端點偵測及回應（endpoint detection and response，EDR）是一類保安軟件，會監察手提電腦、桌面電腦和伺服器上發生的事，標示可疑行為，並提供工具讓你在該裝置上調查和遏止威脅。「端點」是指任何連接公司網絡或雲端服務的裝置，包括員工電腦、辦公室電腦、檔案伺服器和雲端虛擬機器。
傳統防毒軟件主要以已知惡意軟件的特徵檢查檔案。EDR 多加一層：它記錄裝置上的活動，例如程式啟動、腳本執行、網絡連線和系統設定變更，即使沒有已知的惡意檔案，也會找出疑似攻擊的模式。
EDR 如何運作
大部分 EDR 工具都依循相同的基本流程：
- 收集：每部裝置安裝一個小型代理程式，記錄與保安相關的事件，並傳送到中央管理平台（通常在雲端）。
- 偵測：把這些活動與已知攻擊手法和異常行為比對，例如辦公室文件啟動命令列工具，或某個程序在短時間內加密大量檔案。
- 警示：可疑活動會以警示形式提出，列明發生了甚麼、在哪部裝置和哪個用戶帳戶下發生。
- 回應：管理員或自動規則可以把裝置與網絡隔離、停止程序、隔離檔案，或收集證據作調查。
事故後，這些記錄可顯示攻擊者如何入侵、接觸過哪些裝置，有助執行事故應變計劃。
EDR 與防毒軟件的分別
兩者的界線已漸模糊，一般而言：
- 防毒軟件著重阻止已知惡意檔案執行，並加以清除。
- EDR著重可見度和回應：保留裝置活動記錄、偵測可疑行為，並讓你遙距處理裝置。
不少「端點防護」產品兩者兼備。比較時應問清楚記錄甚麼、資料保留多久和支援哪些回應動作。
相關名詞：MDR 與 XDR
- MDR（託管偵測及回應）：由外部保安團隊監察你的 EDR 警示並代為回應，通常包括非辦公時間，適合沒有內部保安人員的企業。
- XDR（延伸偵測及回應）：把同一概念延伸至端點以外，在同一平台整合電郵、身份、雲端和網絡工具的訊號。
為何對中小企重要
勒索軟件等攻擊往往由一部員工電腦開始，例如打開網絡釣魚電郵或密碼被盜之後。攻擊者亦可能利用系統內置的正當工具，而不是明顯的惡意軟件，以特徵比對的防毒軟件未必察覺。EDR 讓你較有機會及早發現，並在問題擴散到共用磁碟或伺服器前隔離裝置。
EDR 只是其中一層防護，應配合修補程式管理、多重身份驗證、經測試的備份，以及零信任的存取管理。
選用 EDR 前要檢查甚麼
- 涵蓋範圍：支援哪些作業系統，包括 Windows、macOS、Linux 伺服器，以及有需要時的流動裝置。
- 由誰處理警示：有人審視並跟進警示，EDR 才有用。要決定由內部 IT 人員、IT 服務商還是 MDR 服務負責，以及晚上和周末如何處理。
- 回應動作：能否隔離裝置、封鎖程序和遙距調查，以及能否自動執行。
- 現有授權：部分商業版辦公室或保安套件已包含 EDR 功能，購買新工具前先確認已付費的內容。
- 資料與私隱：活動資料存放在哪裡、保留多久。應告知員工公司裝置受監察；如有特定私隱責任，請徵詢專業意見。
- 效能與部署：先在少量裝置試用，並規劃新舊員工裝置的加入和移除。
常見問題
中小企需要 EDR 嗎？
視乎風險和系統環境。如果員工處理客戶資料、付款或遙距存取公司系統，值得考慮 EDR。人數很少的團隊，使用託管端點防護服務或會比自行管理更實際。
EDR 可以取代防毒軟件嗎？
很多 EDR 產品已包含防毒功能，未必需要另裝防毒軟件。應向供應商確認，避免兩套工具重疊衝突。
EDR 能阻止所有攻擊嗎？
不能。它改善偵測和回應，但可能遺漏新手法，也不會修正弱密碼或未修補的系統。應把它視為多層防護的一部分。
EDR 會保護我們的網站和雲端服務嗎？
只會保護已安裝代理程式的裝置或伺服器。託管網站和 SaaS 工具通常需要其他措施，例如帳戶保安、日誌記錄和網站監察。
如需協助檢視公司裝置的防護，或建立適合團隊的監察和回應安排，可見我們的網絡安全及合規服務。如需有既定回應時間的持續維護，可參考託管支援及 SLA 服務。