【每日一记11】第17天EDR的威胁检测功能。

之前说了EDR的微隔离功能，今天来说EDR的威胁检测功能。
威胁检测里面分为3个功能，病毒查杀、漏洞查补、基线检查。
这3个功能各有什么用？
病毒查杀：通过结合本地信誉库、自研 SAVE 引擎、行为检测引擎、特征检测引擎、云查等多引擎对终端进行威胁文件扫描并展示查杀结果

漏洞查补： 可检测 windows 终端系统漏洞并修复，当前支持远程执行代码、拒绝服务、特权提升、安全功能绕过、信息泄漏五种影响类型漏洞检测和修复。

基线检查：可对终端进行合规性检查。针对不同终端系统检查内容有所区别。Windows 终端检查内容为：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范；Linux 终端检查内容为：身份鉴别、访问控制、安全审计、SSH策略检测、入侵防范、恶意代码防范。
如何使用呢？
1、终端接入终端检测响应平台后可通过 『威胁检测』→ 『终端病毒查杀』，然后在该界面选择对应终端与方式即可。


扫描完成的结果如下图：

点击威胁终端检测详情查看该终端详细的扫描结果，如下图。

点击处置即可对病毒进行隔离

2、终端接入终端检测响应平台后可通过『威胁检测』→ 『终端漏洞查补 』进行漏洞查补。

点击添加漏洞扫描任务

选择需要检查的漏洞终端

点击具体任务执行结果，查看任务详情，如下图。任务详情显示漏洞检查的终端，以及终端全部漏洞和未修复的漏洞数，并可以对终端进行漏洞处理或重新扫描。

点击处理漏洞，可以对系统漏洞进行“修复”或“忽略”。

3、终端接入终端检测响应平台后可通过『威胁检测』→ 『终端合规检查』进行基线检测。先配置合规检查定义。

然后选择需要进行合规检查的终端下发检测命令，点击立即检查，如下图：

完成检测后，可以查看检测的结果：

查看合规检测的结果点击查看详情。

个人观点，整体很实用，完全符合gartner的对应EDR的定义。

威胁检测功能的使用

我在社区摸爬滚打这么多年，所谓阅人无数，就算没有见过猪走路，也总明白猪肉是啥味道的。一看到楼主的气势，我就觉得楼主同在社区里灌水的那帮小混子有着本质的差别，你一定就是传说中的最强技术牛。