網路攻擊與防禦實務
與傳統的防毒軟體相比，端點偵測與回應（EDR）的特徵，正確的是下列何者？
- A持續記錄端點上程序的啟動與通訊等行為，偵測可疑的動作，並支援隔離端點等回應
- B只檢查檔案是否符合已知惡意程式的特徵並刪除符合的檔案，但不記錄行為
- C不是放在端點，而是放在網路邊界，依IP位址與連接埠號碼阻斷從外部送來的封包
查看答案與解析
正確答案：A. 持續記錄端點上程序的啟動與通訊等行為，偵測可疑的動作，並支援隔離端點等回應
傳統的防毒軟體主要把檔案與已知惡意程式的特徵比對，目的是在入口防止入侵。EDR以無法完全防止入侵為前提，持續記錄端點上的程序啟動、檔案與設定的變更、網路通訊等，偵測可疑的行為。其特徵是能回溯紀錄調查入侵途徑與影響範圍、從遠端把端點與網路隔離、停止可疑的程序。目前也有許多產品以單一產品同時提供防毒功能與EDR。
- A. 正確。記錄與偵測行為、支援調查與回應，是EDR的角色。
- B. 這主要是傳統防毒軟體的作用。容易漏掉未知的惡意程式，以及濫用正規工具的攻擊。
- C. 在網路邊界阻斷通訊，是防火牆或入侵防禦系統（IPS）的角色。