去年冬天，一家制造企业的财务主管电脑中了勒索病毒。

IT 查日志才发现，病毒库识别到该样本的时间，比文件被加密整整晚了两小时。

这两个小时里共享文件夹被逐个锁死，财务数据恢复无门。

问题不在它不努力，而是工作方式天生慢半拍。

这也引出终端圈讨论最多的话题——EDR（终端检测与响应）比传统杀毒强在哪，值不值得上。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/b515ce615004e93bbc5694f64fbaeff5.png)

## 一、杀毒软件为何会"看不见"新攻击

传统查杀的本质，是拿文件和已知病毒库做比对，好比给每个文件拍一张"证件照"，对照通缉名单认人。

这套机制对付已知病毒很高效，对新攻击却很被动，盲区主要有三处。

### 1. 变装绕过：改头换面就认不出

攻击者给恶意程序穿件"马甲"、改下内部结构，甚至借正规软件签名包装自己，长相一变病毒库就认不出。

### 2. 无文件攻击：不落地就查不到

更棘手的是"无文件攻击"：恶意代码不落地成文件，借系统命令行在内存执行，硬盘干干净净，查杀引擎对着空气也拦不住。

### 3. 变种海量：一台一变种拖垮时效

第三处是变种批量生成，勒索软件每台机器一个变种，传统查杀彻底失去时效。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/84e34bb9232af50754ffbdcbe1784ace.png)

## 二、EDR 把防线从"认样本"挪到"看行为"

EDR 不纠结文件是不是恶意，而是盯着它干了什么：

持续记录谁启动了谁、改了哪些设置、连了哪个地址。

单个动作或许正常，串起来就露马脚——文档刚打开，就调命令行拉脚本、改写启动项、连陌生地址，这是典型攻击链走位。

再对照攻击手法库，把告警拼成完整路径，运维一眼看清攻击打到哪一步。

## 三、响应才是重头戏

装了 EDR 只当监控用，等于买了好车只按喇叭。真正的价值在响应，靠三件事落地。

### 1. 自动隔离掐断扩散

检测到异常，按策略自动隔离电脑、终止进程、断开网络，把扩散摁在摇篮里。

### 2. 留存完整证据链

告警附上完整证据链，文件从哪来、执行了什么命令、改了哪些位置，全部留痕。

### 3. 回溯潜伏期主机

事后还能回溯排查，把潜伏期漏掉的主机一次性捞出来集中处置，不用逐台翻日志。
![image.png](https://developer.qcloudimg.com/http-save/yehe-12625089/e71e4dd64f75e064c63479cf0b3385b1.png)
## 四、部署前要把账算清楚

EDR 不是装上就高枕无忧，三笔账得先算清。

### 1. 人力账：告警谁来消化

告警一多先把运维拖垮，团队得有人懂分析，否则设备成摆设。

### 2. 性能账：老机器扛不扛得住

记录行为有性能开销，老旧机器先评估再上，别让防护拖慢业务。

### 3. 分工账：防外也要防内

它长项是防外部入侵，对"合法身份干违规事"无能为力，得和终端管控、数据防泄漏产品配合。想明白敌人来自外部还是内部，再谈选型不迟。

杀软的定位，是已知威胁的闸门；EDR 补上的，是未知威胁的哨兵。要不要上、上多深，取决于你面对的威胁来自哪一侧——再谈采购不迟。

责编：小赵


这也引出终端圈讨论最多的话题——EDR（终端检测与响应）比传统杀毒强在哪，值不值得上。

杀软查不出的攻击，EDR拦得住吗：EDR安全防护软件一文详解

安全

新闻资讯

职业发展

EDR通过行为分析识别未知攻击，弥补传统杀毒滞后缺陷。自动隔离、证据留存、回溯排查三大响应机制，有效遏制勒索病毒扩散。部署需评估运维能力、硬件性能与内外部威胁，配合终端管控实现分层防护。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

杀软查不出的攻击，EDR拦得住吗：EDR安全防护软件一文详解-腾讯云开发者社区-腾讯云

杀软查不出的攻击，EDR拦得住吗：EDR安全防护软件一文详解

杀软查不出的攻击，EDR拦得住吗：EDR安全防护软件一文详解

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