名詞解釋

EDR 是什麼：記錄終端的活動，偵測並回應防毒軟體漏掉的攻擊

EDR（Endpoint Detection and Response）持續記錄 PC 與伺服器的行為，偵測可疑動向並執行隔離與調查。說明它與以特徵碼比對為主的防毒軟體的區別，以及小規模環境可行的做法。

發布於 2026-06-11 更新於 2026-10-06 閱讀時間 2 分鐘

本頁內容

即使已經裝了防毒軟體，EDR 仍可能派上用場，因為二者角色不同。本文講解 EDR 守護什麼、如何守護（不會寫出攻擊步驟）。

與傳統防毒軟體的區別

視角	傳統防病毒	EDR
偵測的軸心	已知特徵碼／IOC（雜湊等）	行為／IOA（一連串動向）
抗繞過能力	對無檔案、正規工具濫用較弱	更易憑行為捕捉
事後調查	有限	可用時間軸追溯經過
回應	以清除為主	支援隔離、調查、復原

EDR、XDR、MDR 與 SIEM 的區別

這些用語常在產品說明中並列出現。依「做什麼」與「看哪裡」區分如下。

用語	做什麼	看哪裡
防毒軟體（EPP）	比對已知的惡意檔案，在執行前擋下	終端
EDR	記錄終端活動，偵測可疑的連串動向，協助隔離與調查	終端
XDR	把 EDR 的思路延伸到電子郵件、雲端、網路與帳號，並加以串連	包含終端在內的多個領域
MDR	由外部專家團隊代為處理偵測與回應的服務	契約中約定的範圍
SIEM	蒐集多台裝置與服務的紀錄，加以搜尋、關聯分析與保存	整個組織的紀錄

可以把 EDR 與 XDR 理解為產品類型，MDR 是維運的方式，SIEM 則是存放紀錄的地方。

如何守護（機制）

① 持續記錄終端的行為（程序、通訊、檔案操作）

↓

② 偵測可疑的「一連串流向」（基於 IOA）

↓

③ 隔離終端、用時間軸調查並復原

EDR 記錄終端的行為，偵測可疑的「流向」，進而銜接到隔離與調查。

特徵碼比對（攔截已知的惡意）與行為偵測（憑 IOA 察覺）並不對立。兩者兼備才切合實際，EDR 的定位是把後者做厚。

小規模環境下切實可行的因應方式

先做好基本對策

作業系統／應用程式的自動更新、最小權限、CVE 監控、MFA。比起昂貴的 EDR，先做好「不讓攻擊進來／不讓其擴散」的基本對策更見效。

用好作業系統內建防護

Windows 的 Microsoft Defender 含有簡易的行為偵測。先把它保持啟用並更新到最新。

保存紀錄，具備 IOA 的眼光

保存認證紀錄、通訊量、程序，讓自己處於能察覺「與平時不同的流向」的狀態（→ IOA）。

按需考慮 EDR

當需要守護的資料或終端數量增多時，再考慮託管型 EDR（如 Microsoft Defender for Endpoint 等）。導入＝維運，因此要與能夠因應的體制成套配齊。

實際案例：公開的事件與公開的政策

大阪急性期・綜合醫療中心（2022）：調查委員會的報告書指出，損害擴及整個電子病歷系統的原因之一，是該系統的主要伺服器沒有安裝防毒軟體。在沒有安裝的裝置上，偵測無從發揮作用。不論是 EDR 還是防毒軟體，首先要問的是有沒有遺漏的裝置
美國聯邦政府：2021 年 10 月 8 日，行政管理和預算局（OMB）發布備忘錄 M-22-01，依據第 14028 號行政命令，指示聯邦機關導入 EDR。備忘錄把 EDR 描述為結合了終端資料的即時持續監控與蒐集，以及基於規則的自動化回應與分析

如何在自己的環境中檢查

個人與小型辦公室，請從眼前的 PC 開始。

在「Windows 安全性」中開啟「病毒與威脅防護」，確認即時保護為開啟
以系統管理員身分開啟 PowerShell，執行 Get-MpComputerStatus | Select-Object AMRunningMode,RealTimeProtectionEnabled,BehaviorMonitorEnabled,AntivirusSignatureLastUpdated。確認 RealTimeProtectionEnabled 與 BehaviorMonitorEnabled（行為監控）為 True，且特徵碼的更新日期是最近
若 AMRunningMode 為 Normal，表示 Defender 是作為主要的防毒軟體在運作。若為 Passive，表示其他廠商的產品才是主要的，請確認該產品已啟用並更新到最新

