Advanced Security + Endpoint Detection and Response (EDR)

常见问题解答

• 什么是 Endpoint Detection and Response (EDR)？

  EDR (Endpoint Detection and Response) 是一款主动的终端安全保护解决方案，可对终端级别发生的不同事件进行实时持续监控，以检测最终用户设备上的恶意活动、受损进程和可疑行为。其目的是识别正在进行的攻击、潜在安全事件、入侵或泄露，然后充当响应系统，提供相应功能以采取补救措施。
  
  由 Gartner 定义的主要 EDR 功能包括：

  • 检测安全事件
  • 在终端遏制事件
  • 调查安全事件
  • 提供补救指导

• 哪些主体需要终端检测和响应？

  对于任何可能成为网络威胁潜在目标和/或存储宝贵终端数据的公司，其终端保护策略都应当包括高级终端威胁检测功能和响应工具。
  
  由于内部功能有限以及预算限制，SMB 和中端市场组织所面临的高级网络威胁风险不断增加，这对他们访问高级终端安全保护解决方案造成了影响，而由于成本和复杂性，这些解决方案历来只针对大型企业提供。
  
  另外，对于在金融、医疗保健、法律、在线零售、公共部门等具有高监管要求和网络风险增加的行业中运营的各种规模的企业来说，要实现合规性并确保敏感终端数据不受网络威胁的影响，组织的网络安全保护策略中必须具备 EDR。
  
  借助 Advanced Security + EDR，您可以确保不同规模和复杂性的组织受到高价值服务的保护，而且这些服务可以扩展到多个客户。

• 相较于其他 EDR 解决方案来说，Advanced Security + EDR 如何降低您的运营支出？

  由于成本和复杂性，现有的一流 EDR 工具和解决方案只面向大型企业提供，并且需要大型安全团队来操作。另外，安全分析师需要扫描数百行日志并花费数小时调查可疑活动，从而手动执行威胁追踪活动。但即便如此，可确保业务连续性的跨 NIST 保护仍需要其他解决方案和软件代理程序才能实现，这进一步增加了复杂性和解决方案蔓延。
  
  与其他 EDR 工具类似，Advanced Security + EDR 会根据安全相关事件执行持续数据收集，但是，该解决方案随后会通过对任何潜在事件发出警报，并汇总映射到 MITRE ATT&CK® 的引导型攻击解读中的数据，来简化您的分析功能。这有助于安全分析师快速调查多个客户的可疑活动，将调查时间从数小时缩短至数分钟，以实现更好的可扩展性。
  
  另外，Advanced Security + EDR 是 Acronis Cyber Protect Cloud 中的一款集成式终端安全保护解决方案，为管理员提供了独特优势，例如跨 NIST 的一键响应，包括恢复功能。这消除了解决方案蔓延，并且使您能够通过单个 Acronis 代理程序和中控台提供全方位的终端保护。

• EDR 可以防范哪些类型的威胁？

  高级网络威胁的类型多种多样，它们能够绕过现有防病毒软件等其他终端保护层，其中一些最常见的威胁包括：

  • 零日恶意软件和勒索软件 – 通过零日漏洞（一种可利用的漏洞，但软件供应商尚未针对其发布补丁，该漏洞可能已知也可能未知）渗入系统的恶意软件和/或勒索软件。可以绕过一些基于行为的检测。
  • 高级可持续威胁 (APT) – 这种攻击会利用持续、复杂和高度规避的黑客技术来获得对系统的未经授权访问，并在很长一段时间内不被发现，可能会造成毁灭性后果。它们通常包含几个阶段，其中包括渗入系统、在系统中升级和横向移动，以及泄露敏感数据。高级可持续威胁通常依赖于“离地攻击”技术，这种技术指的是攻击者使用目标环境中已有工具的行为，这使得该攻击更难被检测到，但其实施成本却相当低廉。
  • 无文件攻击 – 无文件恶意软件是一种使用合法程序感染计算机的恶意软件。它不依赖于文件，也不会留下任何痕迹，这使得检测攻击并对其采取补救措施变得具有挑战性。
  • 黑客攻击 – 黑客攻击是识别并利用计算机系统或网络中的漏洞的行为，通常是为了获取对个人或组织数据的未经授权访问。根据所使用的技术，黑客攻击可能很难检测到，因为该攻击可能会利用被盗凭据或其他技术，让它看起来像是一个完全正常的过程，直到泄露发生为止，但那时候进行响应就已经为时已晚。

  
  检测和响应这些威胁以及其他高级威胁需要使用更高级的安全控制，比如 EDR。