Endpoint Detection and Response (EDR) 系统是一种用于监控、检测和响应端点（如计算机、服务器、移动设备等）上发生的安全事件的安全技术。EDR 系统的目标是提高对潜在威胁的识别和响应能力，帮助安全团队快速识别和应对恶意行为、攻击活动、漏洞利用以及其他安全问题。

Endpoint Detection and Response (EDR) 系统是一种用于监控、检测和响应端点（如计算机、服务器、移动设备等）上发生的安全事件的安全技术。EDR 系统的目标是提高对潜在威胁的识别和响应能力，帮助安全团队快速识别和应对恶意行为、攻击活动、漏洞利用以及其他安全问题。

EDR 系统的核心功能

EDR 系统通常包括以下几个核心功能：

  1. 实时监控： EDR 系统会持续监控端点上的活动，包括文件访问、进程启动、网络连接、注册表修改等。这些活动被记录下来，并可以用于后续分析。

  2. 行为分析： EDR 系统不仅仅依赖于传统的基于签名的检测方法，还会分析端点行为的异常模式。例如，恶意软件通常会表现出异常的行为模式，如在短时间内创建大量文件或进行不寻常的网络连接。EDR 系统可以通过检测这些异常行为来识别潜在威胁。

  3. 威胁检测： EDR 系统能够通过各种方法检测威胁，包括基于签名的检测、基于行为的检测以及基于机器学习的检测等。它们可以识别已知和未知的攻击。

  4. 事件响应和调查： 一旦 EDR 系统检测到潜在的安全事件，它会生成警报，并提供详细的事件数据，帮助安全团队调查和响应。系统还可以自动采取措施，如隔离受感染的端点、终止恶意进程或阻止恶意文件的执行。

  5. 取证分析： EDR 系统可以提供详细的事件历史记录，包括文件修改、进程启动、网络流量等信息，帮助安全分析人员进行取证，分析攻击的源头、传播方式和影响范围。

  6. 集成与自动化： 许多 EDR 系统与其他安全解决方案（如 SIEM 系统、网络防火墙、漏洞扫描工具等）集成，形成一个全面的安全防护网络。此外，EDR 系统也常常支持自动化响应操作，比如自动阻止可疑进程或隔离受感染设备，帮助减轻安全团队的工作负担。

EDR 系统的优势

  • 快速检测和响应：通过实时监控和行为分析，EDR 系统能够比传统的防病毒软件更早地检测到并响应复杂的攻击活动。
  • 减少误报：行为分析和机器学习技术帮助 EDR 系统减少误报，因为它们不仅仅依赖已知的恶意软件签名，还能识别未知的攻击模式。
  • 自动化防御：EDR 系统能够在威胁发生时自动采取措施，如隔离端点或阻止攻击，减少了安全团队的反应时间。
  • 深入的调查能力：EDR 系统提供详细的日志记录和可追溯的攻击链，帮助安全团队在发生安全事件后进行详细的取证调查。

EDR 系统的工作原理

  1. 数据采集：EDR 系统会不断收集端点的各种数据（如进程、文件、网络活动、注册表修改等）并将其传送到集中存储和分析平台。
  2. 数据分析与检测：分析系统会实时或批量分析这些数据，基于规则、行为分析或机器学习算法检测出潜在的威胁。
  3. 警报生成：当检测到可疑活动时，EDR 系统会生成警报，通知安全团队进行进一步的调查和响应。
  4. 响应和修复：安全团队可以通过 EDR 系统直接响应事件，例如隔离感染的端点、停止恶意进程、删除恶意文件等。

EDR 与传统防病毒软件的区别

传统的防病毒（AV）软件主要依赖于签名库来识别已知的恶意软件，但这种方法对于新型的、未知的攻击并不有效。而 EDR 系统不仅可以基于签名进行检测，还通过行为分析和其他高级技术识别和应对未知威胁，具有更高的检测能力和响应速度。

典型的 EDR 产品

一些常见的 EDR 产品包括：

  • CrowdStrike Falcon：提供全面的端点防护和高级威胁检测。
  • Microsoft Defender for Endpoint：集成在 Windows 操作系统中的端点防护解决方案。
  • SentinelOne：利用人工智能进行威胁检测和自动响应。
  • Sophos Intercept X：结合防病毒和 EDR 功能，具有行为检测和修复能力。
  • Carbon Black：提供端点监控和行为分析，适用于企业级安全。

 

EDR 系统是现代企业安全防护的重要组成部分，能够有效提升对复杂攻击的检测、响应和恢复能力，特别是针对高级持续性威胁（APT）等复杂的攻击方式。与传统的防病毒软件相比，EDR 更加关注行为分析和实时响应，因此能够更早地发现并遏制攻击。

