Day-247-端点监控与 EDR 技术

# Day 269: 端点监控与 EDR 技术

> 应急响应系列第 9 天 | 预计阅读时间：32 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [端点监控概述](#端点监控概述)
2. [EDR 架构与功能](#edr 架构与功能)
3. [端点数据收集](#端点数据收集)
4. [威胁检测技术](#威胁检测技术)
5. [响应与处置](#响应与处置)
6. [EDR 选型与部署](#edr 选型与部署)
7. [实战应用场景](#实战应用场景)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 端点监控概述

### 为什么需要端点监控

端点（主机）是攻击的最终目标，也是大部分恶意活动的发生地：

| 原因 | 说明 |
|------|------|
| **攻击终点** | 无论通过网络还是社会工程，攻击最终落在端点 |
| **绕过边界** | 现代攻击往往绕过网络防护直接攻击端点 |
| **加密普及** | 网络加密使端点监控更重要 |
| **移动办公** | 端点离开企业网络后失去边界保护 |
| **高级威胁** | APT 攻击需要深度端点可见性 |

### 端点监控演进

```
┌─────────────────────────────────────────────────────────────┐
│                  端点安全演进历程                            │
│                                                             │
│  1990s      2000s      2010s      2020s      2024+          │
│    │          │          │          │          │            │
│    ▼          ▼          ▼          ▼          ▼            │
│  杀毒     终端防护      EDR       XDR       平台化          │
│  (AV)     (EPP)                    │        整合            │
│    │          │          │          │                      │
│  特征     防火墙       检测       扩展       统一            │
│  匹配     HIPS        响应       检测       安全            │
│           设备控制     威胁       和响应     运营            │
│                     狩猎                  中心               │
└─────────────────────────────────────────────────────────────┘
```

### 监控能力层次

| 层次 | 能力 | 说明 |
|------|------|------|
| **L1 - 基础监控** | 进程、文件、网络 | 基本可见性 |
| **L2 - 行为监控** | 行为序列、关联分析 | 检测复杂攻击 |
| **L3 - 威胁检测** | 恶意代码、TTP 检测 | 已知和未知威胁 |
| **L4 - 响应能力** | 隔离、清除、修复 | 自动化响应 |
| **L5 - 狩猎能力** | 主动威胁狩猎 | 发现潜伏威胁 |

---

## EDR 架构与功能

### EDR 定义

**EDR（Endpoint Detection and Response）** 是 Gartner 2013 年提出的概念：

> "记录端点行为数据，使用自动化规则分析数据，检测可疑行为，提供调查和响应能力"

### EDR 核心功能

```
┌─────────────────────────────────────────────────────────────┐
│                    EDR 核心功能框架                          │
│                                                             │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐         │
│  │   数据收集   │  │   威胁检测   │  │   调查分析   │         │
│  │             │  │             │  │             │         │
│  │ • 进程监控  │  │ • 特征匹配  │  │ • 时间线    │         │
│  │ • 文件监控  │  │ • 行为分析  │  │ • 根因分析  │         │
│  │ • 网络监控  │  │ • 机器学习  │  │ • 影响评估  │         │
│  │ • 注册表    │  │ • 威胁情报  │  │ • 搜索查询  │         │
│  │ • 日志      │  │ • 异常检测  │  │ • 可视化    │         │
│  └─────────────┘  └─────────────┘  └─────────────┘         │
│                                                             │
│  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐         │
│  │   响应处置   │  │   威胁狩猎   │  │   报告合规   │         │
│  │             │  │             │  │             │         │
│  │ • 隔离主机  │  │ • 假设驱动  │  │ • 事件报告  │         │
│  │ • 终止进程  │  │ • IOC 搜索   │  │ • 合规报告  │         │
│  │ • 删除文件  │  │ • TTP 搜索   │  │ • 指标统计  │         │
│  │ • 隔离文件  │  │ • 自定义查询│  │ • 审计日志  │         │
│  │ • 远程 shell│  │ • 持续监控  │  │ • 趋势分析  │         │
│  └─────────────┘  └─────────────┘  └─────────────┘         │
└─────────────────────────────────────────────────────────────┘
```

