实践EDR和XDR

Posted on | In | Visitors

EDR 是“盯住一台机器”，XDR 是“把整个公司的安全信号串起来看”。

EDR 是什么？

EDR = Endpoint Detection and Response，端点检测与响应。

所谓 Endpoint，就是服务器、PC、虚拟机等运行操作系统的设备。通常会在机器上安装一个 Agent，持续观察：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
服务器 / PC
   │
   ├─ 启动了什么进程？
   ├─ 谁执行了什么命令？
   ├─ 创建/修改了什么文件？
   ├─ 建立了什么网络连接？
   ├─ 有没有恶意程序？
   ├─ 有没有异常提权？
   └─ 有没有可疑持久化行为？
          │
          ▼
         EDR
          │
     检测 + 告警 + 响应

它和传统杀毒软件最大的区别是，EDR 不只是“这个文件是不是病毒”，而是关注行为和攻击链。

比如：

1
2
3
4
5
6
7
8
9
10
11
Java Web 服务
    ↓
突然启动 /bin/bash
    ↓
bash 执行 curl
    ↓
下载 xxx.jar
    ↓
Java 动态加载 Agent
    ↓
向陌生公网 IP 建立连接

单独看其中一个行为可能没问题，但 EDR 可以通过连续行为判断：

这很像服务器已经被入侵。

然后进行告警、杀进程、隔离主机、删除恶意文件等响应。

所以你可以简单记成：

EDR ≈ 每台服务器上的安全摄像头 + 保安。

XDR 是什么？

XDR = Extended Detection and Response，扩展检测与响应。

它把 EDR 的范围从“Endpoint”扩展到了整个 IT 环境。

例如：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
              XDR
               │
    ┌──────────┼──────────┐
    ↓          ↓          ↓
   EDR        WAF       Firewall
服务器行为    Web攻击     网络流量
    │          │          │
    ├──────────┼──────────┤
    ↓          ↓          ↓
 Kubernetes   IAM       Cloud
    │          │          │
    └──────────┼──────────┘
               ↓
         关联分析攻击链
               ↓
          检测 + 响应

XDR 的核心价值其实是两个字：

关联。

例如单独看这些事件：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
Akamai WAF：
某 IP 对 /api/pay 发起大量 SpEL 注入攻击

↓

Kubernetes：
某 Pod 出现异常 shell

↓

EDR：
Java 进程动态加载未知 Agent

↓

Network：
该 Pod 连接陌生公网 IP

↓

IAM：
某服务账号随后出现异常访问

每个平台分别告警时，你可能看到的是 5 个 Alert。

XDR 希望告诉你：

这不是 5 个独立告警，而是同一次攻击。

甚至进一步还原：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
攻击者
  ↓
Web 漏洞利用
  ↓
RCE
  ↓
控制 Pod
  ↓
Java Agent 注入
  ↓
读取支付进程内存
  ↓
连接 C2
  ↓
疑似数据外传

这就是 XDR 比单纯 EDR 更大的价值。

EDR、XDR、SIEM 很容易混

可以这样区分：

  EDR XDR SIEM
全称 Endpoint Detection & Response Extended Detection & Response Security Information & Event Management
重点 端点 整体攻击链 安全日志
数据来源 PC/服务器 EDR + WAF + 网络 + 云 + IAM 等 各系统日志
实时检测 强 很强 强
行为检测 强 很强 依赖规则/数据
自动响应 强 很强 通常需要 SOAR 等配合
攻击链关联 一般 核心能力 可以做到
合规/审计 一般 一般 强

所以三者不是简单替代关系。

对支付公司而言，可以把安全体系理解成：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
EDR
负责：服务器有没有被黑

        ↓

XDR
负责：把服务器、WAF、K8s、网络、IAM等
      关联起来判断“是不是一次完整攻击”

        ↓

SIEM
负责：把安全事件集中存储、检索、告警、
      审计、合规、SOC运营

EDR开源解决方案

项目 定位 EDR XDR SIEM DFIR/取证 推荐度
Wazuh 综合安全平台 ★★★★ ★★★★ ★★★★★ ★★★ ⭐⭐⭐⭐⭐
Velociraptor Endpoint DFIR / Threat Hunting ★★★★ ★★ ★ ★★★★★ ⭐⭐⭐⭐⭐
OpenEDR 纯 EDR ★★★★★ ★★ ★ ★★★ ⭐⭐⭐
osquery Endpoint Telemetry ★★★ ★ ★ ★★★ ⭐⭐⭐
Falco Linux/K8s Runtime Security ★★★ ★ ★ ★★ ⭐⭐⭐⭐
Security Onion SOC / NDR / SIEM ★★ ★★★★ ★★★★★ ★★★ ⭐⭐⭐⭐