恶意代码防护与高级威胁防护（Malware Prevention & EDR）

来源：Chapter 21 · Malware Prevention 域：Domain 8 Security and Risk Management（安全与风险管理）模板：原书定义+对比表 / 真实案例 / 考试怎么考

① 一句话秒懂

杀毒软件是”安全带”，靠签名库 + 启发式抓已知威胁；EDR/UEBA 则盯着端点行为与用户异常，应对高级威胁。

Anti-malware 检测两支柱：

方法	机制	局限
Signature-based（签名）	比对已知病毒特征库	库不更新就失效；每天新毒数千
Heuristic（启发式）	分析行为（提权/改系统文件/擦痕）	误报可能；已成先进端点防护主流

响应动作：清除（disinfect）/ 隔离（quarantine）/ 删除（delete，超危险阈值时）。

高级防护工具：

平台分布：约 83% 恶意代码 targeting Windows（2020），但 Mac/Android 恶意软件近年激增——所有 OS 都需防护。

签名杀毒像”通缉令比对”——名单没更新就放行人；启发式像”行为巡逻”看谁鬼鬼祟祟。EDR 像给每台电脑配保镖兼录像；UEBA 像给每个人建行为档案，突然反常就报警。

文件完整性监控（FIM）：维护全文件哈希库，比对当前哈希，突然变更（如 command.com 被改）即告警——常 detect Web 改页与病毒感染。
隔离分析沙箱：可疑文件送隔离环境执行，若行为恶意则全组织封堵并快速更新签名。

下一代端点套件常整合：传统杀毒 + FIM + EDR + UEBA 多模块。

完整性监控原理：哈希（hash）概括文件内容，文件微改则哈希剧变——检测未授权修改。

集中管控：anti-malware 提供中央控制台强制配置、收告警，可独立或并入 broader 安全运维平台。

题干：”Detecting malware by analyzing behavior like privilege escalation is?” → 答 Heuristic detection。混淆：Signature 只看特征库。
题干：”Tool that analyzes endpoint memory/filesystem/network and auto-isolates is?” → 答 EDR。混淆：UEBA 焦点在用户而非端点。
题干：”Maintaining hash database to detect unauthorized file changes is?” → 答 File Integrity Monitoring (FIM)。混淆：它不是杀毒而是辅助。
题干：”Signature-based AV is only as good as its?” → 答 Virus definition file（需频繁更新）。