請注意，PC 內建的 Microsoft Defender 防毒軟體保護的是那一台電腦。它與能把多台裝置的活動集中記錄、並可遠端隔離的託管型 EDR 並不相同。

如果你的組織使用 EDR，請確認三件事。

比對資產清冊與 EDR 主控台上的裝置數，找出沒有安裝的裝置。伺服器與委外廠商使用的連線裝置特別容易遺漏
決定由誰、在何時檢視警示，以及夜間或週末由誰決定隔離裝置
確認一般使用者帳號無法在自己的裝置上關閉 EDR

本站的視角：比起產品名，更看重「能記錄、偵測、回應的狀態」

EDR 很強大，但本站並不認為「裝了 EDR 就安全」。偵測是事故發生之後的事，首要目標是從一開始就不讓它發生、不讓它擴散的設計（最小權限、修補程式、MFA、不以明文存放機密）。在此基礎上，總會有攻擊繞過防線，因此要以與規模相稱的方式，保持能記錄、偵測、回應行為的狀態。個人往往「Defender＋紀錄＋IOA 意識」就夠了，組織則可把託管型 EDR 納入選項。要緊的不是產品名，而是預防（不讓它發生）與偵測（察覺它）是否兩者兼備。

出處（一手資料）

美國行政管理和預算局（OMB）「M-22-01: Improving Detection of Cybersecurity Vulnerabilities and Incidents on Federal Government Systems through Endpoint Detection and Response」（2021 年 10 月 8 日）— whitehouse.gov（EDR 的描述，以及對聯邦機關的指示）
Microsoft Learn「Get-MpComputerStatus」— learn.microsoft.com（確認 Defender 狀態的指令）
Microsoft Learn「Endpoint detection and response in block mode」— learn.microsoft.com（Defender 的主動與被動模式）
大阪急性期・綜合醫療中心資訊安全事件調查委員會報告書（2023 年 3 月 28 日公布）— gh.opho.jp

接下來閱讀

FAQ

QEDR 和傳統的防毒軟體（防病毒）有什麼區別？

傳統防毒軟體以比對「已知的惡意檔案（特徵碼／雜湊）」並加以攔截為主。EDR 在此之外，還會持續記錄終端上的「行為」（程序啟動、通訊、檔案操作等），偵測一連串可疑動向，並支援隔離、調查、復原等回應。把「攔截已知的惡意」理解為 AV、「憑行為察覺並回應」理解為 EDR，就容易區分了。

Q為什麼需要基於行為的偵測？

攻擊者會用完即棄地更換檔案雜湊，或濫用作業系統內建的正規工具（無檔案），藉此繞過特徵碼比對。這類攻擊作為「惡意檔案」很難被看見，只會以「一串異常行為的連環」形式出現。因此關注行為（IOA）的 EDR，承擔起捕捉已繞過防線的攻擊的角色。

Q個人或小規模也需要 EDR 嗎？

全功能的 EDR 主要面向組織，對個人和小規模而言往往過剩。不過其思路是有效的。Windows 的 Microsoft Defender 含有簡易的行為偵測，把作業系統與應用程式的自動更新、最小權限、紀錄保存這些基本對策，與 IOA（憑行為察覺）的意識結合起來，就能獲得大量價值。比起產品名，「是否處於能記錄、偵測、回應行為的狀態」才是本質。

QEDR 和 XDR 有什麼不同？

EDR 記錄 PC 與伺服器等終端上的活動，以偵測並回應攻擊。XDR（Extended Detection and Response）則把同樣的思路延伸到終端以外的電子郵件、雲端、網路與帳號，並串連多處的紀錄，把它們視為同一個攻擊來看。EDR 只看終端；XDR 則把包含終端在內的多個領域放在一起看。

QEDR 和 MDR 有什麼不同？

EDR 是產品（機制）；MDR（Managed Detection and Response）則是由外部專家團隊代為進行偵測與回應的服務。如果沒有人檢視警示並決定怎麼處理，光有 EDR 擋不住攻擊。沒有人力在夜間與週末應變的組織，會把 MDR 和 EDR 一起納入考量。

Q如何確認自己 PC 上的 Microsoft Defender 有在運作？

在「Windows 安全性」中開啟「病毒與威脅防護」，確認即時保護為開啟。在以系統管理員身分執行的 PowerShell 中，Get-MpComputerStatus 會顯示 RealTimeProtectionEnabled（即時保護）與 BehaviorMonitorEnabled（行為監控）是否為 True，以及特徵碼的更新日期是否是最近。