EDR如何防止您卸载，即使是本地管理？

Question

我有一个CrowdStrike EDR，在所有操作系统上禁用它的唯一方法似乎是提供maintenance-token或要求CrowdStrike禁用防御，这样您就可以卸载它。我也有一个碳黑笔记本电脑，这似乎是这样的情况，你不能禁用它，即使当加载服务通过管理员提示。这与许多EDR相似，这个问题也适用于您安装的任何软件。

举个例子，我在管理组中有一个macOS，但是我不能用sudo卸载这个服务，这怎么可能？即使作为本地管理员，什么样的安全机制也会阻止我这样做。是否存在这样的机制:我需要成为root用户或SYSTEM用户才能允许EDR的卸载和删除？如果我们需要提供一个令牌，这听起来像是一种安装不可移动的rootkit的方法，除非您要重新格式化。

Answer 1

大多数EDR(值他们的盐)实现了一个运行在内核中的驱动程序，这个驱动程序执行了许多功能，但是其中一个最显著的功能可以被归类为“防篡改”。

防篡改可以防止诸如卸载、挂钩、调试、修改和某些情况下的开发。这是因为：

• 如果有人妥协您的机器，EDR解决方案仍然可以运行和协助。
• 它防止EDR本身被破坏。

如注释中所建议的，尝试以安全模式启动并检查EDR的驱动程序是否已加载。