第三章 利用 EDR 实现零信任

终端（包括台式机、笔记本电脑、服务器、物联网（IoT）设备等）构成了企业 IT 环境中最大的单一攻击向量。攻击者之所以将终端作为目标，是因为终端安全通常不如数据中心安全稳健，而且终端上的日常安全决策——例如是否下载并安装未知文件、打开可能含有恶意内容的电子邮件附件，或点击可疑链接——往往由最终用户决定。

本章将介绍终端检测与响应（Endpoint Detection and Response，EDR）如何从一种需要人工调查事件的基础工具，演变为高度自动化的终端威胁检测与修复解决方案，以及为什么 EDR 对有效的零信任策略至关重要。

本章概要：

• 探索 EDR 能力的演进
• 将 EDR 纳入零信任策略

了解终端检测与响应的演进

传统的终端防护主要着眼于防止恶意软件和其他已知威胁感染台式机或笔记本电脑。几乎从这类设备诞生之初，用户就一直被告诫要运行防病毒软件并及时更新。多年来，防病毒软件逐渐发展为反恶意软件工具或终端防护平台（Endpoint Protection Platform，EPP），以更广泛地涵盖蠕虫、木马、间谍软件、Rootkit、漏洞利用、恶意脚本等其他形式的恶意软件。自问世以来，反恶意软件工具已经取得长足进步，并越来越多地利用机器学习和行为分析，防止已知与未知威胁感染计算机。然而，令人遗憾的现实是，防护并非总能成功。

注

Remember

当预防措施失效时，EDR 可为安全团队提供检测和响应终端及网络威胁的工具。遗憾的是，早期 EDR 解决方案运行缓慢且操作复杂，难以适应快节奏、动态变化的威胁环境。第一代 EDR 解决方案需要技术娴熟的安全团队针对终端遥测数据手动运行查询，搜索特定的失陷指标（Indicator of Compromise，IoC），再对检测到的威胁进行人工分类和处置。如今，大多数组织根本不具备有效运行这类 EDR 工具所需的专业资源。

多年来，第一代 EDR 解决方案通过增加一些关键的扩展功能不断演进，其中包括：

• 威胁情报：自动将终端遥测数据与威胁情报源中的 IoC 关联，减少为检测威胁而进行人工查询的需要。
• 攻击可视化：对威胁进行映射，帮助安全分析人员更全面地了解正在发生或已经发生的攻击。
• 自动修复：基础响应能力通常包括阻止特定 IP 地址和进程、将终端与网络隔离，以及向终端查询更多数据。
• 威胁狩猎：高级搜索能力与取证数据访问能力支持在网络环境中主动搜寻威胁。

提示

第二代 EDR 解决方案为组织提供更全面的终端与网络环境可见性，与反恶意软件等预防工具紧密集成，并利用可自定义的剧本，按照策略自动降低风险。剧本中的操作可以是阻止特定的对外攻击通信、自动回滚勒索软件造成的系统损坏，或阻止恶意文件系统访问。这些能力支持实时快速检测和自动修复威胁与攻击，并可完成全面的取证调查分析。

EDR 与零信任

EDR 是零信任策略不可或缺的组成部分，它使组织能够将零信任“永不信任，始终验证”的安全理念扩展到终端。

EDR 为组织提供一个集中式工具，用于收集、整理和分析连接到其网络的终端数据。EDR 可以协调告警，并自动响应迫在眉睫的威胁。它包含以下三个要素：

• 终端数据收集代理负责监控终端并收集数据，其中包括进程、终端上发生的活动、终端连接，以及传入和传出终端的数据。
• 自动化事件响应使用基于自定义策略的规则识别威胁，然后触发自动响应。自动响应不仅能识别威胁，还能判断其类型，随后执行相应操作，例如向终端用户发出即将注销的告警、注销该用户并隔离终端。
• 实时终端数据分析使 EDR 能够快速诊断威胁，即使该威胁并不完全符合预先配置的威胁参数。分析过程还会使用取证工具，在威胁得到遏制和清除后检查其性质，并确定攻击是如何实施的。

EDR 的这三个要素共同构成有效零信任策略的一部分，使组织能够检测、遏制、调查并清除终端与网络环境中的威胁。

检测

当威胁绕过终端上的预防控制并侵入网络环境时，快速检测对于最大限度降低损失至关重要。然而，检测可能极具挑战性，尤其是在面对已经绕过终端防护工具的高级威胁时。EDR 使用持续文件分析和网络威胁情报快速检测威胁。它会检查与终端交互的每个文件，并标记可能构成威胁的文件。网络威胁情报结合人工智能（AI）与庞大的历史及持续演变的威胁数据存储库，检测正在攻击终端的威胁。

遏制

检测到威胁后，EDR 会使用分段技术将其遏制，防止威胁在整个网络中传播。这需要隔离网络中的特定区域，使威胁无法渗透相邻的网络元素。但仅靠分段可能还不够，因此有效的 EDR 解决方案还会直接遏制威胁本身。对于勒索软件而言，遏制尤其重要。勒索软件可以有效劫持终端，因此必须将其控制住，以防感染其他终端。

文件测试

沙箱技术使 EDR 能够把威胁限制在一个模拟部分网络环境条件的隔离环境中，以了解威胁的性质。威胁被限制在这一安全隔离区域后，EDR 会密切监控并分析其行为。这些信息可产生有助于改善组织整体安全态势、可直接付诸行动的洞见，还可以传递给网络威胁情报系统，帮助其不断演进，以应对未来威胁。

清除

EDR 的其他功能虽然可以提供有关威胁的关键知识，但如果不能利用这些信息清除威胁并防范未来的同类威胁，这些知识便毫无用处。清除过程依赖于收集有关威胁的关键信息，并据此执行行动计划。例如，系统必须确定威胁来自何处、又传播到了哪里。关于威胁来源的信息可用于增强未来的安全措施。系统还需要准确定位恶意文件已经影响或试图攻击的应用程序和数据，并判断该文件是否已进行自我复制以继续攻击。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04