第1章 EDR概述

一、EDR概述：什么是EDR、EDR与防病毒软件的区别、EDR的核心价值

EDR，全称是Endpoint Detection and Response，端点检测与响应。

说白了，它是一套专门盯着你电脑、服务器上“异常行为”的系统。我经常跟团队里的小伙伴讲：防病毒软件是看“脸”的，EDR是看“动作”的。

什么意思呢？传统杀毒软件靠特征库——病毒长什么样，它记下来。下次遇到一样的，直接干掉。但问题是，现在的攻击者不傻啊，他们用变种、用无文件攻击、用合法工具干坏事。这时候，杀毒软件就抓瞎了。

EDR不一样。它不管你这个文件叫什么名字，它看你干了什么——有没有偷偷连外网？有没有修改注册表？有没有在内存里执行奇怪代码？

我记得有一次，客户那边一台服务器CPU飙高，杀毒软件啥也没报。我上去一看EDR控制台，好家伙，一个看起来人畜无害的powershell进程，每隔30秒就往境外IP发心跳包。这就是EDR的价值——它能看到“人”看不到的关联。

核心定义：EDR是一种持续监控端点设备、采集行为数据、分析异常活动，并提供自动化响应能力的安全解决方案。它不只看“有没有毒”，更看“有没有鬼”。

很多刚入行的朋友问我：老师，我电脑上装了360，还需要EDR吗？

我的回答是：防病毒软件是保安，EDR是侦探。

保安（防病毒）的工作是：看到可疑的人（已知病毒），直接拦在外面。侦探（EDR）的工作是：哪怕这个人混进来了，我也要跟踪他的一举一动，看他跟谁接触、去了哪里、拿了什么东西。

我整理了一个对比表，大家一看就明白：

嗯，这里要注意一点：EDR不是要取代防病毒软件。我见过不少企业，上了EDR就把杀毒软件全卸了，结果日常的钓鱼附件、宏病毒反而没人管了。正确的做法是——两者互补。杀毒软件负责“守门”，EDR负责“巡逻”。

我的建议：如果你只有50台以内的电脑，装个好点的杀毒软件+定期打补丁，基本够用。但如果你有200台以上的终端，或者有核心业务服务器，EDR是刚需。为什么？因为攻击者一旦突破边界，你至少还有机会在“内部”发现他。

EDR这几年火得一塌糊涂，不是没有原因的。我总结下来，它的核心价值就四个字：看见、阻断。

具体来说，有这几点：

看见未知威胁：传统杀毒软件只能防已知的，EDR能通过行为分析发现“从没见过的攻击手法”。我曾经帮一个客户溯源，攻击者用了合法的PsExec工具横向移动，杀毒软件全程没报警，但EDR把整个攻击链还原得清清楚楚。
看见攻击全貌：不是只看一个点，而是把“谁先被入侵→怎么进来的→扩散到哪些机器→偷了什么数据”整个链条串起来。你想想看，如果只知道某台机器中毒了，但不知道它跟谁通信过、改过什么配置，你怎么判断损失有多大？
快速响应：发现威胁后，可以一键隔离终端、杀掉进程、封禁IP。我见过最夸张的一次，从发现到阻断，EDR自动完成只用了3秒。要是靠人工，至少得10分钟——这10分钟里，攻击者能把数据打包上传三遍。
事后溯源：攻击结束了，EDR里还留着完整的“案发现场”记录。哪个进程、什么时间、执行了什么命令、访问了哪个文件，全都能回放。这对安全审计和合规检查来说，简直是神器。

避坑指南：我曾经遇到一个客户，EDR部署了半年，告警堆了上万条，但安全团队根本看不过来。为什么？因为他们没有做告警降噪。EDR虽然强大，但如果你不配置好规则、不建立响应流程，它就是个“只会喊狼来了”的噪音制造机。记住：工具再好，也得有人会用、愿意用。

为了让大家对EDR有个整体认知，我画了一张流程图。EDR的工作可以拆成五个环节：采集→检测→分析→响应→溯源。每个环节环环相扣，缺一不可。

这张图我建议你多看两眼。为什么？因为很多人在部署EDR时，只关注“检测”和“响应”这两个环节，忽略了“采集”和“溯源”。但实际项目中，采集质量直接决定了检测效果——你采集的数据不全、不细，后面再怎么分析也是白搭。

我举个例子。有一次某客户说EDR检测不到横向移动，我上去一看，好家伙，他们把网络连接日志采集给关了，说“怕占磁盘空间”。这就是典型的因小失大。EDR的采集层就像地基，地基没打好，楼盖得再高也是危楼。

一个小技巧：在部署EDR时，先把采集策略开到“最大”跑一周，看看数据量和告警情况，再逐步收窄。这样你心里有底，知道哪些数据是真正有用的，哪些是噪音。我每次做项目都这么干，从来没翻过车。

好了，这一章我们聊了EDR是什么、它跟杀毒软件的区别、以及它为什么这么重要。下一章，我会带大家深入EDR的“数据采集”环节——到底要采哪些数据？怎么采才不遗漏关键线索？这些都是实战中踩过坑才总结出来的经验。