股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
EDR能力指南 | 亞信安全穩(wěn)居領(lǐng)導(dǎo)者，引領(lǐng)技術(shù)創(chuàng)新！
發(fā)布時間 ：2021年10月12日
類型 ：公司新聞
分享：
今日，國內(nèi)數(shù)字產(chǎn)業(yè)領(lǐng)域第三方調(diào)研機構(gòu)數(shù)世咨詢發(fā)布《EDR能力指南》，亞信安全EDR以優(yōu)異的表現(xiàn)再次位居點陣圖領(lǐng)導(dǎo)者象限。技術(shù)實力排名第二，市場執(zhí)行力居前三甲！亞信安全EDR在技術(shù)實力、應(yīng)用創(chuàng)新和市場認可方面的卓越能力再次獲得肯定。
參與本次EDR安全能力點陣圖的安全廠商有12家，分為三種：
融合源：本身擁有多樣產(chǎn)品線的綜合性廠商，能夠通過部分其他產(chǎn)線能力（如專有的威脅情報團隊）將EDR能力進一步發(fā)揮。
專注源：專注以EDR為自身主要產(chǎn)品的廠商。
能力源：在某一方面（如病毒查殺、主機防御）有突出能力，圍繞該能力拓展成為EDR的廠商。
以下內(nèi)容節(jié)選自《數(shù)世咨詢：EDR能力指南》
前言
終端安全可以說是數(shù)字安全的起源——早在計算機還是一個龐然大物的時候，就有了最早的“病毒”概念。相對應(yīng)的，針對終端的防御也隨之開始。從發(fā)展的角度來看，終端防護手段的演化，有兩個方面代表了整個數(shù)字安全領(lǐng)域的演化，即威脅方式的演化和安全理念的演進。
EDR的出現(xiàn)代表了安全理念的一個重要轉(zhuǎn)變：從“預(yù)防”到“檢測”與“響應(yīng)”。安全中沒有“銀色子彈”，我們無法攔截所有攻擊；而現(xiàn)在的安全理念，是從前置的嚴防死守，到及時發(fā)現(xiàn)異常并且進行處理，將損害限制在可控范圍內(nèi)。因此，EDR不僅僅通過“特征”進行“預(yù)防”，更依靠“行為”進行“檢測”，并且進行“響應(yīng)”。同時，EDR不再只是著眼于單個終端的防御，而是能夠?qū)Ω鱾€終端上事件的關(guān)聯(lián)分析，還原整個攻擊的流程，描繪出攻擊事件的全貌——在當(dāng)下愈演愈烈的APT攻擊中，尤為重要。
（注：本報告中，“終端”特指手機、電腦、平板等用戶直接交互的設(shè)備，以及打印機、攝像頭等物聯(lián)網(wǎng)設(shè)備；“主機”指服務(wù)器；“端點”指“終端”與“主機”的總稱。）
關(guān)鍵發(fā)現(xiàn)
端點安全的最關(guān)鍵的防護目標(biāo)是為了確保主機、服務(wù)器的安全；與之相對的，終端設(shè)備已經(jīng)逐漸成為新的網(wǎng)絡(luò)邊界。
EDR在國內(nèi)落地的核心價值集中在對未知威脅的應(yīng)對以及溯源取證；關(guān)鍵技術(shù)能力為防病毒引擎、數(shù)據(jù)采集分析能力、響應(yīng)策略能力、威脅情報以及安全服務(wù)能力。
對于有采購EDR意向的組織，建議從自身的IT能力與安全現(xiàn)狀出發(fā)，選購適合自己需求的產(chǎn)品。
從市場來看，EDR在政府相關(guān)機構(gòu)的占有率較高，購買驅(qū)動力以合規(guī)為主。
國內(nèi)信創(chuàng)市場會極大增加對EDR的需求，未來三年內(nèi)，信創(chuàng)產(chǎn)業(yè)極會推動EDR的市場擴展。
