防毒擋到已知檔
加密已經開始
你還不知道它走了哪一步
加密已經開始
你還不知道它走了哪一步
EDR ／ 電腦加密勒索
給仍以傳統防毒為主、尚未部署端點偵測回應（EDR）的團隊。Acronis Cyber Protect 把可疑活動收成事件，對上攻擊鏈，並在同一畫面隔離電腦、停止行程、隔離可疑檔。檔案已被改寫時，才在這條事件裡回滾或選還原點。
EDR 補什麼
傳統防毒回答不了這三題
-
怎麼進來
特徵比對只告訴你有沒有已知惡意檔。EDR 把進入、隱藏、影響、擴散畫成一條攻擊鏈。
EDR攻擊鏈：進入、隱藏、影響、擴散
-
影響哪一台
事件列出嚴重性與受影響的電腦。你看到的是這次加密動了哪裡，不是一串未整理的告警。
EDR事件列出嚴重性與受影響的電腦
-
要不要隔離
同一條事件可以隔離電腦、停止相關行程、隔離可疑檔。先讓它停住，再處理已被改的檔。
EDR隔離電腦、停止相關行程、隔離可疑檔
現在只有特徵比對。加密若繞過特徵庫，沒有事件、沒有攻擊鏈，也沒有隔離這台電腦的步驟。
加密事件
一台電腦被加密，EDR 先做這三步
工作站或伺服器上的檔案被鎖、作業中斷。第四步才是還原，而且只在檔案已經被改的時候。
-
01加密行為收成一條事件
Active Protection 監看大量重新命名、快速改寫、嘗試動到開機區，並可中止該行程。EDR 把這次活動收成事件，而不是只留一筆防毒紀錄。
-
02攻擊鏈回答四件事
事件對上 MITRE ATT&CK：怎麼進入、怎麼隱藏、造成什麼影響、有沒有往別台擴散。嚴重性與受影響的電腦列在同一條事件。
-
03先遏制
可以隔離這台電腦、停止相關行程、隔離可疑檔。引導式修復的順序是：停止威脅、隔離、回滾變更。回滾用的是本機快取。
-
04檔案已被改，才用還原收尾
快取沒涵蓋、或要整機回到事件前，才在這條事件裡選還原點，回復指定檔案或整機。前提是保護計畫早已在備份。關鍵系統若另有 Disaster Recovery，才切到復原伺服器。
事件收尾
遏制之後，才用到這三種做法
回滾、還原點、災難復原切換都在同一條事件裡，條件不同。沒有還原點，EDR 仍然可以調查與隔離。
| 動作 | 什麼時候用 | 前提 | 做不到 |
|---|---|---|---|
| 本機快取回滾 | 修復步驟裡，檔案剛被改寫 | 行為防護已開啟，快取仍有該檔 | 快取以外的版本 |
| 從備份還原 | 回滾不完整，或要整機回復 | 事件前已有還原點 | 從未備份的資料 |
| 災難復原切換 | 關鍵系統不能停在還原作業上 | 另有進階災難復原訂閱 | 一般電腦的預設動作 |
談這套 EDR，先對四件事
- 端點數量與作業系統
- 現在用的防毒
- 加密事件要看到攻擊鏈、隔離、停行程
- 保護計畫裡 EDR 是否開啟