点，但工作方式不同。

了解这种差异有助于您理解 EDR 为什么变得必不可少。

经典防病毒软件依赖特征码：已知恶意软件的指纹。

它会扫描文件并将其与数据库进行比较。匹配成功意味着该文件会被阻止或删除。

特征码只能识别已经知晓的恶意软件。

攻击者会稍微修改代码，生成任何特征码都无法匹配的新变种，从而绕过单纯的防病毒软件。

一些现代攻击从不将恶意文件写入磁盘，而是驻留在内存中，或滥用 PowerShell 等内置工具。

没有文件可供扫描，传统防病毒软件便无从检测。

EDR 会监视整个系统中的行为和上下文。

它会记录进程链、网络调用和文件更改，即使没有已知特征码，也能发现可疑模式。

防病毒软件主要侧重于预防——阻止已知的恶意文件。

EDR 增加了检测和响应能力：假设某些威胁会入侵，并提供查找和阻止它们的工具。

防病毒软件通常只报告它阻止了某个对象。

EDR 会保留详细的时间线，因此分析人员可以查看攻击如何开始、影响了什么，以及扩散了多远。

防病毒软件可以隔离文件，而 EDR 能做得更多。

• 隔离主机
• 终止进程
• 在所有端点上搜寻
• 回滚更改

防病毒软件大多可以自行运行。EDR 会生成需要专业人员调查的警报。

EDR 功能强大，但需要安全团队或托管服务根据其发现采取行动。

EDR 并不能完全取代防病毒软件。许多现代平台会将二者结合。

防病毒软件快速阻止已知威胁，而 EDR 捕获高级和未知威胁，形成分层防御。

普通家用用户使用优质防病毒软件可能就足够了。

面临定向攻击的组织可以从 EDR 提供的可见性、未知威胁检测能力和响应工具中受益。

比较这两种方法：

• 防病毒软件——基于特征码预防已知威胁
• EDR——行为检测、可见性和响应

作为纵深防御策略的一部分，二者结合使用时防御能力最强。