別？一文講透選型與部署)
1. 從一次應(yīng)急響應(yīng)現(xiàn)場說起為什么這四個縮寫總被混著用前陣子幫一個朋友看他們公司的安全告警他甩過來一張截圖問我這個EDR報的東西到底要不要處理。我一看告警里同時出現(xiàn)了EDR、XDR、NDR三個詞他自己也說不清哪個是哪個只知道都是檢測威脅的。這個場景其實特別典型——現(xiàn)在安全廠商的營銷話術(shù)把EDR、XDR、NDR、MDR這四個縮寫攪成了一鍋粥采購的人聽得云里霧里運維的人裝完也不知道自己裝的到底是哪一層。先把這四個詞的核心定位擺清楚后面所有內(nèi)容都圍繞這個骨架展開EDREndpoint Detection and Response端點檢測與響應(yīng)盯著終端這一層也就是你手里的筆記本、服務(wù)器、虛擬機。它管的是進程、文件、注冊表、網(wǎng)絡(luò)連接這些發(fā)生在單機上的行為。NDRNetwork Detection and Response網(wǎng)絡(luò)檢測與響應(yīng)盯著網(wǎng)絡(luò)流量這一層通過鏡像流量或者探針看東西南北向的通信里有沒有異常。XDRExtended Detection and Response擴展檢測與響應(yīng)不是單一產(chǎn)品而是一種把多個數(shù)據(jù)源打通的思路把端點、網(wǎng)絡(luò)、郵件、云、身份等遙測數(shù)據(jù)匯聚到一個平臺做關(guān)聯(lián)分析。MDRManaged Detection and Response托管檢測與響應(yīng)重點在Managed這個詞它賣的不是軟件是人流程工具的服務(wù)相當(dāng)于你把檢測響應(yīng)這件事外包給一支專業(yè)團隊。這四個詞不是替代關(guān)系而是不同維度。EDR和NDR是數(shù)據(jù)來源XDR是整合方式MDR是交付模式。很多人以為裝了XDR就不需要EDR了這是最大的誤解——XDR的端點數(shù)據(jù)往往就是靠EDR agent采集的沒有EDRXDR的端點側(cè)就是瞎的。這篇文章適合誰看如果你是剛接手安全運營的運維、正在做安全選型的技術(shù)負(fù)責(zé)人或者被廠商PPT繞暈的采購那這篇就是給你寫的。我會把每一層的技術(shù)原理、實際部署時的坑、以及怎么判斷自己到底需要哪一層掰開揉碎講清楚。熱詞里那個徹底卸載EDR我也看到了后面單獨開一節(jié)講因為卸載EDR這件事本身就是個技術(shù)活卸不干凈會留一堆問題。2. EDR到底在終端上做了什么從驅(qū)動到行為鏈2.1 EDR不是殺毒軟件的升級版是監(jiān)控思路的轉(zhuǎn)變傳統(tǒng)殺毒軟件AV的核心邏輯是特征匹配——拿一個已知惡意文件的哈?；蛘咛卣鞔a去比對命中就殺。這套邏輯在十年前還行現(xiàn)在面對無文件攻擊、Living-off-the-Land用系統(tǒng)自帶工具干壞事基本失效因為攻擊者根本不需要落地一個已知惡意的文件。EDR換了個思路我不判斷你是不是壞我記錄你干了什么。它通過內(nèi)核驅(qū)動Windows上是minifilter驅(qū)動、Linux上是eBPF或者內(nèi)核模塊掛載到系統(tǒng)的關(guān)鍵調(diào)用點上把進程創(chuàng)建、文件讀寫、注冊表修改、網(wǎng)絡(luò)連接、模塊加載這些事件全部采集下來形成一條條帶時間戳的遙測數(shù)據(jù)。舉個具體例子。一個正常的Word進程行為鏈大概是啟動→讀取docx→加載幾個系統(tǒng)dll→結(jié)束。而一個被釣魚文檔利用的Word行為鏈會變成啟動→讀取docx→啟動powershell.exe→powershell去連一個外網(wǎng)IP→下載一個腳本→腳本再拉起一個進程。EDR的價值就在于它把這條鏈完整記錄下來即使每一步單獨看都是合法程序串起來就能看出問題。2.2 遙測數(shù)據(jù)的采集粒度決定了EDR的上限不同EDR產(chǎn)品的差距很大程度上體現(xiàn)在采集粒度上。我見過一些輕量級EDR只采集進程創(chuàng)建和網(wǎng)絡(luò)連接這種在遇到進程注入類攻擊時基本抓瞎因為它看不到內(nèi)存里的操作。一個采集比較完整的EDR通常會覆蓋這幾類事件源事件類別具體內(nèi)容典型檢測價值進程創(chuàng)建、退出、命令行參數(shù)、父進程發(fā)現(xiàn)異常父子關(guān)系如Word拉起cmd文件創(chuàng)建、修改、刪除、重命名發(fā)現(xiàn)勒索加密行為、敏感文件外傳注冊表鍵值修改、自啟動項發(fā)現(xiàn)持久化后門網(wǎng)絡(luò)連接、DNS查詢、監(jiān)聽端口發(fā)現(xiàn)C2回連模塊DLL加載、驅(qū)動加載發(fā)現(xiàn)無文件注入內(nèi)存部分產(chǎn)品支持內(nèi)存掃描發(fā)現(xiàn)內(nèi)存馬、shellcode采集粒度越細(xì)數(shù)據(jù)量越大。一臺普通辦公終端一天產(chǎn)生的EDR原始事件輕松上百萬條。這就引出一個很現(xiàn)實的問題全量采集全量上傳帶寬和存儲扛不住。所以主流EDR都采用本地預(yù)處理關(guān)鍵事件上傳的策略本地做初步的規(guī)則匹配和行為鏈聚合只把可疑的、或者聚合后的行為鏈傳到管理端。2.3 檢測引擎規(guī)則、行為、機器學(xué)習(xí)三件套EDR的檢測能力通常由三層構(gòu)成理解這三層有助于你判斷一個告警為什么響。第一層是規(guī)則匹配最直接。比如cmd.exe執(zhí)行了包含-enc參數(shù)的powershell命令這就是一條規(guī)則。規(guī)則的好處是準(zhǔn)、快、可解釋壞處是容易被繞過攻擊者改個參數(shù)順序就躲過去了。第二層是行為鏈分析。它不看你單步干了什么而是看一串動作的組合。比如Office進程→創(chuàng)建子進程→子進程發(fā)起外網(wǎng)連接→連接后下載可執(zhí)行文件這個序列本身就是高危信號不管每一步用的是不是系統(tǒng)自帶工具。行為鏈分析是EDR區(qū)別于傳統(tǒng)AV的核心能力。第三層是機器學(xué)習(xí)模型。用大量正常和惡意樣本訓(xùn)練出來的模型對進程、命令行、文件路徑等特征做打分。這層能抓到一些規(guī)則覆蓋不到的新變種但缺點是誤報相對高而且模型是黑盒告警了你也說不清為什么。實際運營中這三層是疊加的。一個告警可能同時命中規(guī)則和行為鏈那優(yōu)先級就高只命中ML模型且分?jǐn)?shù)不高那大概率是誤報可以先觀察。2.4 響應(yīng)能力從看見到處置的那一步EDR的RResponse經(jīng)常被忽略但恰恰是它比傳統(tǒng)AV值錢的地方。