2、EDR架构探秘：Agent架构、云端架构、混合架构的优缺点

聊EDR，绕不开架构。

我见过不少团队，上来就选型，结果部署半年发现根本跑不动。为什么？架构没选对。今天咱们就把三种主流架构掰开揉碎讲清楚：Agent架构、云端架构、还有混合架构。

2.1 Agent架构：终端上的哨兵

Agent架构，说白了就是在每台终端上装一个“小哨兵”。它直接跑在操作系统里，监控进程、文件、网络、注册表……所有你能想到的异常行为，它都能第一时间感知到。

优点很明显：

• 实时性极强——数据在本地处理，不需要网络传输。攻击行为刚冒头，Agent就能拦截。
• 离线可用——终端断网了？没关系。Agent照样能检测、能阻断。等网络恢复后再上报。
• 数据隐私好——敏感数据不出终端，适合金融、政务等合规要求高的场景。

缺点也不含糊：

• 资源消耗大——每个终端都要跑一个Agent，CPU、内存、磁盘IO都有开销。我见过一个客户，老旧的Windows 7机器装了Agent后，开机直接卡死。
• 管理成本高——成千上万的Agent，版本升级、策略下发、日志收集……想想就头疼。
• 容易被绕过——攻击者一旦拿到管理员权限，第一件事就是干掉Agent。嗯，这确实是个大问题。

2.2 云端架构：大脑在云端

云端架构正好反过来。终端只负责采集原始数据，所有分析、检测、响应都在云端完成。

我参与过一个项目，客户有5000台终端，全部采用云端架构。部署确实快，但问题也来了——网络带宽成了瓶颈。

优点：

• 终端负担轻——Agent只做采集，不做复杂分析。老机器也能跑得动。
• 集中管理方便——所有策略、规则、模型都在云端统一管理。升级一次，全网生效。
• 算力无限——云端可以用GPU、用大数据平台、用AI模型。检测能力比本地强太多。

缺点：

• 依赖网络——断网就抓瞎。终端只能做简单的本地缓存，检测能力大打折扣。
• 延迟较高——数据上传、云端分析、结果返回，这一圈下来至少几百毫秒。对于勒索软件这种秒级攻击，可能来不及。
• 数据隐私风险——所有终端数据都上传到云端，有些行业（比如医疗、军工）根本不允许。

2.3 混合架构：取长补短

混合架构，就是Agent和云端各干各的。终端做轻量检测，云端做深度分析。两者协同工作。

我个人比较推崇这种架构。为什么？因为它灵活。

典型的分工方式：

层级	职责	典型能力
终端Agent	实时检测 + 快速响应	进程拦截、文件阻断、网络隔离
云端平台	深度分析 + 威胁狩猎	行为建模、关联分析、AI检测

优点：

• 兼顾实时与深度——终端能秒级响应已知威胁，云端能发现未知攻击。
• 带宽可控——终端只上传关键事件，不是所有数据都往云端送。我做过一个优化，把上传量从每天2GB降到了200MB。
• 离线有保障——断网时，终端依然能独立工作。等网络恢复后再同步。

缺点：

• 架构复杂——终端和云端怎么协同？策略怎么同步？冲突怎么处理？这些都需要仔细设计。
• 成本较高——既要部署Agent，又要搭建云端平台。两套系统都要维护。

2.4 三种架构对比一览

维度	Agent架构	云端架构	混合架构
实时性	极高	中等	高
离线能力	强	弱	强
终端资源消耗	高	低	中等
检测能力	中等	强	强
管理复杂度	高	低	中等
数据隐私	好	差	好
部署成本	中等	低	高

2.5 架构选择的核心逻辑

选架构，没有银弹。我一般会问客户三个问题：

1. 你的终端环境是什么样的？——老旧机器多，就别选纯Agent架构。网络不稳定，就别选纯云端架构。
2. 你的安全团队有多大？——人少，就选云端架构，省心。人多，可以考虑混合架构，发挥团队优势。
3. 你的合规要求有多严？——数据不能出境的，必须选Agent或混合架构。

嗯，这三个问题想清楚了，架构基本就定了。

2.6 架构核心逻辑图

下面这张图，是我自己画的。它展示了三种架构的核心逻辑和关键差异。你一看就明白。

这张图里，你可以看到三种架构的“分工”完全不同。Agent架构是“全栈本地”，云端架构是“终端采集+云端大脑”，混合架构则是“各取所长”。

我个人建议，如果你还在犹豫，不妨先从小规模试点开始。选一个架构，跑三个月，看看实际效果。毕竟，纸上谈兵和真刀真枪，差距还是挺大的。