EDR触发机制与记录条件详解

📚 共计 30 章节

什么是EDR · 与防病毒软件的区别 · 核心价值

EDR架构探秘

Agent架构 · 云端架构 · 混合架构优缺点

内核级监控

Windows内核回调 · Linux eBPF · 内核钩子原理

用户态监控

API Hook · ETW利用 · 用户态日志采集

进程与线程监控

进程创建/终止 · 线程注入检测 · 进程树构建

文件系统监控

文件创建/修改/删除 · 重定向与隔离 · Minifilter驱动

注册表监控

键值变更监控 · 防御自启动修改 · 注册表回滚

注册表防御

网络连接监控

Socket监控 · DNS查询 · TLS/SSL检测 · 流量元数据

内存扫描与检测

内存扫描 · 堆栈分析 · 无文件攻击检测

内存无文件

行为分析引擎

规则检测 · 行为模式匹配 · 异常基线建立

签名与哈希检测

静态签名库 · 模糊哈希(ssdeep) · 文件信誉服务

机器学习检测

特征工程 · 模型训练部署 · 异常/分类模型

威胁情报集成

STIX/TAXII · IOC匹配 · 外部情报源接入

事件关联分析

时间序列关联 · 跨主机关联 · 攻击链重构

关联攻击链

告警生成与分级

优先级计算 · 告警去重 · 富化(Enrichment)

日志记录与存储

格式标准化(CEF/JSON) · 压缩轮转 · 长期存储

取证数据采集

内存取证 · 磁盘取证 · 网络取证

响应与隔离机制

进程终止 · 网络隔离 · 文件隔离/删除 · 主机隔离

回滚与修复

注册表回滚 · 文件恢复 · 系统状态还原

CPU/内存开销 · 采样率调整 · 白名单机制

误报与漏报处理

误报分析流程 · 漏报根因 · 规则调优

EDR部署策略

大规模部署 · 灰度发布 · Agent升级管理

容器监控(Docker/K8s) · Serverless · 云API监控

云原生容器

EDR与NDR联动

数据融合 · 协同响应 · 端点+网络检测

EDR与SOAR集成

剧本自动化 · 事件工单 · 自动封禁IP

合规与隐私

GDPR合规 · 数据脱敏 · 用户隐私保护

EDR测试与评估

红队测试 · 绕过模拟 · 检测覆盖率评估

EDR日志分析实战

ELK/Splunk分析 · 可视化仪表盘构建

EDR案例实战

勒索软件检测 · APT链还原 · 内部威胁发现

EDR未来趋势

XDR扩展检测 · AI自主响应 · 零信任集成