360公布面向未来的EDR(360未来进展)

随着数字化发展，网络安全威胁不断演进，EDR产品也被期望能够真正解决终端面临的APT、0day、勒索病毒等高级威胁。然而实战证明：传统的EDR产品面临很多痛点，无法解决多场景安全性问题，例如传统EDR产品对海量大数据的存储和处理能力不足，让EDR整体威胁识别成为空谈；又如不具备从实战中总结出知识库和安全分析能力，使得有价值的数据在客户侧难以被有效利用；再如缺少灵活的性能调优和自适应机制，采集大量的端点信息导致消耗终端和服务器的大量宝贵资源。

为了弥补传统EDR的不足，360政企安全集团依托360云端安全大脑提供的安全大数据、威胁情报和攻防知识库等强大能力以及核心安全大脑驱动的“运营商级”大数据处理及分析技术，打造了面向未来的EDR解决方案——360终端检测响应系统（以下简称“360 EDR”）。360 EDR同时具备SaaS化和智能化的特点，可以通过持续监测端点活动行为，对威胁风险进行深度检测、智能化分析和专业化处理，大幅降低用户成本，提升部署效率，联动全网大数据，全方位解决用户的终端安全问题。

（360核心安全大脑-示意图）

17年终端安全产品领导者 打磨EDR必要能力与关键能力

在终端安全产品层面，360拥有17年的终端安全攻防对抗经验，积累了海量的全网安全大数据，历经十余年与各种木马、APT家族、0day漏洞的攻防实战，持续打磨终端的恶意行为检测和响应能力，积累了全面细致的终端行为检测技术，在终端安全产品效果上打造了行业标杆。作为终端安全产品的引领者，360从实战层面提出了面向未来的EDR产品应该具备的关键能力，具体包括：

EDR产品必须具备海量大数据存储及处理能力。安全大数据是支撑构建覆盖面足够广、精确度足够高的检测防御模型，以及发现攻击者痕迹的必要基础。在EDR中，端点采集的各类安全行为数据是终端安全防御、检测和响应的核心依据，是应对APT攻击的重要手段，通过对多维度高质量的海量大数据进行自动化的、智能化的关联分析和运营，可以追溯攻击过程，寻找漏洞源和攻击源，是有效防御和确保终端安全的有效途径和方法。

还应具备全面专业的安全分析能力。EDR产品需要有各种安全检测分析技术，能对海量多异构数据进行分析，同时结合全网APT情报，确保各类威胁全面可视。由于高级威胁攻击的蛛丝马迹往往隐蔽在常规软件运行的类似行为当中，因此检测需要对终端海量数据进行安全分析，需要具备对历史数据的反复检测能力，这些都要求产品具备极强的大数据运算分析能力。

此外,还应具备实战攻防对抗的能力。基于最新漏洞、APT等各种攻击方式，机器学习和大数据自动化关联分析固然必不可少，但对收集到的数据集进行人工分析和解释也十分重要，安全专家会通过安全知识与专业技能，以及基于多年实战总结的威胁检测防御模型，进行实时和持续的追踪分析，并提供特定场景的安全解决方案。

随着数字时代攻防对抗的不断演化，以SaaS化和智能化EDR形式帮助企业用户解决长期安全运营问题成为关键能力。通过整合云端能力和终端资源以SaaS化服务形式面向大中小客户输出，能增强内网端点威胁防御以及威胁对抗能力，保障各类生产和办公业务平稳持续运行，已经成为新一代EDR应对高级攻击可预见的趋势。

360推出新一代EDR解决方案多重优势解决终端安全威胁

多年来，360政企安全集团在帮助政企客户利用数据驱动网络安全建设的过程中，构建了一套可以抵达云端知识、客户业务及生态数据的核心“能力门户”及运算分析的“中枢系统”——360核心安全大脑，包含一个安全大数据平台、一个云端赋能平台和多个安全分析引擎，以及内嵌360十七年经验所积累的实战方法论组成，负责全面体系化的核心运算及分析工作。通过联动“云端安全大脑”赋能360所有安全产品，能够助力网络安全产品的信息共享、大数据集中分析研判、高级威胁情报赋能、网络安全产品体系化联动、安全策略协同等全方面提升。

