演示机型：华为MateBook X    系统版本：win10    

edr和杀毒软件防御不同。EDR是主动防御，可以让用户知道攻击者何时进入网络，并在发生攻击时检测攻击路径，帮助用户及时对安全事件作出反应。杀毒软件是被动防御，杀毒软件对攻击期间发生的情况一无所知，它能在病毒入侵系统前做防护，但不能告知恶意软件来自哪里，以及它们是如何在系统中传播的。

小编还为您整理了以下内容，可能对您也有帮助：

演示机型：华为MateBook X系统版本：win10

edr和杀毒软件防御不同。EDR是主动防御，可以让用户知道攻击者何时进入网络，并在发生攻击时检测攻击路径，帮助用户及时对安全事件作出反应。杀毒软件是被动防御，杀毒软件对攻击期间发生的情况一无所知，它能在病毒入侵系统前做防护，但不能告知恶意软件来自哪里，以及它们是如何在系统中传播的。

装了edr就不需要防病毒软件了吗？

两者最本质的区别是杀毒软件主要用来防病毒,edr来主要是行为管理，理论可防病毒。两者定位不同,个人认为不能替代杀毒软件。如果为成本考虑，直接用启用微软自带的就好了。

网络安全中edr是什么意思

本教程操作环境：windows7系统、Dell G3电脑。

端点检测与响应(Endpoint Detection & Response，EDR)是一种主动式端点安全解决方案，通过记录终端与网络事件，将这些信息本地化存储在端点或者集中在数据库。EDR 会集合已知的攻击指示器、行为分析的数据库来连续搜索数据和机器学习技术来监测任何可能的安全威胁，并对这些安全威胁做出快速响应。还有助于快速调查攻击范围，并提供响应能力。

能力

预测：risk assessment（风险评估）；anticipate threats（预测威胁）；baseline security posture（基线安全态势）。

防护：harden systems（强化系统）；isolate system（隔离系统）；prevent attacks（防止攻击）。

检测：detect incidents（检测事件）；confirm and prioritize risk（确认风险并确定优先顺序）。contain incidents（包含事件）。

响应：remediate（补救）；design policy change（设计规则变更）；investigate incidents（调查事件）。

安全模型

相比于传端点安全防护采用预设安全策略的静态防御技术，EDR 加强了威胁检测和响应取证能力，能够快速检测、识别、监控和处理端点事件，从而在威胁尚未造成危害前进行检测和阻止，帮助受保护网络免受零日威胁和各种新出现的威胁。安全模型如图所示：

1、资产发现

定期通过主动扫描、被动发现、手工录入和人工排查等多种方法收集当前网络中所有软硬件资产，包括全网所有的端点资产和在用的软件名称、版本，确保整个网络中没有安全盲点。

2、系统加固

需要定期进行漏洞扫描，打补丁、对安全策略进行更新和进一步细化，通过白名单现在未授权的软件进行运行，通过防火墙为授权就开启服务器端口和服务，最好能定期检查和修改清理内部人员的账号和密码还有授权信息。

3、威胁检测

通过端点本地的主机入侵检测进行异常行为分析，针对各类安全威胁，在其发生之前、发生中、和发生后作出相应的防护和检测行为。

4、响应取证

针对全网的安全威胁进行可视化展示，对威胁自动化地进行隔离、修复和抢救，降低事件响应和取证的门槛，这样就不需要依赖于外部专家就可以完成应急响应和取证分析。

功能

调查安全事件；

将端点修复为预感染状态；

检测安全事件；

包含终端事件；

工作原理

一旦安装了 EDR 技术，马上 EDR 就会使用先进的算法分析系统上单个用户的行为，并记住和连接他们的活动。

感知系统中的某个或者特定用户的异常行为，数据会被过滤，防止出现恶意行为的迹象，这些迹象会触发警报然后我们就去确定攻击的真假。

如果检测到恶意活动，算法将跟踪攻击路径并将其构建回入口点。 （关联跟踪）

然后，该技术将所有数据点合并到称为恶意操作 (MalOps) 的窄类别中，使分析人员更容易查看。

在发生真正的攻击事件时，客户会得到通知，并得到可采取行动的响应步骤和建议，以便进行进一步调查和高级取证。如果是误报，则警报关闭，只增加调查记录，不会通知客户

体系框架

EDR 的核心在于：一方面，利用已有的黑名单和基于病毒特征的端点静态防御技术来阻止已知威胁。另一方面，通过云端威胁情报、机器学习、异常行为分析、攻击指示器等方式，主动发现来自外部或内部的各类安全威胁。同时，基于端点的背景数据、恶意软件行为以及整体的高级威胁的生命周期的角度进行全面的检测和响应，并进行自动化阻止、取证、补救和溯源，从而有效地对端点进行安全防护。