檢測到威脅之后EDR能做的事情包括隔離終端把機器從網(wǎng)絡(luò)里踢出去只保留和管理端的通信防止橫向擴散。終止進程直接kill掉惡意進程包括它的子進程樹。隔離文件把可疑文件移到隔離區(qū)防止繼續(xù)執(zhí)行。取證采集一鍵拉取內(nèi)存鏡像、進程列表、網(wǎng)絡(luò)連接、最近執(zhí)行記錄方便后續(xù)分析。這里有個實操經(jīng)驗隔離終端這個動作要慎用。我見過運維手一抖把一臺生產(chǎn)數(shù)據(jù)庫服務(wù)器隔離了結(jié)果業(yè)務(wù)直接中斷。所以正規(guī)做法是給隔離動作設(shè)置審批流程或者至少分級——辦公終端可以自動隔離服務(wù)器類資產(chǎn)只告警不自動處置由人工確認(rèn)。3. NDR的戰(zhàn)場在流量里看不見的通信才是重災(zāi)區(qū)3.1 為什么有了EDR還需要NDREDR裝在終端上前提是終端上得能裝agent。但現(xiàn)實里有一堆設(shè)備裝不了agent網(wǎng)絡(luò)打印機、攝像頭、工控設(shè)備、老舊的Windows XP機器、還有攻擊者自己帶進來的設(shè)備。這些設(shè)備的通信EDR是看不見的只能靠NDR從流量側(cè)補上。另外EDR看的是這臺機器干了什么NDR看的是這些機器之間在聊什么。有些攻擊在單機上行為很干凈但通信模式很可疑——比如一臺內(nèi)網(wǎng)機器每天凌晨三點準(zhǔn)時向一個境外IP發(fā)送固定大小的數(shù)據(jù)包這種模式在單機上看不出問題在流量側(cè)一目了然。3.2 NDR的數(shù)據(jù)來源鏡像、探針、日志NDR拿數(shù)據(jù)主要有三種方式各有取舍流量鏡像SPAN在交換機上配置一個鏡像口把指定端口的流量復(fù)制一份給NDR設(shè)備。優(yōu)點是部署簡單、不影響業(yè)務(wù)缺點是鏡像口帶寬有限核心交換機全量鏡像容易丟包而且加密流量鏡像過來也是密文。網(wǎng)絡(luò)探針TAP在鏈路中間串一個分光器物理層復(fù)制流量。比鏡像更可靠不丟包但需要停機割接成本也高。流量日志NetFlow/IPFIX不拿全包只拿流量的元數(shù)據(jù)——源IP、目的IP、端口、字節(jié)數(shù)、時間。數(shù)據(jù)量小適合做宏觀態(tài)勢但看不到payload檢測能力有限。實際部署里常見組合是核心鏈路用TAP保證不丟包邊緣用SPAN全網(wǎng)開NetFlow做兜底。這樣既有深度檢測能力又有全局視野。3.3 加密流量怎么辦不是解密是看行為特征這是被問得最多的問題現(xiàn)在都是HTTPSNDR還能看到啥答案是不解密也能做很多事。TLS握手階段是明文的里面包含了SNI服務(wù)器名稱指示、證書信息、JA3/JA3S指紋。這些信息足夠做很多判斷JA3指紋把TLS Client Hello里的字段拼起來算個哈希同一個惡意工具生成的流量JA3指紋往往一致。哪怕它換了IP、換了域名指紋不變就能抓。證書特征自簽名證書、證書有效期異常短、證書里的CN和實際訪問域名對不上這些都是可疑信號。通信行為心跳包的間隔是否規(guī)律、上下行字節(jié)比是否異常、連接持續(xù)時間是否固定。C2通信往往有很強的規(guī)律性而正常業(yè)務(wù)流量是雜亂無章的。我實測過一個案例某臺機器被植入了一個遠(yuǎn)控流量全加密payload完全看不到。但NDR通過JA3指紋匹配到了一個已知的遠(yuǎn)控工具家族直接告警。這就是流量側(cè)的價值——它不依賴終端也不依賴解密。3.4 NDR的檢測模型基線異常NDR的檢測邏輯和EDR不太一樣它更依賴基線。因為網(wǎng)絡(luò)流量本身沒有惡意的絕對標(biāo)準(zhǔn)得先知道正常長什么樣。建立基線通常需要一到兩周的觀察期期間NDR學(xué)習(xí)內(nèi)網(wǎng)的通信模式哪些機器會互相訪問、訪問哪些端口、流量大小在什么范圍、什么時間段活躍?；€建好之后任何偏離基線的行為都會被標(biāo)記。常見的異常類型包括橫向移動一臺辦公終端突然開始掃描內(nèi)網(wǎng)445端口或者嘗試連接多臺服務(wù)器的3389。數(shù)據(jù)外傳某臺機器向外部IP傳輸?shù)臄?shù)據(jù)量突然暴增或者傳輸時間選在非工作時段。DNS隧道DNS查詢的域名長度異常、查詢頻率異常、TXT記錄查詢占比過高。協(xié)議異常本該是HTTP的端口上跑著別的協(xié)議或者協(xié)議實現(xiàn)不符合標(biāo)準(zhǔn)。注意基線不是建一次就完事。業(yè)務(wù)在變基線也得跟著更新。我見過一個NDR部署了半年沒更新基線結(jié)果新上線的業(yè)務(wù)系統(tǒng)天天被誤報最后運維直接把告警關(guān)了等于白裝。4. XDR不是產(chǎn)品是思路把孤島數(shù)據(jù)串成一條線4.1 XDR要解決的核心問題告警疲勞安全運營最怕的不是沒告警是告警太多。EDR報一個可疑進程NDR報一個異常外連郵件網(wǎng)關(guān)報一個釣魚郵件防火墻報一個高危IP訪問。這四個告警如果分開看每個都不算特別嚴(yán)重運營人員可能就放過了。但如果它們其實是同一次攻擊的不同階段呢XDR的價值就在這把多個數(shù)據(jù)源的事件關(guān)聯(lián)起來還原出完整的攻擊鏈。上面那個例子XDR會把它拼成一條時間線釣魚郵件投遞→用戶點擊→Word拉起powershell→powershell外連C2→C2下發(fā)指令。這條鏈一出來嚴(yán)重級別立刻拉滿運營人員一眼就知道要處理。4.2 XDR的兩種形態(tài)原生和開放市面上的XDR分兩類選型時要分清原生XDRNative XDR廠商自己的EDR、NDR、郵件安全等產(chǎn)品打包在一起數(shù)據(jù)天然打通。優(yōu)點是集成度高、開箱即用缺點是綁定廠商你只能用他家的組件而且價格通常不便宜。開放XDROpen XDR平臺本身不生產(chǎn)數(shù)據(jù)靠對接第三方產(chǎn)品的API來匯聚數(shù)據(jù)。優(yōu)點是靈活你現(xiàn)有的EDR、防火墻、SIEM都能接進來缺點是集成質(zhì)量參差不齊有些廠商的API文檔爛得一塌糊涂對接起來很痛苦。我的建議是如果你是從零開始建預(yù)算充足原生XDR省心如果你已經(jīng)有了一堆安全設(shè)備不想推倒重來開放XDR更現(xiàn)實。但不管哪種對接前一定要確認(rèn)數(shù)據(jù)字段的完整度——有些產(chǎn)品API只給你告警標(biāo)題不給你原始遙測那XDR的關(guān)聯(lián)分析就是無米之炊。4.3 關(guān)聯(lián)分析的技術(shù)難點時間對齊和實體歸一XDR聽起來很美做起來最難的是兩件事。第一是時間對齊。