（360核心安全大脑-示意图）

作为面向未来的终端安全产品，从构成上360 EDR技术架构分成三个部分：终端代理、EDR Server、360核心安全大脑。其中终端代理是360 EDR的核心组成部分，360 EDR依托于360云端核心安全大脑的持续赋能、360核心安全大脑的安全大数据平台充分发挥终端代理的采集和处置能力，同时通过EDR Sever的高效数据分析引擎，最终实现对高级威胁的检测和抑制。

结合威胁情报和360核心安全大脑，360 EDR在产品化落地过程中具备了如下几方面突出优势：基于海量安全大数据的全网视角、完备安全分析能力和检测能力、基于独一无二核晶引擎的高质量数据采集能力、以及SaaS化和智能化能力。

优势1：全局视野——海量安全大数据

海量大数据作为360 EDR的持续驱动力，能够实时同步全球威胁，持续增强对APT攻击的检测和感知能力。基于17年实战经验，360已汇集了超300亿程序文件样本，22万亿安全日志、90亿域名信息、2EB以上的安全大数据，可瞬间调用超过百万颗CPU参与计算、检索和关联多维度威胁数据，这些数据会策略性的下沉至核心安全大脑3.0并支撑360EDR产品，形成其核心优势——基于巨量终端、实战所获得的海量安全大数据所构造。

优势2：完备的安全分析能力和检测能力

没有“可视”这一前提，任何威胁的处理都是一句空话，而威胁的可视化就是360 EDR的“雷达”能力。这种针对各类攻击的“雷达”能力，需要强大的安全分析能力支撑。360作为一家具有17年历史的数字安全领导公司，实现了从ToC到ToB/G的安全能力积累，因此具备了国内最强大的安全分析能力和技术。360核心安全大脑能够把专业相关的分析能力通过配置组合的方式赋能360EDR产品，360 EDR通过核心安全大脑的各种检测分析技术，对海量多异构数据进行分析，同时结合全网APT情报，确保了各类威胁全面可视。

优势3：高质量数据采集能力——基于独一无二的核晶引擎

数据采集质量，决定了EDR真正的检测效果。360 EDR使用360十几年积累的内核分析技术、独一无二的核晶硬件虚拟化引擎等多种引擎来收集安全数据，一方面实现了多维度的大数据采集，时间维度包括攻击前、攻击中、攻击后，行为维度包括标准行为、差异行为、破坏行为，阶段维度包括感染前、感染中，感染后等。

另一方面，360 EDR提供超越内核级监控能力，利用CPU的硬件虚拟化机制增强64位系统的安全防护，对进程创建、进程注入、模块加载、注册表值写入、文件写入等行为进行全面监控，规避了传统EDR大量依赖Ring3用户层监控技术的弊端，同时还能直接检测内核与应用层0day漏洞利用行为，有效对抗APT绕过攻击。至于数据采集后的数据处理，360EDR基于360核心安全大脑的模型化管理数据标准，能够助力提升安全运营中的数据处理效率5倍以上。

优势4：SaaS化和智能化

除此之外，360 EDR产品还具备实现SaaS化和智能化的能力。一方面，360 EDR可以在云端采用SaaS多租户的部署模式，为用户提供安全大数据的存储、数据实时处理、关联分析、并行查询以及秒级响应能力，支撑安全专家随时进行主动的威胁狩猎。另一方面，基于查杀引擎、知识图谱和AI技术带来的技术提升，360 EDR也越来越智能化，包括实现对海量安全事件的自动分类、自动分优先级和对攻击行为采取自动响应等。

总体而言，360 EDR依靠360云端安全大脑在数据、情报、专家的赋能，以及云地一体的架构，能够实现SaaS化和智能化，为政企用户提供最强大、最全面的安全分析能力、攻击溯源能力、可视化展现能力、快速响应能力、联防联动能力、定制化安全运营能力以及丰富的订阅服务，帮助用户大幅度提升安全风险的识别、保护、检测、响应、恢复等各项能力。（刘佳）

关键词：360公布面向未来的EDR(360未来进展)