EDR(端点检测与响应)

端点检测与响应(EDR)在笔记本、服务器和虚拟机上部署内核态或用户态代理,持续向云端分析后台输送丰富遥测——进程树、命令行、文件写入、注册表变更、网络连接、脚本内容等。基于行为的规则、机器学习以及与威胁情报的匹配生成告警,分析师可以借助完整的进程谱系进行下钻分析,并通过同一控制台执行隔离主机、文件隔离、远程 Shell、回滚等响应动作。EDR 是 XDR 与现代事件响应流程的基础。常见产品包括 CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne 和 Carbon Black。