EDR 专项：EDR 原理、检测机制（静态/行为/云安全）、绕过方式、防御加固、EDR 对比。
写在前面：合法学习边界
EDR 测试只在授权环境进行。
一、EDR 架构
1
| ① 终端 Agent → ② 行为监控 → ③ 云分析 → ④ 威胁响应 → ⑤ 安全编排
|
二、EDR 检测机制
1
2
3
| 静态检测：文件哈希 · PE 结构 · YARA 规则
行为检测：API 调用 · 内存操作 · 进程注入
云安全：威胁情报 · IOC 匹配 · ML 检测
|
三、防御加固
1
2
| 最小权限 · 应用白名单 · 及时更新 EDR
审计日志 · 异常行为告警
|
四、小结
EDR 是终端安全的核心工具。行为检测 + 云安全分析是 EDR 的核心价值。