指南 · 终端安全
终端安全如何运作：从防病毒到检测与响应
笔记本电脑、台式机和服务器是大多数攻击最终落脚的地方。了解终端安全软件能做什么、会记录什么、在哪里力所不及，有助于您选购合适的防护，并建立切合实际的预期。
- 发布日期
- 阅读约需7分钟
本页内容
要点速览
- 传统防病毒软件拦截已知的恶意文件；现代的新一代防病毒软件还增加了行为分析和云端信誉查询。
- 终端检测与响应（EDR）会详细记录每台设备上的活动，以便发现、调查和遏制可疑行为。
- 隔离功能让响应人员可以把被入侵的设备与网络断开，同时仍能远程连接该设备进行调查。
- 及时打补丁、磁盘加密、取消管理员权限和减少攻击面，可以在需要检测之前就预防许多事件。
- EDR的效果取决于覆盖范围和审查警报的人员；未受管理的设备和被盗的云端身份都在其视野之外。
什么是终端，为什么它很重要
终端是指任何连接到您的网络或云服务、代表用户或业务流程运行软件的设备：Windows和macOS笔记本电脑、台式机、服务器，以及越来越多的手机和平板电脑。人们在终端上打开附件、运行安装程序、输入密码和保存文件，因此勒索软件在这里加密数据，攻击者也在这里建立据点。
终端安全不是单一产品，而是一套分层的控制措施：尽量阻止恶意代码运行，在预防失效时发现它，并为相关人员提供快速响应的工具。弄清每一层各自负责什么，才能看出哪里存在缺口。
防病毒、新一代防病毒与EDR
这几个术语在营销宣传中经常被混用，但它们描述的是不同的能力。
基于特征码的防病毒
把文件与已知恶意软件特征库进行比对。对已知威胁快速可靠，但新出现或经过修改的恶意软件，以及利用合法工具发起的攻击，都可能漏网。
新一代防病毒
增加了机器学习模型、行为监控、漏洞利用防护和实时云端信誉检查，能够拦截从未见过的可疑文件和操作。Windows内置的Microsoft Defender防病毒在启用云提供的保护后，就是以这种方式工作的。
终端检测与响应（EDR）
持续记录设备上发生的一切，并把这些遥测数据发送到云端控制台，由检测逻辑从中寻找攻击者行为。它支持调查和响应操作。Microsoft Defender for Business和Defender for Endpoint都具备EDR能力。
扩展检测与响应（XDR）
XDR把终端信号与身份、电子邮件和云应用信号关联起来，这样一次从钓鱼邮件开始、最终落到某台笔记本电脑上的攻击，就能被视为同一起事件。
EDR遥测会记录哪些内容
EDR代理在操作系统层面监视各类事件：进程创建及其使用的命令行、父子进程关系、文件创建和修改、注册表更改、网络连接、脚本执行、驱动加载、登录，以及与凭据窃取相关的内存技术。单独来看，这些事件都很平常；合在一起，就构成了一条时间线。
检测逻辑寻找的是行为模式，而不是文件。文字处理软件启动PowerShell并从互联网下载内容、备份工具被停止且卷影副本被删除、某个工具读取凭据所在的内存——无论是否存在已知的恶意文件，这些都属于可疑行为。EDR正是靠这种方式发现那些利用系统自带管理工具的攻击者，这种手法通常被称为“就地取材”（living off the land）。
遥测数据在事后同样重要。警报触发时，响应人员可以沿着进程树追溯到引发事件的邮件附件或下载，查看还有哪些设备与同一地址通信过，并判断事件波及的范围。
检测到异常后会发生什么
检测只有在带来及时、适度的响应时才有意义。典型的处理流程如下。
警报与分诊
平台发出带有严重程度和上下文信息的警报。系统可能会运行自动调查，再由人员判断它是恶意的、无害的，还是需要更多信息。
遏制
如果确认是恶意活动，响应人员可以终止进程、隔离文件或隔离设备。设备隔离会阻断除与安全控制台连接之外的所有网络流量，在阻止扩散的同时保留设备以供调查。
