上一篇我們探討了防火牆和 WAF 的防禦技術，對於駭客來說，理解這些網絡防護系統如何工作是攻擊和繞過的基礎。不過隨著安全技術的進步，更多的防護手段開始聚焦在終端設備本身，而這正是入侵的另一道難關——EDR（端點檢測與回應）。了解 EDR 的運作原理及其局限性，將有助於更有效地發起攻擊或繞過這些高級防護系統。
EDR（Endpoint Detection and Response，端點檢測與回應）是一種先進的安全技術，專門用來監控和保護終端設備（如伺服器、筆記型電腦、桌面電腦和移動設備）。EDR 不僅能檢測到潛在的安全威脅，還能主動響應這些威脅，並提供詳細的攻擊路徑分析和防護措施。與傳統的防病毒軟件不同的是，EDR 較側重於攔截惡意軟件，監控設備上的異常行為，並對潛在的攻擊進行即時響應。
實時監控： EDR 會持續監控終端設備上的各種活動，像是文件變更、進程啟動、網絡連接等。這些數據會被即時捕捉，並傳送到中央管理伺服器。
行為分析： 使用行為分析和威脅情報來檢測異常行為，如不尋常的權限提升、異常的數據傳輸或未經授權的進程啟動。
威脅檢測與識別： 根據數據庫中的威脅簽名和行為模式，能夠識別已知的攻擊方式以及潛在的威脅，並生成警告。
自動響應： 一旦發現威脅可以自動做出響應，例如隔離受感染的設備、阻止可疑進程、限制網絡訪問，或者自動清除惡意文件。
事件回溯和分析： 記錄和分析整個攻擊過程，幫助安全團隊了解攻擊者的行為，並提供詳細的事件回溯，便於事後調查和修補漏洞。
即時檢測： EDR 能夠即時檢測威脅，並立即進行處理。傳統方法往往是在攻擊發生後才發現問題，無法阻止攻擊的擴散。
完整事件回溯： EDR 能夠記錄並保存設備上的所有活動日誌，這些數據可用於事件的回溯和調查。傳統方法通常缺少詳細的攻擊過程信息，導致調查困難。
行為分析： EDR 不僅依賴簽名檢測，還能基於行為來識別潛在威脅。傳統的安全工具往往依賴於已知威脅的簽名數據庫，無法應對變異或新的攻擊方式。
自動響應： EDR 能夠在發現威脅的同時採取自動化的回應行動，例如隔離受感染設備、阻止惡意活動等，從而將損害降到最低。而傳統的防禦工具通常只能發出警報，並需要人工介入。
資源占用高： 因為需要對大量的終端設備進行監控和數據處理，這對硬件資源要求較高，可能影響設備性能。
誤報率： 因為依賴於行為檢測和自動化規則，有時可能會誤報合法行為為威脅，這有時候會增加安全團隊的工作負擔。
需要專業知識： EDR 的設置和運營需要一定的專業知識，特別是在分析大量的行為數據和威脅信息時，對人員的技能要求較高。
僅限於終端設備： EDR 的重點在終端防護，它對於網絡層面的攻擊（如 DDoS 攻擊）無法提供直接的防護，這些需要結合其他網絡安全工具進行全方位防護。
利用合法工具攻擊
利用系統中合法的工具和進程（如 PowerShell、WMI 等）來發動攻擊，因為這些工具本身被視為安全，EDR 很難識別它們的惡意行為。這種攻擊方式被稱為 "Living off the Land"（LoL），它依賴於利用操作系統內置工具來執行惡意操作。
Fileless Attacks
將惡意代碼注入到內存中運行，這樣可以繞過傳統的文件掃描和簽名檢測。EDR 雖然可以通過行為監控來檢測這類攻擊，但如果行為模式十分隱秘，EDR 可能無法即時識別。
隱蔽的後門
通過安裝隱蔽的後門程序，利用 EDR 無法檢測到的技術來保留持續性控制。例如，某些根據特定條件才觸發的後門可能不會立即展現出惡意行為，從而避免被 EDR 檢測。
利用 EDR 誤報
通過反覆測試某些行為，找到能觸發 EDR 誤報的漏洞，然後利用這些漏洞來進行更深入的攻擊。例如，利用合法行為誘使 EDR 誤報，讓 EDR 將合法進程標記為惡意進程。
繞過檢測
駭客會針對 EDR 的工作原理進行測試，尋找其規則和簽名檢測的漏洞。例如，通過修改惡意代碼的細節來避開簽名檢測，或是通過混淆技術讓 EDR 無法正常解析惡意行為。
iThome鐵人賽
看影片追技術