EDR 系统的底层原理主要依赖于数据采集、行为分析和威胁检测。其工作流程通常如下：

  1. 数据采集：EDR 系统通过代理在端点设备上收集各种实时数据，包括进程、文件系统、网络活动、注册表修改等。这些数据持续被传送至中央服务器进行处理。

  2. 数据存储与处理：采集到的数据被存储在集中式数据库中，并通过先进的分析引擎进行实时或历史数据分析。这些引擎通过规则、行为模式分析和机器学习技术来识别潜在的恶意活动。

  3. 威胁检测：EDR 通过行为检测和签名检测的结合，识别已知和未知的攻击。例如，检测到恶意软件的行为模式（如异常文件创建、网络连接等），或基于机器学习算法识别出潜在的零日攻击。

  4. 响应与修复：一旦检测到安全事件，EDR 系统会生成警报，并可以自动执行响应措施，如隔离受感染端点、终止恶意进程或阻止恶意文件的执行。

这种架构使得 EDR 在应对复杂威胁时能够提供快速响应与深度调查，区别于传统的基于签名的防病毒软件。

Endpoint Detection and Response (EDR) 系统的架构通常由多个组件组成，每个组件都在不同的层面执行特定的任务，协同工作以实现对端点的全面监控、检测和响应。以下是 EDR 系统的典型架构组成部分：

1. 数据采集层（Data Collection Layer）

数据采集层负责从受保护的端点设备（如计算机、服务器、移动设备等）收集各种类型的数据。这些数据为后续分析提供基础。

  • 数据类型：包括进程行为、文件操作、注册表活动、网络连接、系统调用、内存内容等。
  • 采集方式：通常使用轻量级的代理（Agent）安装在端点设备上，这些代理负责收集和传输数据。代理能够高效地实时记录端点的活动，并将数据发送到中心平台。
  • 采集频率：数据的采集通常是实时的或近实时的，确保能够及时捕捉到潜在的安全事件。

2. 数据存储层（Data Storage Layer）

数据存储层负责存储从端点设备收集的所有原始事件数据。该层通常需要高效的存储系统，支持大规模的数据存储和快速查询。

  • 存储方式：数据通常存储在集中式数据库中，可以是关系型数据库（如 SQL Server）、NoSQL 数据库（如 Elasticsearch）或分布式存储系统。
  • 存储结构：存储的数据不仅包括事件数据，还包括各种元数据（如事件时间戳、设备信息等）和上下文数据（如用户活动、应用程序行为等）。
  • 数据保留：通常会设定数据保留策略，根据业务需求决定存储多长时间的数据。

3. 数据处理与分析层（Data Processing & Analysis Layer）

数据处理和分析是 EDR 的核心，它负责对收集到的数据进行实时或批量分析，以识别潜在的安全威胁。这个层次包含了以下几个子组件：

  • 规则引擎：基于预定义的规则（例如，已知恶意软件签名、特定的行为模式等）对数据进行初步分析和筛选。规则引擎可以识别常见的已知威胁，如病毒、木马、勒索软件等。
  • 行为分析：EDR 不仅依赖签名匹配，还使用行为分析技术来检测未知的攻击。例如，通过分析进程行为、文件修改模式、系统调用等，检测出不正常的活动。常见的行为包括恶意文件下载、大量文件加密、系统异常重启等。
  • 机器学习和AI分析：一些高级 EDR 系统还采用机器学习模型来识别新型或零日攻击。机器学习能够从大量的端点数据中学习，识别出非典型的、难以通过传统规则检测到的异常行为。
  • 威胁智能（Threat Intelligence）：有些 EDR 系统集成了外部威胁情报源，能够及时识别全球范围内的新兴攻击方法或攻击者。通过结合这些情报，EDR 系统能更加精准地识别和应对威胁。

4. 警报和事件管理层（Alerting & Incident Management Layer）

一旦数据分析层检测到潜在的安全事件或攻击，系统会生成警报并通知安全团队。警报层通常包含以下功能：

  • 实时警报：当 EDR 系统检测到攻击时，会生成实时警报，通知安全运营中心（SOC）团队进行响应。警报会提供详细的事件信息，包括攻击的类型、来源、影响范围等。
  • 事件分类与优先级：根据威胁的严重性、攻击的类型和影响的广泛性，EDR 系统通常会为警报分配优先级，帮助安全团队集中精力处理最紧急的事件。
  • 事件管理：EDR 系统提供集中的事件管理界面，帮助安全团队对检测到的威胁进行后续调查和响应。通过这个界面，安全团队可以查看历史警报、追踪事件的响应过程以及进行取证分析。

