1. EDR工程实践导论
终端检测响应（Endpoint Detection and Response，EDR）是一类以终端为观测与处置支点、以持续采集与行为分析为核心、以检测与响应闭环为目标的工程体系。它不等同于“装了杀毒软件的电脑”，也不只是“日志采集工具”。EDR 的价值在于把终端上发生的进程、文件、网络、注册表、驱动、脚本等行为，转化为可查询、可关联、可追溯的安全事件，并支持从告警到隔离、取证、修复的完整处置链路。
一、EDR 的定义与核心能力
从工程视角看，EDR 由四个能力面构成：采集、检测、调查、响应。采集面负责在终端上持续获取进程创建、命令行、父子进程关系、文件写入、网络连接、模块加载等遥测数据；检测面通过规则、行为模型、威胁情报匹配等方式，从遥测流中识别可疑活动；调查面提供进程树、时间线、溯源图等视图，帮助分析人员回答“谁启动了谁、改了什么、连了哪里”；响应面则提供隔离主机、终止进程、删除文件、下发扫描、采集取证包等操作。
一个常见的教学示例参数如下：某终端在 10:02:13 由 winword.exe 启动 powershell.exe，命令行包含 -enc 与 Base64 编码串，随后该进程写入 C:\Users\Public\svchost.exe 并连接外部 IP 的 443 端口。EDR 的检测逻辑会同时命中“Office 进程派生脚本解释器”“编码命令”“公共目录写入可执行文件”“可疑外联”等多个行为特征，而不是仅依赖单一文件哈希。这种多信号关联正是 EDR 区别于传统特征查杀的关键。
二、EDR 与 EPP、NDR、XDR 的关系
EPP（Endpoint Protection Platform）侧重终端侧的预防与阻断，如防病毒、主机防火墙、漏洞利用防护、设备控制等，目标是“不让威胁进来或执行”。EDR 则假设威胁可能已经进入，侧重“看见并处理”。两者在终端上常共存：EPP 提供第一道拦截，EDR 提供事后可见性与响应能力。
NDR（Network Detection and Response）以网络流量为观测面，擅长发现横向移动、C2 通信、异常协议等；EDR 以主机行为为观测面，擅长发现进程注入、凭据窃取、持久化等。二者是互补关系：NDR 看到“这台主机在和可疑域名通信”，EDR 可以进一步回答“是哪个进程发起的、它由谁启动、落地了什么文件”。
XDR（Extended Detection and Response）则是跨终端、网络、邮件、身份、云工作负载等多源数据的统一检测与响应平台。可以理解为：EDR 是 XDR 在终端域的核心数据源与执行点之一，XDR 把 EDR 的终端遥测与其它域的数据做关联分析，形成更完整的攻击链视图。
三、EDR 工程实践的整体生命周期
EDR 不是“买来装上就有效”的产品，而是一项需要持续运营的工程。其生命周期可归纳为六个阶段，每个阶段都有明确的输入、动作与输出。
① 需求与范围。先明确保护对象：是办公终端、服务器、云主机还是工控主机？不同对象的采集策略、性能预算、合规要求差异很大。例如服务器上数据库进程频繁读写文件，若全量采集文件事件可能产生每秒数千条遥测，需要针对性裁剪。此阶段输出《终端覆盖清单》与《采集范围说明》。
② 部署与接入。安装 Agent、配置管理服务器地址、验证心跳与遥测上报。关键验证点是：终端能上线、能看到进程事件、能执行一次隔离测试。教学示例中，可在测试机执行 calc.exe 并观察 EDR 控制台是否在 5 秒内出现该进程的创建记录，以此确认采集链路通畅。
③ 策略与调优。配置检测规则、白名单、性能阈值。常见调优对象包括：排除已知业务进程的高频文件写入、调整 CPU 占用上限、设置遥测缓存大小。此阶段要避免“一上来就全开”，否则容易因误报和性能问题导致业务部门抵触。
④ 检测运营。这是日常核心工作：查看告警、分级、关联、研判。一个可操作的指标是“告警到研判的平均时长”。若某条告警涉及 powershell -enc，运营人员应能在一个界面内看到父进程、命令行、网络连接、落地文件，并判断是恶意还是运维脚本。
⑤ 响应与取证。确认恶意后执行隔离、终止进程、删除文件、采集内存与磁盘取证包。响应动作要有审批与记录，避免误隔离生产服务器。取证包应包含进程列表、网络连接、启动项、近期文件变更等，便于后续复盘。
⑥ 度量与迭代。用覆盖率、检测率、误报率、平均响应时间等指标衡量效果，并反哺策略调优。例如发现某类告警误报率超过 30%，就应回到策略阶段调整规则阈值或增加上下文条件。