EDR与EPP有什么区别？

终端检测与响应技术能够识别并应对各种威胁，而终端防护平台则能够保护系统免受已知或未知恶意软件的攻击。许多现代终端安全平台结合了这两种防护方式，但也可以只选择其中一种来进行安全防护。

什么是EDR？

端点检测与响应（EDR）平台是一种网络安全监控系统，它将下一代防病毒工具整合在一起，从而实现实时异常检测与警报提示、取证分析以及端点防护功能。 它有助于检测终端设备的攻击行为，同时还能立即获取与攻击相关的信息。 如果没有EDR技术的话，要实现这一点是非常困难的。因为安全人员通常对远程终端的访问和控制能力非常有限。 除了提供信息访问功能之外，EDR软件还在帮助安全人员应对攻击方面发挥着重要作用。它可以通过隔离终端、阻止特定进程，或者执行自动的危机响应策略来协助安全人员应对各种攻击。

EDR是如何工作的？

EDR能够记录终端设备及所有工作负载上的各种活动和事件，从而实现实时、全面的对终端事件的监控。

通过记录组织内所有终端设备的文件执行、修改、注册表更改、网络连接以及二进制程序的执行情况，EDR能够提升对威胁的可见性，而传统的威胁管理工具则无法达到这样的效果。

EDR的好处

• 威胁检测：EDR能够检测终端上的恶意活动与异常现象，而不仅仅是寻找基于文件的恶意软件。
• 事件调查：EDR能够实现对各种事件的取证分析，同时还能创建一个集中存储终端数据的数据库，以便于后续的分析工作。
• 事件响应：EDR包含了诸如安全事件优先级排序等应对突发事件的能力，这使得安全团队能够更快地响应各种攻击行为。
• 安全事件的处理：EDR解决方案能够在网络终端处阻止安全事件的发生，从而有效防止此类事件的发生。攻击/袭击从在网络中传播开来。

EPP到底是什么？

端点防护平台旨在防范来自传统恶意软件以及诸如勒索软件这类高级病毒的攻击。零日漏洞同时，这类攻击的频率也较低。传统的EPP机制本质上属于预防性防御方式，其大部分检测方法都是基于签名分析的。也就是说，这些检测方法是通过预先定义的威胁特征来识别新出现的威胁的。而最新的EPP技术则已经发展到了可以运用更多种类的检测手段的阶段。

EPP是如何运作的？

EPP能够检测到那些能够绕过标准端点安全机制的攻击者。此外，它们还有助于整合复杂的网络安全措施，从而实现数据的共享，同时还能提升分析能力，从而更有效地发现可疑行为。

EPP领域的一个关键发展是向云端的转型。因为，基于云技术的EPP系统可以利用一个轻量级的代理来监控所有终端设备。这样一来，关于攻击者行为的各种信息就可以被共享起来，从而提升对攻击者行为的检测效率。

EPP的好处

• 行为分析：这涉及到确定端点行为的基准点，以及在不存在已知威胁特征的情况下，识别出异常行为。
• 静态分析：EPP能够利用机器学习算法，在二进制文件执行之前对其进行分析，以检测其中的恶意行为。
• 签名匹配：EPP可以根据已知的威胁来识别潜在的危险。恶意软件签名。
• 允许列入和移除列表：EPP会阻止对某些内容的访问，或者只允许特定内容被访问。IP地址URLs以及各种应用程序

比较 EPP 和 EDR 解决方案

EPP解决方案能够识别来自已知威胁的签名以及其他入侵迹象。而EDR解决方案则通过进一步的安全机制来提供额外的保护。猎杀威胁者/威胁捕捉者基于行为的端点威胁检测技术。

尽管 EDR 看起来功能更强大，但它仍然无法替代 EPP 作为安全机制。那些希望拥有强大终端安全措施的组织，应该采取一种综合性的策略，同时考虑常规和高级的安全威胁。

EPP与EDR：您应该选择哪一种呢？

安全专家建议，在终端安全方面，应同时使用EDR和纯粹的EPP技术。EDR是基于“已经发生攻击”这一前提来工作的，而EPP则可以在威胁到达终端之前就将其阻止。我们绝不能认为自己的组织是绝对安全的。我们必须始终具备成功应对攻击的能力。

EDR与EPP之间的区别

EDR

EPP

结论

在本文中，我们了解了EDR和EPP的概念。EDR工具提供了更先进的功能，包括安全事件的检测与调查。而EPP则是一种集成式的安全解决方案，它利用了个人……防火墙端口与设备管理，以及……反恶意软件具备在整个组织范围内提供端点保护的能力。