不同設(shè)備的時鐘不可能完全一致EDR的時間戳精確到毫秒防火墻的可能只到秒郵件網(wǎng)關(guān)的可能還帶時區(qū)問題。如果時間對不齊關(guān)聯(lián)出來的攻擊鏈順序就是錯的。所以部署XDR之前全網(wǎng)NTP同步是必須做的功課別嫌麻煩。第二是實體歸一。同一個東西在不同系統(tǒng)里的標(biāo)識不一樣EDR里叫主機名DESKTOP-ABCNDR里叫IP 10.1.2.3AD里叫用戶張三郵件系統(tǒng)里叫zhangsancorp.com。XDR得有一套映射機制把這些標(biāo)識統(tǒng)一到一個實體上否則關(guān)聯(lián)就是瞎關(guān)聯(lián)。這塊的實操經(jīng)驗是先做資產(chǎn)臺賬再做XDR。你連自己有多少臺機器、每臺機器的IP和主機名對應(yīng)關(guān)系都理不清XDR關(guān)聯(lián)出來的東西你也不敢信。4.4 XDR的落地節(jié)奏別想一口吃成胖子我見過太多XDR項目死在貪大求全上。一上來就想把端點、網(wǎng)絡(luò)、郵件、云、身份全接進來結(jié)果數(shù)據(jù)量爆炸關(guān)聯(lián)規(guī)則調(diào)不過來誤報滿天飛最后項目擱置。比較務(wù)實的節(jié)奏是分三步先接端點和網(wǎng)絡(luò)。這兩個數(shù)據(jù)源覆蓋了大部分攻擊場景先把這兩塊的關(guān)聯(lián)做扎實。再加身份和郵件。身份數(shù)據(jù)能幫你判斷這個操作是不是本人干的郵件數(shù)據(jù)能補上初始入侵的那一環(huán)。最后接云和第三方。云工作負(fù)載、SaaS應(yīng)用的日志屬于錦上添花等前面跑順了再說。每接一個新數(shù)據(jù)源都要重新調(diào)關(guān)聯(lián)規(guī)則和閾值別指望一套規(guī)則打天下。5. MDR買的是人不是軟件5.1 MDR和EDR/XDR的本質(zhì)區(qū)別前面三個都是工具MDR是服務(wù)。你買了EDR廠商給你一個軟件告警響了得你自己看、自己判、自己處置。你買了MDR廠商給你一個團隊7x24小時幫你盯著告警響了他們先看確認(rèn)是威脅了再通知你甚至幫你處置。這個區(qū)別決定了MDR的定價邏輯完全不同。EDR按終端數(shù)量收費一臺幾十到幾百塊一年。MDR按終端數(shù)量服務(wù)級別收費一臺可能幾百到上千塊一年因為里面包含了人力成本。5.2 什么情況下該考慮MDR不是所有企業(yè)都需要MDR。判斷標(biāo)準(zhǔn)很簡單你有沒有能力7x24小時盯著告警。如果你的安全團隊只有一兩個人白天還要忙別的晚上沒人值班那EDR買回來大概率是吃灰的——告警響了沒人看看了也判斷不了判斷了也不知道怎么處置。這種情況下MDR是劃算的相當(dāng)于用外包的方式補齊了運營能力。反過來如果你已經(jīng)有一個像樣的SOC安全運營中心有明確的告警分級和處置流程那MDR的價值就有限你更需要的是把EDR/XDR用好而不是再買一層服務(wù)。5.3 MDR服務(wù)質(zhì)量的判斷標(biāo)準(zhǔn)MDR市場魚龍混雜選的時候重點看這幾個指標(biāo)考察維度好的表現(xiàn)差的表現(xiàn)響應(yīng)時效明確承諾P1告警15分鐘內(nèi)響應(yīng)只說盡快沒有SLA告警質(zhì)量提供告警分級和誤報率數(shù)據(jù)只報數(shù)量不報準(zhǔn)確率處置能力能遠(yuǎn)程執(zhí)行隔離、取證只通知不處置報告深度月度報告有攻擊趨勢分析只給個告警統(tǒng)計表溝通機制有專屬對接人、定期復(fù)盤只有工單系統(tǒng)找不到人特別提醒一點MDR廠商的檢測規(guī)則是否透明很重要。有些MDR是黑盒告警了不告訴你為什么你也沒法驗證。好的MDR會給你看檢測邏輯甚至允許你自定義規(guī)則。5.4 MDR和自建SOC不是二選一很多人以為買了MDR就不用建SOC了這是誤解。MDR負(fù)責(zé)的是第一道防線——7x24的告警初篩和標(biāo)準(zhǔn)處置。但企業(yè)自己的安全團隊仍然需要負(fù)責(zé)策略制定、資產(chǎn)梳理、合規(guī)對接、重大事件的決策。MDR是你的延伸不是你的替代。我見過比較健康的模式是MDR做一線企業(yè)SOC做二線重大事件雙方聯(lián)合處置。這樣既保證了覆蓋時間又保留了企業(yè)對核心資產(chǎn)的掌控。6. 四者怎么選怎么配一張決策表和一個真實案例6.1 按企業(yè)規(guī)模和場景選型沒有放之四海皆準(zhǔn)的方案得看你的實際情況。下面這張表是我根據(jù)多個項目經(jīng)驗總結(jié)的供參考企業(yè)情況推薦組合理由50人以下無專職安全MDR含EDR自己養(yǎng)不起團隊外包最實際50-500人1-2人安全EDR MDREDR覆蓋終端MDR補運營500-2000人有SOCEDR NDR XDR數(shù)據(jù)源夠了重點做關(guān)聯(lián)2000人以上SOC成熟EDR NDR XDR 自建MDR能力全都要且要自主可控有大量OT/工控設(shè)備必加NDR工控設(shè)備裝不了agent6.2 一個中型企業(yè)的實際部署案例說個我參與過的真實項目。一家800人左右的制造企業(yè)有研發(fā)、生產(chǎn)、辦公三個網(wǎng)絡(luò)區(qū)域安全團隊3個人。第一階段先上了EDR覆蓋所有辦公終端和服務(wù)器約1200個端點。部署時踩了個坑——生產(chǎn)車間的工控機是Windows 7EDR agent裝上去之后導(dǎo)致PLC通信軟件異常后來只能把工控網(wǎng)段排除在外。第二階段因為工控網(wǎng)段沒有EDR覆蓋補了NDR在核心交換機做流量鏡像。NDR上線第一周就抓到一個異常——某臺工控機在向一個境外IP發(fā)送數(shù)據(jù)后來查出來是設(shè)備自帶的遠(yuǎn)程維護功能沒關(guān)。雖然虛驚一場但證明了NDR在無agent場景下的價值。第三階段上了XDR把EDR和NDR的數(shù)據(jù)打通。這里花了大概兩個月做字段映射和關(guān)聯(lián)規(guī)則調(diào)優(yōu)最終把平均告警處理時間從40分鐘降到了12分鐘。第四階段因為安全團隊只有3個人夜班沒人又買了MDR服務(wù)把夜間和周末的告警初篩外包出去。整個項目歷時約8個月總投入在七位數(shù)。這個節(jié)奏我覺得比較合理——每一步都跑穩(wěn)了再走下一步?jīng)]有一次性堆上去。6.3 部署順序的經(jīng)驗之談如果讓我給一個通用建議部署順序應(yīng)該是EDR → NDR → XDR → MDR。先上EDR是因為終端覆蓋面最廣、檢測能力最直接而且部署相對簡單。NDR次之補上無agent設(shè)備的盲區(qū)。