EDR 包括：端点、端点检测与响应中心、可视化展现三个部分，体系框架如图所示：

端点：在 EDR 中，端点只具备信息上报、安全加固、行为监控、活动文件监控、快速响应和安全取证等基本功能，负责向端点检测与响应中心上报端点的运行信息，同时执行下发的安全策略和响应、取证指令等。

端点检测与响应中心：由资产发现、安全加固、威胁检测、响应取证等中心组成。

可视化：展现针对各类端点安全威胁提供实时的可视性、可控性，降低发现和处置安全威胁的复杂度，辅助用户更加快速、智能地应对安全威胁。

检测威胁类型

恶意软件 (犯罪软件、勒索软件等)

无文件型攻击

滥用合法应用程序

可疑的用户活动和行为

要素类型和收集类型

EDR 是独一无二的，因为它的算法不仅可以检测和打击威胁，还可以简化警报和攻击数据的管理。 使用行为分析来实时分析用户活动，可以在不干扰端点的情况下立即检测潜在威胁。 它通过将攻击数据合并到可以分析的事件中，与防病毒和其他工具一起使用可以为你提供一个安全的网络，从而增强了取证分析的能力。

端点检测和响应通过安装在端点上的传感器运行而不需要重新启动。 所有这些数据被拼接在一起，形成了一个完整的端点活动图，无论设备位于何处。

主要技术

智能沙箱技术

针对可疑代码进行动态行为分析的关键技术，通过模拟各类虚拟资源，创建严格受控和高度隔离的程序运行环境，运行并提取可疑代码运行过程中的行为信息，实现对未知恶意代码的快速识别。

机器学习技术

是一门多学科交叉知识，是人工智能领域的核心，专门研究计算机如何模拟实现人类的学习行为，通过获取新的技能知识重组已有的知识体系，并不断完善自身性能。在大规模数掘处理中，可以自动分析获得规律，然后利用这些规律预测未知的数据。

数字取证技术

数字取证是指对具有足够可靠和有说服力的，存在于计算机、网络、电子设备等数字设备中的数字证据，进行确认、保护、提取和归档的过程。在 EDR 中，数字取证要克服云计算环境取证、智能终端取证、大数据取证等关键技术，自动定位和采集端点人侵电子证据，降低取证分析的技术门槛，提高取证效率及其分析结果的准确性，为端点安全事件调查、打击网络犯罪提供技术支持。

EDR 优缺点

优点

EDR 具有精准识别攻击的先天优势。端点是攻防对抗的主战场，通过 EDR 在端点上实施防御能够更加全面地搜集安全数据，精准地识别安全威胁，准确判定安全攻击是否成功，准确还原安全事件发生过程。

EDR 完整覆盖端点安全防御全生命周期。对于各类安全威胁事件，EDR 在其发生前、发生中、发生后均能够进行相应的安全检测和响应动作。安全事件发生前，实时主动采集端 安全数据和针对性地进行安全加固；安全事件发生时，通过异常行为检测、智能沙箱分析等各类安全引擎，主动发现和阻止安全威胁；安全事件发生后，通过端点数据追踪溯源。

EDR 能够兼容各类网络架构。EDR 能够广泛适应传统计算机网络、云计算、边缘计算等各类网络架构，能够适用于各种类型的端点，且不受网络和数据加密的影响。

EDR 辅助管理员智能化应对安全威胁。EDR 对安全威胁的发现、隔离、修复、补救、调查、分析和取证等一系列工作均可自动化完成，大大降低了发现和处置安全威胁的复杂度，能够辅助用户更加快速、智能地应对安全威胁。

缺点

EDR 的局限性在于并不能完全取代现有的端点安全防御技术。EDR 与防病毒、主机防火墙、主机入侵检测、补丁加固、外设管控、软件白名单等传统端点安全防御技术属于互补关系，并不是取代关系。

技术前提

要想使用或者更好的的理解 EDR 就需要对一些知识有了解，这样才能更好地的使用和理解 EDR 的原理和使用方法。

熟悉 Linux 环境，python 或 shell，Java；

熟悉 hadoop，spark 等大数据组件；

熟悉数据挖掘与分析（比如进行风险等级划分），数据统计技术（比如一些置信度的计算），机器学习技术（分类检测等），深度学习技术，大数据分析技术（主要是关联分析），漏斗分析法等。

