新晋网红EDR为何如此被人沉沦

颁布功夫 2020-05-19

EDR，，即终端高级威胁检测与响应系统被称为终端安全界新晋网红，，如今火的一发不成清算。。。然而，，EDR市场较为杂乱且产品参差不齐。。。今天，，小编就带您走进EDR内心深处，，一探到底~


EDR为啥这么火？ ？


?新型威胁层出不穷，，传统防护伎俩束手无策


国度互联网应急中心（CNCERT）颁布的《2019年上半年我国互联网网络安全态势》的数据批注，，2019年上半年CNCERT新增捕获的推算机恶意法状貌本数量约3200万个，，均匀逐日传布次数高达998万次，，我国境内受推算机恶意法式攻击的IP地址约3762万个。。。


同时，，在2019 年上半年国度信息安全缝隙共享平台（CNVD）收录的通用型安全缝隙数量中，，“零日”缝隙收录数量占比43.3%，，同比增长34.0%。。。2019年上半年检测到的无文件攻击事务约710733个，，较2018年上半年增长了265%。。。


可见，，基于“零日”缝隙及无文件的攻击行为已经逐步成为黑客重要攻击伎俩。。。将来，，黑客攻击将更迅速、、 、更荫蔽，，传统基于特点值进行检测的安全伎俩将无法满足企业信息安全的必要。。。


?市场辽阔


凭据“端点检测和响应-全球市场瞻望（2017-2026）”汇报，，基于云和本地EDR解决规划将以每年26％的速度增长，，到2026年其价值将达到7.32626亿美元。。。此外，，凭据Zion Market Research的《网络安全市场中的人为智能（AI）汇报》，，到2025年，，机械学习和人为智能的作用将创制309亿美元的网络安全市场。。。


俗话说人红长短多。。。作为终端安全的新晋网红，，天然绯闻一堆。。。可能检测到勒索病毒的就是EDR；可能扫描和修复缝隙的就是EDR。。。有了EDR，，就不必要杀毒及桌管产品了……


EDR既是响应安全威胁发展的必然产品，，也是网安厂商新型安全能力的攻坚方向。。。那么EDR到底是什么呢？ ？


证据1：：Gartner官方界说EDR

Gartner将“端点检测和响应解决规划市场”界说为“纪录和存储端点系统级此生手为，，使用各类数据分析技术来检测可疑的系统行为，，提供高低文信息，，阻止恶意活动并提供补救建议以复原受影响的系统的解决规划 ”。。。EDR解决规划必须提供以下四个重要职能：：检测安全事务、、 、存储端点处的事务、、 、调查安全事务并提供补救指南。。。


Gartner以为，，大无数EDR解决规划应有的职能蕴含：：


1、、 、拥有检测和阻止暗藏缝隙利用的过程，，这种过程可能逃避传统AV检测能力，，不能用单一的署名和特点检测到；

2、、 、威胁谍报；

3、、 、跨终端的可见性，，以检测恶意活动并简化安全事务响应流程；

4、、 、警报的自动化以及防御性响应，，例如在检测到攻击时关闭特定过程；

5、、 、取证职能，，一旦攻击者进入内部，，就必要深刻钻研其活动的能力，，以便可能相识其活动轨迹并最大水平地削减粉碎的影响；

6、、 、数据网络以成立用于分析的存储库。。。


证据2：：EDR顶尖厂商的注明

Gartner2019年顾客的选择，，EDR上榜的10位厂商和产品别离是：：


OG东方厅·(中国大陆)


上榜两次VMware carbon Black界说EDR主题方面蕴含：：


1、、 、全面统一的数据（可能援手安全分析人员提供对应的数据，，援手他们调查和发现复杂的威胁，，在威胁事务真正产生发出警报前）；

2、、 、最大化的可见性（能够援手安全分析人员相识全局的环境和数据，，进行关联）；

3、、 、实时响应的能力；

4、、 、可能跟其他安全工具集成或联动。。。


对于勒索病毒的检测、、 、缝隙的扫描和修复都属于传统终端安全产品的安全伎俩。。。杀毒软件能够正确地抓取恶意代码，，却无法正确相识恶意软件来自哪里及攻击是若何在系统中传布的。。。


而EDR善于对未知威胁的检测、、 、终端全量数据的采集与纪录、、 、IOA规定匹配、、 、安全事务的挖掘和关联、、 、溯源、、 、响应补救的能力，，可能描述整个攻击过程，，若当一个恶意软件被杀毒软件或者桌管软件阻止，，EDR能够提供分析的能力。。。因而，，在进行终端安全防护的时辰，，并不是要做“三选一”选择题。。。


接下来我们再来看看国内EDR市场近况。。。


中国市场的EDR工具提供商可大体分为三类，，即以杀毒为维度包装出来的EDR产品、、 、以主机IDS为维度的EDR产品、、 、以溯源为维度的EDR产品。。。


?以杀毒为维度包装出来的EDR产品

能够理解为本土化抢占EDR概念，，急剧推向市场的一个执行思路。。。既然主题是杀毒，，对于未知威胁的检测和响应能力略显不及。。。


?以主机IDS为维度的EDR产品

补充终端层面的入侵威胁检测能力，，但EDR不是HIDS，，只是具备HIDS部门职能，，而不是全数能力。。。


?以溯源为维度的EDR产品

这与Gartner界说的EDR产品思路比力靠近，，在对威胁检测与响应的同时，，提供较强的溯源能力，，进而找到安全事务的产生源头，，给整改提供有力的数据支持。。。


无论是AV、、 、HIDS还是EDR，，都有其独立的产品能力和利用场景，，所面向的安全防护能力也是有差距的。。。从最基础的产品界说与主题能力角度去看，，这三个产品之间不仅没有竞争关系，，在面向的安全防护场景还是互补状态。。。


为什么此刻来看三个产品之间的同质化如此严重呢？ ？


作为终端大局的产品，，它们在职能上城市有共性。。。但是EDR作为一个新概念、、 、新思路的产品，，不是齐全由AV、、 、HIDS刷新或者包装而来的产品。。。固然从市场的角度来看，，花一份钱就能做到两样或者三样事件，，性价比出格高了，，但是对于产品定型及选型，，专业的问题还是要交给专业的产品来做。。。