XDR要等前兩個數(shù)據(jù)源穩(wěn)定了再上否則關(guān)聯(lián)分析沒有可靠的數(shù)據(jù)基礎(chǔ)。MDR放最后因為它是運營層的補充前面的工具沒跑順MDR也發(fā)揮不了作用。當(dāng)然如果你人手實在不夠也可以EDRMDR一起上讓MDR團隊幫你把EDR用起來。7. 關(guān)于徹底卸載EDR這件事卸不干凈會出大問題熱詞里徹底卸載EDR和edr檢測這兩個詞放在一起看其實反映了一個真實需求很多人想卸載EDR但又怕卸不干凈。我分兩種情況說。7.1 正常卸載為什么常規(guī)卸載會留殘留EDR為了能監(jiān)控系統(tǒng)底層通常裝了內(nèi)核驅(qū)動、文件過濾驅(qū)動、網(wǎng)絡(luò)過濾驅(qū)動。這些驅(qū)動在系統(tǒng)啟動時加載常規(guī)的控制面板卸載往往只能刪掉用戶態(tài)的程序內(nèi)核驅(qū)動因為正在被系統(tǒng)引用刪不掉。殘留的后果包括系統(tǒng)啟動變慢、某些軟件異常、重新安裝EDR時報錯、甚至藍(lán)屏。我見過最嚴(yán)重的一次是卸載某EDR后沒重啟就裝了另一個兩個驅(qū)動沖突導(dǎo)致系統(tǒng)進不去安全模式。正確的卸載流程應(yīng)該是先在EDR管理端解除該終端的注冊否則管理端會一直嘗試重連。關(guān)閉EDR的自我保護功能通常在管理端或本地設(shè)置里。運行廠商提供的專用卸載工具而不是控制面板。主流EDR廠商都有專門的卸載工具能清理驅(qū)動和殘留文件。卸載后立即重啟讓系統(tǒng)釋放驅(qū)動引用。重啟后檢查殘留看設(shè)備管理器里有沒有帶感嘆號的未知設(shè)備看C:\Windows\System32\drivers下有沒有相關(guān)驅(qū)動文件看服務(wù)列表里有沒有殘留服務(wù)。清理注冊表這一步要謹(jǐn)慎只刪確認(rèn)屬于該EDR的鍵值不確定的別動。7.2 卸載前必須想清楚的事在動手卸載之前先問自己三個問題第一卸載是經(jīng)過批準(zhǔn)的嗎如果是公司資產(chǎn)EDR是公司安全策略的一部分私自卸載可能違反規(guī)定。而且卸載后終端就失去了監(jiān)控萬一出事責(zé)任說不清。第二卸載后用什么替代如果是因為EDR影響性能想換一個那要先確保新方案能頂上別出現(xiàn)監(jiān)控真空期。第三卸載的目的是什么如果是為了排查故障其實可以先嘗試臨時禁用而不是徹底卸載禁用是可逆的卸載不可逆。提示如果只是懷疑EDR導(dǎo)致某個軟件異常先看EDR的排除列表功能。主流EDR都支持把特定進程、目錄、IP加入白名單這比卸載安全得多。7.3 卸載后的驗證清單卸載完成不代表萬事大吉得驗證干凈了。我整理了一個檢查清單系統(tǒng)啟動時間是否恢復(fù)正常任務(wù)管理器里有沒有殘留進程服務(wù)列表services.msc里有沒有相關(guān)服務(wù)設(shè)備管理器里有沒有異常設(shè)備網(wǎng)絡(luò)連接是否正常有些EDR會改網(wǎng)絡(luò)棧重新安裝其他安全軟件是否報沖突如果以上都正常那基本就卸干凈了。如果還有異常建議聯(lián)系原廠商技術(shù)支持他們有更底層的清理工具。8. 幾個容易被忽略的實操細(xì)節(jié)8.1 EDR的性能開銷不是線性的很多人以為EDR對性能的影響和終端數(shù)量成正比其實不是。單臺終端上EDR的開銷主要取決于該終端的行為活躍度。一臺天天跑編譯的研發(fā)機器EDR的CPU占用可能到5%-10%一臺只用來收發(fā)郵件的辦公機可能1%都不到。所以做容量規(guī)劃時別用平均值要按角色分類估算。研發(fā)、運維這類高活躍角色要預(yù)留更多資源。另外EDR的掃描策略也要分角色配置——研發(fā)機器上頻繁全盤掃描會嚴(yán)重影響編譯效率建議改成只掃關(guān)鍵目錄。8.2 NDR的誤報處理比EDR更費精力EDR的告警通常有明確的進程和命令行判斷起來相對快。NDR的告警往往是某IP行為異常你得先查這個IP是誰、在干什么、為什么異常排查鏈路長得多。降低NDR誤報的關(guān)鍵是把資產(chǎn)信息喂給NDR。讓NDR知道10.1.2.3是數(shù)據(jù)庫服務(wù)器、10.1.2.4是辦公終端它就能根據(jù)資產(chǎn)角色調(diào)整檢測閾值。數(shù)據(jù)庫服務(wù)器對外連接多很正常辦公終端對外連接多就可疑。沒有資產(chǎn)信息的NDR只能一刀切誤報必然高。8.3 XDR的關(guān)聯(lián)規(guī)則要定期reviewXDR的關(guān)聯(lián)規(guī)則不是設(shè)一次就完事。業(yè)務(wù)變化、攻擊手法變化、數(shù)據(jù)源變化都會讓原本好用的規(guī)則失效。建議至少每季度review一次重點看兩個指標(biāo)誤報率和漏報率。誤報率高的規(guī)則要么調(diào)閾值要么加白名單。漏報這個比較難發(fā)現(xiàn)通常要靠紅藍(lán)對抗或者真實事件復(fù)盤來暴露。每次出了安全事件都要回頭看看XDR為什么沒關(guān)聯(lián)出來是數(shù)據(jù)源缺失還是規(guī)則沒覆蓋。8.4 MDR的交接文檔要自己留一份用MDR服務(wù)時廠商會給你一份交接文檔記錄了他們處置過的事件。這份文檔一定要自己存檔別只放在廠商那邊。原因有兩個一是合規(guī)審計時需要二是萬一換MDR廠商歷史數(shù)據(jù)能幫你快速建立新基線。另外MDR廠商的處置動作要定期抽查。我見過有MDR團隊為了追求響應(yīng)快把一些其實需要深入分析的告警直接標(biāo)記為已處置實際上根本沒查清楚。所以企業(yè)自己要有抽查機制不能完全放手。9. 寫在最后的一點個人體會這四個概念說到底是在回答同一個問題的不同側(cè)面怎么在攻擊者越來越隱蔽的情況下盡可能早地發(fā)現(xiàn)他、看清他、攔住他。EDR讓你看清終端NDR讓你看清網(wǎng)絡(luò)XDR讓你把碎片拼成全景MDR讓你在沒人盯著的時候也有人盯著。我個人的經(jīng)驗是工具永遠(yuǎn)只是工具真正決定效果的是運營的持續(xù)投入。見過太多企業(yè)花大價錢買了一堆設(shè)備結(jié)果規(guī)則不調(diào)、基線不更新、告警不看最后設(shè)備成了擺設(shè)。反過來有些企業(yè)工具不算先進但運營做得扎實該看的告警看、該復(fù)盤的復(fù)盤效果反而更好。如果非要給一個建議那就是先把EDR用透再考慮其他。EDR是這四個里面最基礎(chǔ)、覆蓋面最廣、也最容易見效的一環(huán)。把EDR的告警分級、處置流程、白名單維護這些基礎(chǔ)工作做扎實了后面上NDR、XDR、MDR都是水到渠成的事?；A(chǔ)不牢堆再多工具也是空中樓閣。 EDR、NDR、XDR、MDR到底有什么區(qū)別？一文講透選型與部署
