EDR测试整体情况分享
最近有不少同学关心EDR测试的结果。对此我既感到为难，也非常感激大家的支持。在此向大家表示诚挚感谢。
测试性质说明
我们并非权威测评机构，此次测试仅基于自身理解，结合实际使用场景进行用例验证，目的是挑选更适合我们自身需求的产品。测试结果不会对外公布，即便泄露也不具备权威性。
不同人对产品的使用需求和场景各不相同，就像平底锅有人用于做饭，有人用于防身，需求和用途不同，无法一概而论哪家最强。
测试背景
这是我们第二次大规模EDR测试。从2017年起，我陆续接触和测试了多款国外EDR产品，包括：
- Sophos Intercept-X
- BlackBerry Cylance
- VMware Carbon Black
- Palo Alto Traps
- CounterTack SentinelOne
- Microsoft MDATP
- CrowdStrike
- FireEye
国内EDR产品不一一列举。所有BAS平台的评测结果均不纳入考量。
测试维度
此次测试主要聚焦于：
- 攻击检测
- 数据采集
- 应急响应
- 溯源分析
重点关注产品的实际应用价值，而非简单地罗列功能模块。我们更看重产品在稳定性、安全性、可靠性和响应即时性等方面的表现。
EDR核心能力
EDR产品的"检测"和"响应"能力是否成熟是关键评判标准。供应商在响应策略上采取保守态度可以理解，但这种权衡往往导致攻击技术被记录却无法阻断，将压力转嫁给分析人员。
安全团队可以通过有效的补偿机制弥补这一短板。但如果为了性能而过度削减遥测数据，将会形成关键盲区，使调查人员难以全面掌握攻击者的活动。
EDR关注的不是"这个文件是否恶意"，而是"这个命令的使用方式是否正常"。管理层往往更关注EDR能否查杀某个具体恶意样本，而忽视了其对行为检测的能力。
EDR的黑盒特性
任何商业化EDR产品本质上都是一个"黑盒"。如何防止黑盒被绕过成了当前的主流议题。EDR绕过技术的发展史本身就是攻防对抗领域的一个经典案例。
从最初的API unhooking、内核回调监控、过滤驱动监控、ETW集成，到基于硬件的高阶绕过，每一次技术演进都推动着攻防双方不断创新。
EDR抵御致盲能力的高低，实际上也反映了其自身的安全性。EDR Agent在内核层面必须具备高级对抗能力，至少要有基本的检测能力。
溯源分析的重要性
溯源分析作为EDR的核心功能，对详尽的遥测数据有极高依赖。优秀的查询语言和标准化的数据结构能够大幅降低安全分析人员的学习成本，并在紧急响应时提升效率。
遵循OCSF或CIM命名标准可以避免字段命名混乱问题。高效的查询语言反映了EDR产品服务端能力的重要性。
总结
用"好"EDR，更要"用好"EDR，EDR的好坏除了产品本身全靠有效运营。