🛡【EDR环境】赛门铁克(Symantec)EDR & SEP🛡

赛门铁克 EDR & SEP 介绍

赛门铁克（Symantec） 是全球知名的网络安全公司，提供企业级 端点检测与响应（EDR） 和 端点安全（SEP） 解决方案。其 Symantec Endpoint Detection and Response（EDR） 主要用于 威胁检测、调查和响应，而 Symantec Endpoint Protection（SEP） 则是 传统杀毒+高级防护 的端点安全解决方案。

Symantec EDR（Endpoint Detection and Response）

（1）EDR 主要功能

🔹 高级威胁检测：检测 APT攻击、勒索软件、0day漏洞
🔹 威胁狩猎：提供 IOC/IOA（入侵指标/攻击指标）分析
🔹 事件响应：远程隔离、终止进程、取证分析
🔹 沙盒分析：自动分析恶意软件行为
🔹 SOAR & SIEM 集成：可对接 Splunk、IBM QRadar、Elastic Security
🔹 跨端点 & 网络分析：结合云端情报，检测高级攻击

（2）EDR 典型攻击检测

攻击类型	检测能力
勒索软件	监测文件加密行为，自动阻止可疑进程
横向移动	监测 PsExec、WMI、WinRM 等工具活动
凭证盗取	监测 Mimikatz、LSASS 内存访问
WebShell	监测 IIS、Apache、Tomcat 的异常访问
漏洞利用	检测 CVE 漏洞攻击，如 Log4j、PrintNightmare
恶意脚本	检测 PowerShell、Cobalt Strike、Meterpreter

（3）Symantec EDR 工作流程

数据收集：采集端点（Windows、Linux、Mac）活动日志
威胁分析：基于 AI 规则、IOC 检测、行为分析
告警生成：识别恶意进程、远程访问工具（RAT）、后门
响应处置：终止进程、隔离端点、阻断 C2 连接

Symantec SEP（Endpoint Protection）

Symantec Endpoint Protection（SEP） 是 传统杀毒 + 端点防护 结合的安全软件，针对 病毒、木马、勒索软件、APT攻击 提供 多层防护。

（1）SEP 主要功能

🔹 传统病毒查杀：基于病毒库 + AI 引擎检测恶意文件
🔹 行为防护：检测可疑文件的运行行为（如自我复制、加密文件）
🔹 入侵防护（IPS）：拦截利用漏洞的恶意流量
🔹 防火墙 & 应用控制：限制恶意进程、IP 访问
🔹 设备控制：管理 USB、蓝牙、外设安全
🔹 Web 保护：拦截钓鱼网站、C2 服务器通信

（2）SEP vs 传统杀毒软件

功能	Symantec SEP	传统杀毒软件
静态扫描	✅ AI + 病毒库	✅ 依赖病毒库
行为检测	✅ 可疑行为拦截	❌ 主要依赖特征库
网络防护	✅ IPS 拦截漏洞利用	❌ 依赖本地检测
应用控制	✅ 可阻止不受信任程序	❌ 依赖用户配置
APT 监测	✅ 结合 EDR 检测高级攻击	❌ 传统杀毒无法识别

DR & SEP 适用场景

场景	EDR	SEP
APT攻击检测	✅ 适用于高级攻击分析	❌ 传统杀毒无法检测
勒索软件防护	✅ 可追溯攻击源	✅ 可拦截已知威胁
终端隔离 & 响应	✅ 远程阻断攻击	❌ 仅能拦截已知病毒
横向移动检测	✅ 监测 PsExec、WMI 攻击	❌ 传统杀毒无法识别
SOC & SIEM 集成	✅ 可对接安全平台	❌ 传统杀毒无此功能