即使已经装了杀毒软件，EDR 依然有用，因为二者角色不同。本文讲解 EDR 守护什么、如何守护（不会写出攻击步骤）。
与传统杀毒软件的区别
| 视角 | 传统防病毒 | EDR |
|---|---|---|
| 检测的轴心 | 已知特征码／IOC（哈希） | 行为／IOA（一连串动向） |
| 抗绕过能力 | 对无文件、正规工具滥用较弱 | 更易凭行为捕获 |
| 事后调查 | 有限 | 可用时间线追溯经过 |
| 响应 | 以清除为主 | 支持隔离、调查、恢复 |
EDR、XDR、MDR 与 SIEM 的区别
这些词在产品介绍中经常并列出现。下面按做什么、看什么来区分。
| 术语 | 做什么 | 看什么 |
|---|---|---|
| 杀毒软件（EPP） | 比对已知的恶意文件，在运行前阻止 | 终端 |
| EDR | 记录终端活动，检测可疑的连环动向，帮助隔离和调查 | 终端 |
| XDR | 把 EDR 的思路扩展到邮件、云、网络和账号，并将它们关联起来 | 包括终端在内的多个领域 |
| MDR | 由外部专家团队代为进行检测和响应的服务 | 合同约定的范围 |
| SIEM | 收集来自众多设备和服务的日志，进行搜索、关联分析和保存 | 整个组织的日志 |
可以这样理解：EDR 和 XDR 是产品类型，MDR 是运营方式，SIEM 是日志存放的地方。
如何守护（机制）
① 持续记录终端的行为（进程、通信、文件操作）
↓
② 检测可疑的「一连串流向」（基于 IOA）
↓
③ 隔离终端、用时间线调查并恢复
特征码比对（拦截已知的恶意）与行为检测（凭 IOA 察觉）并不对立。两者兼备才切合实际，EDR 的定位是把后者做厚。
小规模环境下切实可行的应对方式
1
先做好基础措施
自动更新、最小权限、CVE 监控、MFA。比起昂贵的 EDR，先做好「不让攻击进来／不让其扩散」的基础措施更见效。
2
用好操作系统自带防护
Windows 的 Microsoft Defender 含有简易的行为检测。先把它保持启用并更新到最新。
3
留存日志，具备 IOA 的眼光
留存认证日志、通信量、进程，让自己处于能察觉「与平时不同的流向」的状态（→ IOA）。
4
规模变大后考虑 EDR
当需要守护的数据或终端数量增多时，再考虑托管型 EDR（如 Microsoft Defender for Endpoint）。引入＝运营，因此要与能够应对的团队成套配齐。
真实案例：一起公开案例与一项公开政策
- 大阪急性期・综合医疗中心（2022 年）：调查委员会的报告书把「电子病历系统的关键服务器上没有安装杀毒软件」列为损害在该系统中扩散的原因之一。没有安装的设备上，检测就不起作用。无论是 EDR 还是杀毒软件，首先要问的是有没有遗漏的设备
- 美国联邦政府：2021 年 10 月 8 日，行政管理和预算局（OMB）发布备忘录 M-22-01，依据第 14028 号行政令，指示联邦机构引入 EDR。备忘录将 EDR 描述为：把对终端数据的实时持续监控和收集，与基于规则的自动响应和分析结合起来
如何在自己的环境中检查
个人和小型办公室，先从眼前的电脑开始。
- 在「Windows 安全中心」中打开「病毒和威胁防护」，确认实时保护已开启
- 以管理员身份打开 PowerShell，运行
Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated。确认RealTimeProtectionEnabled和BehaviorMonitorEnabled（行为监控）为True，且特征码更新日期是最近的 - 如果
AMRunningMode为Normal，说明 Defender 作为主杀毒软件在运行。如果是Passive，说明其他厂商的产品是主杀毒软件，请确认该产品已开启并为最新
注意，电脑自带的 Microsoft Defender 防病毒只保护这一台机器。它与把多台设备的活动集中记录、并能远程隔离设备的托管型 EDR 不是一回事。
如果你的组织使用 EDR，请检查三件事。
- 对照资产清单和 EDR 控制台中的设备数量，查找没有安装的设备。服务器和外包方使用的连接设备容易被遗漏
- 决定由谁、在何时查看告警，以及夜间和周末由谁决定隔离设备
- 确认普通用户账号无法在自己的设备上关闭 EDR
本站的视角：比起产品名，更看重「能记录、检测、响应的状态」
EDR 很强大，但本站并不认为「装了 EDR 就安全」。检测是事故发生之后的事，首要目标是从一开始就不让它发生、不让它扩散的设计（最小权限、补丁、MFA、不以明文存放机密）。在此基础上，总会有攻击绕过防线，因此要以与规模相称的方式，保持能记录、检测、响应行为的状态。个人往往「Defender＋日志＋IOA 意识」就够了，组织则可把托管型 EDR 纳入选项。要紧的不是产品名，而是预防（阻止发生）与检测（及时察觉）是否两者兼备。
出处（一手资料）
- 美国行政管理和预算局（OMB），“M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response”（2021 年 10 月 8 日） — whitehouse.gov（EDR 的说明及对联邦机构的指示）
- Microsoft Learn，“Get-MpComputerStatus” — learn.microsoft.com（确认 Defender 状态的命令）
- Microsoft Learn，“Endpoint detection and response in block mode” — learn.microsoft.com（Defender 的主动模式与被动模式）
- 大阪急性期・综合医疗中心 信息安全事件调查委员会报告书（2023 年 3 月 28 日公布） — gh.opho.jp