5. 响应与修复层（Response & Remediation Layer）

响应层是 EDR 系统的另一关键组件，它帮助安全团队采取措施，减轻攻击的影响，并修复受感染的端点。

  • 自动响应：一些 EDR 系统支持自动响应功能。例如，在检测到恶意软件时，系统可以自动隔离受感染的端点、终止恶意进程、删除恶意文件等。
  • 手动响应：安全团队也可以通过 EDR 控制台手动触发响应操作，如封锁 IP 地址、隔离受感染设备、恢复系统配置等。
  • 修复与恢复：响应层还帮助安全团队修复受感染的端点，恢复正常运行。它可能包括清除恶意软件、修补系统漏洞或恢复被篡改的文件。

6. 可视化和报告层（Visualization & Reporting Layer）

可视化和报告层负责将收集到的数据和分析结果以易于理解的形式呈现给安全分析人员。该层通常包括以下功能：

  • 仪表盘（Dashboard）：安全人员可以通过仪表盘查看系统的健康状况、威胁检测情况、响应进度等关键指标。
  • 图形化展示：使用图表、时序图等方式，直观展示端点活动、攻击路径、攻击链等，帮助分析人员理解攻击行为及其发展过程。
  • 报告生成：生成详细的安全报告，记录事件的检测、响应和修复过程，供事后分析或合规审计使用。

7. 集成与协同层（Integration & Orchestration Layer）

EDR 系统通常与其他安全工具和 IT 系统集成，以便协同工作，提升整体安全防护能力。

  • 与 SIEM 系统集成：EDR 系统可以将检测到的安全事件与安全信息和事件管理（SIEM）系统集成，以进行更全面的分析和报告。
  • 与防火墙、IDS/IPS 集成：与网络层防护系统协同工作，提高对跨层攻击的防御能力。
  • 与自动化响应工具集成：EDR 系统可以与自动化响应平台（如 SOAR）集成，实现更智能的攻击响应和处理。

 

EDR 系统的架构是高度模块化且层次化的，通过多层次的数据采集、分析、响应和报告，能够提供强大的端点安全防护能力。其核心优势在于能够实时监控端点行为，快速检测和响应潜在威胁，尤其是针对零日攻击、内外部攻击者、复杂的攻击链等复杂的安全问题。

Endpoint Detection and Response (EDR) 框架

Endpoint Detection and Response (EDR) 是一种综合性的端点安全技术，旨在通过对端点（如计算机、服务器和移动设备）进行全面监控、分析、检测、响应和调查，以识别并应对各种类型的安全威胁。其框架包括了多个层次和关键组件，协同工作以提供全方位的防护。

以下是 EDR 框架 的核心构成及其工作原理：

1. 数据采集（Data Collection）

数据采集是 EDR 系统的第一步，主要任务是从端点设备中收集各种安全相关的信息。数据采集可以通过代理程序（agent）或其他方式在端点上进行。

  • 采集内容：

    • 进程活动：启动的程序、进程以及它们的行为。
    • 文件操作：文件的创建、删除、修改、移动等。
    • 网络连接：包括端点和外部网络之间的通信情况。
    • 注册表活动：在 Windows 系统中，注册表操作是常见的恶意行为活动之一。
    • 内存活动：监视内存中运行的恶意代码或进程。
    • 系统调用：监控操作系统核心层面的调用，识别潜在的恶意行为。

  • 数据传输：

    • 采集到的数据通常会实时传输到 EDR 平台进行进一步分析。为了减少网络带宽的消耗，通常会使用压缩、加密等技术确保数据传输的效率与安全性。

2. 数据存储与管理（Data Storage & Management）

数据采集后需要进行存储，以便进行长期分析和后续的取证。EDR 系统的存储层包括了多个部分：

  • 数据存储：

    • 存储端点的事件数据、日志信息、元数据（如设备、用户信息）等。
    • 数据库通常采用分布式或集中式存储，常用的存储方式包括 SQL、NoSQL 或 Elasticsearch 等大数据处理框架。

  • 数据管理：

    • 需要确保数据的完整性和一致性，保证数据不会被篡改。
    • 还需要提供快速的数据查询能力，以支持实时检测和快速响应。

3. 数据处理与分析（Data Processing & Analysis）

这一层是 EDR 框架的核心，负责对收集到的数据进行深入分析，找出潜在的安全威胁。数据分析通常包括以下几个重要环节：

  • 规则引擎：

    • 规则引擎基于预定义的签名或模式（如已知病毒、木马的特征）对端点数据进行分析。比如，常见的恶意文件签名、进程行为或已知攻击模式。

  • 行为分析（Behavioral Analysis）：

    • 行为分析是 EDR 系统识别未知威胁的重要方法。它通过观察和学习端点上正常的行为模式，从而识别出异常或恶意行为。例如，进程尝试修改大量文件、异常的网络流量、恶意的系统调用等。

  • 基于机器学习的分析（Machine Learning Analysis）：

    • 高级 EDR 系统会使用机器学习技术分析数据。通过不断从大量的端点数据中提取特征，模型可以识别未知的或零日攻击。这种方法通常通过异常检测、聚类分析等方式进行。