從未來長遠發(fā)展來看，EDR主要會趨向成為更為整體的解決方案中的一個關(guān)鍵能力，但同樣可能會有以EDR為核心的整體解決方案。
EDR概念以及核心價值
EDR概念
數(shù)世咨詢基于Gartner對EDR的定義，認為國內(nèi)的端點檢測與防護概念如下： 端點檢測與防護（Endpoint Detection and Response，EDR）是一種基于采集、記錄并存儲數(shù)字環(huán)境中各端點行為數(shù)據(jù)與狀態(tài)數(shù)據(jù)，并對數(shù)據(jù)進行關(guān)聯(lián)分析，以應(yīng)對威脅的安全能力：通過對端點數(shù)據(jù)的分析，檢測出環(huán)境存在的威脅，并能進行隔離、查殺等響應(yīng)手段；同時，對已發(fā)生，以及正在發(fā)生的安全事件，實現(xiàn)追蹤溯源；針對潛在的風(fēng)險（如二次攻擊、有漏洞系統(tǒng)等），基于客戶的需求，提供一定的修復(fù)與保護建議。最終，實現(xiàn)包括主機在內(nèi)的整個數(shù)字環(huán)境中，對未知威脅與高級可持續(xù)威脅的檢測與響應(yīng)。 EDR核心價值 基于以上數(shù)世咨詢對EDR的概念理解，數(shù)世咨詢認為EDR的核心價值有以下三點： 1.未知威脅與高級可持續(xù)威脅檢測 如今的數(shù)字環(huán)境攻防狀況，最大的威脅是未知威脅，以及潛在的APT攻擊。然而，傳統(tǒng)的端點殺毒軟件由于依賴規(guī)則庫，無法應(yīng)對這些基于未知漏洞，以及基于人員的威脅。EDR基于各個端點數(shù)據(jù)的關(guān)聯(lián)分析能力，不僅能夠通過IOA，還能夠通過IOC，發(fā)現(xiàn)遭到攻擊的設(shè)備，將受害情況盡可能在早期限制在可控制范圍內(nèi)。 2.威脅響應(yīng) 在對威脅的檢測之上，EDR還需要能對發(fā)現(xiàn)的威脅采取一定的措施。除了傳統(tǒng)的殺毒軟件中會進行的查殺行為之外，EDR更需要能盡可能將威脅控制在受攻擊端點的隔離能力。因此，微隔離技術(shù)能夠和EDR結(jié)合，更好地實現(xiàn)威脅控制。 3.溯源取證 對于現(xiàn)代的數(shù)字攻防，需要的不僅僅是能夠防住攻擊，更需要的是知道那些已經(jīng)對自身環(huán)境實現(xiàn)了數(shù)個攻擊步驟成功的原因。因此，就需要能對檢測到的攻擊進行溯源?；诙它c的數(shù)據(jù)信息，通過對攻擊的追蹤溯源，發(fā)現(xiàn)自身端點設(shè)備中存在的安全隱患，從而采取后續(xù)的安全手段，降低之后攻擊的成功率。
EDR市場指南
EDR市場調(diào)研
? EDR在數(shù)世咨詢定義的市場成熟度，概念市場、新興市場、發(fā)展市場與成熟市場四個階段中，位于發(fā)展市場階段。在數(shù)世咨詢發(fā)布的《中國數(shù)字安全能力圖譜》中屬于“信息基礎(chǔ)設(shè)施保護”維度中的“端點安全“技術(shù)領(lǐng)域。 中國數(shù)字安全能力圖譜：信息基礎(chǔ)設(shè)施保護（部分） ? 根據(jù)調(diào)研，國內(nèi)最早EDR相關(guān)產(chǎn)品出現(xiàn)在2016年，頭部廠商從2017年開始進入EDR市場。 ? 據(jù)本次調(diào)研統(tǒng)計，2020年國內(nèi)EDR市場規(guī)模約在10.45億元左右，綜合各家提供商的判斷，預(yù)計2021年將達到15.46億元左右，2022年將達到20.08億元左右。