Advanced Security + Endpoint Detection and Response (EDR)

常見問題集

• Endpoint Detection and Response (EDR) 是什麼？

  EDR (Endpoint Detection and Response) 是一種主動式端點安全解決方案，它可對端點層級上發生的不同事件進行即時持續監控並加以關聯，以偵測終端使用者裝置上是否存在惡意活動、遭入侵的程序和可疑行為。其目的是識別正在進行的攻擊、潛在的安全事件、入侵或資料外洩，然後充當回應系統，提供相關功能進行修復。
  
  Gartner 定義的主要 EDR 功能有：

  • 偵測安全性事件
  • 在端點遏制事件
  • 調查安全性事件
  • 提供修復指導

• 誰需要端點偵測和回應？

  任何可能為網路威脅攻擊目標和/或儲存寶貴端點資料的公司的端點防護策略，都應包括進階端點威脅偵測功能和回應工具。
  
  SMB 和中間市場組織由於內部能力有限和預算限制而面臨更高的進階網路威脅風險，影響他們無法使用進階端點安全性解決方案，以往由於成本和複雜性皆針對員工。
  
  此外，對於在法規要求高、網路風險增加的行業 (如金融、醫療保健、法律、線上零售、公共部門) 營運的各規模企業來說，EDR 是組織實現合規性並確保機密端點資料不受網路威脅影響的網路安全策略必不可少的一項。
  
  藉由 Advanced Security + EDR，您可以確保不同規模和複雜程度的組織受到高價值服務的保護，可跨多個用戶端擴充。

• 與其他 EDR 解決方案相比，Advanced Security + EDR 如何降低您的 OpEX？

  由於成本和複雜性，現有的同類最佳 EDR 工具和解決方案皆面向企業，並且需要大型安全團隊來運作。此外，安全分析師還需要透過掃描數百行記錄、花數小時調查可疑活動，來手動執行威脅獵捕活動。但儘管如此，用於確保業務續航力的跨 NIST 防護仍需要額外的解決方案和軟體代理程式才能實現，這進一步增加了複雜性和解決方案的雜亂擴展。
  
  與其他 EDR 工具類似，Advanced Security + EDR 會根據相關事件來執行連續資料收集，但另一方面，該解決方案還會透過對任何潛在事件發出警示和彙總對應至 MITRE ATT&CK® 的引導式攻擊解譯中的資料，來簡化分析功能。這有助於安全分析師快速調查多個用戶端的可疑活動，從而將調查時間從數小時縮減至數分鐘，以實現更好的擴充能力。
  
  此外，Advanced Security + EDR 還是 Acronis Cyber Protect Cloud 中的一個整合式端點安全解決方案，為系統管理員帶來獨特優勢，例如跨 NIST 一鍵回應 (包括復原)。這樣就避免了解決方案的雜亂擴展，讓您能夠透過單一 Acronis 代理程式和主控台提供全面的端點防護。

• EDR 可以抵禦哪些類型的威脅？

  有多種類型的進階網路威脅能夠繞過其他端點防護層 (如現有的防毒軟體)，其中一些最常見的威脅包括：

  • 零時差惡意軟體和勒索軟體 - 透過零時差弱點 (可利用此類弱點進行攻擊，但軟體廠商尚未發佈相應修補程式，弱點可以是已知或未知) 入侵系統的惡意軟體和/或勒索軟體。可以繞過一些行為型偵測。
  • 進階持續性威脅 (APT) - 使用連續、複雜和高度規避的駭客技術對系統進行未經授權的存取並保持長時間不被發現的攻擊，具有潛在的破壞性後果。它們通常由幾個階段組成，包括系統入侵、系統內升級和橫向移動，以及敏感資料外流。進階持續性威脅一般依賴「寄生攻擊」技術 (指的是利用目標環境中已經存在的工具的攻擊者行為)，這使得更加難以偵測，執行成本也要低的多。
  • 無檔案型攻擊 - 無檔案型惡意軟體是一種使用合法程式感染電腦的惡意軟體。它不依賴於檔案，也不留下任何足跡，使得偵測攻擊並加以修復成為一道難題。
  • 駭客攻擊 - 駭客攻擊是指識別並利用電腦系統或網路中的弱點，通常是為了取得對個人或組織資料的未經授權存取。視使用的技術而定，可能很難偵測到駭客攻擊，因為它可能會利用遭竊的認證或其他技術，使其看起來像完全正常的程序，直到發生外流導致來不及回應。

  
  偵測和回應這些威脅和其他進階威脅需要較進階的安全性控制，如 EDR。