1. 從一次應(yīng)急響應(yīng)現(xiàn)場說起為什么這四個縮寫總被混著用前陣子幫一個朋友看他們公司的安全告警他甩過來一張截圖問我這個EDR報的東西到底要不要處理。我一看告警里同時出現(xiàn)了EDR、XDR、NDR三個詞他自己也說不清哪個是哪個只知道都是檢測威脅的。這個場景其實特別典型——現(xiàn)在安全廠商的營銷話術(shù)把EDR、XDR、NDR、MDR這四個縮寫攪成了一鍋粥采購的人聽得云里霧里運維的人裝完也不知道自己裝的到底是哪一層。先把這四個詞的核心定位擺清楚后面所有內(nèi)容都圍繞這個骨架展開EDREndpoint Detection and Response端點檢測與響應(yīng)盯著終端這一層也就是你手里的筆記本、服務(wù)器、虛擬機。它管的是進程、文件、注冊表、網(wǎng)絡(luò)連接這些發(fā)生在單機上的行為。NDRNetwork Detection and Response網(wǎng)絡(luò)檢測與響應(yīng)盯著網(wǎng)絡(luò)流量這一層通過鏡像流量或者探針看東西南北向的通信里有沒有異常。XDRExtended Detection and Response擴展檢測與響應(yīng)不是單一產(chǎn)品而是一種把多個數(shù)據(jù)源打通的思路把端點、網(wǎng)絡(luò)、郵件、云、身份等遙測數(shù)據(jù)匯聚到一個平臺做關(guān)聯(lián)分析。MDRManaged Detection and Response托管檢測與響應(yīng)重點在Managed這個詞它賣的不是軟件是人流程工具的服務(wù)相當(dāng)于你把檢測響應(yīng)這件事外包給一支專業(yè)團隊。這四個詞不是替代關(guān)系而是不同維度。EDR和NDR是數(shù)據(jù)來源XDR是整合方式MDR是交付模式。很多人以為裝了XDR就不需要EDR了這是最大的誤解——XDR的端點數(shù)據(jù)往往就是靠EDR agent采集的沒有EDRXDR的端點側(cè)就是瞎的。這篇文章適合誰看如果你是剛接手安全運營的運維、正在做安全選型的技術(shù)負(fù)責(zé)人或者被廠商PPT繞暈的采購那這篇就是給你寫的。我會把每一層的技術(shù)原理、實際部署時的坑、以及怎么判斷自己到底需要哪一層掰開揉碎講清楚。熱詞里那個徹底卸載EDR我也看到了后面單獨開一節(jié)講因為卸載EDR這件事本身就是個技術(shù)活卸不干凈會留一堆問題。2. EDR到底在終端上做了什么從驅(qū)動到行為鏈2.1 EDR不是殺毒軟件的升級版是監(jiān)控思路的轉(zhuǎn)變傳統(tǒng)殺毒軟件AV的核心邏輯是特征匹配——拿一個已知惡意文件的哈?；蛘咛卣鞔a去比對命中就殺。這套邏輯在十年前還行現(xiàn)在面對無文件攻擊、Living-off-the-Land用系統(tǒng)自帶工具干壞事基本失效因為攻擊者根本不需要落地一個已知惡意的文件。EDR換了個思路我不判斷你是不是壞我記錄你干了什么。它通過內(nèi)核驅(qū)動Windows上是minifilter驅(qū)動、Linux上是eBPF或者內(nèi)核模塊掛載到系統(tǒng)的關(guān)鍵調(diào)用點上把進程創(chuàng)建、文件讀寫、注冊表修改、網(wǎng)絡(luò)連接、模塊加載這些事件全部采集下來形成一條條帶時間戳的遙測數(shù)據(jù)。舉個具體例子。一個正常的Word進程行為鏈大概是啟動→讀取docx→加載幾個系統(tǒng)dll→結(jié)束。而一個被釣魚文檔利用的Word行為鏈會變成啟動→讀取docx→啟動powershell.exe→powershell去連一個外網(wǎng)IP→下載一個腳本→腳本再拉起一個進程。EDR的價值就在于它把這條鏈完整記錄下來即使每一步單獨看都是合法程序串起來就能看出問題。2.2 遙測數(shù)據(jù)的采集粒度決定了EDR的上限不同EDR產(chǎn)品的差距很大程度上體現(xiàn)在采集粒度上。我見過一些輕量級EDR只采集進程創(chuàng)建和網(wǎng)絡(luò)連接這種在遇到進程注入類攻擊時基本抓瞎因為它看不到內(nèi)存里的操作。一個采集比較完整的EDR通常會覆蓋這幾類事件源事件類別具體內(nèi)容典型檢測價值進程創(chuàng)建、退出、命令行參數(shù)、父進程發(fā)現(xiàn)異常父子關(guān)系如Word拉起cmd文件創(chuàng)建、修改、刪除、重命名發(fā)現(xiàn)勒索加密行為、敏感文件外傳注冊表鍵值修改、自啟動項發(fā)現(xiàn)持久化后門網(wǎng)絡(luò)連接、DNS查詢、監(jiān)聽端口發(fā)現(xiàn)C2回連模塊DLL加載、驅(qū)動加載發(fā)現(xiàn)無文件注入內(nèi)存部分產(chǎn)品支持內(nèi)存掃描發(fā)現(xiàn)內(nèi)存馬、shellcode采集粒度越細(xì)數(shù)據(jù)量越大。一臺普通辦公終端一天產(chǎn)生的EDR原始事件輕松上百萬條。這就引出一個很現(xiàn)實的問題全量采集全量上傳帶寬和存儲扛不住。所以主流EDR都采用本地預(yù)處理關(guān)鍵事件上傳的策略本地做初步的規(guī)則匹配和行為鏈聚合只把可疑的、或者聚合后的行為鏈傳到管理端。2.3 檢測引擎規(guī)則、行為、機器學(xué)習(xí)三件套EDR的檢測能力通常由三層構(gòu)成理解這三層有助于你判斷一個告警為什么響。第一層是規(guī)則匹配最直接。比如cmd.exe執(zhí)行了包含-enc參數(shù)的powershell命令這就是一條規(guī)則。規(guī)則的好處是準(zhǔn)、快、可解釋壞處是容易被繞過攻擊者改個參數(shù)順序就躲過去了。第二層是行為鏈分析。它不看你單步干了什么而是看一串動作的組合。比如Office進程→創(chuàng)建子進程→子進程發(fā)起外網(wǎng)連接→連接后下載可執(zhí)行文件這個序列本身就是高危信號不管每一步用的是不是系統(tǒng)自帶工具。行為鏈分析是EDR區(qū)別于傳統(tǒng)AV的核心能力。第三層是機器學(xué)習(xí)模型。用大量正常和惡意樣本訓(xùn)練出來的模型對進程、命令行、文件路徑等特征做打分。這層能抓到一些規(guī)則覆蓋不到的新變種但缺點是誤報相對高而且模型是黑盒告警了你也說不清為什么。實際運營中這三層是疊加的。一個告警可能同時命中規(guī)則和行為鏈那優(yōu)先級就高只命中ML模型且分?jǐn)?shù)不高那大概率是誤報可以先觀察。2.4 響應(yīng)能力從看見到處置的那一步EDR的RResponse經(jīng)常被忽略但恰恰是它比傳統(tǒng)AV值錢的地方。