【8月5日-技术盲盒】高频知识汇总-EDR篇（二）

一起来学习，一起来学习

一起来学习，一起来学习

一起来学习，一起来学习

感谢分享，有助于工资和学习！

感谢分享，有助于工资和学习！

一起来学习，一起来学习

一、安装EDR之后终端或服务器卡顿，排查步骤如下：

1、查看agent是否在扫描，如果在扫描，停止扫描电脑是否正常。

2、查看是否有开实时监控，如果有，将实时监控的等级调成低，测试看看是否还卡

3、若还卡顿则进行进程收集，后联系400处理

3.1打开任务管理器，选择映像路径

3.2 点击CPU及内存排序，观察电脑占用高的进程，确认是否进程占用高导致使用异常，并确认对应进程是否为EDR的进程

3.3将收集信息提供400进行排查

PS：EDR进程小科普

EDR在Windows系统中主要进程如下：
abs_ deplover. exe //绿色通道服务
edr_monitor.exe //Agent端主控服务，用于和平台通信
sfupdatemgr.exe //升级进程
ipc_proxy.exe //通信代理进程
edr_sec_ plan.exe //云安全计划进程
wtpclient.exe //流量上报应用层进程
edr_agent.exe //各插件业务宿主进程( 包括终端管理/基线检查/杀毒管理/ 微隔离/威胁定位/webshell检测等)
sfavsvc.exe //杀毒/实时监控服务
sfavui.exe //UI进程
EDR在Linux系统中的主要进程如下：
sfavsrv //毒查杀进程 在进行查杀操作的时候会被拉起，其他的时候进程不运行。
abs_deployer //绿色通道服务
edr_monitor //Agent端主控服务，用于和平台通信
sfupdatemgr/sfupdate //升级进程（sfupdate升级时启动）
Ipc_proxy //通信代理进程
edr_sec_plan //云安全计划进程
flux_app //流量上报应用层进程
edr_agent //各插件业务宿主进程（包括终端管理/基线检查/杀毒管理/微隔离/威胁定位/webshell检测等）
sfavsrv //杀毒进程 lloader //webshell/僵尸网络检测的威胁文件隔离进程
cpulimit //针对edr_agent、sfavsrv进行CPU资源控制的进程
EDR在MAC系统中的主要进程如下：
edr_agent sfavsrv //病毒查杀进程
edr_monitor //Agent端主控服务，用于和平台通信
ipc_proxy //通信代理进程
abs_deployer //绿色通道服务

二、EDR处置病毒处置失败，排查步骤如下:

1.检查终端状态是否正常，是否出于离线或者禁用状态，导致处置文件失败。

2.检查终端上对应路径威胁文件是否存在，如果存在检查md5是否和EDR平台上的md5一致，文件不存在或者md5变动会导致处置失败。

3.检查终端系统状态是否正常，内存占满等也会导致平台处置失败（内存占满问题重点检查）

三、EDR无法处置部分病毒（例如：银狐、powershell、宏病毒等），排查步骤如下：

1.查看agent是否正常在线，确认病毒查杀策略正常下发

2.查看规则库是否更新到最新，如病毒库版本较低则先升级最新病毒库

3.以上排查步骤无问题情况下，收集相关背景和信息摇400处理