在未來幾年，信創(chuàng)產(chǎn)業(yè)將成為EDR能力主要的市場突破口。 ? 在參加本次EDR安全能力調(diào)研的安全廠商中，EDR安全能力的平均收入為8710.41萬元，但收入標(biāo)準差則高達5425.63萬元。EDR的市場占有相對明顯。 ? 據(jù)調(diào)研目前EDR交付模式主要可分為三種：單一標(biāo)準化產(chǎn)品、定制化及運營產(chǎn)品以及集成模式。其中主要以“單一標(biāo)準化產(chǎn)品”交付的比例占62.45%、以“定制化運營產(chǎn)品”形式交付占12.47%，集成模式占21.35%。另外，訂閱及其他模式占3.46%。 ? 從銷售方式來看，廠商直接銷售和通過渠道銷售占比差距不大。但是，在調(diào)研過程中發(fā)現(xiàn)，對于單一廠商，EDR銷售的方式本身呈現(xiàn)兩極化：單獨廠商本身通過自身直銷占比非常高，或者通過渠道銷售的占比非常高，很少出現(xiàn)單獨廠商自身兩種銷售方式占比差距很小的情況。 ? 如下圖所示，國內(nèi)各行業(yè)用戶對EDR的投入情況，排名前三的為：地方政府(12.36%)、金融(11.80%)、國家部委(10.49%)。從整體局勢來看，國家相關(guān)單位、機關(guān)對端點安全非常重視。考慮到未來信創(chuàng)產(chǎn)業(yè)的發(fā)展，國家相關(guān)單位在EDR方面的占比會進一步擴大。 ? 從客戶的分布來看，華北、華南和華東依然是該領(lǐng)域安全產(chǎn)品的主要客戶群體，其中華北占比最高達35.72%，華南其次占21.74%，華東第三占20.95%。 ? EDR的落地推動因素，除了等保合規(guī)的政策性因素之外，還因為攻擊的形式越來越多樣，越來越隱蔽。常規(guī)的端點防護手段防不住，傳統(tǒng)的特征庫查殺方式發(fā)現(xiàn)不了，這時就需要基于關(guān)聯(lián)分析的EDR能力對未知威脅進行檢測和響應(yīng)。另一方面，EDR能力中的溯源取證也幫助企業(yè)在大型演練活動與日常安全運維當(dāng)中能夠更好地定位攻擊來源，從而實現(xiàn)自身的安全目標(biāo)。 ? EDR的落地難點主要在于客戶的IT環(huán)境復(fù)雜。一方面是本身IT結(jié)構(gòu)復(fù)雜，不同資產(chǎn)的關(guān)聯(lián)需要厘清。另一方面在于端點系統(tǒng)本身呈現(xiàn)的多樣性增加了環(huán)境的復(fù)雜程度：信創(chuàng)市場后發(fā)先至，會給IT的操作系統(tǒng)環(huán)境帶來巨大的變化；而隨著物聯(lián)網(wǎng)的進一步發(fā)展，企業(yè)環(huán)境中的物聯(lián)網(wǎng)設(shè)備數(shù)量也會增加，包括員工自用的智能手機、平板電腦等，都會成為企業(yè)網(wǎng)絡(luò)的入口，使得企業(yè)的端點環(huán)境持續(xù)變化。
EDR未來趨勢
EDR雖然已經(jīng)不是一個新的概念了，但是在國內(nèi)落地情況依然處于發(fā)展中階段。從未來來看，EDR能力有以下三個方向。
純粹安全能力與解決方案
當(dāng)前來看，EDR作為單一標(biāo)準化解決方案有著62.45%的部署情況，但是從未來來看，EDR能力會有作為純粹的安全能力與解決方案的兩個變化方向。
