杀毒软件装了为什么还中招？终端检测与响应EDR部署方案，补上

摘要：传统杀软靠特征库，新变种一来就失灵。EDR看行为，选型、灰度、策略、告警、演练，五步部署讲清。

终端中了勒索软件的企业，很多都装着杀毒软件——不是装了没用，是特征库比对这套机制追不上新变种。终端检测与响应EDR部署方案，补的就是这块短板：EDR盯的是行为，可疑进程、异常加密动作、横向移动的痕迹，它能在特征没出的时候就报出来。

部署按五步走：

步骤一是选型：看检测能力、响应手段、日志留存和与现有系统的兼容性，别只看参数表，拿真实环境试一轮再定。

步骤二是灰度：先在几十台机器上试运行两周，观察误报率，调好策略再推全网。

步骤三是定策略：按部门和使用场景分组，开发机、办公机、服务器不能用同一套规则。

步骤四是接告警：告警必须有专人跟，终端告警的响应时限写进值班制度，否则装了等于没装。

步骤五是演练：定期做红蓝对抗或模拟攻击，验证EDR能不能按预期发现和阻断。

选型再补一句：EDR对终端性能有消耗，老机器多的企业先做一轮兼容性测试，必要时分批更换硬件。另外把EDR和其他安全设备的日志汇到统一平台，单点告警价值有限，串起来才看得清攻击链路。

预算和人力也要提前算：EDR授权按终端数走，加上平台和运营人力，一年是一笔持续的投入，立项时把三年成本摆清楚，避免买得起养不起。对中小规模的企业，托管式的EDR服务可以降低运营门槛，告警由服务商先筛一道，内部只需要处理确认过的告警，人手紧张的团队可以考虑。

EDR是能力，不是摆设，运营跟得上才出效果。安言咨询提供终端安全体系建设与EDR实施服务，欢迎交流。

数字安全 关注安言