明御®终端安全及防病毒系统（EDR）
明御®终端安全及防病毒系统（简称EDR）以IPDRR安全框架为核心，聚焦终端安全纵深防护，通过技术与策略的深度融合构建“识别-防护-检测-响应-恢复”闭环能力。实现事前精准识别资产风险与主动防御部署、事中动态感知攻击链行为与自动化协同处置、事后高效溯源分析助力筑牢防线，基于ATT&CK建模与AI分析共同防御APT高级威胁，形成覆盖终端全场景、全流程的自适应安全防护体系，实现从被动防御到主动治理的范式升级。
场景痛点描述
- 特征库滞后性：传统防御依赖病毒特征库，无法及时识别变种勒索病毒，导致防护出现“时间差”。
- 传播路径隐蔽性：勒索病毒通过钓鱼邮件、远程桌面漏洞、供应链攻击等多渠道渗透，实时监控难以全面拦截。
- 横向扩散难以遏制：病毒感染单台主机后，常利用弱口令、未授权访问等漏洞在终端反复传播，缺乏跨设备协同阻断能力。
解决方案
- 资产风险排查：对弱口令、风险账号等进行专项评估，修复漏洞规避无文件攻击，对第三方组件Web服务、数据库等收敛暴露面。
- 勒索免疫防护：通过EDR诱饵引擎监控文件异常加密行为，精准识别勒索病毒变种，利用主动监控实时防御查杀拦截各类蠕虫、木马等。
- 横向传播拦截：流量画像绘制业务主机边界访问关系，微隔离告警或阻断可疑外联与横向扩散。
场景痛点描述
- 资产和管理复杂：管理几百台业务主机，实际管理者还有多个职能负责人，业务资产详情及访问关系理不清。
- 业务主机不敢打补丁：业务系统和主机肯定是存在漏洞的，但业务有连续性要求无法及时修复漏洞。
- 每次都是防护的重点：所管理的都是高价值特权主机，是APT攻击主要目标，还无法完全屏蔽访问，攻击过程具有高隐蔽性，长期潜伏、持续渗透。
解决方案
- 资产和管理梳理：租户化账号管理体系，各自数据互不干扰；盘点资产：账户、端口、Web应用服务、数据库等维度。
- 风险评估与加固：评估主机、数据库、中间件弱口令，高风险漏洞；结合补丁修复、虚拟补丁减少漏洞暴露时间。
- APT检测与防御：EDR采集主机行为数据与安恒情报数据、XDR、AiLPHA对接，实现流量侧和终端侧安全的统一运营管控。
场景痛点描述
- 成为主要攻击目标：黑客使用高级持续攻击常用到社会工程学，而且攻击手段隐蔽，利用进程注入、无文件攻击等，在终端中长期隐藏自己的存在。
- 紧急重要漏洞未修复：紧急漏洞，补丁还未发行，漏洞已爆发，黑客可以直接入侵目标机器，窃取机密资料。
- 入侵主机的影响评估：主管单位发文通告做安全自查或告知有失陷主机，但不清楚哪台主机失陷以及影响范围。
解决方案
- 入侵行为检测：建立ATT&CK战技术知识库，采集终端行为数据结合威胁情报（IOC）实现对各类入侵攻击的持续检测。
- 主机漏洞排查：对两高一弱结合基线进行安全评估，识别行为偏差及非法登录特征，阻断爆破行为，放行正常业务。
- 溯源定位处置：利用告警平台发现入侵痕迹（IOA）后可一键阻断隔离，支持进程链溯源，展示攻击进程树，实现入侵事件处置与溯源。
场景痛点描述
- 等保合规无法统一执行：行业主管单位已制定或选择主机合规标准，所辖多个单位没有统一执行的有效措施。
- 等保测评项不达标：网络安全法的出台，对重要业务系统最基本的安全目标是做到等保合规，配合等保合规检查时临时配置终端策略手忙脚乱。
- 主机安全基线不知道做什么：合规管理细粒度难以把握，管的松了不安全，管的紧了不便利，没有标准的安全基线。
解决方案
- 周期性对业务主机进行等保合规检查，检查不合格项，通过加固指引完成等保合规加固。
- 利用EDR自带的根据等保1-4级的分类，生成标准的等保检测任务，直接了解各项测评指标达标情况。
- 自定义安全检测标准，根据业务主机上的运行业务特点，制定不同的操作系统、数据库、中间件常见的弱口令、漏洞、病毒的检测要求。
- 资产管理
产品采用多租户架构，确保不同租户的数据相互独立。通过统一的管理后台对所有租户的软硬件资产进行集中配置、监控和维护。
- 病毒检测
具备多维核心杀毒引擎，本地引擎扫描+中心引擎检测+云端引擎鉴定，结合免疫引擎+诱饵引擎彻底解决已知病毒威胁。
- 风险评估
对主机进行安全风险盘点，从病毒、漏洞、基线、账户、弱口令进行评估。弱口令检测涵盖OS、数据库、中间件、网络服务等多类系统及应用。
- APT防御
利用AI哨兵、登陆防护、进程防护、虚拟补丁、流量画像协同构建起覆盖登录验证、进程监控、漏洞防御、智能分析和流量管控的多维安全机制。
- 追踪溯源
采集终端网络、进程等行为数据，结合ATT&CK框架和威胁情报进行高级威胁检测和溯源。
- 告警与处置
基于业务标签对流量进行可视化梳理，并通过微隔离技术实现最小访问权限，通过主机、文件隔离、进程阻断、IP封禁等手段做到快速告警处置与恢复。
- 业务主机的安全评估
上线阶段识别服务、流量访问关系，控制最小访问权限；运行阶段定期基线合规排查；风险账号、弱口令、病毒漏洞检测利用云端沙箱和情报进行综合评估。
- 实战化的入侵检测
安恒EDR基于ATT&CK框架，并结合威胁情报和主机侧看到的安全行为数据，能够发现新型入侵，并基于云端安全分析能力持续优化检测规则，自定义IOA策略阻断入侵攻击。
- 智能化主机威胁研判
采用深度神经网络学习正常登录行为特征，自动识别暴力破解、撞库攻击，自动识别异常通信并触发微告警策略。
- 协同联动的开放生态体系
EDR联动体系构建“端-网-云”协同防御架构，EDR与APT、XDR、AiLPHA等协同联动，提高威胁处置的时效性，实现“检测-阻断-溯源-恢复”的全流程处置。