什么是 EDR 端点防护？

EDR 的全称是 Endpoint Detection and Response（终端检测与响应）。终端（endpoint）指企业中员工使用的任何设备，例如台式机、笔记本、服务器或公司手机。EDR 会持续观察这些设备的异常行为，记录发生了什么，并帮助 IT 团队进行排查与响应。

基础杀毒软件主要关注已知的恶意文件。EDR 更进一步。它可以识别看起来可疑的模式，比如某个程序在短时间内试图快速修改大量文件、出现异常登录，或软件连接到它通常不该访问的地点。

EDR 通常是软件与人工流程的组合。软件会生成告警。随后由内部 IT 团队或托管式 IT 服务提供商（MSP，Managed Service Provider，托管服务提供商）对这些告警进行审查，并决定下一步做什么。

如果你刚接触托管式 IT，这只是 MSP 可能推荐的众多安全工具之一。你可以在我们的 answers hub 查看更多通俗问答。

小型企业依赖设备来处理邮件、文件、薪资、客户记录以及日常工作。如果一台笔记本感染了，或者某位员工账户被误用，问题可能蔓延、打断工作，并带来清理成本。

EDR 能帮助企业更早发现问题，并以更有条理的方式响应。这可能意味着隔离某一台设备、停止可疑进程、收集证据，并检查该问题是否已经影响到其他系统。更早的发现可以减少混乱、限制损害，但任何诚实的服务提供商都不会承诺零停机或无法被入侵的网络。

这也很关键，因为许多攻击不再像过去那种“病毒”的老套路。威胁可能涉及被窃取的密码、不安全的下载、恶意邮件链接，或使用看似正常的工具却以有害方式运行。EDR 的设计重点是基于行为进行分析，而不仅仅是识别已知恶意软件特征。

对许多公司来说，EDR 在与其他基础措施配合时最有用。例如多因素认证（MFA，Multi-Factor Authentication）、定期打补丁（即应用软件与安全更新）、强备份，以及清晰的员工使用规则。

一款好的 EDR 工具会从终端设备收集活动信息。它可能会跟踪进程、登录、文件变更、网络连接，以及与“安全设置被关闭”相关的信号。这有助于形成设备上发生了什么的时间线。

当出现看起来可疑的情况时，工具会生成告警。根据产品与配置，它还可能采取有限的响应操作，例如停止某个进程、阻止某个文件，或将设备从网络中隔离，以防止问题在有人排查时继续扩散。

有些企业还会听到 RMM，这代表 Remote Monitoring and Management（远程监控与管理）。这是另一类服务。RMM 通常由 IT 团队与 MSP 用来监控设备健康状况、部署更新，并处理常规支持任务。EDR 则专注于检测并响应可疑的安全活动。

你也可能听到“终端防护平台（endpoint protection platform）”这个词。用通俗的话说，它通常指设备上的更广泛安全软件；而 EDR 是用于帮助调查“正在发生什么”的检测与响应层。

好的 EDR 不只是买个许可证然后寄希望于一切顺利。它应该针对你的企业进行配置，由懂得如何审查告警的人来持续关注，并且要与清晰的响应计划绑定。否则，你可能会收到很多告警，却几乎没有真正的防护效果。

强配置通常覆盖所有关键的业务终端设备，而不仅仅是几台笔记本。这通常意味着员工电脑、服务器，有时还包括移动设备，具体取决于企业如何开展业务。它也应当与其他工具配合使用，比如 MFA、邮件安全、备份，以及用户访问规则。

优秀的服务提供商也会解释他们会做什么、不做什么。他们应该告诉你如何审查告警、哪些会升级处理、包含哪些响应步骤，以及如何报告事件。如果他们提供 SLA（Service Level Agreement，服务水平协议），这份文件应以通俗语言描述响应目标与支持条款。

如果你想找一个独立的服务提供商来清晰解释这些选择，NodeBridge IT 可以帮你 help you get matched 到适合的 MSP。我们的匹配服务是免费的。我们只收集基础的企业与联系信息，以便帮助你找到匹配。我们不会管理、监控、保障安全、修复或访问你的系统。

EDR 通常只是更广泛的托管式 IT 服务中的一部分。MSP 可能会把它与设备支持、打补丁、备份检查、账户安全以及规划协助打包在一起。有些还会提供 vCIO（虚拟首席信息官）指导，也就是提供虚拟的 CIO 建议，帮助小型企业在不需要全职聘请该岗位的情况下，规划技术与安全优先事项。

这很重要，因为安全是系统性的工作。例如，EDR 可以帮助发现笔记本上的可疑行为，但它并不替代备份、员工培训、访问控制，也不替代“事件发生时由谁做决策”的计划。

备份是另一个话题，但值得在这里提一句。你可能会听到 3-2-1 备份策略：意思是保留数据的 3 份拷贝，存放在 2 种不同类型的存储介质上，并将其中 1 份保存在异地。EDR 与备份解决的是不同问题，而许多企业两者都需要。

如果你在比较不同服务提供商，我们的 services overview 可以帮助你理解托管式 IT 通常包含哪些内容，以及你应该问哪些问题。

对于小型企业来说，EDR 常见的定价方式是按设备、按月计费，或包含在更广泛的托管式 IT 套餐中。粗略范围可能是：仅 EDR 组件本身每台设备每月约 $8 到 $25；而包含安全工具的完整托管式 IT 套餐通常会更高。具体数字取决于员工人数、设备数量、安全需求、支持工时以及你的所在地区。这些范围并不等同于报价。

最便宜的选项不一定是最划算的。低价可能意味着告警审查有限、配置较弱，或对响应责任不够清晰。另一方面，如果服务提供商无法用通俗语言解释“包含什么”，高价也不一定更好。

问一些实际问题。谁来审查告警，以及在什么时候审查。哪些操作是自动化的。下班后会发生什么。哪些设备包含在覆盖范围内。误报如何处理。你会收到哪些报告。EDR 与备份、打补丁、账户安全如何配合。

如果你想要更简单的开始方式，NodeBridge IT 可以帮你 connect you with 一家服务你所在业务类型与地区的独立 MSP。我们的服务对企业主免费。我们只收集基础的企业与联系信息，以便帮助你找到合适的匹配。