EDR 是什么？企业为什么需要端点防护？
EDR 可协助企业保护分散在不同地点的端点装置，成为资安利器。但端点是什么？端点会面对什么样的资安威胁？本文将介绍 EDR 的定义、运作原理、常见威胁类型与实际效益，并比较 EDR 与其他资安防护技术的差异。
EDR 是什么？
Endpoint Detection and Response 中文称为「端点侦测及应变」，简写为 EDR，是一种资安技术，针对端点收集资料、进行监控，并在侦测到潜在威胁时，第一时间回应，并通知企业资安团队，将网路攻击的影响降至最低，避免机敏资料遭删改或外泄。
2013 年美国资讯科技顾问公司高德纳（Gartner）的资安专家安东・楚瓦金（Anton Chuvakin）创造了 「端点威胁侦测及应变（Endpoint Threat Detection and Response）」一词，泛指主要目的为侦测及调查可疑活动及其踪迹的工具，后简化为 EDR。而由于网路攻击日渐严重，EDR 的重要性逐年增加。
端点是什么？
端点面对什么样的网路攻击
端点是使用者用来连接网路的装置，也因此可能跟企业以外的网路接触，成为企业资讯系统中的较容易遭受攻击的目标。几乎所有常见的网路攻击，都可能威胁到端点，常见的包括：
- 恶意软体：恶意软体的目的为伤害电脑、装置、资讯系统的程式码，种类和方式都繁多，可以藉由多种途径感染目标，常见的有：木马程式、勒索病毒、蠕虫等。
- 钓鱼攻击：钓鱼攻击是一种透过假造的情境或网站的方式，骗取受害者的机敏资料，例如登入帐号密码、信用卡资料等。
- 内部威胁：由企业内部的人员进行的网路攻击，内部人员已经具有一定权限，发动攻击更加容易。
- 未修补的漏洞：许多软体在设计或开发时，可能存在尚未发现的安全漏洞。当软体厂商释出修补程式（Patch）后，若企业或使用者没有及时更新，就会留下「未修补的漏洞」，成为骇客攻击的目标。 WannaCry 勒索病毒即是利用漏洞攻击端点的著名案例。
- 行动装置威胁：除了电脑以外，现在也有许多针对手机、平板等行动装置的勒索病毒与恶意软体。这些恶意程式可能伪装成一般 App，诱骗使用者下载安装，或是透过钓鱼简讯引导点击连结，进而窃取机敏资料、锁定装置内容并要求赎金。
- IoT 设备威胁：许多智慧家电与连网装置未更改预设密码或缺乏更新，易遭骇客入侵并用于组成僵尸网路，进行大规模攻击，导致网路服务中断或资料外泄。
EDR 如何运作
EDR 技术在实际应用上，可能会因为不同企业的架构与需求而异，但是通常来说，可以分为「侦测」与「应变」两大部分：
侦测
- 端点监控：持续监视各个端点上的活动，例如执行中的程式、存取的档案、网路连接活动等。
- 事件记录：将监控到活动记录下来，统一传送给企业内部的资安人员。
- 分析监控记录：对比资安资料库中已知的威胁，识别网路攻击。同时利用 AI 与机器学习技术，协助资安人员分析监测纪录，侦测未知的威胁。
- 侦测异常活动：辨识到的已知和未知的网路攻击。
应变
- 示警与提供情报：向资安团队提出警告，并提供可以协助深入分析资安威胁的情报，例如时间、主机名称、恶意程式位置、IP 位置等等。
- 采取补救措施：停止可疑进程继续运作、驱逐入侵者、隔离恶意程式或感染的端点，或直接删除恶意软体／恶意程式码等，第一时间防止恶意攻击扩散。
EDR 和传统资安防护有什么不同
传统资安防护措施如防火墙、WAF、IDS、IPS、IDP 以及防毒软体，虽然也可针对端点进行保护，但主要依赖已知的攻击特征与威胁资料库，无法主动侦测未知威胁或持续监控异常行为。因此，这些工具通常无法即时辨识骇客潜伏期间的可疑活动。
相较之下，EDR 能提供更主动且持续的端点防护。 EDR 可在资安事件发生前的潜伏期，即时监控端点行为，发现异常活动时可自动采取措施，例如隔离可疑设备或程序。事件发生时，EDR 也能立即通报资安团队，并完整记录 Log 档，提供后续鉴识分析，强化资安事件的回应能力与未来的防御策略。
虽然 EDR 能补足传统资安防护的不足之处，但两者仍各有优势：EDR 擅长即时侦测与应变，而防毒软体则在拦截已知网路攻击方面表现稳定、效率高。
使用 EDR 的 3 大好处
- 提升可视度：EDR 可集中管理所有端点设备，不需逐一人工检查，统一监控潜在入侵行为与异常活动。所有端点的行为纪录、存取路径、档案变更等资讯都会即时汇整，方便资安人员掌握全貌，快速找出问题源头。
- 提升回应速度：当侦测到异常行为时，EDR 可第一时间发出警示，并自动或远端手动隔离受感染装置，防止恶意软体进一步扩散。此外，透过自动化资料整理与分析，大幅减少人工作业错误与反应延迟。
- 主动威胁搜捕：EDR 不只是被动防守，它还具备主动威胁搜捕（Threat Hunting）功能，能针对异常模式、自订行为规则，持续挖掘潜藏于内部网路的恶意活动。这让企业能在骇客造成破坏前，先行预警并处置。
EDR vs MDR vs NDR vs XDR
资安技术和解决方案，从针对端点的 EDR 又再延生出 MDR、NDR、XDR，各以不同的方式或在不同的范围，监控活动、侦测资安威胁。
- MDR 托管式侦测与应变：由第三方公司提供的 EDR 服务，代企业利用 EDR 的技术与工具，进行网路安全防护工作。
- NDR 网路侦测与回应：和 EDR 运作方式类似，但范围不同。 NDR 针对网路流量监控，并收集、分析活动资料，侦测潜在的威胁。
- XDR 延伸式侦测与回应：涵盖范围比 EDR、NDR 更大的侦测与回应技术，除了端点、网路流量以外，也监控电子邮件、应用程式、伺服器及云端工作负载等部分。
| EDR | MDR | NDR | XDR | |
| 性质 | 资安技术 | 资安服务 | 资安技术 | 资安技术 |
| 监控范围 | 端点 | 端点 | 网路流量 | 整体 IT 系统（端点、网路、电子邮件、云端） |
在资安威胁无所不在的时代，企业不只需要「防堵」，更需要即时「侦测」与「应变」。 EDR 结合监控、分析与主动回应功能，为企业端点安全提供关键保障。虽然传统防毒与防火墙仍有其价值，但导入 EDR 更为企业建立多层次防御架构的重要一环，帮助资安团队抢得防御先机、降低风险冲击。欢迎与我们联络，为您规划专属 EDR 资安防护。
立即联络晟崴科技，为您打造资安解决方案