  • 威胁情报集成（Threat Intelligence Integration）：

    • 威胁情报源（如全球安全事件数据库、外部安全情报）可以与 EDR 系统结合，提高检测的准确性。通过结合外部的情报源，EDR 能够实时了解新的威胁趋势或攻击手法。

4. 事件响应与修复（Response & Remediation）

一旦 EDR 系统检测到潜在的安全事件，必须立即采取行动，限制攻击的扩展，并恢复正常状态。此层的功能包括：

  • 自动响应（Automated Response）：

    • 在某些情况下，EDR 系统可以自动采取响应措施，如隔离受感染设备、阻止恶意进程、封锁恶意 IP 地址、删除恶意文件等。

  • 手动响应：

    • 安全操作人员可以通过控制台手动触发响应操作，如关闭端点、终止攻击行为、启动防御机制等。

  • 事件修复：

    • 一旦攻击得到确认，EDR 系统通常会提供修复工具，帮助恢复被破坏的系统状态。例如，清除恶意软件、恢复被篡改的文件、修复安全漏洞等。

5. 事件管理与取证（Incident Management & Forensics）

当安全事件发生时，EDR 系统需要提供强大的事件管理和取证功能，帮助安全团队对事件进行调查、分析并做出响应决策。

  • 事件追踪与分析：

    • 安全人员可以查看详细的事件链，从而理解攻击的路径、受影响的范围以及攻击者的行为。
    • EDR 系统会记录攻击的各个步骤，帮助团队追溯攻击源、分析攻击手段。

  • 取证功能：

    • EDR 系统通常具备一定的取证功能，可以收集与攻击事件相关的证据，例如恶意进程执行日志、内存数据、网络活动等。
    • 这些证据可以作为后续的法律调查或事件分析的一部分。

6. 报告与可视化（Reporting & Visualization）

报告和可视化功能使得 EDR 系统能够将检测到的事件和响应过程以直观的方式呈现给安全团队和管理层。

  • 仪表盘（Dashboard）：

    • 实时呈现端点的安全状态、威胁检测和响应进度等信息，帮助安全团队快速了解整体安全态势。

  • 图形化分析：

    • 使用图表、事件链图等方式，展现攻击活动、攻击路径、攻击来源等信息，帮助团队全面理解威胁。

  • 报告生成：

    • EDR 系统生成详细的事件报告，记录事件的发现、分析、响应等全过程。报告可以用于合规审计、内部分析和高层汇报。

7. 集成与自动化（Integration & Orchestration）

EDR 系统的有效性往往与其他安全工具（如 SIEM 系统、SOAR 平台、IDS/IPS、防火墙等）集成密切相关。集成与自动化能够帮助实现跨工具的协同工作、提升响应速度和效率。

  • SIEM 集成：

    • 与 SIEM 系统（安全信息和事件管理系统）集成，可以实现跨平台的事件聚合和分析，提供更广泛的威胁检测能力。

  • SOAR 集成：

    • 与 SOAR（安全编排、自动化与响应）系统集成，可以实现自动化响应和工作流管理，进一步提高响应效率。

 

EDR 框架以 数据采集、存储、分析、响应、取证、报告和集成 为核心，形成了一个完整的安全防护体系。其目的是通过对端点的全面监控和深度分析，及时发现并响应各种恶意攻击，尤其是零日攻击、内部威胁和高级持续性威胁（APT），从而帮助组织最大程度地降低安全风险并实现高效的安全管理。

BootExecute EDR 绕过

Boot Execute 允许原生应用程序——具有 NtProcessStartup 入口点且仅依赖于 ntdll.dll 的可执行文件——在 Windows 操作系统完全初始化之前运行。这发生在 Windows 服务启动之前。历史上，攻击者利用这一机制作为一种简单的持久化方法。然而，使用此功能需要管理员权限，以便修改相应的注册表项并将可执行文件放置在 %SystemRoot%\System32 目录中。

由于这些原生应用程序在安全机制完全启用之前执行，这为在我们以 SYSTEM 权限运行时删除关键应用程序文件并破坏杀毒软件（AV）和端点检测响应（EDR）系统提供了机会。

本项目中包含的代码是一个示例，演示了如何利用这个“特性”在端点安全产品有机会阻止我们之前禁用它们。

使用方法

  1. 编译二进制文件。
  2. 将 BEB.exe 放置在 C:\Windows\System32\ 目录中。
  3. 添加注册表项以创建你的 Boot Execute 二进制文件：
    bashCopy Code
    reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager" /v "BootExecute" /t REG_MULTI_SZ /d "autocheck autochk *\0BEB" /f

内部本机应用程序 - Sysinternals | Microsoft Learn

 

posted @ 2024-12-07 00:13  suv789  阅读(44)  评论(0)  编辑  收藏  举报