EDR数据记录系统全流程拆解

📚 共计 30 章节

什么是EDR · 与防病毒软件的区别 · 核心价值

EDR架构设计

Agent架构 · 云端架构 · 混合架构

数据采集层

Windows事件日志 · Linux系统日志 · MacOS日志

采集跨平台

进程与线程监控

进程创建/终止 · 线程注入检测 · 父子进程关系

文件系统监控

创建 · 修改 · 删除 · 重命名事件捕获与分析

网络连接监控

TCP/UDP连接 · DNS查询 · HTTP请求捕获

注册表监控

Windows注册表键值变更 · 关键路径保护

注册表安全

内存扫描技术

用户态/内核态内存访问 · 内存Dump分析

行为分析引擎

规则检测 · 异常检测 · 机器学习检测

威胁情报集成

STIX/TAXII · IOC导入匹配 · 外部情报源

事件关联分析

时间窗口关联 · 实体关联 · 攻击链重建

数据存储与索引

Elasticsearch集群 · 数据分片 · 冷热分离

数据管道构建

Kafka消息队列 · Logstash清洗 · Flink实时处理

告警生成机制

规则定义 · 级别划分 · 去重与聚合

告警通知渠道

邮件 · Webhook · 短信与即时通讯

仪表盘与可视化

Kibana仪表盘 · 关键指标 · 自定义报表

可视化Kibana

调查取证功能

时间线回溯 · 证据导出 · 内存镜像获取

响应与处置

进程隔离 · 文件隔离 · 网络隔离 · 一键处置

端点隔离与恢复

网络隔离策略 · 状态管理 · 恢复流程

策略下发 · 版本控制 · 生效范围

Agent升级与维护

静默升级 · 灰度发布 · 回滚机制

高可用与容灾

多Region部署 · 数据备份 · 故障切换

高可用容灾

Agent资源控制 · 数据采样 · 缓存机制

GDPR · 等保2.0 · 数据加密存储

API接口设计

RESTful API · WebSocket推送 · API鉴权

多租户支持

租户隔离 · 资源配额 · 自定义配置

测试与质量保障

单元测试 · 集成测试 · 压力测试

部署与运维

Docker容器化 · Kubernetes编排 · 监控告警

勒索软件检测 · APT溯源 · 内部威胁发现

XDR扩展 · SOAR集成 · AI自主响应