託管式偵測與回應（Managed Detection and Response, MDR），是由專業的資安團隊提供深度與廣度兼具的代管服務，有效協助企業妥善保護其系統環境和機密資訊。對於想要建立資安監控中心，卻無法聘請到專業資安人員的企業是很好的選擇。

然而，如同《企業端點完美防禦》27-建立安全堡壘的第一步：卡巴斯基端點防護說到，自從 EDR、MDR 出現後，宣稱 MDR + 事件調查吃到飽的服務，但這類吃到飽的事件調查服務通常指的是「針對 MDR 發現的警報進行處置」，而不是對該台主機進行數位鑑識、或是針對受駭主機擴展到整個企業的安全評估，採購這類方案時必需請業務說明廠商的事件調查可以做到甚麼程度。

卡巴斯基託管式偵測與回應可與卡巴斯基端點防護、以及 opentip 的回報連動，在訂閱進階版的情況下，如果系統管理員第一時間發現異常，也可以請原廠安全中心協助調查；卡巴斯基安全中心的人員有能力找出隱藏的威脅，並由端點防護阻止威脅擴散。

需要注意，如果卡巴斯基管理主控台的端點防護設定，勾選「當 KSN 代理伺服器不可用時使用卡巴斯基安全網路伺服器」時，就算電腦不在公司內，遙測資料也會直接傳到 KSN。

紅色箭頭是我畫的，原始的架構圖見：https://support.kaspersky.com/MDR/en-US/196548.htm

KSN代理設定，請參考：https://support.kaspersky.com/help/KESWin/12.5/zh-Hant/232851.htm

關於遙測資料存放地點，台灣的遙測資料放在俄羅斯，這樣會不會因為地緣政治產生問題？這點請放心，在AV-Comparative的透明度測試中，卡巴斯基獲得4.5顆星，並在世界各地建立透明中心；相比之下，微軟、趨勢科技只獲得1顆星。

聯邦安全局在看你(誤)

買完MDR後可以開始佈署，最重要的是將BLOB檔導入到管理主控台，這樣就會開始監控有安裝網路代理程式的主機

上面的都設定好後，再把BLOB放到主控台，否則會無法抓到資料

可以用Telegram接收MDR消息，俄羅斯企業用俄羅斯通訊軟體，沒毛病

既然都導入MDR了，就讓系統全自動接收處理

可以選擇每天、或每週一天寄送MDR報告

可與其他方案進行API串接

如果是大型企業，可以根據不同區域設定分群，方便辨識

分群的時效與MDR金鑰一致

設定是否隱藏不再與主控台連接的電腦，以及延伸通知

當上面的設定完成以後，就可以在首頁看到所有資料。

台灣買到的是進階版，如果自行發現公司內部可疑活動可以建立案件與卡巴斯基分析師溝通，可以說英文或俄文；每個月也會發送兩個公司內的重大資安事件供管理員檢視。

事件面板可以管理需要處理、以及結案事件。上半部是偵測時間、有問題的電腦、對應到的MITRE ATT&CK攻擊矩陣，下半部是被感染的路徑，以及建議方法，若有需要，可以點選溝通與卡巴斯基安全團隊溝通進行深入調查。

有時如果有卡巴斯基遺漏的樣本，也可以上傳到opentip後再和他們說明你的發現，確認沒問題會加入病毒碼。樣本來源：https://app.any.run/tasks/ef7033a0-e78b-425a-bcc0-2872bf46e417/

Remcos是很好用的遠端管理工具，但如果遭到濫用，也是很強大的入侵工具，如同Cobalt Strike一樣。請參考：https://breakingsecurity.net/remcos/

No problem BLIN! Stay Cheeki Breeki!

2025年6月禾滔科技的業務說，現在開始要求客戶開啟MDR的自動接受響應(Auto-accept for responses)，但客戶擔心如果自動響應是將電腦斷網隔離該怎麼辦？有些伺服器得24小時運作不能斷網。以資訊安全的角度、以及使用卡巴斯基MDR的經驗，能讓安全專家把電腦隔離公司已經快倒了，還不斷網只是在走鋼索，但如果真的不放心該怎麼辦？那就在MDR、與KSC都設定一個群組，將需要持續運作的主雞放到這個租戶(Tenants)中，並上傳該租戶的blob檔到設定檔裡就可以了。

新增租戶，比起租戶我更覺得叫群組比較妥當

存檔

排除剛剛設定的租戶，不要自動回應

下載blob檔案

回到KES新增群組

到該群組複製組態

將原本的blob刪除

再把剛剛下載的blob上傳到test群組，然後啟動政策，就完成不自動響應又有MDR功能的群組

MDR 未發現的案例

有了 MDR 就能高枕無憂嗎？非也，只要是人就有可能無法在第一時間抓到未知攻擊。卡巴斯基防毒軟體對於正常檔案驅動惡意檔案的這種「白加黑」偵側率很差，2026 年 8 月針對台灣的一波攻擊，使用者點擊後才反應給資訊單位，這時只能將樣本、惡意連結回傳給 MDR 進行事件調查，詳情見：https://www.plurk.com/p/3j1ktf1013。

由俄羅斯對外情報局 APT29 針對 Solarwinds 發動的 Sunburst 後門攻擊，卡巴斯基承認一開始從遙測資料有觀察到異狀，但沒有把它視為攻擊。

8. Why didn’t you catch this supply chain attack in the first place?
   That’s a good question! In particular, two things made it really stealthy. The slow communication method, in which the malware lies dormant for up to two weeks, is one of them. The other one is the lack of x86 shellcode; the attackers used a .NET injected module. Last but not least, there was no significant change in the file size of the module when the malicious code was added. We observed two suspicious modules in 2019, which jumped from the usual 500k to 900k for SolarWinds.Orion.Core.BusinessLayer.dll. When the malicious code was first added, in February 2020, the file didn’t change size in a significant manner. If the attackers did this on purpose, to avoid future detections, then it’s a pretty impressive thing.

ChatGPT 6 翻譯：

8. 為什麼你們一開始沒有偵測到這起供應鏈攻擊？

這是個好問題！有兩個因素讓這次攻擊特別隱蔽。其一是緩慢的通訊方式，惡意程式最長可休眠兩週。其二是沒有使用 x86 Shellcode（殼層程式碼）；攻擊者使用的是 .NET 注入模組。最後，還有一個重要因素：加入惡意程式碼後，模組的檔案大小並沒有明顯變化。我們在 2019 年觀察到兩個可疑的SolarWinds.Orion.Core.BusinessLayer.dll 模組，其檔案大小從通常的 500 KB 增加到 900 KB。然而，在 2020 年 2 月首次加入惡意程式碼時，檔案大小卻沒有明顯改變。如果攻擊者是刻意這麼做，藉此避免日後遭到偵測，那麼這種手法確實相當高明。

Sunburst: connecting the dots in the DNS requests

從以上兩個案例得知，資安監控人員與 MDR 應互相搭配，並把 MDR 當作第二意見的專業顧問，而不是完全依賴 MDR。面對現今複雜的威脅，沒有任何技術，任何人員可以第一時間知道攻擊何時發生。