### EDR 架构组件

```
┌─────────────────────────────────────────────────────────────┐
│                      EDR 系统架构                            │
│                                                             │
│  ┌─────────────────────────────────────────────────────┐   │
│  │                    云端/本地平台                      │   │
│  │  ┌───────────┐  ┌───────────┐  ┌───────────┐       │   │
│  │  │ 数据分析  │  │ 威胁检测  │  │ 管理界面  │       │   │
│  │  │  引擎     │  │  引擎     │  │  (UI/API) │       │   │
│  │  └───────────┘  └───────────┘  └───────────┘       │   │
│  │  ┌───────────┐  ┌───────────┐  ┌───────────┐       │   │
│  │  │  数据存储 │  │ 威胁情报  │  │  报告     │       │   │
│  │  │  (大数据) │  │  集成     │  │  引擎     │       │   │
│  │  └───────────┘  └───────────┘  └───────────┘       │   │
│  └─────────────────────────────────────────────────────┘   │
│                           ▲                                 │
│                           │ 加密通信                         │
│                           ▼                                 │
│  ┌─────────────────────────────────────────────────────┐   │
│  │                   端点代理 (Agent)                    │   │
│  │  ┌───────────┐  ┌───────────┐  ┌───────────┐       │   │
│  │  │ 数据收集  │  │ 本地检测  │  │ 响应执行  │       │   │
│  │  │  模块     │  │  引擎     │  │  模块     │       │   │
│  │  └───────────┘  └───────────┘  └───────────┘       │   │
│  │  ┌───────────┐  ┌───────────┐                       │   │
│  │  │  内核驱动 │  │  通信     │                       │   │
│  │  │  (钩子)   │  │  模块     │                       │   │
│  │  └───────────┘  └───────────┘                       │   │
│  └─────────────────────────────────────────────────────┘   │
│                                                             │
│  端点：Windows / Linux / Mac / Server                       │
└─────────────────────────────────────────────────────────────┘
```

### EDR vs 传统杀毒

| 维度 | 传统杀毒 (AV) | EDR |
|------|--------------|-----|
| **检测方法** | 特征匹配 | 行为分析 + 特征 |
| **检测对象** | 已知恶意软件 | 已知 + 未知威胁 |
| **响应能力** | 删除/隔离文件 | 多种响应动作 |
| **可见性** | 有限 | 全面端点活动 |
| **调查能力** | 无 | 强大的调查工具 |
| **部署模式** | 单机 | 集中管理 |

---

## 端点数据收集

### 进程监控

#### 进程创建监控

**关键信息**：
```
进程创建事件：
- 进程名：C:\Windows\System32\cmd.exe
- 进程 ID: 1234
- 父进程名：C:\Windows\System32\svchost.exe
- 父进程 ID: 5678
- 命令行：cmd.exe /c powershell -enc xxx
- 用户：DOMAIN\user
- 时间：2024-04-12 10:30:15
- 哈希：SHA256=xxx
- 路径：C:\Windows\System32\cmd.exe
```

**可疑进程检测**：

| 指标 | 说明 | 示例 |
|------|------|------|
| **异常父进程** | 进程由非预期父进程启动 | cmd.exe 由 Word 启动 |
| **可疑路径** | 从临时目录执行 | C:\Users\Public\malware.exe |
| **进程伪装** | 进程名与路径不匹配 | svchost.exe 在临时目录 |
| **编码命令** | 使用编码绕过检测 | powershell -enc |
| **无文件执行** | 内存中执行 | powershell IEX |

#### 进程树分析

```
攻击链进程树示例：

outlook.exe (邮件客户端)
  └── WINWORD.EXE (Word 打开附件)
      └── cmd.exe (执行宏命令)
          └── powershell.exe (下载 payload)
              └── malware.exe (恶意软件)
                  └── rundll32.exe (持久化)
```

**检测规则**：
```
IF 
  进程链包含：邮件客户端 → Office → cmd/powershell → 未知可执行文件
THEN
  告警：可能的恶意文档攻击
```

### 文件监控

#### 文件操作监控

**监控事件**：
| 事件 | 说明 | 安全意义 |
|------|------|----------|
| 文件创建 | 新文件生成 | 恶意软件写入 |
| 文件修改 | 文件内容变更 | 配置篡改 |
| 文件删除 | 文件被删除 | 痕迹清理 |
| 文件重命名 | 文件名变更 | 隐藏恶意文件 |
| 权限变更 | ACL 修改 | 权限提升 |

#### 关键文件监控

**Windows 关键位置**：
```
启动位置：
- C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
- HKLM\Software\Microsoft\Windows\CurrentVersion\Run
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run

系统目录：
- C:\Windows\System32\
- C:\Windows\SysWOW64\

临时目录（高风险）：
- C:\Users\<user>\AppData\Local\Temp\
- C:\Windows\Temp\
```

**Linux 关键位置**：
```
启动位置：
- /etc/init.d/
- /etc/systemd/system/
- ~/.bashrc
- ~/.profile

系统目录：
- /bin/
- /sbin/
- /usr/bin/
- /usr/sbin/

临时目录：
- /tmp/
- /var/tmp/
```

