EDRvsSIEM

EDR

EDR 是传统杀毒软件的进化版，不只是查杀已知病毒，而是通过行为分析检测未知威胁、记录终端活动并支持远程响应。CrowdStrike、SentinelOne 是市场领导者。

SIEM

SIEM 是 SOC 的核心平台，集中收集来自防火墙、服务器、终端等各种设备的日志，通过关联分析发现安全威胁。Splunk 和 Microsoft Sentinel 是市场领导者。

EDR

• 从基于签名的杀毒进化到基于行为的检测
• 能检测 Zero-Day 和无文件攻击
• CrowdStrike 和 SentinelOne 是市场双雄

SIEM

• SOC 的核心分析平台
• 日志收集 → 关联分析 → 告警 → 响应
• 误报率高是最大痛点，AI 正在改善

EDR

部署在终端设备上通过行为分析检测高级威胁并支持远程响应的安全产品

SIEM

集中收集、存储和分析安全日志以检测和响应安全威胁的平台

EDR

• 企业终端的高级威胁防护
• 安全事件的终端取证
• 远程办公环境的安全管理

SIEM

• 企业安全事件的集中监控
• 合规审计的日志留存
• 威胁检测规则的管理和执行

EDR

EDR 是终端安全的核心产品，通过在每台终端（PC、服务器）上部署 Agent 来持续监控进程、文件、网络和注册表活动。与传统杀毒软件依赖病毒签名不同，EDR 使用行为分析和机器学习来检测异常活动，能发现 Zero-Day 攻击和无文件恶意软件。EDR 还提供远程响应能力：隔离主机、终止进程、收集取证数据。XDR 是 EDR 的扩展，将检测范围从终端扩展到网络、云和邮件。

SIEM

SIEM 将分散在各处的安全日志集中到一个平台，通过预定义规则和关联分析来检测安全威胁。典型的 SIEM 部署需要接入数十种日志源：防火墙、IDS/IPS、EDR、AD、云平台等。SIEM 的核心挑战是：日志量巨大导致存储成本高、规则维护复杂、误报率居高不下。新一代 SIEM 正在引入 AI 和 UEBA（用户行为分析）来降低误报率和发现未知威胁。