熟悉 mysql 或 nosql 数据库，集中存储的数据库，分布式存储的数据库。

EDR 是什么意思

EDR即Enhanceddatarate，是蓝牙技术中增强速率的缩写，其特色是大大提高了蓝牙技术的数据传输速率，达到了2.1Mbps，是目前蓝牙技术的三倍。

主要优势：

因此除了可获得更稳定的音频流传送的更低的耗电量之外，还可充分利用带宽优势同时连接多个蓝牙设备，目前诸如多普达710等手机已经开始支持蓝牙EDR技术。

edr能代替杀毒吗

亲 你好 eEr完全具备杀病毒和防病毒功能，终端安全响应系统是传统终端安全产品在高级威胁检测和响应方面的扩展和补充。

网络攻击升级，提供安全防御技术有哪些

我们常用的网络安全防御技术，主要包括防火墙，杀毒软件，网址过滤，终端检测和响应，以及浏览器隔离解决方案！

以下是各自的最佳操作，希望对你有帮助：

防火墙

防火墙是常用的终端保护平台，可作为终端与互联网之间的屏障。防火墙过滤通过互联网进入网络或终端的信息。如数据包被标记，则不允许通过。以下是防火墙设置和使用的一些最佳实践：

1、请勿购买第一个碰到的。在线搜索并与同行协商，根据您的需求寻找最合适的选择

2、请专家配置和管理防火墙。如果您没有内部专家（例如您的IT团队），请考虑将此任务外包给外部专家

3、确保每个终端都具有软件防火墙保护，并且每个互联网连接/服务器都具有硬件防火墙保护。

杀毒（AV）软件

杀毒（AV）软件通常直接安装在终端上，并可检测和删除恶意应用程序。传统杀毒软件使用病毒数据库来识别潜在的威胁，然后将其隔离和销毁，而下一代杀毒（NGAV）解决方案通常采用其他技术，而不仅仅依赖病毒数据库，来帮助识别威胁。使用杀毒软件时，请遵循以下做法：

1、选择一个优质的杀毒软件。虽然基本的免费杀毒解决方案在整个网络随处可见，但值得去购买更先进的解决方案，以提供更高程度的保护

2、确保网络上的每个终端都装有自身的杀毒软件，并且该软件会定期更新。建议将此作为组织安全策略的一项规则

3、考虑使用额外的反间谍软件、反恶意软件和反木马软件来补充杀毒软件，以保护终端免受其他形式的恶意威胁的侵害

4、确保对终端经常进行定期全面扫描，以检测任何可能已经入侵的病毒

5、每天至少更新一次病毒数据库，以保护终端免受最新威胁的侵害

6、使用大多数现代杀毒解决方案附带的额外终端保护功能，例如启发式病毒检测和电邮扫描，以获得进一步的保护

网址过滤

使用网址过滤网络流量，阻止用户访问已知或疑似恶意或有害网站。使用网址过滤工具时，请确保执行以下操作：

1、制定全面，确定可允许访问的网站类别

2、当用户遇到未正确分类的可疑网站时，应将其提交给网址过滤系统进行分类

终端检测和响应（EDR）

EDR系统含有复杂智能工具，可持续监视终端是否存在可疑活动或其他潜在安全问题，并在检测到异常行为时启动实时响应。在选择和实施EDR系统时，请遵守以下准则：

1、在选择适当的EDR之前，为您的组织制定全面的安全，以便您清楚了解希望EDR实现的目标

2、确保解决方案适用于网络上使用的所有类型的终端

3、选择与终端保护系统所有其他元件兼容的EDR

4、确保您选择的EDR供应商协助安装、配置和集成EDR系统

浏览器隔离解决方案

浏览器隔离解决方案是所有全面终端防护策略的重要组成部分，因其可以保护最常见的勒索软件、零日攻击，隐蔽强迫下载和其他恶意内容的攻击媒介，即网络浏览器。这些解决方案填补了诸如防火墙和杀毒软件等工具留下的关键空白，因为它们不依赖于检测威胁来防范攻击。相反，他们在虚拟机或容器等孤立的环境中运行所有活动浏览器的可执行代码，无论该活动是否为恶意。这就确保了即使万一在浏览器上运行了恶意代码，终端也不会受到影响。在实施浏览器隔离解决方案时，以下是一些最佳做法：

1、选择一个在组织网络之外的云端或网络隔离区中执行浏览会话的远程浏览器隔离解决方案（RBI）。这会将终端和网络从任何潜在风险中转移出来，以获得最佳保护

2、通过确保浏览环境在每个会话结束时重置为已知良好状态，选择一种可最大程度减少持续威胁的解决方案。例如，Ericom Shield远程浏览器隔离会在其自身的一次性容器中运行每个浏览器的页面，并在浏览会话结束时或经过预定的闲置时间后将其销毁，从而进一步降低感染风险

