连 MITRE 都不排名了，选型看什么

2025 年 12 月，MITRE 发布了最新一轮 ATT&CK Evaluations 企业级评估（Enterprise 2025，第 7 轮）的结果：模拟 Scattered Spider 与 Mustang Panda 两类真实对手的攻击行为，共 16 个攻击步骤、约 90 个子步骤，并首次把 AWS 云基础设施纳入评估场景。比结果本身更值得注意的是 MITRE 的一贯立场：该评估不打分、不排名、不设「赢家」，只公布逐技术的原始检测结果——厂商营销中的「100% 检出」「排名第一」，均为厂商基于原始数据的自行计算，MITRE 并不背书。

连全球最权威的公开技术评估都明确拒绝替买家「排名」，EDR 选型这道题就只能自己做。而自己答题的第一步，是回到概念的源头搞清楚：我买的到底是不是真 EDR？更根本的问题是，EDR 这三个字母到底意味着什么？

市场上打着 EDR 旗号的产品并不少：有传统杀毒软件改了界面、加了「响应」按钮的；有桌面管理软件叠加病毒查杀后改名的；也有真正以终端行为数据为核心构建检测响应体系的。名字都叫 EDR，能力差距可能隔着一整代技术。这篇文章就做两件事：第一，回到 EDR 概念的源头，把定义讲清楚；第二，给出一份可以拿着去实测的选型验证清单，让「真假 EDR」在 PoC 阶段就现形。

一、EDR 概念正本清源：它从第一天起就不是「杀毒」

EDR 这个概念最早由 Gartner 分析师 Anton Chuvakin 于 2013 年提出，最初的名称是 ETDR，后来才简化为今天通行的 EDR。注意它的命名里根本没有「防」字——Detection 和 Response 才是这个品类的基因。它从诞生那天起，要解决的就是「攻击已经进来了怎么办」，而不是「把病毒挡在门外」。

行业广泛引述的 Gartner EDR 能力定义，包含四项能力：

为什么是 2013 年前后？彼时定向攻击与高级持续性威胁开始大规模浮出水面，攻击者普遍采用免杀木马、合法工具滥用与横向移动的组合打法，传统杀毒基于已知特征的防御思路屡屡失效。行业迫切需要一种新思路：承认「不可能挡住所有攻击」这个前提，转而追求攻击发生后能快速发现、快速定位、快速处置。这正是 Detection 与 Response 两个词被写进品类名称的时代背景，也是理解 EDR 一切能力设计的钥匙。

用这四项能力做标尺，很多事情就清晰了。一台只会扫文件的杀毒软件，满足不了第一项「持续收集各类数据」；一个只能告警不能隔离的工具，断在第四项；一个能检出但说不清「攻击从哪来、影响了哪些机器」的产品，第三项是空白。四项能力是「且」的关系，缺任何一环，都只能算 EDR 的半成品。

二、终端安全四阶段：你买的产品到底停在哪一层

从技术演进看，终端安全大致走过四个阶段：

行业中存在一个值得关注的现象：部分厂商将传统杀软、桌面管理产品包装成 EDR 推向市场——界面换了、名词换了，内核仍然是特征库扫描加外设管控。从行业观察看，当前国内不少企业的终端安全产品停留在第二阶段，还有一部分停留在第一阶段。这不是危言耸听，而是一个可以直接验证的问题：把你正在用的产品对照上一节的四项能力过一遍，它停在哪一层，一目了然。

需要强调的是，这并不是说 AV 和 NGAV 没有价值。已知特征检测至今仍是成本与效率上仍具优势的第一道筛子，问题在于「只有它够不够」。答案显然是否定的——这正是下一节要拆的技术分水岭。

三、真 EDR 的技术分水岭：三层递进式威胁检测

为什么说「换皮杀软」和真 EDR 之间隔着一代技术？关键在检测架构。真正面向高级威胁的 EDR，检测体系通常是三层递进的：

 也就是传统杀软的主场——病毒特征库、哈希黑名单、多引擎联合扫描。这一层解决「已知恶意文件」的高效过滤，优点是快、准、省资源；缺点同样明显：只对「见过的东西」有效。攻击者做一次免杀、改一个字节，特征就失效了。

 视角从「文件长什么样」转向「程序干了什么」。比如：Office 进程拉起 PowerShell 并执行 base64 编码的命令、进程向注册表 Run 键写入持久化项、正常系统进程被注入异常模块。这些行为模式不依赖文件特征，免杀样本也要做出恶意行为才能达成目的，而行为是会暴露的。这一层覆盖的是「已知攻击手法」的变种与重组。