调查影响范围
响应人员检查时间线，在其他设备上查找相同的入侵指标，并审查身份登录记录，以防凭据已被窃取。
修复
清除持久化机制，重置受影响的凭据并撤销会话，修补被利用的弱点；如果无法恢复对设备的信任，就重装系统。
总结改进
记录事件经过，调整检测规则和排除项，并弥补缺口——无论是漏打的补丁、不必要的管理员权限，还是员工需要接受的培训。
减少检测需求的预防层
检测与响应工具在已经加固过的设备上效果最好。以下控制措施可以直接消除许多攻击途径。
- 及时为操作系统、浏览器和常用应用打补丁，优先处理已知正被积极利用的漏洞。
- 取消日常账户的本地管理员权限，并使用Windows LAPS等受管理的本地管理员密码方案。
- 启用攻击面减少规则，例如禁止Office应用创建子进程；先以审核模式运行，再正式强制执行。
- 开启防篡改保护，防止攻击者或好心办坏事的用户停用安全代理。
- 使用BitLocker或FileVault加密磁盘，这样设备丢失或被盗时数据也不会外泄。
- 使用应用程序控制，或至少阻止未签名的脚本，以及远程访问软件等工具的常见滥用。
- 保持主机防火墙开启，并把RDP等入站远程访问限制在确有需要的人员和网络范围内。
规划时需要考虑的局限性
终端安全只能保护安装了代理的设备。个人电脑、未受管理的外包人员笔记本电脑、网络设备、打印机和许多物联网设备都不在它的视野之内。资产清单和入驻启动时的检查本身就是终端安全的一部分，而不是另一件事。
它也看不到云端发生的一切。如果攻击者通过钓鱼获取了密码和会话令牌，然后在自己的电脑上用浏览器读取邮件，您的终端上可能根本不会出现任何恶意活动。身份保护、条件访问和电子邮件安全可以弥补这一缺口。
警报需要有人处理。一个堆满未审查警报的控制台几乎起不到保护作用，而为减少误报而添加的过宽排除项又可能造成盲区。请事先约定由谁审查警报、在哪些时段审查，以及他们有权采取哪些操作，例如无需等待批准即可隔离设备。
最后，有决心的攻击者会主动设法停用安全工具，有时会利用存在漏洞的已签名驱动程序。防篡改保护、快速打补丁和保持代理为最新版本可以降低这种风险，但无法消除它，因此备份和事件响应计划依然必不可少。
为小企业选择防护方案
对许多使用Microsoft 365的机构来说，Business Premium所包含的Defender for Business提供新一代防病毒和EDR，并且与租户的其他部分在同一个门户中管理。无论您选择哪款产品，都要确认它覆盖您使用的每个平台、防篡改保护已开启，并且有专人负责审查警报。
常见问题
Windows自带的防病毒软件够用吗？
在启用云保护和防篡改保护后，Microsoft Defender防病毒是一款能力不错的新一代防病毒软件。但它本身不提供EDR的调查和响应功能，这些功能需要Defender for Business、Defender for Endpoint或同类产品。
EDR会让电脑变慢吗？
现代代理设计得很轻量，大多数用户在日常使用中察觉不到。问题通常出在同时运行两款相互冲突的安全产品上，因此部署新代理时请卸载旧的防病毒软件。
有了EDR，还需要备份吗？
需要。EDR可以降低遭受攻击的几率和影响，但无法逆转所有后果。硬件故障、误删除以及得逞的勒索软件攻击，仍然需要经过测试且受保护的备份。
隔离设备会清除设备上的数据吗？
不会。隔离只是阻断除与安全平台通信之外的网络连接，数据和证据都保留在原处。设备经过调查和清理后，就会解除隔离。
检查您的设备受保护的程度
终端安全评估会审查您所有设备上的代理覆盖情况、配置、补丁级别和管理员权限，并为您提供一份按优先级排列的改进清单。