#### 文件哈希监控

**用途**：
- 已知恶意文件检测
- 文件完整性验证
- 威胁情报匹配

**实现**：
```powershell
# PowerShell 计算文件哈希
Get-FileHash -Path "C:\path\to\file.exe" -Algorithm SHA256

# 批量计算
Get-ChildItem -Path "C:\path" -Recurse -File | 
  Get-FileHash -Algorithm SHA256 | 
  Export-Csv hashes.csv
```

### 网络监控

#### 网络连接监控

**监控信息**：
```
连接事件：
- 进程名：chrome.exe
- 进程 ID: 1234
- 本地 IP: 192.168.1.100:54321
- 远程 IP: 8.8.8.8:443
- 协议：TCP
- 方向：出站
- 时间：2024-04-12 10:30:15
```

**检测场景**：

| 场景 | 检测规则 |
|------|----------|
| C2 通信 | 连接已知恶意 IP/域名 |
| 异常外连 | 非常规端口、新目的地 |
| 横向移动 | 内部 SMB/RDP 连接异常 |
| 数据外传 | 大流量外连 |

#### DNS 监控

**监控信息**：
```
DNS 查询：
- 进程名：svchost.exe
- 查询域名：evil.com
- 查询类型：A
- 响应 IP: 1.2.3.4
- 时间：2024-04-12 10:30:15
```

**检测场景**：
- DGA 域名（高熵值）
- 新注册域名
- DNS 隧道（长域名、高频查询）
- 已知恶意域名

### 注册表监控（Windows）

#### 关键注册表项

**持久化位置**：
```
Run 键：
- HKLM\Software\Microsoft\Windows\CurrentVersion\Run
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run

服务：
- HKLM\System\CurrentControlSet\Services

计划任务：
- HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache

浏览器扩展：
- HKLM\Software\Google\Chrome\Extensions
- HKCU\Software\Mozilla\Firefox\Extensions
```

#### 注册表操作监控

**监控事件**：
| 事件 | 说明 |
|------|------|
| 注册表项创建 | 新键创建 |
| 注册表值设置 | 值修改 |
| 注册表项删除 | 键删除 |
| 权限变更 | ACL 修改 |

### 日志收集

#### Windows 事件日志

**关键日志源**：
| 日志 | 事件 ID | 说明 |
|------|---------|------|
| Security | 4688 | 进程创建 |
| Security | 4624/4625 | 登录成功/失败 |
| Security | 4698 | 计划任务创建 |
| Security | 4720 | 用户创建 |
| Sysmon | 1 | 进程创建 |
| Sysmon | 3 | 网络连接 |
| Sysmon | 11 | 文件创建 |
| PowerShell | 4104 | 脚本块日志 |

#### 日志转发

```
端点 Agent ──→ 本地缓冲 ──→ 加密传输 ──→ 中央平台
                      │
                      └── 离线缓存（网络中断时）
```

---

## 威胁检测技术

### 检测方法

#### 基于 IOC 的检测

**IOC 类型**：
| 类型 | 示例 | 持久性 |
|------|------|--------|
| 文件哈希 | SHA256=xxx | 低（易变更） |
| IP 地址 | 1.2.3.4 | 低 |
| 域名 | evil.com | 中 |
| URL | http://evil.com/mal.exe | 中 |
| 注册表项 | HKLM\...\Run\malware | 中 |
| 互斥量 | Global\Mutex123 | 中 |
| 进程名 | malware.exe | 低 |

**检测实现**：
```yara
rule Known_Malware_Detection {
    meta:
        hash = "abc123..."
        malware_family = "Emotet"
    strings:
        $s1 = "emotet_string" ascii
        $s2 = "malware_config" ascii
    condition:
        all of them
}
```

#### 基于行为的检测

**行为序列检测**：

```
攻击行为序列：
1. 进程从临时目录执行
2. 创建计划任务
3. 连接外部 IP
4. 下载文件
5. 执行下载的文件

检测规则：
IF 同一进程在 5 分钟内完成上述 5 个行为
THEN 告警：可能的恶意软件执行链
```

**TTP 检测**（MITRE ATT&CK 映射）：

| TTP | 检测规则 |
|-----|----------|
| T1059 命令和脚本执行 | PowerShell 编码执行、可疑脚本 |
| T1053 计划任务 | 异常计划任务创建 |
| T1071 应用层协议 | 异常协议使用、C2 通信 |
| T1082 系统信息发现 | 枚举命令执行 |
| T1003 凭证转储 | LSASS 访问、凭证工具 |

