新晋网红EDR为何如此被人迷恋
宣布时间 2020-05-19EDR ，即终端高级威胁检测与响应系统被称为终端宁静界新晋网红 ，如今火的一发不行收拾。然而 ，EDR市场较为杂乱且产物良莠不齐。今天 ，小编就带您走进EDR内心深处 ，一探究竟~
EDR为啥这么火？
?新型威胁层出不穷 ，传统防护手段束手无策
国家互联网应急中心（CNCERT）宣布的《2019年上半年我国互联网网络宁静态势》的数据表明 ，2019年上半年CNCERT新增捕捉的计算机恶意法式样本数量约3200万个 ，平均每日流传次数高达998万次 ，我国境内受计算机恶意法式攻击的IP地址约3762万个。
同时 ，在2019 年上半年国家信息宁静漏洞共享平台（CNVD）收录的通用型宁静漏洞数量中 ，“零日”漏洞收录数量占比43.3% ，同比增长34.0%。2019年上半年检测到的无文件攻击事件约710733个 ，较2018年上半年增加了265%。
可见 ，基于“零日”漏洞及无文件的攻击行为已经逐渐成为黑客主要攻击手段。未来 ，黑客攻击将更迅速、更隐蔽 ，传统基于特征值进行检测的宁静手段将无法满足企业信息宁静的需要。
?市场广阔
凭据“端点检测和响应-全球市场展望（2017-2026）”陈诉 ，基于云和当地EDR解决方案将以每年26％的速度增长 ，到2026年其价值将到达7.32626亿美元。此外 ，凭据Zion Market Research的《网络宁静市场中的人工智能（AI）陈诉》 ，到2025年 ，机器学习和人工智能的作用将缔造309亿美元的网络宁静市场。
俗话说人红是非多。作为终端宁静的新晋网红 ，自然绯闻一堆。能够检测到勒索病毒的就是EDR；能够扫描和修复漏洞的就是EDR。有了EDR ，就不需要杀毒及桌管产物了……
EDR既是响应宁静威胁生长的一定产物 ，也是网安厂商新型宁静能力的攻坚偏向。那么EDR到底是什么呢？
证据1：Gartner官方界说EDR
Gartner将“端点检测和响应解决方案市场”界说为“记录和存储端点系统级此外行为 ，使用种种数据分析技术来检测可疑的系统行为 ，提供上下文信息 ，阻止恶意活动并提供调停建议以恢复受影响的系统的解决方案 ”。EDR解决方案必须提供以下四个主要功效：检测宁静事件、存储端点处的事件、视察宁静事件并提供调停指南。
Gartner认为 ，大多数EDR解决方案应有的功效包罗：
1、具有检测和阻止隐藏漏洞利用的进程 ，这种进程能够逃避传统AV检测能力 ，不能用简单的签名和特征检测到；
2、威胁情报；
3、跨终端的可见性 ，以检测恶意活动并简化宁静事件响应流程；
4、警报的自动化以及防御性响应 ，例如在检测到攻击时关闭特定进程；
5、取证功效 ，一旦攻击者进入内部 ，就需要深入研究其活动的能力 ，以便能够了解其活动轨迹并最洪流平地减少破坏的影响；
6、数据收集以建立用于分析的存储库。
证据2：EDR顶尖厂商的说明
Gartner2019年主顾的选择 ，EDR上榜的10位厂商和产物分别是：
上榜两次VMware carbon Black界说EDR核心方面包罗：
1、全面统一的数据（能够资助宁静分析人员提供对应的数据 ，资助他们视察和发现庞大的威胁 ，在威胁事件真正发生发出警报前）；
2、最大化的可见性（可以资助宁静分析人员了解全局的环境和数据 ，进行关联）；
3、实时响应的能力；
4、能够跟其他宁静工具集成或联动。
对于勒索病毒的检测、漏洞的扫描和修复都属于传统终端宁静产物的宁静手段。杀毒软件可以准确地抓取恶意代码 ，却无法准确了解恶意软件来自哪里及攻击是如何在系统中流传的。
而EDR擅长对未知威胁的检测、终端全量数据的收罗与记录、IOA规则匹配、宁静事件的挖掘和关联、溯源、响应调停的能力 ，能够描述整个攻击过程 ，若当一个恶意软件被杀毒软件或者桌管软件阻止 ，EDR可以提供分析的能力。因此 ，在进行终端宁静防护的时候 ，并不是要做“三选一”选择题。
接下来我们再来看看国内EDR市场现状。
中国市场的EDR工具提供商可概略分为三类 ，即以杀毒为维度包装出来的EDR产物、以主机IDS为维度的EDR产物、以溯源为维度的EDR产物。
?以杀毒为维度包装出来的EDR产物
可以理解为本土化抢占EDR看法 ，快速推向市场的一个执行思路。既然核心是杀毒 ，对于未知威胁的检测和响应能力略显不足。
?以主机IDS为维度的EDR产物
增补终端层面的入侵威胁检测能力 ，但EDR不是HIDS ，只是具备HIDS部门功效 ，而不是全部能力。
?以溯源为维度的EDR产物
这与Gartner界说的EDR产物思路比力接近 ，在对威胁检测与响应的同时 ，提供较强的溯源能力 ，进而找到宁静事件的发生源头 ，给整改提供有力的数据支撑。
无论是AV、HIDS还是EDR ，都有其独立的产物能力和应用场景 ，所面向的宁静防护能力也是有差异的。从最基础的产物界说与核心能力角度去看 ，这三个产物之间不仅没有竞争关系 ，在面向的宁静防护场景还是互补状态。
为什么现在来看三个产物之间的同质化如此严重呢？
作为终端形式的产物 ，它们在功效上都市有共性。但是EDR作为一个新看法、新思路的产物 ，不是完全由AV、HIDS革新或者包装而来的产物。虽然从市场的角度来看 ，花一份钱就能做到两样或者三样事情 ，性价比特别高了 ，但是对于产物定型及选型 ，专业的问题还是要交给专业的产物来做。
京公网安备11010802024551号