EDR · 检测与响应
服务类别: 网络安全终端检测与响应，局限也说得清清楚楚
EDR会记录设备上发生的活动，以便发现、调查和遏制可疑行为。我们负责配置EDR，在约定时间内审查其检测结果并使用其响应功能，同时坦诚说明它看不到哪些情况。
概览
- 服务内容
- 在受保护设备上配置和运营终端检测与响应（EDR）能力
- 适合对象
- 员工约5至200人、持有敏感数据或保险公司要求部署EDR的机构
- 核心内容
- EDR接入、传感器状态检查、在约定时间内分诊检测结果、设备隔离、调查摘要和调优
- 默认不包含
- 非工作时间的持续响应、主动威胁狩猎、取证镜像，以及对未受管理设备或网络设备的覆盖
- 许可证前提
- 具备EDR功能的许可证，例如 Microsoft Defender for Business、Defender for Endpoint Plan 2 或同类平台
- 计价方式
- 按每台受保护设备每月计费，以书面报价确认；许可证另行报价
- 如何开始
- 预约咨询以确认许可证和设备数量，或先进行一次终端安全评估
EDR能做到哪些防病毒软件做不到的事
传统防病毒软件将文件与已知威胁进行比对，并拦截匹配项。终端检测与响应则增加了一个传感器，持续记录每台设备上的进程启动、命令行、网络连接、文件更改和登录活动。云端分析随后会寻找表明攻击正在进行的模式，例如 Office 文档启动 PowerShell、凭据转储工具，或大量文件被加密。
当EDR发出检测结果时，分析人员可以查看事件发生前的时间线，查看其他哪些设备出现了相同的迹象，并采取响应措施：将设备从网络中隔离、终止进程、隔离文件，或收集调查数据包。
EDR是一种能力，而不是一项完整的服务。它的价值取决于部署是否正确、传感器是否保持正常、检测结果是否由懂行的人审查，以及响应措施是否迅速执行。本服务提供的正是这一运营层面的工作。
机构为什么考虑EDR
利用合法工具的攻击
许多入侵依赖 PowerShell、远程桌面和计划任务等系统自带工具，而基于特征码的防病毒软件并不是为判断这类行为而设计的。
告警之后一片空白
某样东西被拦截后，没人能说清它是怎么进来的、还接触了什么，或者其他机器是否也受到影响。
保险和客户问卷
网络保险公司和较大的客户越来越多地询问是否在所有终端上部署了EDR，以及由谁审查其告警。
买了EDR却没用起来
Microsoft 365 Business Premium 包含带有EDR功能的 Defender for Business，但许多租户从未接入设备，也从未查看事件队列。
我们运营的内容
传感器接入
通过 Intune 或部署包将设备注册到EDR平台，并将接入状态与您的设备清单进行核对。
检测分诊
在约定时间内审查事件和告警，将其归类为真实威胁、良性活动或误报，并记录判断理由。
遏制措施
在有证据支持时，隔离设备、终止进程、隔离文件，并在 Microsoft Entra ID 中禁用用户账户。
调查摘要
用通俗语言总结重大检测结果：发生了什么、涉及哪些设备和账户、我们采取了哪些行动、还有哪些遗留问题。
调优
屏蔽您的业务系统软件产生的已知良性活动，并严格控制范围，以免掩盖真正的威胁。
自动调查设置
在平台支持的情况下，审慎设定自动调查与修复的级别，并形成文档。
EDR做不到的事
EDR只能看到传感器运行正常的设备。除非有其他工具向其提供数据，否则它看不到个人手机、未受管理的笔记本电脑、打印机、防火墙或大部分云应用活动。如果攻击者使用窃取的凭据，从一台不受您管理的设备登录 Microsoft 365，EDR无法阻止。在约定审查时间之外发生的检测仍会触发自动防护，但人工审查要等到下一个审查时段，除非您的方案中包含延长覆盖时间的安排。
EDR服务的范围
通常包含
- 将受保护的Windows、macOS和Windows Server设备接入EDR平台
- 每周审查传感器状态，并修复停止上报的设备
- 在约定的工作时间内分诊事件和告警
- 按照您批准的响应预案采取遏制措施
- 重大检测结果的书面摘要
- 每季度调优审查
需另行界定范围或报价
- 24/7持续监控或SOC服务
- 在历史遥测数据中进行主动威胁狩猎
- 磁盘或内存取证镜像，以及用于诉讼的证据处理
- EDR许可证，除非通过报价套餐提供
- 无法运行EDR传感器的设备
EDR平台
- Microsoft Defender for Business（包含在 Microsoft 365 Business Premium 中）
- Microsoft Defender for Endpoint Plan 2 终端防护平台
- 在已获许可的情况下使用 Microsoft Defender XDR 事件队列和高级搜寻
- 您环境中已部署的同类第三方EDR平台
- 用于传感器部署和设备合规信号的 Microsoft Intune
最能受益的机构
持有敏感客户数据的公司
会计、法律、工程和医疗机构——一次悄无声息的入侵就可能导致机密文件外泄。
Business Premium 租户
已经通过 Microsoft 365 Business Premium 为EDR功能付费、但尚未真正使用的机构。
面临保险续保的团队
需要如实回答是否部署了EDR、由谁审查的企业。
您将获得什么
- 清楚了解威胁是如何到达设备、又做了些什么
- 能够在约定时间内远程隔离一台被入侵的笔记本电脑
- 检测结果得到审查和记录，而不是积压在队列里
- 更好地利用您可能已经付费的安全功能
- 为保险公司提供覆盖范围和局限的清晰文档
我们如何引入EDR
许可证与设备审查
我们确认哪些许可证包含EDR、哪些设备可以运行传感器，以及是否会与其他产品冲突。
响应预案
我们以书面形式约定哪些措施（例如隔离笔记本电脑）我们可以直接执行，哪些需要您批准。
试点接入
先接入一小批设备，观察您的应用程序会产生多少干扰告警，然后再全面推广。
全面推广与调优
接入其余设备，并以严格的范围屏蔽良性检测。
运营
分诊、遏制、摘要和季度审查按照您的服务范围持续进行。
购买方式
价格为拟定价格，以书面报价确认。
在终端安全基础上增加EDR运营
在托管终端安全订阅的基础上，为同一批设备增加EDR分诊和响应。
先做终端安全评估
在承诺持续的EDR运营之前，先确认覆盖情况、许可证和现有配置。
纳入托管网络安全方案
将EDR与身份、电子邮件和备份控制措施结合，在同一个负责的服务范围内统一管理。
常见问题
EDR和托管检测与响应（MDR）服务是一回事吗？
就我们的交付方式而言，不是。MDR通常意味着由专门的分析团队持续监控。我们负责运营EDR，并在约定时间内审查检测结果。如果您需要持续覆盖，我们会在前期摸底时坦诚讨论这一需求。
我们是否已经有EDR了？
如果您拥有 Microsoft 365 Business Premium 许可证，就已经有包含EDR功能的 Defender for Business。它是否真正在运作，取决于设备接入和配置情况，这一点我们可以帮您检查。
EDR会拖慢我们的电脑吗？
现代EDR传感器很轻量，但与较旧的防病毒产品或资源占用大的业务系统软件冲突时可能引发问题。所以我们会先做试点，并彻底卸载存在冲突的产品。
你们会不经询问就隔离设备吗？
只会按照您批准的响应预案执行。常见做法是允许在出现高可信度威胁（例如正在运行的勒索软件）时立即隔离，并在事后马上通知。