檢測到威脅之后EDR能做的事情包括隔離終端把機器從網(wǎng)絡(luò)里踢出去只保留和管理端的通信防止橫向擴散。終止進程直接kill掉惡意進程包括它的子進程樹。隔離文件把可疑文件移到隔離區(qū)防止繼續(xù)執(zhí)行。取證采集一鍵拉取內(nèi)存鏡像、進程列表、網(wǎng)絡(luò)連接、最近執(zhí)行記錄方便后續(xù)分析。這里有個實操經(jīng)驗隔離終端這個動作要慎用。我見過運維手一抖把一臺生產(chǎn)數(shù)據(jù)庫服務(wù)器隔離了結(jié)果業(yè)務(wù)直接中斷。所以正規(guī)做法是給隔離動作設(shè)置審批流程或者至少分級——辦公終端可以自動隔離服務(wù)器類資產(chǎn)只告警不自動處置由人工確認(rèn)。3. NDR的戰(zhàn)場在流量里看不見的通信才是重災(zāi)區(qū)3.1 為什么有了EDR還需要NDREDR裝在終端上前提是終端上得能裝agent。但現(xiàn)實里有一堆設(shè)備裝不了agent網(wǎng)絡(luò)打印機、攝像頭、工控設(shè)備、老舊的Windows XP機器、還有攻擊者自己帶進來的設(shè)備。這些設(shè)備的通信EDR是看不見的只能靠NDR從流量側(cè)補上。另外EDR看的是這臺機器干了什么NDR看的是這些機器之間在聊什么。有些攻擊在單機上行為很干凈但通信模式很可疑——比如一臺內(nèi)網(wǎng)機器每天凌晨三點準(zhǔn)時向一個境外IP發(fā)送固定大小的數(shù)據(jù)包這種模式在單機上看不出問題在流量側(cè)一目了然。3.2 NDR的數(shù)據(jù)來源鏡像、探針、日志NDR拿數(shù)據(jù)主要有三種方式各有取舍流量鏡像SPAN在交換機上配置一個鏡像口把指定端口的流量復(fù)制一份給NDR設(shè)備。優(yōu)點是部署簡單、不影響業(yè)務(wù)缺點是鏡像口帶寬有限核心交換機全量鏡像容易丟包而且加密流量鏡像過來也是密文。網(wǎng)絡(luò)探針TAP在鏈路中間串一個分光器物理層復(fù)制流量。比鏡像更可靠不丟包但需要停機割接成本也高。流量日志NetFlow/IPFIX不拿全包只拿流量的元數(shù)據(jù)——源IP、目的IP、端口、字節(jié)數(shù)、時間。數(shù)據(jù)量小適合做宏觀態(tài)勢但看不到payload檢測能力有限。實際部署里常見組合是核心鏈路用TAP保證不丟包邊緣用SPAN全網(wǎng)開NetFlow做兜底。這樣既有深度檢測能力又有全局視野。3.3 加密流量怎么辦不是解密是看行為特征這是被問得最多的問題現(xiàn)在都是HTTPSNDR還能看到啥答案是不解密也能做很多事。TLS握手階段是明文的里面包含了SNI服務(wù)器名稱指示、證書信息、JA3/JA3S指紋。這些信息足夠做很多判斷JA3指紋把TLS Client Hello里的字段拼起來算個哈希同一個惡意工具生成的流量JA3指紋往往一致。哪怕它換了IP、換了域名指紋不變就能抓。證書特征自簽名證書、證書有效期異常短、證書里的CN和實際訪問域名對不上這些都是可疑信號。通信行為心跳包的間隔是否規(guī)律、上下行字節(jié)比是否異常、連接持續(xù)時間是否固定。C2通信往往有很強的規(guī)律性而正常業(yè)務(wù)流量是雜亂無章的。我實測過一個案例某臺機器被植入了一個遠(yuǎn)控流量全加密payload完全看不到。但NDR通過JA3指紋匹配到了一個已知的遠(yuǎn)控工具家族直接告警。這就是流量側(cè)的價值——它不依賴終端也不依賴解密。3.4 NDR的檢測模型基線異常NDR的檢測邏輯和EDR不太一樣它更依賴基線。因為網(wǎng)絡(luò)流量本身沒有惡意的絕對標(biāo)準(zhǔn)得先知道正常長什么樣。建立基線通常需要一到兩周的觀察期期間NDR學(xué)習(xí)內(nèi)網(wǎng)的通信模式哪些機器會互相訪問、訪問哪些端口、流量大小在什么范圍、什么時間段活躍?；€建好之后任何偏離基線的行為都會被標(biāo)記。常見的異常類型包括橫向移動一臺辦公終端突然開始掃描內(nèi)網(wǎng)445端口或者嘗試連接多臺服務(wù)器的3389。數(shù)據(jù)外傳某臺機器向外部IP傳輸?shù)臄?shù)據(jù)量突然暴增或者傳輸時間選在非工作時段。DNS隧道DNS查詢的域名長度異常、查詢頻率異常、TXT記錄查詢占比過高。協(xié)議異常本該是HTTP的端口上跑著別的協(xié)議或者協(xié)議實現(xiàn)不符合標(biāo)準(zhǔn)。注意基線不是建一次就完事。業(yè)務(wù)在變基線也得跟著更新。我見過一個NDR部署了半年沒更新基線結(jié)果新上線的業(yè)務(wù)系統(tǒng)天天被誤報最后運維直接把告警關(guān)了等于白裝。4. XDR不是產(chǎn)品是思路把孤島數(shù)據(jù)串成一條線4.1 XDR要解決的核心問題告警疲勞安全運營最怕的不是沒告警是告警太多。EDR報一個可疑進程NDR報一個異常外連郵件網(wǎng)關(guān)報一個釣魚郵件防火墻報一個高危IP訪問。這四個告警如果分開看每個都不算特別嚴(yán)重運營人員可能就放過了。但如果它們其實是同一次攻擊的不同階段呢XDR的價值就在這把多個數(shù)據(jù)源的事件關(guān)聯(lián)起來還原出完整的攻擊鏈。上面那個例子XDR會把它拼成一條時間線釣魚郵件投遞→用戶點擊→Word拉起powershell→powershell外連C2→C2下發(fā)指令。這條鏈一出來嚴(yán)重級別立刻拉滿運營人員一眼就知道要處理。4.2 XDR的兩種形態(tài)原生和開放市面上的XDR分兩類選型時要分清原生XDRNative XDR廠商自己的EDR、NDR、郵件安全等產(chǎn)品打包在一起數(shù)據(jù)天然打通。優(yōu)點是集成度高、開箱即用缺點是綁定廠商你只能用他家的組件而且價格通常不便宜。開放XDROpen XDR平臺本身不生產(chǎn)數(shù)據(jù)靠對接第三方產(chǎn)品的API來匯聚數(shù)據(jù)。優(yōu)點是靈活你現(xiàn)有的EDR、防火墻、SIEM都能接進來缺點是集成質(zhì)量參差不齊有些廠商的API文檔爛得一塌糊涂對接起來很痛苦。我的建議是如果你是從零開始建預(yù)算充足原生XDR省心如果你已經(jīng)有了一堆安全設(shè)備不想推倒重來開放XDR更現(xiàn)實。但不管哪種對接前一定要確認(rèn)數(shù)據(jù)字段的完整度——有些產(chǎn)品API只給你告警標(biāo)題不給你原始遙測那XDR的關(guān)聯(lián)分析就是無米之炊。4.3 關(guān)聯(lián)分析的技術(shù)難點時間對齊和實體歸一XDR聽起來很美做起來最難的是兩件事。第一是時間對齊。