EDR本身的出現(xiàn)是為了彌補傳統(tǒng)殺毒與EPP的短板，因此其本身就帶有一定的附屬性質(zhì)。從能力目標(biāo)來看，要實現(xiàn)的主要還是針對未知威脅的防御以及溯源效果，其技術(shù)核心就是針對端點數(shù)據(jù)的采集與分析。從這個角度來看，EDR很難單獨承擔(dān)完整的端點安全功能，因此更傾向于作為純粹實現(xiàn)未知威脅檢測與響應(yīng)，以及溯源能力，作為整體端點安全解決方案的補充。在本次調(diào)研中發(fā)現(xiàn)，融合源廠商對于整體的端點安全都強調(diào)了“EPP+EDR”的部署模式；不少客戶對于端點安全軟件的使用，依然主要依賴于EPP能力，并不開啟EDR能力模塊。在未來，當(dāng)這一部分客戶開始意識到EDR的必要性時，會逐漸加大EDR作為純粹安全能力的收入占比（即作為整體解決方案的一部分或者部分定制化集成與交付）。
同時，CWPP中也提到了對EDR端點數(shù)據(jù)采集的使用，代表了EDR作為純粹的安全能力，在主機安全層面會有極大的價值。綜合而言，EDR在長遠的發(fā)展維度，會更趨向于逐漸成為純粹的安全能力，作為更大規(guī)模的安全解決方案的一部分。
另一方面， EDR整體解決方案在未來三年內(nèi)依然會是比較主流的能力提供方式。但是，作為解決方案的EDR需要更多的改進。在調(diào)研過程中發(fā)現(xiàn)，不少EDR能力作為整體解決方案出現(xiàn)的時候，不僅僅會提供EDR概念中需要的檢測、遏制、溯源的能力，還會有資產(chǎn)管理、虛擬補丁等額外功能，逐漸演化為“以EDR為核心的終端管理能力”。
EDR演化的兩個方向其實代表了兩種對EDR不同的發(fā)展理念：是將EDR作為一種EPP、CWPP或者端點安全總體解決方案的額外輔助能力，還是認為端點的安全應(yīng)該直接由“檢測與響應(yīng)”出發(fā)進行一體化解決方案。
EDR到TDR
隨著XDR概念的提出，就開始不斷有聲音表示EDR即將走到盡頭，但事實上并非如此。
EDR的缺陷在于只采集端點側(cè)數(shù)據(jù)，缺乏和其他安全產(chǎn)品的聯(lián)動性（如NDR），從而難以將關(guān)聯(lián)分析更進一步擴展到整個環(huán)境。XDR概念的提出就是為了解決安全產(chǎn)品之間缺乏協(xié)同的問題。因此，XDR即使要進入實踐，從當(dāng)前來看，EDR能力依然是一個核心組件。另一方面，XDR的落地有兩個方向：集成平臺融合多家不同廠商的產(chǎn)品，或者單獨綜合性廠商自身完成協(xié)同。在前者的方式下，獨立的EDR解決方案依然會成為關(guān)注點，因為集成平臺可以將不同廠商的產(chǎn)品協(xié)同到一起，從而讓企業(yè)能夠選擇每個領(lǐng)域最佳的產(chǎn)品。
從國內(nèi)的發(fā)展來看，TDR（Threat Detection and Response）更可能成為趨勢。無論是“威脅情報”，還是“威脅狩獵”服務(wù)，都是從“威脅”的角度出發(fā)，而近年來的大型演練活動更突顯了這一點：當(dāng)下，數(shù)字環(huán)境的核心，是出于“威脅”的應(yīng)對。無論是檢測，還是響應(yīng)，都只是手段；而檢測和響應(yīng)這兩個手段的目的，是為了處理“威脅”。
因此，從“威脅”這個維度出發(fā)，構(gòu)建數(shù)字環(huán)境的安全體系，會是國內(nèi)未來的趨勢。在這一場景下，端點顯然是直面“威脅”的重點區(qū)域。對于組織和機構(gòu)而言，無論是作為獨立的解決方案，還是作為TDR中的一個關(guān)鍵組件，EDR能力必然會成為整體安全結(jié)構(gòu)中的重要一環(huán)。