 面对从未见过的攻击手法，靠特征和已知行为规则都不够，需要对变形混淆的脚本命令做归一化分析、对进程行为序列做异常推理，从「可疑」中筛出「恶意」。这一层是 EDR 与所有前代技术的真正分水岭，也是研发投入最悬殊的地方。

 ▲ 三层递进式威胁检测架构：已知特征过滤存量，已知行为覆盖变种，未知行为对抗新型攻击

反过来，从攻击者的视角看这套分层会更直观。针对传统防御机制的绕过手法，早已形成成熟的「作业手册」：

这张表说明一个朴素的结论：任何单一机制的防御，攻击者都有针对性的绕过路径。终端仅部署防病毒加桌管，已经无法防御高级攻击。这也是为什么 EDR 要把「采集—检测—溯源—响应」做成体系——它赌的不是某一堵墙足够高，而是攻击者无论从哪条路进来，都会在行为数据里留下痕迹。

四、EDR 选型验证清单：七项能力，逐项实测

概念清楚了，怎么落到选型？下面这份清单把抽象定义翻译成七项可验证的能力指标。建议直接拿去要求厂商在 PoC 环境中逐项演示——能演示的是能力，只能讲 PPT 的是名词。

（备注：表中数字为头部产品的厂商口径参考值，选型时应要求厂商现场演示验证，而非照单全收。）

1. 数据采集广度：EDR 的「视力」决定上限

验什么：检测能力的天花板是数据。如果采集维度只有进程和文件，那么账号异常、注册表篡改、计划任务植入这些动作就是盲区。参考口径：以头部产品为例，采集可覆盖 200 余类行为日志、160+ 事件日志类型（厂商口径参考值），涵盖进程、网络、文件、账号、注册表、驱动、计划任务等维度。

怎么验：一要采集清单，逐项核对；二要看采集方式是「主动式系统行为监控」还是「被动抓取系统日志」——前者能看到日志不记录的动作，后者只能捡到操作系统愿意写下来的东西。可以在测试机上执行一组敏感操作（创建服务、写 Run 键、添加计划任务），看控制台能否逐条呈现。

2. 三层检测覆盖：让每层都接受攻击实测

验什么：上一节讲的三层架构不能只听宣讲，要看每一层的实测表现。参考口径：SKD Labs 测评显示，有产品 ATT&CK 攻击技术覆盖率达 99%，多锚点检测覆盖 550+ 已知行为攻击场景。

怎么验：在隔离环境里分三组打样本——已知病毒样本（验第一层）、免杀变种和常见攻击手法复现（验第二层）、混淆变形脚本与非常规攻击序列（验第三层）。重点观察第三层：把脚本做混淆、编码、拆分后再投递，看检出是否依赖正则式的字面匹配。同时核验第三方测评证书的真伪与覆盖平台范围。

3. 事件关联分析：从「一堆告警」到「一个案子」

验什么：真实攻击是多阶段的，单看每一步可能都只是低危可疑行为。EDR 的价值在于把海量告警自动关联，呈现攻击全貌，并在大量低危可疑行为串联后自动升级为高危事件。

怎么验：模拟一条完整的入侵链——钓鱼文档落地、宏拉起脚本、下载载荷、写持久化、外连 C2——隔段时间分步执行。看控制台是把它们当五条孤立告警，还是自动聚合成一个带时间线和影响面的攻击事件。后者才叫关联分析，前者只是告警列表。

4. 响应处置能力：检测得再准，处置不掉等于零

验什么：响应是 EDR 闭环的最后一环。参考口径：部分产品内置 30+ 常见响应手段（厂商口径），覆盖进程、文件、网络、防火墙、注册表等维度；支持一键隔离失陷终端；具备五元组粒度的终端防火墙；处置后支持二次扫描确认；同时支持手动与 API 调度，便于对接编排。

怎么验：现场做一次处置演练——对测试终端下发一键隔离，验证其出方向流量是否被即刻切断、管理通道是否保持可用；再下发一个五元组封禁策略，验证生效速度与粒度；最后检查所有处置动作是否有审计记录、能否通过 API 触发。