3、旨在为任何设备提供最佳用户体验的解决方案，最好无需任何本地安装，以便用户可以按照自己选择的设备和浏览器正常浏览，IT也无需安装或维护个人终端上的任何内容

4、确保解决方案兼容，并且可以与组织安全系统的其他组件有效集成

5、利用集成文件清理技术。一些浏览器隔离解决方案预先集成了CDR或其他工具，用于解除用户浏览时所下载文件的警报。

如果对我的回答还满意的话记得采纳哦~

edr终端防护中心能监控到聊天记录吗

不可以。

EDR仅仅是终端安全管理产品，最核心的能力是病毒APT等威胁的检测、防护、闭环处置，以及终端资产管理。涉及到信息一般也只是资产地址、终端IP地址、MAC地址、操作系统、硬件信息、软件信息（版本信息、所属厂商、安装路径等）这类的终端设备信息。EDR并非应用内容分析类产品，无法对应用内容如聊天记录等采集监测，不具备监控记录终端用户的邮件、微信等聊天软件产生的聊天记录的功能，也无法窃取任何终端用户的文件。

深信服edr会监控电脑吗

不可以。

深信服EDR主打病毒、APT类相关的威胁防护，与安全事件快速响应闭环。其产品目前并不具备对应用内容分析的功能，无法对应用内容如聊天记录等采集监测，也无法窃取任何终端用户的文件。此外，目前国家《数据安全法》《个人信息保》等都对个人信息收集是有要求的，EDR应用程序从终端采集的安全日志，深信服也仅在基于满足用户需求的目的、在用户授权委托的范围内进行处理，不可能去监控聊天记录。

深信服edr和奇安信天擎的区别？

深信服edr从事安全运维的人可能或多或少的都有一定的了解。EDR平台是将下一代防病毒元素与其他工具相结合的安全系统，可同时实现实时异常检测和警报，取证分析和端点修复等功能。它核心是通过记录终端信息与网络事件（例如用户，文件，进程，注册表，内存和网络事件），并将这些信息本地存储在端点或集中数据库，再结合已知的攻击指示器

奇安信天擎行为分析的数据库来连续搜索数据和机器学习技术来监测任何可能的安全威胁，并对这些安全威胁做出快速响应。目前奇安信天擎模式被广泛应用在企业电脑终端的安全监控中，国内一些老牌安全公司，如深信服、奇安信、安恒等都有成熟的EDR产品

想学前端开发应该从哪里入门

你可以把网络安全理解成电商行业、教育行业等其他行业一样，每个行业都有自己的软件研发，网络安全作为一个行业也不例外，不同的是这个行业的研发就是开发与网络安全业务相关的软件。

既然如此，那其他行业通用的岗位在安全行业也是存在的，前端、后端、大数据分析等等，也就是属于上面的第一个分类，与安全业务关系不大的类型。这里我们重点关注下第二种，与安全业务紧密相关的研发岗位。

这个分类下面又可以分为两个子类型：

做安全产品开发，做防

做安全工具开发，做攻

安全行业要研发的产品，主要（但不限于）有下面这些：

防火墙、IDS、IPS

WAF（Web网站应用防火墙）

数据库网关

NTA（网络流量分析）

SIEM（安全事件分析中心、态势感知）

大数据安全分析

EDR（终端设备上的安全软件）

DLP（数据泄漏防护）

杀毒软件

安全检测沙箱

总结一下，安全研发的产品大部分都是用于检测发现、抵御安全攻击用的，涉及终端侧（PC电脑、手机、网络设备等）、网络侧。

开发这些产品用到的技术主要以C/C、Java、Python三大技术栈为主，也有少部分的GoLang、Rust。

安全研发岗位，相对其他两个方向，对网络安全技术的要求要低一些（只是相对，部分产品的研发对安全技能要求并不低），甚至我见过不少公司的研发对安全一无所知。

我们单位的内网大多数电脑都带有病毒，请教各位大侠有什么好的方法可以杀毒和防护。

1、最实惠的但比较麻烦的方法是单个安装新版杀毒防护软件（360、火绒、金山等），逐个查杀，查杀完成后，日常保持各电脑的防护；

2、推荐的是：可以部署网络版杀毒防护软件，统一管理、定时查杀和更新；网络版的一般是收费的，一个点大概100-300，其实不算贵，有的有基础费1-2万。可以推荐的有360天擎、绿盟UES、深信服EDR。

3、更高要求的基本防护可以在网络入口部署防火墙、IPS、杀毒防护网关，当然各终端的杀毒防护软件还是必不可少，本来杀毒防护软件也相当于一个简易版防火墙。下载本文