信創(chuàng)
在由眾誠智庫發(fā)布的《中國信創(chuàng)產(chǎn)業(yè)發(fā)展白皮書（2021）》中提到，未來三年內(nèi)，我國信創(chuàng)市場容量將突破萬億元。這個龐大的市場同樣離不開安全。
尤其在國內(nèi)信創(chuàng)領(lǐng)域還處于初期發(fā)展階段，研發(fā)層面會更側(cè)重于能力的實現(xiàn)，這就需要安全廠商的端點能力去補足防護的需求；另一方面，由于信創(chuàng)產(chǎn)業(yè)的快速發(fā)展，信創(chuàng)系統(tǒng)的更新迭代也會非常的頻繁，這也就需要安全廠商能夠?qū)⒆陨懋a(chǎn)品的適配能力跟上信創(chuàng)系統(tǒng)的步伐。
我國關(guān)鍵行業(yè)、部門大規(guī)模替換信創(chuàng)產(chǎn)品是必然趨勢，這給EDR市場帶來的絕對的市場機會。但是，能否抓住這一機會，需要技術(shù)的積累，以及和信創(chuàng)市場的磨合。
泛終端化
物聯(lián)網(wǎng)的發(fā)展必然會造成企業(yè)IT環(huán)境中的端點類型越來越多樣。IT環(huán)境不再是計算機、服務(wù)器，以及打印機之類的傳統(tǒng)辦公網(wǎng)絡(luò)設(shè)備，還逐漸增加了智能手機、平板電腦、工作臺等員工個人使用的設(shè)備。未來，甚至還可能有更多如智能手表等可穿戴的個人設(shè)備出現(xiàn)在企業(yè)的網(wǎng)絡(luò)當(dāng)中——而這些設(shè)備都可能能夠進入企業(yè)網(wǎng)絡(luò)，成為隱患的傳播者。
這些物聯(lián)網(wǎng)設(shè)備都有兩個共性。
一個共性是本身移動性強，難以管理。因為員工會使用自己的設(shè)備，但這些設(shè)備并不會長久地停留在企業(yè)網(wǎng)絡(luò)中，而是會頻繁在企業(yè)網(wǎng)絡(luò)與公網(wǎng)環(huán)境中移動，帶來了極大隱患。
另一個共性在于設(shè)備本身的多樣性與復(fù)雜性。不同設(shè)備會來源于不同的制造商，會采用不同的系統(tǒng)和版本，因此也會存在不同的安全隱患，使得統(tǒng)一管理和對安全事件的溯源更為困難。
因此，EDR未來的方向之一，也會和移動安全與物聯(lián)網(wǎng)安全產(chǎn)生交集，不僅需要和客戶合作產(chǎn)出解決方案，還可能需要和物聯(lián)網(wǎng)廠商協(xié)作，完善在物聯(lián)網(wǎng)設(shè)備的兼容性覆蓋面。
EDR SaaS
從國外市場來看，以CrowdStrike為代表的EDR廠商在EDR SaaS上發(fā)現(xiàn)了大量的市場需求。EDR SaaS可以借助廠商在云端的能力，得到更多的計算分析能力，同時可以借助云端專家和威脅情報的能力，進一步提升安全分析能力。
盡管說國內(nèi)不少企業(yè)和機關(guān)單位對公有云依然保持懷疑態(tài)度，但是行業(yè)云的發(fā)展可以彌補公有云在這些機構(gòu)中的乏力。因此，行業(yè)云、政務(wù)云是EDR SaaS未來的巨大市場。一旦相關(guān)的行業(yè)云、政務(wù)云的供應(yīng)商意識到了EDR SaaS能夠給行業(yè)內(nèi)企業(yè)帶來的巨大安全價值，EDR SaaS的落地也自然水到渠成。
分享到微信
X