繁體中文
選單

防毒軟體、EDR、XDR 的差異：防範或偵測、記錄、應變與範圍比較

三者都是保護端點免受攻擊的機制，但目的與監看範圍不同。防毒軟體（EPP：端點防護平台）依據已知惡意程式的特徵碼與可疑特徵，目標是在檔案執行前加以阻止。EDR則以無法完全防止入侵為前提，持續記錄端點上的程序、檔案與通訊的動作，找出可疑行為並協助調查，乃至隔離端點等應變。XDR不只端點，也整合網路、電子郵件、雲端與身分驗證等記錄並加以關聯，試圖找出整個組織中的攻擊流程。多數組織會把先行阻擋的機制，與找出漏網攻擊並應變的機制組合使用。

項目防毒軟體（EPP）EDRXDR
主要目的在惡意程式執行前找出並阻止（預防）找出入侵後的可疑動作，加以調查並應變（偵測與回應）整體找出並應變橫跨端點、網路、電子郵件、雲端等的攻擊
監看範圍端點上的檔案，以及即將執行的程式端點上程序的啟動、檔案與登錄檔的變更、通訊、登入等動作端點之外，再加上網路、電子郵件、雲端服務與身分驗證等記錄
主要偵測方式與已知惡意程式的特徵碼比對。許多產品也能從檔案的特徵判斷可疑程度依行為規則與攻擊手法知識（如ATT&CK）偵測，並可用IoC搜尋關聯多個來源事件的偵測，把單獨看來微弱的徵兆組合判斷
記錄的保存以偵測結果為主，很少長期保存端點的動作持續記錄端點的動作，以便回溯調查把多個來源的記錄集中在一處保存
偵測後的應變刪除或隔離檔案從管理主控台遠端停止程序、將端點從網路隔離、調查影響範圍除了隔離端點，還能停用帳號、刪除郵件等跨範圍的應變
對未知攻擊的能力容易漏掉特徵碼中沒有的新惡意程式，以及濫用作業系統正規功能的攻擊無檔案攻擊與正規工具的濫用，也容易從行為找出容易找出只看端點看不見的攻擊流程（例如經由郵件入侵後橫向擴散）
維運負擔相對較小，基本上自動阻擋需要有人判斷並調查警示，常與SOC或外部監控服務搭配範圍廣，需要整合設定與判斷警示的體制
限制難以得知漏網的攻擊在端點內做了什麼看不到端點以外（網路設備、雲端、未受管理的端點）各產品可整合的範圍不同；只收集記錄無法取代負責判斷的人與程序

數值為具代表性的大致參考值，會因世代或產品而異。

適用於什麼情況

防毒軟體（EPP）
所有端點都應安裝的基本對策，不必等待人為判斷就能阻止多數已知的惡意程式。
EDR
以入侵可能漏網為前提，想及早發現並縮小損害時。也用於事件應變的調查，回溯端點上發生了什麼。
XDR
端點、郵件、雲端等的監控分散在不同畫面，想整體追蹤攻擊流程時。其角色與SIEM重疊，應決定與既有機制的分工後使用。

常見問題

導入EDR之後，就不需要防毒軟體了嗎？

兩者角色不同，多數情況會一起使用。防毒軟體擅長在執行前自動阻止已知的惡意程式；EDR擅長找出、調查漏網攻擊的動作並加以應變。也有許多產品在同一套產品中同時提供兩種功能。

為什麼EDR需要人來應變？

因為EDR發出的警示中，也包含把正規管理作業或業務工具的動作判定為可疑的情形。要判斷是否真的是攻擊、調查影響範圍並決定隔離等應變，需要負責人員、SOC或外部監控服務的維運。若沒有人查看警示，即使有記錄也無法縮小損害。

XDR與SIEM有什麼不同？

兩者都會收集並關聯多個來源的記錄，但一般說明中，SIEM是廣泛收集各種設備的日誌並加以分析、保存的平台；XDR則著重深入整合端點、郵件等特定種類的來源，以單一機制完成從偵測到應變。各產品的界線不同，使用時應確認收集哪些資料、能自動應變到什麼程度。

理解度檢測

與傳統的防毒軟體相比，端點偵測與回應（EDR）的特徵，正確的是下列何者？

  1. A持續記錄端點上程序的啟動與通訊等行為，偵測可疑的動作，並支援隔離端點等回應
  2. B只檢查檔案是否符合已知惡意程式的特徵並刪除符合的檔案，但不記錄行為
  3. C不是放在端點，而是放在網路邊界，依IP位址與連接埠號碼阻斷從外部送來的封包
查看答案與解析

正確答案：A. 持續記錄端點上程序的啟動與通訊等行為，偵測可疑的動作，並支援隔離端點等回應

傳統的防毒軟體主要把檔案與已知惡意程式的特徵比對，目的是在入口防止入侵。EDR以無法完全防止入侵為前提，持續記錄端點上的程序啟動、檔案與設定的變更、網路通訊等，偵測可疑的行為。其特徵是能回溯紀錄調查入侵途徑與影響範圍、從遠端把端點與網路隔離、停止可疑的程序。目前也有許多產品以單一產品同時提供防毒功能與EDR。

入侵的攻擊者盡量不使用自製的惡意程式，而以PowerShell、WMI、標準遠端管理功能等作業系統原本就有的正規工具進行活動的手法，稱為「就地取材（Living off the Land）」。關於針對此手法的對策思維，最適當的是下列何者？

