持續記錄個人電腦、伺服器等端點上發生的程序啟動、檔案與設定的變更、網路連線等活動，偵測可疑行為，並支援調查與回應（隔離端點、停止程序等）的資安產品。與辨識已知惡意程式檔案的傳統防毒軟體不同，它以無法完全防止入侵為前提，目的在於找出入侵後的活動。
日文名稱: EDR(Endpoint Detection and Response)
「端點偵測與回應（EDR）」出現在2領域的7道練習題中（網路攻擊與防禦實務, 資訊安全基礎等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
安裝在端點上的代理程式會記錄程序的啟動與父子關係、命令列參數、檔案與設定的變更、網路連線、登入等，並傳送到管理伺服器。如此就能事後追溯「從電子郵件附件啟動了腳本，並與外部通訊」之類的一連串流程。
以符合已知攻擊手法的規則、行為分析、與威脅情資比對等方式偵測。偵測後，可從管理介面執行遠端將端點與網路隔離、停止程序、隔離檔案等回應，讓資安監控中心（SOC）的分析人員迅速抑制損害擴大。
不只端點，還把電子郵件、網路、雲端、身分等資訊一起分析的產品稱為XDR（Extended Detection and Response）。把EDR的監控與分析委託給外部專業業者的服務稱為MDR（Managed Detection and Response），用於無法自行建立24小時體制的組織。
正確答案：A. 持續記錄端點上程序的啟動與通訊等行為，偵測可疑的動作，並支援隔離端點等回應
傳統的防毒軟體主要把檔案與已知惡意程式的特徵比對，目的是在入口防止入侵。EDR以無法完全防止入侵為前提，持續記錄端點上的程序啟動、檔案與設定的變更、網路通訊等，偵測可疑的行為。其特徵是能回溯紀錄調查入侵途徑與影響範圍、從遠端把端點與網路隔離、停止可疑的程序。目前也有許多產品以單一產品同時提供防毒功能與EDR。
兩者的角色不同，多數情況會同時使用。防毒軟體（EPP）在入口阻擋已知的惡意程式，EDR則找出並回應穿透防線的攻擊。目前也有很多產品以單一產品同時提供兩種功能。
EDR是產生警示與紀錄的工具，需要有人與程序來檢視、判斷並回應。如果沒有確認警示的體制，即使偵測到攻擊，回應也會延遲。難以自行建立體制時，可使用MDR之類的外部服務。
EDR以無法完全防止入侵為前提，持續記錄端點上的程序啟動、檔案與設定的變更、網路通訊等，偵測可疑的行為。
與傳統的防毒軟體相比，端點偵測與回應（EDR）的特徵，正確的是下列何者？例如停用不需要的服務以減少受攻擊面、權限最小化、網路分段、使用偵測並因應端點可疑行為的機制（EDR等），以及套用開發商提供的因應措施。
下列何者正確描述零時差攻擊？不過攻擊者會在間隔中加入抖動（jitter），或利用正規的雲端服務中繼來逃避偵測，因此要把通訊紀錄與EDR收集的端點資訊結合起來調查。
檢查公司內部網路的通訊紀錄，發現了下列通訊。最有可能是惡意程式在與外部命令伺服器（C2伺服器）通訊的是下列何者？因此要透過EDR或作業系統的日誌（PowerShell的腳本紀錄、程序啟動紀錄等）收集命令的參數與父子關係，以「開啟文件的應用程式啟動了PowerShell」「執行了經過編碼的長命令」等與平常業務不同的使用方式為線索來偵測。
入侵的攻擊者盡量不使用自製的惡意程式，而以PowerShell、WMI、標準遠端管理功能等作業系統原本就有的正規工具進…SIEM（Security Information and Event Management）把防火牆、伺服器、EDR、雲端等的日誌集中到一處並統一時間，以組合多個事件的規則（關聯分析）把疑似攻擊以警示呈現。
在資安監控體制中使用的SIEM、SOAR、SOC，其角色的正確組合是下列何者？零時差攻擊 資安事件管理（SIEM） 資安監控中心 供應鏈攻擊 中位數 入侵指標（IoC） 入侵偵測系統（IDS） 軟體物料清單（SBOM） 資安事件應變 零信任