DAY52 EDR 端點偵測與回應/Sysmon 系統監控工具

• 一. 什麼是EDR?
• 二. 什麼是Sysmon 系統監控工具?
  • 2.1 程序建立 Process Creation
  • 2.2 程序樹 Process Tree
• 三. 總結

端點?
實際被使用的裝置，例如:

• 桌上型電腦
• 筆記型電腦
• 伺服器
• 工作站

等等
使用者或服務實際執行程式的那台機器

一. 什麼是EDR?

Endpoint Detection and Response
端點偵測與回應
Detection 偵測
Response 回應

持續蒐集端點行為，偵測可疑活動，並協助調查與回應

與傳統的防毒軟體不同
防毒是
找已知的惡意程式

EDR
看行為模式，看可疑活動

EDR的重點:

1. 蒐集端點紀錄
2. 偵測可疑行為
3. 採取回應

例如:

EDR發現某台電腦(端點)有可疑的PowerShell行為

1. 產生告警
2. 資安人員分析調查
3. 確認問題
4. 隔離裝置

EDR能做的回應可能有:

• 隔離裝置
• 終止程序
• 隔離檔案
• 執行防毒掃描
• 封鎖指標
• 蒐集調查資料

接上前幾天Zero-Day的內容
EDR在沒有漏洞編號的情況下
還是能看到可能的可疑行為

IPAS 115-1 Q30
零日漏洞在安全更新發布前就可能被攻擊者利用，導致企業無法立即修補，因此這類攻擊難以預防。下列何項是最「不」妥當的應對措施？
其中:
(A選項) EDR來監控可疑行為
對於零日漏洞來說就是妥善的應對措施

二. 什麼是Sysmon 系統監控工具?

Microsoft Sysinternals 的工具
在Windows系統中紀錄非常詳細的系統活動

可以用來記錄:

• 程序建立
• 網路連線
• 檔案建立時間變更
• 驅動程式/動態連結函式庫載入
• 雜湊

它不會完整分析所有事件、決定攻擊、執行回應
它只負責紀錄活動

2.1 程序建立 Process Creation

程序 Process
存在SSD中，還沒執行的程式
在被啟動後進入RAM記憶體執行
形成->程序 Process

一個程序可以再啟動另一個程序
這就是父程序與子程序
Windows官方把這種關係稱為
父子程序關係

2.2 程序樹 Process Tree

例如:

• A.exe
  • B.exe
    • C.exe
    • D.exe
    • E.exe

可以看出哪個程序啟動了哪個程序

原本:

• PowerShell
• cmd.exe
• rundll32.exe
• regsvr.exe

這些本來是合法工具
但攻擊者可以利用它們

例如:

• word.exe
  • powershell.exe
  • cmd.exe
    • 下載可疑檔案

這時程序樹就可以幫忙辨識合法工具是否遭異常調用
像為什麼word會叫出PowerShell.exe這種可疑行為

IPAS 115-1 Q49
AI SOC Agent 使用「端點紀錄（EDR/Sysmon）」分析比「網路流量（Network Traffic）」精準的主要原因，下列何項敘述較為適切？
因為端點紀錄可以呈現程序樹，辨識合法工具是否被異常調用

三. 總結

1. 端點
2. 產生系統行為
3. Sysmon紀錄詳細事件
4. 程序/父程序/命令列
5. 程序樹
6. 分析可疑行為
7. 告警
8. 隔離/阻擋/調查