  1. A正規工具的執行檔有數位簽章，因此只要安裝會確認簽章的防毒軟體就能偵測
  2. B使用正規工具的攻擊無法偵測，因此放棄入侵後的對策，只投資在入口的防禦
  3. C記錄正規工具由誰、以哪些參數、從哪個父程序執行，偵測與平常不同的使用方式，並限縮能使用管理工具的人員與裝置
查看答案與解析

正確答案：C. 記錄正規工具由誰、以哪些參數、從哪個父程序執行，偵測與平常不同的使用方式，並限縮能使用管理工具的人員與裝置

在就地取材的攻擊中，被使用的程式本身是附有正規簽章的程式，因此以檔案特徵辨識已知惡意程式的方法無法偵測。因此要透過EDR或作業系統的日誌（PowerShell的腳本紀錄、程序啟動紀錄等）收集命令的參數與父子關係，以「開啟文件的應用程式啟動了PowerShell」「執行了經過編碼的長命令」等與平常業務不同的使用方式為線索來偵測。同時，限制能使用管理工具的使用者與裝置，並把可執行的應用程式限縮為已許可者，以減少攻擊者能利用的工具。

在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？

  1. ASIEM是記錄端點行為的軟體，SOAR是加密通訊的設備，SOC是賦予弱點的識別編號
  2. BSIEM是自動執行回應程序的機制，SOAR是收集並分析各設備日誌的機制，SOC是處理產品弱點的開發團隊
  3. CSIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織
查看答案與解析

正確答案：C. SIEM是收集多台設備的日誌並做關聯分析的機制，SOAR是自動執行回應程序（劇本）的機制，SOC是運用它們進行監控的組織

SIEM（Security Information and Event Management）把防火牆、伺服器、EDR、雲端等的日誌集中到一處並統一時間，以組合多個事件的規則（關聯分析）把疑似攻擊以警示呈現。SOAR（Security Orchestration, Automation and Response）針對警示，以劇本自動執行收集資訊、隔離端點、停用帳號等既定程序，減輕分析人員的負擔。SOC（資安監控中心）是運用這些機制進行監控、分析警示、判定是否為資安事件並通報的組織，也常採24小時體制。對SOC判定之資安事件的回應，多由CSIRT主導進行。

  1. 關於威脅偵測中使用的入侵指標（IoC，Indicator of Compromise）與攻擊指標（IoA，Indicator of Attack），正確的說明是下列何者？
  2. 下列何者正確描述零時差攻擊？

前往網路攻擊與防禦實務的練習題

相關名詞的解說

端點偵測與回應（EDR）
持續記錄個人電腦、伺服器等端點上發生的程序啟動、檔案與設定的變更、網路連線等活動，偵測可疑行為，並支援調查與回應（隔離端點、停止程序等）的資安產品。與辨識已知惡意程式檔案的傳統防毒軟體不同，它以無法完全防止入侵為前提，目的在於找出入侵後的活動。
資安事件管理（SIEM）
把防火牆、伺服器、EDR、雲端服務、驗證基礎設施等的日誌集中到一處，統一格式與時間，以組合多個事件的規則（關聯分析）偵測疑似攻擊並以警示呈現的機制。也用於調查時搜尋日誌，以及依法規要求長期保存日誌。它是資安監控中心（SOC）分析人員用於監控的核心工具之一。
資安監控中心
持續監控組織的網路、端點與雲端，分析SIEM與EDR的警示，判定是否為資安事件，並向負責回應的人員通報的組織或據點。簡稱SOC（與晶片的SoC是不同的詞）。多採24小時體制，也有許多組織不自行設置而委託外部業者。對已判定之資安事件的回應，會與CSIRT合作進行。
入侵指標（IoC）
顯示系統已遭入侵的具體跡象，例如惡意程式檔案的雜湊值、C2伺服器的IP位址或網域名稱、特有的檔案名稱等。它會在組織之間或透過威脅情資分享，並與自身組織的日誌與端點比對，以檢查是否遭受相同的攻擊。由於攻擊者可以輕易改變雜湊值與IP位址，因此會與著重攻擊者行為的攻擊指標（IoA），以及以手法為基礎的偵測搭配使用。
資安事件應變
發生網路攻擊等資安事件時，找出損害並阻止擴大、排除原因並恢復業務，再把教訓運用到下一次的一連串活動。美國NIST的SP 800-61第2版（2012年）把它分為準備、偵測與分析、遏制・根除・復原、事後活動4個階段，2025年的第3版則配合網路安全框架（CSF）2.0重新整理。在組織內由CSIRT主導，與資安監控中心、系統負責人、法務、公關、經營者等合作進行。
橫向移動
入侵組織網路的攻擊者，以最先挾持的端點為立足點，利用竊取的認證資訊或正規的管理工具，接連把入侵擴大到其他端點與伺服器的行為。目的是接近目標資料或擁有管理員權限的系統。可透過每台端點使用不同的管理員密碼、阻斷端點之間不必要的通訊（微分段）、管理特權帳號、監控驗證日誌等方式來防範與偵測。
MITRE ATT&CK
美國非營利研究組織MITRE公開的知識庫，收錄在實際攻擊中觀察到的攻擊者手法。它把手法分為代表攻擊者目的的「戰術」（初始存取、持續性、權限提升、橫向移動、資料外洩等），以及代表達成目的之具體方法的「技術」來整理，並為每個技術編上識別碼。防禦方用它來確認偵測與對策涵蓋了哪些手法，或在威脅情資報告中以共通的語言描述手法。
零時差攻擊
在軟體漏洞被發現後、修補程式提供之前的期間，利用該漏洞進行的攻擊。由於無法以修補程式防範，要以多層對策抑制損害。

相關的比較