#### 基于机器学习的检测

**应用场景**：
| 场景 | ML 方法 | 特点 |
|------|--------|------|
| 恶意软件分类 | 深度学习 | 处理大量样本 |
| 异常行为检测 | 孤立森林 | 无需标记数据 |
| 进程分类 | 随机森林 | 区分正常/异常 |
| 网络流量分析 | 神经网络 | 复杂模式识别 |

**优势**：
- 可检测未知威胁
- 适应性强
- 减少误报

**挑战**：
- 需要大量训练数据
- 模型可解释性
- 对抗样本攻击

### 检测规则示例

#### PowerShell 攻击检测

```yara
rule Suspicious_PowerShell {
    meta:
        description = "Detect suspicious PowerShell commands"
        level = "high"
    strings:
        $enc1 = "-enc" ascii nocase
        $enc2 = "-encodedcommand" ascii nocase
        $bypass = "-bypass" ascii nocase
        $hidden = "-windowstyle hidden" ascii nocase
        $download = "downloadstring" ascii nocase
        $iex = "iex" ascii nocase
        $invoke = "invoke-expression" ascii nocase
    condition:
        ($enc1 or $enc2) and ($bypass or $hidden or $download or $iex or $invoke)
}
```

#### 凭证窃取检测

```
检测规则：凭证转储尝试

条件：
- 进程访问 LSASS.exe 内存
- 执行 mimikatz 或类似工具
- 调用 Windows API: MiniDumpWriteDump
- 从 SAM 数据库读取

响应：
- 立即告警（P1）
- 终止进程
- 隔离主机
```

#### 横向移动检测

```
检测规则：SMB 横向移动

条件：
- 同一用户在 10 分钟内连接 5+ 台主机
- 连接 ADMIN$ 或 C$ 共享
- 创建服务或上传文件
- 非正常工作模式

响应：
- 告警（P2）
- 通知安全团队
- 审查用户活动
```

---

## 响应与处置

### 响应动作

#### 主机级响应

| 动作 | 说明 | 影响 |
|------|------|------|
| **网络隔离** | 断开网络连接 | 阻止 C2 和外传 |
| **主机隔离** | 完全隔离（包括本地） | 最彻底隔离 |
| **进程终止** | 结束恶意进程 | 停止恶意活动 |
| **文件隔离** | 移动/删除恶意文件 | 清除威胁 |
| **服务停止** | 停止恶意服务 | 阻止持久化 |

#### 账户级响应

| 动作 | 说明 | 适用场景 |
|------|------|----------|
| **账户禁用** | 禁用被入侵账户 | 凭证泄露 |
| **密码重置** | 强制更改密码 | 凭证可能泄露 |
| **会话终止** | 强制注销活动会话 | 活跃入侵 |
| **权限撤销** | 移除异常权限 | 权限滥用 |

#### 远程响应

```
远程命令执行能力：
- 远程 Shell 访问
- 文件上传/下载
- 注册表操作
- 服务管理
- 进程管理

安全考虑：
- 加密通信
- 身份验证
- 审计日志
- 最小权限
```

### 响应流程

```
┌─────────────────────────────────────────────────────────────┐
│                    EDR 响应流程                              │
│                                                             │
│  告警 ──→ 初步分析 ──→ 确认 ──→ 响应决策 ──→ 执行响应       │
│   │                                              │          │
│   │                                              ▼          │
│   │                                         自动/手动       │
│   │                                              │          │
│   │                                              ▼          │
│   └─────────────────────────→ 验证 ──→ 关闭 ──→ 复盘        │
└─────────────────────────────────────────────────────────────┘
```

### 自动化响应

#### 响应 Playbook

```yaml
Playbook: 恶意软件检测

触发条件：
  - EDR 检测恶意软件

响应步骤：
  1. 自动隔离主机（网络）
  2. 终止恶意进程
  3. 隔离恶意文件
  4. 创建事件工单
  5. 通知安全团队
  6. 等待人工确认

人工确认后：
  7. 深度调查
  8. 根除威胁
  9. 恢复系统
  10. 关闭事件
```

#### 自动化决策矩阵

| 威胁等级 | 自动化程度 | 说明 |
|----------|------------|------|
| **高置信度** | 全自动 | 已知恶意软件、明确 IOC |
| **中置信度** | 半自动 | 需要人工确认 |
| **低置信度** | 人工 | 异常行为、需要调查 |