不同設(shè)備的時鐘不可能完全一致EDR的時間戳精確到毫秒防火墻的可能只到秒郵件網(wǎng)關(guān)的可能還帶時區(qū)問題。如果時間對不齊關(guān)聯(lián)出來的攻擊鏈順序就是錯的。所以部署XDR之前全網(wǎng)NTP同步是必須做的功課別嫌麻煩。第二是實體歸一。同一個東西在不同系統(tǒng)里的標(biāo)識不一樣EDR里叫主機名DESKTOP-ABCNDR里叫IP 10.1.2.3AD里叫用戶張三郵件系統(tǒng)里叫zhangsancorp.com。XDR得有一套映射機制把這些標(biāo)識統(tǒng)一到一個實體上否則關(guān)聯(lián)就是瞎關(guān)聯(lián)。這塊的實操經(jīng)驗是先做資產(chǎn)臺賬再做XDR。你連自己有多少臺機器、每臺機器的IP和主機名對應(yīng)關(guān)系都理不清XDR關(guān)聯(lián)出來的東西你也不敢信。4.4 XDR的落地節(jié)奏別想一口吃成胖子我見過太多XDR項目死在貪大求全上。一上來就想把端點、網(wǎng)絡(luò)、郵件、云、身份全接進來結(jié)果數(shù)據(jù)量爆炸關(guān)聯(lián)規(guī)則調(diào)不過來誤報滿天飛最后項目擱置。比較務(wù)實的節(jié)奏是分三步先接端點和網(wǎng)絡(luò)。這兩個數(shù)據(jù)源覆蓋了大部分攻擊場景先把這兩塊的關(guān)聯(lián)做扎實。再加身份和郵件。身份數(shù)據(jù)能幫你判斷這個操作是不是本人干的郵件數(shù)據(jù)能補上初始入侵的那一環(huán)。最后接云和第三方。云工作負(fù)載、SaaS應(yīng)用的日志屬于錦上添花等前面跑順了再說。每接一個新數(shù)據(jù)源都要重新調(diào)關(guān)聯(lián)規(guī)則和閾值別指望一套規(guī)則打天下。5. MDR買的是人不是軟件5.1 MDR和EDR/XDR的本質(zhì)區(qū)別前面三個都是工具MDR是服務(wù)。你買了EDR廠商給你一個軟件告警響了得你自己看、自己判、自己處置。你買了MDR廠商給你一個團隊7x24小時幫你盯著告警響了他們先看確認(rèn)是威脅了再通知你甚至幫你處置。這個區(qū)別決定了MDR的定價邏輯完全不同。EDR按終端數(shù)量收費一臺幾十到幾百塊一年。MDR按終端數(shù)量服務(wù)級別收費一臺可能幾百到上千塊一年因為里面包含了人力成本。5.2 什么情況下該考慮MDR不是所有企業(yè)都需要MDR。判斷標(biāo)準(zhǔn)很簡單你有沒有能力7x24小時盯著告警。如果你的安全團隊只有一兩個人白天還要忙別的晚上沒人值班那EDR買回來大概率是吃灰的——告警響了沒人看看了也判斷不了判斷了也不知道怎么處置。這種情況下MDR是劃算的相當(dāng)于用外包的方式補齊了運營能力。反過來如果你已經(jīng)有一個像樣的SOC安全運營中心有明確的告警分級和處置流程那MDR的價值就有限你更需要的是把EDR/XDR用好而不是再買一層服務(wù)。5.3 MDR服務(wù)質(zhì)量的判斷標(biāo)準(zhǔn)MDR市場魚龍混雜選的時候重點看這幾個指標(biāo)考察維度好的表現(xiàn)差的表現(xiàn)響應(yīng)時效明確承諾P1告警15分鐘內(nèi)響應(yīng)只說盡快沒有SLA告警質(zhì)量提供告警分級和誤報率數(shù)據(jù)只報數(shù)量不報準(zhǔn)確率處置能力能遠(yuǎn)程執(zhí)行隔離、取證只通知不處置報告深度月度報告有攻擊趨勢分析只給個告警統(tǒng)計表溝通機制有專屬對接人、定期復(fù)盤只有工單系統(tǒng)找不到人特別提醒一點MDR廠商的檢測規(guī)則是否透明很重要。有些MDR是黑盒告警了不告訴你為什么你也沒法驗證。好的MDR會給你看檢測邏輯甚至允許你自定義規(guī)則。5.4 MDR和自建SOC不是二選一很多人以為買了MDR就不用建SOC了這是誤解。MDR負(fù)責(zé)的是第一道防線——7x24的告警初篩和標(biāo)準(zhǔn)處置。但企業(yè)自己的安全團隊仍然需要負(fù)責(zé)策略制定、資產(chǎn)梳理、合規(guī)對接、重大事件的決策。MDR是你的延伸不是你的替代。我見過比較健康的模式是MDR做一線企業(yè)SOC做二線重大事件雙方聯(lián)合處置。這樣既保證了覆蓋時間又保留了企業(yè)對核心資產(chǎn)的掌控。6. 四者怎么選怎么配一張決策表和一個真實案例6.1 按企業(yè)規(guī)模和場景選型沒有放之四海皆準(zhǔn)的方案得看你的實際情況。下面這張表是我根據(jù)多個項目經(jīng)驗總結(jié)的供參考企業(yè)情況推薦組合理由50人以下無專職安全MDR含EDR自己養(yǎng)不起團隊外包最實際50-500人1-2人安全EDR MDREDR覆蓋終端MDR補運營500-2000人有SOCEDR NDR XDR數(shù)據(jù)源夠了重點做關(guān)聯(lián)2000人以上SOC成熟EDR NDR XDR 自建MDR能力全都要且要自主可控有大量OT/工控設(shè)備必加NDR工控設(shè)備裝不了agent6.2 一個中型企業(yè)的實際部署案例說個我參與過的真實項目。一家800人左右的制造企業(yè)有研發(fā)、生產(chǎn)、辦公三個網(wǎng)絡(luò)區(qū)域安全團隊3個人。第一階段先上了EDR覆蓋所有辦公終端和服務(wù)器約1200個端點。部署時踩了個坑——生產(chǎn)車間的工控機是Windows 7EDR agent裝上去之后導(dǎo)致PLC通信軟件異常后來只能把工控網(wǎng)段排除在外。第二階段因為工控網(wǎng)段沒有EDR覆蓋補了NDR在核心交換機做流量鏡像。NDR上線第一周就抓到一個異常——某臺工控機在向一個境外IP發(fā)送數(shù)據(jù)后來查出來是設(shè)備自帶的遠(yuǎn)程維護功能沒關(guān)。雖然虛驚一場但證明了NDR在無agent場景下的價值。第三階段上了XDR把EDR和NDR的數(shù)據(jù)打通。這里花了大概兩個月做字段映射和關(guān)聯(lián)規(guī)則調(diào)優(yōu)最終把平均告警處理時間從40分鐘降到了12分鐘。第四階段因為安全團隊只有3個人夜班沒人又買了MDR服務(wù)把夜間和周末的告警初篩外包出去。整個項目歷時約8個月總投入在七位數(shù)。這個節(jié)奏我覺得比較合理——每一步都跑穩(wěn)了再走下一步?jīng)]有一次性堆上去。6.3 部署順序的經(jīng)驗之談如果讓我給一個通用建議部署順序應(yīng)該是EDR → NDR → XDR → MDR。先上EDR是因為終端覆蓋面最廣、檢測能力最直接而且部署相對簡單。NDR次之補上無agent設(shè)備的盲區(qū)。