5. 告警降噪能力：决定 EDR 能不能被「用起来」

验什么：检出率高而告警爆炸的产品，最终会被运营人员关掉。要看有没有体系化的降噪漏斗：自动告警聚合、业务行为学习降噪、全文加白加处置追踪。厂商实践口径的参考值是：经过自动聚合与业务学习后，需人工处理的实际告警量约为原始量的 1%，结合人工处理后最终约为 0.1%——注意这是特定厂商的实践数据，不同企业的业务环境会有差异，应以实测为准。

怎么验：把产品接入真实办公环境跑两到三周，数三个数：日均原始告警量、聚合后告警量、最终需要人工处置的事件量。同时抽查被「降噪」掉的告警，确认没有真实威胁被误加白。

6. 资源占用：终端安全的「隐形否决项」

验什么：EDR 探针常驻每一台终端，资源失控会直接冲击业务。参考口径（厂商标称）：安装包 11.4M、CPU 占用低于 2%、内存低于 100MB、网络带宽均值约 0.3Kbps。另有两个容易被忽略的点：Agent 失效自防护（防恶意软件停用、卸载、篡改探针）与防致盲（防数据源污染）。

怎么验：选财务、开发、设计等不同负载的典型终端，在业务高峰期压测 CPU、内存与磁盘 IO；然后以普通用户权限尝试结束探针进程、删除探针文件，看自防护是否生效。资源数据务必以自有环境实测为准。

验什么：信创替代进入深水区后，EDR 必须同时覆盖 Windows PC、信创 PC 与 Linux PC，适配 x86、ARM、鲲鹏、兆芯、海光等 CPU 架构，并通过国家信息中心软件测评中心、赛可达实验室等第三方检测。

怎么验：不要只看兼容性列表，要求在实际使用的信创 PC 型号上完成安装、升级、策略下发与检测处置全流程；同时核验第三方检测报告的出具机构与有效期。

五、品类在演进，选 EDR 看能力不看名词

最后补一个行业坐标：Forrester 独立的 EDR Wave 评估止于 Q2 2022，最近一次相邻评估是《The Forrester Wave: Extended Detection And Response (XDR) Platforms, Q2 2024》。评估口径的迁移本身就说明，这个品类仍在快速演进，EDR 的边界正在向跨域检测响应延展。名词还会继续变，但判断标准不会变：数据采集广不广、检测分不分层、溯源成不成链、响应闭不闭环。

以青藤深睿 EDR 为例，一个完整的能力样本大致长这样：以 200 余类行为日志采集打底，已知特征、已知行为、未知行为三层递进检测，SKD Labs 测评 ATT&CK 覆盖率 99%，海量告警经关联分析聚合成攻击全貌，30+ 响应手段与一键隔离完成处置闭环，Agent 轻量低消耗并全量适配信创架构。把它当参照系，用本文第四节的七项清单去套任何一款候选产品，能过实测的留下，只能讲故事的淘汰。

 ▲ 一套完整 EDR 能力总览：采集、检测、关联、响应、轻量化与信创适配六位一体

回到标题的问题：杀毒软件换层皮就是 EDR 吗？答案很明确——不是。EDR 的门槛不在名字里，而在数据、检测、溯源、响应这四项能力的真实水位里。2026 年做终端安全选型，带上定义、带上清单、带上攻击样本去实测，比看任何宣传物料都管用。预算在涨、品类在并、名词在换，唯一不变的是攻击与防御围绕每一台终端的持续拉锯——把验证做在采购之前，远比把教训留在事件之后便宜。

杀毒软件换层皮就是 EDR？从 Gartner 定义看懂终端检测响应

杀软换个界面、加个“响应”按钮就叫EDR？连MITRE都拒绝替买家排名，选型只能靠自己。本文回到Gartner定义，拆解EDR四项核心能力与三层检测架构，附七项可实测的PoC验证清单，帮你在采购前把“换皮杀软”筛出去，而不是等出事后再补课。

安全

2025年MITRE ATT&CK评估明确不打分不排名，EDR选型需回归能力本质。真EDR须具备持续数据采集、实时威胁检测、攻击溯源与响应处置四大能力，采用特征、行为、未知行为三层递进检测架构。建议通过数据采集广度、检测覆盖率、事件关联、响应处置、告警降噪、资源占用、信创适配七项指标进行PoC实测验证。

威胁检测

终端安全

病毒查杀

防火墙

Agent

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

杀毒软件换层皮就是 EDR？从 Gartner 定义看懂终端检测响应

杀毒软件换层皮就是 EDR？从 Gartner 定义看懂终端检测响应

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