---

## EDR 选型与部署

### 选型标准

#### 功能要求

| 功能 | 重要性 | 说明 |
|------|--------|------|
| **进程监控** | 必需 | 完整进程可见性 |
| **文件监控** | 必需 | 文件操作记录 |
| **网络监控** | 必需 | 网络连接跟踪 |
| **行为检测** | 必需 | TTP 检测能力 |
| **响应能力** | 必需 | 隔离、终止等 |
| **调查工具** | 重要 | 搜索、时间线 |
| **API 集成** | 重要 | 与 SIEM/SOAR 集成 |
| **云支持** | 可选 | 云工作负载保护 |

#### 技术要求

| 要求 | 说明 |
|------|------|
| **性能影响** | CPU<5%, 内存<200MB |
| **兼容性** | 支持所有目标系统 |
| **离线能力** | 网络中断时继续工作 |
| **可扩展性** | 支持未来增长 |
| **安全性** | 代理自身安全 |

#### 运营要求

| 要求 | 说明 |
|------|------|
| **易用性** | 界面友好、学习曲线低 |
| **报告能力** | 内置报告模板 |
| **支持服务** | 厂商支持质量 |
| **总成本** | 许可 + 运营 + 培训 |

### 部署策略

#### 部署阶段

```
阶段 1：试点部署（1-2 周）
  - 选择代表性主机
  - 验证基本功能
  - 调整策略

阶段 2：扩大部署（2-4 周）
  - IT 和安全团队
  - 关键服务器
  - 优化配置

阶段 3：全面部署（4-8 周）
  - 全部端点
  - 策略调优完成
  - 团队培训完成

阶段 4：运营优化（持续）
  - 规则调优
  - 流程完善
  - 能力提升
```

#### 策略调优

**初始策略**：
- 监控模式（不阻断）
- 收集基线数据
- 识别误报

**调优后策略**：
- 启用自动响应
- 降低误报率
- 提高检测率

### 常见 EDR 产品

| 产品 | 厂商 | 特点 |
|------|------|------|
| **CrowdStrike Falcon** | CrowdStrike | 云原生、轻量代理 |
| **Microsoft Defender for Endpoint** | Microsoft | Windows 集成、性价比高 |
| **Carbon Black** | VMware | 行为分析强 |
| **SentinelOne** | SentinelOne | AI 检测、自动化 |
| **FireEye HX** | FireEye | 威胁情报集成 |
| **Cylance** | BlackBerry | AI 预防 |

---

## 实战应用场景

### 场景 1：恶意软件感染

```
检测：
- EDR 告警：检测到恶意进程
- 进程名：malware.exe
- 路径：C:\Users\Public\Downloads\
- 行为：创建计划任务、连接外部 IP

响应：
1. 自动隔离主机
2. 终止恶意进程
3. 删除恶意文件
4. 清除计划任务
5. 扫描其他主机

调查：
- 感染来源：钓鱼邮件附件
- 影响范围：单台主机
- 数据泄露：无
```

### 场景 2：凭证窃取

```
检测：
- EDR 告警：LSASS 内存访问
- 进程：mimikatz.exe
- 用户：admin

响应：
1. 立即终止进程
2. 隔离主机
3. 禁用 admin 账户
4. 重置所有相关密码
5. 审查其他主机

调查：
- 攻击者已进入内网
- 横向移动中
- 需要全面排查
```

### 场景 3：勒索软件

```
检测：
- EDR 告警：大量文件加密
- 特征：.encrypted 扩展名
- 行为：卷影副本删除

响应：
1. 立即网络隔离
2. 终止勒索软件进程
3. 保护备份系统
4. 通知管理层
5. 启动应急预案

恢复：
- 从备份恢复
- 重建系统
- 加强防护
```

---

## 总结与思考

### 核心要点回顾

1. **EDR 是端点安全核心** - 提供深度可见性和响应能力

2. **数据收集是基础** - 进程、文件、网络、注册表全面监控

3. **多层检测提高准确率** - IOC+ 行为+ML 组合

4. **快速响应减少损失** - 自动化响应至关重要

5. **持续调优保持效果** - 规则需要持续优化

### 实战建议

1. **优先部署关键资产** - 服务器、高管、财务

2. **启用关键监控** - 进程创建、网络连接、文件操作

3. **集成 SIEM/SOAR** - 实现自动化响应

4. **定期演练** - 验证检测和响应能力

5. **团队培训** - 熟练使用调查工具

---

## 参考资料

### 学习资源

- **MITRE ATT&CK** - https://attack.mitre.org/
- **SANS Endpoint Security** - https://www.sans.org/
- **EDR 评估报告** - MITRE Engenuity ATT&CK Evaluations

### 工具资源

- **Sysmon** - https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon
- **Velociraptor** - https://www.velociraptor.app/
- **Wazuh** - https://wazuh.com/

---

*365 天信息安全技术系列 | Day 269 | 端点监控与 EDR 技术*