管中窥豹，可见一斑。那我用EDR是不是就能全方位观看了呢——企业级EDR入门小记

t0kenzero

学而不思则罔，思而不学则殆，边思边学则买CrowdStrike Falcon Enterprise

首先感谢龟大 @神龟Turmi 带我从9月份入坑  先后入手了 Deep Instinct, Cylance, SentinelOne,  CheckPoint, Malwarebytes MDR等奇奇怪怪的企业级产品。入门了这么久想把各家产品的使用体验描述一下。

原教旨主义——Deep Instinct
如果说其他家的EDR需要考虑易用性与易读性等等，那DI的EDR则是完全没有。事件中能展示的部分只有单条进程树与进行风险行为的进程信息，其他的诸如文件/注册表/网络等行为一概是看不到的。但是经过这么久测试DI的防御效果反而是最好的那个。只能说与强大的主防和高灵敏度的机器学习分不开关系。



没有Star仿佛被砍了半条腿——SentinelOne
如果做使用体验排行榜，那S1的EDR肯定是最好的那个。无论是从规则书写的友好程度还是搜索速度（点名批评CS 每次搜索直接把浏览器卡死）


与DI的单根进程链不同，S1做到了对整个事件的行为监控。并能够针对文件/网络行为等进行检测。其中时间线的设计让对进程溯源更加方便起来。


既然谈到EDR,就不得不去说Star规则。如果说DI可以单靠EPP去横扫一切，那S1就需要Star去接上EPP这条断腿了。在面对部分样本的时候，EPP是没有相应，而EDR对风险行为可见且有定义。但是不进行任何动作。这个时候就需要Star规则来救场。
如该样本中Custome Rule部分即为Star规则 在面对主防打分不足的情况下，自定义的Star规则是最好的补充方案。


全知未必全能——CrowdStrike
说到这几个月买的最贵的,可能就是CrowdStrike了。为了Investigate而选入了起夜版本。CS的EDR无疑是这几款里给到的信息量最大的一个，每次在做事件搜寻时都会感到明显的卡顿。
相对于S1 CS的EDR给人带来的体验则是无与伦比的细致。这就使得CS给刚入门的我带来的使用难度无疑是增加了不少。（但是CS的好处就是会搭配很多的培训课程。每周都有会议来教你如何去更好的使用CrowdStrike，这也是其他家所没有的。





Cylance （留个坑 控制台上不去了）


一切交给SOC，我们只需要最终结论——Malwarebytes MDR
MB是我最偷懒的一个，我没怎么观察过他们家的EDR，只知道有比较明显的上报延迟。因为购买了MB的MDR服务，一切都可以交给他们的工程师来做。工程师每检测到一次异常就会工单，并远程提供解决方案。
如果不是MB的EPP不是很强，我肯定会把这个作为我的主力！
(有机会会单独补一个MDR的整个流程。他们的检测机制还是蛮有趣的）



PS 甚至会提供每个月的月报。


(还有几个今天估计测不完，改日接着写吧orz)

神龟Turmi

DI原厂销售：DI是个以防御（*原词为defense而不是protection*）为主的方案，它不是EDR，也不是EPP（例如缺少EPP应该有的流量过滤等功能）

他们可相当实诚了

隔山打空气

神龟Turmi 发表于 2024-1-10 01:27
DI原厂销售：DI是个以防御（*原词为defense而不是protection*）为主的方案，它不是EDR，也不是EPP（例如缺 ...

DI可能是为数不多的官方推荐与其他安全软件（虽然也不算其他，是Microsoft自家的MDAV）相搭配的安全软件。而DI的OEM产品，HP Sure Sense甚至说了不能替代传统安全产品，建议配合MDAV使用

官方声称不是EDR，也不带完整的EPP功能，不过提到了Improved EDR Efficiency的字眼，倒也更是定位了自己作为“辅助”的位置。

（这句话可能带一点吹的性质在里面）虽然其不具备完整的EPP功能，但它本身强大的内存检测能力和稳固的静态机器学习引擎使得其确能独当一面，就防护能力而言，DI本身确实足够可靠以抵御常见类型威胁。

wangyuhe

金钱的味道