XDR要等前兩個數(shù)據(jù)源穩(wěn)定了再上否則關(guān)聯(lián)分析沒有可靠的數(shù)據(jù)基礎(chǔ)。MDR放最后因為它是運營層的補充前面的工具沒跑順MDR也發(fā)揮不了作用。當(dāng)然如果你人手實在不夠也可以EDRMDR一起上讓MDR團隊幫你把EDR用起來。7. 關(guān)于徹底卸載EDR這件事卸不干凈會出大問題熱詞里徹底卸載EDR和edr檢測這兩個詞放在一起看其實反映了一個真實需求很多人想卸載EDR但又怕卸不干凈。我分兩種情況說。7.1 正常卸載為什么常規(guī)卸載會留殘留EDR為了能監(jiān)控系統(tǒng)底層通常裝了內(nèi)核驅(qū)動、文件過濾驅(qū)動、網(wǎng)絡(luò)過濾驅(qū)動。這些驅(qū)動在系統(tǒng)啟動時加載常規(guī)的控制面板卸載往往只能刪掉用戶態(tài)的程序內(nèi)核驅(qū)動因為正在被系統(tǒng)引用刪不掉。殘留的后果包括系統(tǒng)啟動變慢、某些軟件異常、重新安裝EDR時報錯、甚至藍(lán)屏。我見過最嚴(yán)重的一次是卸載某EDR后沒重啟就裝了另一個兩個驅(qū)動沖突導(dǎo)致系統(tǒng)進不去安全模式。正確的卸載流程應(yīng)該是先在EDR管理端解除該終端的注冊否則管理端會一直嘗試重連。關(guān)閉EDR的自我保護功能通常在管理端或本地設(shè)置里。運行廠商提供的專用卸載工具而不是控制面板。主流EDR廠商都有專門的卸載工具能清理驅(qū)動和殘留文件。卸載后立即重啟讓系統(tǒng)釋放驅(qū)動引用。重啟后檢查殘留看設(shè)備管理器里有沒有帶感嘆號的未知設(shè)備看C:\Windows\System32\drivers下有沒有相關(guān)驅(qū)動文件看服務(wù)列表里有沒有殘留服務(wù)。清理注冊表這一步要謹(jǐn)慎只刪確認(rèn)屬于該EDR的鍵值不確定的別動。7.2 卸載前必須想清楚的事在動手卸載之前先問自己三個問題第一卸載是經(jīng)過批準(zhǔn)的嗎如果是公司資產(chǎn)EDR是公司安全策略的一部分私自卸載可能違反規(guī)定。而且卸載后終端就失去了監(jiān)控萬一出事責(zé)任說不清。第二卸載后用什么替代如果是因為EDR影響性能想換一個那要先確保新方案能頂上別出現(xiàn)監(jiān)控真空期。第三卸載的目的是什么如果是為了排查故障其實可以先嘗試臨時禁用而不是徹底卸載禁用是可逆的卸載不可逆。提示如果只是懷疑EDR導(dǎo)致某個軟件異常先看EDR的排除列表功能。主流EDR都支持把特定進程、目錄、IP加入白名單這比卸載安全得多。7.3 卸載后的驗證清單卸載完成不代表萬事大吉得驗證干凈了。我整理了一個檢查清單系統(tǒng)啟動時間是否恢復(fù)正常任務(wù)管理器里有沒有殘留進程服務(wù)列表services.msc里有沒有相關(guān)服務(wù)設(shè)備管理器里有沒有異常設(shè)備網(wǎng)絡(luò)連接是否正常有些EDR會改網(wǎng)絡(luò)棧重新安裝其他安全軟件是否報沖突如果以上都正常那基本就卸干凈了。如果還有異常建議聯(lián)系原廠商技術(shù)支持他們有更底層的清理工具。8. 幾個容易被忽略的實操細(xì)節(jié)8.1 EDR的性能開銷不是線性的很多人以為EDR對性能的影響和終端數(shù)量成正比其實不是。單臺終端上EDR的開銷主要取決于該終端的行為活躍度。一臺天天跑編譯的研發(fā)機器EDR的CPU占用可能到5%-10%一臺只用來收發(fā)郵件的辦公機可能1%都不到。所以做容量規(guī)劃時別用平均值要按角色分類估算。研發(fā)、運維這類高活躍角色要預(yù)留更多資源。另外EDR的掃描策略也要分角色配置——研發(fā)機器上頻繁全盤掃描會嚴(yán)重影響編譯效率建議改成只掃關(guān)鍵目錄。8.2 NDR的誤報處理比EDR更費精力EDR的告警通常有明確的進程和命令行判斷起來相對快。NDR的告警往往是某IP行為異常你得先查這個IP是誰、在干什么、為什么異常排查鏈路長得多。降低NDR誤報的關(guān)鍵是把資產(chǎn)信息喂給NDR。讓NDR知道10.1.2.3是數(shù)據(jù)庫服務(wù)器、10.1.2.4是辦公終端它就能根據(jù)資產(chǎn)角色調(diào)整檢測閾值。數(shù)據(jù)庫服務(wù)器對外連接多很正常辦公終端對外連接多就可疑。沒有資產(chǎn)信息的NDR只能一刀切誤報必然高。8.3 XDR的關(guān)聯(lián)規(guī)則要定期reviewXDR的關(guān)聯(lián)規(guī)則不是設(shè)一次就完事。業(yè)務(wù)變化、攻擊手法變化、數(shù)據(jù)源變化都會讓原本好用的規(guī)則失效。建議至少每季度review一次重點看兩個指標(biāo)誤報率和漏報率。誤報率高的規(guī)則要么調(diào)閾值要么加白名單。漏報這個比較難發(fā)現(xiàn)通常要靠紅藍(lán)對抗或者真實事件復(fù)盤來暴露。每次出了安全事件都要回頭看看XDR為什么沒關(guān)聯(lián)出來是數(shù)據(jù)源缺失還是規(guī)則沒覆蓋。8.4 MDR的交接文檔要自己留一份用MDR服務(wù)時廠商會給你一份交接文檔記錄了他們處置過的事件。這份文檔一定要自己存檔別只放在廠商那邊。原因有兩個一是合規(guī)審計時需要二是萬一換MDR廠商歷史數(shù)據(jù)能幫你快速建立新基線。另外MDR廠商的處置動作要定期抽查。我見過有MDR團隊為了追求響應(yīng)快把一些其實需要深入分析的告警直接標(biāo)記為已處置實際上根本沒查清楚。所以企業(yè)自己要有抽查機制不能完全放手。9. 寫在最后的一點個人體會這四個概念說到底是在回答同一個問題的不同側(cè)面怎么在攻擊者越來越隱蔽的情況下盡可能早地發(fā)現(xiàn)他、看清他、攔住他。EDR讓你看清終端NDR讓你看清網(wǎng)絡(luò)XDR讓你把碎片拼成全景MDR讓你在沒人盯著的時候也有人盯著。我個人的經(jīng)驗是工具永遠(yuǎn)只是工具真正決定效果的是運營的持續(xù)投入。見過太多企業(yè)花大價錢買了一堆設(shè)備結(jié)果規(guī)則不調(diào)、基線不更新、告警不看最后設(shè)備成了擺設(shè)。反過來有些企業(yè)工具不算先進但運營做得扎實該看的告警看、該復(fù)盤的復(fù)盤效果反而更好。如果非要給一個建議那就是先把EDR用透再考慮其他。EDR是這四個里面最基礎(chǔ)、覆蓋面最廣、也最容易見效的一環(huán)。把EDR的告警分級、處置流程、白名單維護這些基礎(chǔ)工作做扎實了后面上NDR、XDR、MDR都是水到渠成的事?；A(chǔ)不牢堆再多工具也是空中樓閣。