终端

EDR 是什么：记录终端活动、检测并响应杀毒软件漏掉的攻击的机制

EDR 持续记录终端行为，检测可疑动向（偏 IOA），并支持隔离、调查等响应。它用行为与时间线捕获以特征码／IOC 比对为主的杀毒软件会漏掉的无文件攻击和正规工具滥用。小规模环境往往并不需要完整 EDR，借助操作系统自带防护＋日志＋IOA 的思路即可获得大量价值。