什么是端点安全？
今天的端点安全软件需要应对不断增长的端点设备数量的乱象，这些设备都连接到您组织的基础设施，并访问敏感数据。这是顶级网络安全公司正在努力解决的挑战。如何持续监控这些设备的安全状态变化，并确保它们的安全？
关于端点安全
端点安全是一种网络安全措施，旨在保护连接到您系统和基础设施的设备或端点。
常见的端点包括：
- 笔记本电脑
- 智能手机/移动设备
- 平板电脑
- 支持物联网或联网的设备
- 销售点 (POS) 系统
所有这些端点都有可能成为恶意活动的目标。病毒、恶意软件、商业电子邮件入侵、账户接管——这些威胁都可能发生在不安全的端点上。
在云计算和远程工作普及之前，安全团队主要关注通过企业网络进来的安全入侵。然而，当今的威胁更常通过被入侵的端点进入。随着攻击手段的不断升级，显然现有的集中式网络防护方法已经力有不逮 。所面临的挑战是定义一个不断变化的安全边界，并通过端点保护来加以防护。
为什么端点安全很重要？
各种规模的公司都面临端点被入侵的风险。端点设备在设计上通常较容易成为网络攻击的目标，因为它们的防护级别不如现场设备 (如台式计算机) 那样强大。随着远程工作的普及，每天都有新的端点接入到您组织的网络边界。特别是在自带设备 (BYOD) 的情况下，移动设备往往不在安全团队的完全控制之下。除非您的安全管理团队能够每天多次检查每台移动设备的安全状态，否则很难确保数据始终受到保护。
端点安全是网络安全的前线，是组织保护企业网络和降低风险的首要步骤。
什么是端点管理？
端点管理是指管理和保护组织中所有访问或存储数据的端点设备的过程。通常，这通过统一的端点管理平台来实现。成功的端点管理策略需要全天候运作，以确保所有端点设备的最佳安全状态。端点管理包括持续评估、分配和监督整个组织中所有端点的访问权限。
在许多组织中，端点管理是由网络管理员和信息安全 (infosec) 专业人员组成的跨职能团队共同负责的。最有效的端点管理解决方案必须具备以下能力：
- 控制访问：确保只有经过验证和批准的设备才能连接到企业网络。
- 衡量安全政策的合规性：对所有经批准的设备实施相关的安全政策，无论处于何地。
- 提供全面的可见性：通过集中式控制面板或控制台，使信息安全团队能够实时查看所有端点设备和管理活动。
- 控制、配置和维护端点：远程在设备上配置端点保护，确保软件及时更新和维护。
常见的端点安全风险
数据泄漏、丢失或被盗，在网络层面和端点层面都有可能发生。然而，端点通常更容易受到攻击或其他形式的数据丢失。例如，员工故意或无意间暴露公司数据的情况在端点（如丢失的笔记本电脑或被入侵的智能手机）上更为常见，相比之下，固定设备（如服务器或台式计算机）的风险较小。
常见的网络安全攻击媒介包括：
- 未经授权的设备访问：设备通过被盗的帐户凭据，或因网络钓鱼和社交工程攻击导致的帐户接管而受到入侵。
- 恶意软件或勒索软件攻击：有针对性的网络攻击，通常通过电子邮件传播，利用恶意勒索软件入侵端点，或要挟端点勒索赎金。
- 通过漏洞或错误配置进行访问：如果漏洞是进入网络的入口，那么软件和安全配置错误则是攻击者渗透到目的端点的手段。
有时，端点攻击可能涉及上述一种或多种方法。请记住，网络攻击日益复杂，攻击者通过多种协调手段潜入组织的应用程序和系统。端点通常是攻击者首次突破安全防线、获取组织敏感数据的关键入口。
什么是统一端点管理？
统一端点管理 (UEM) 是一类网络安全工具，让安全专业人员从一个控制台来管理、保护和部署任何端点设备上的企业资源和应用程序。
UEM 不仅涵盖了传统的移动设备管理 (MD) ，还包括移动应用程序管理。通过UEM，管理员可以全面掌握所有端点的状态，并实时监控用户在任何已连接并受管理设备上对公司数据和应用的使用情况。
随着越来越多的网络用户转向远程工作，并且企业引入更多物联网技术，统一端点管理将继续发展，以支持更多种类的设备。对于需要在短时间内支持远程工作的 IT 团队来说，UEM 工具和平台能有效保护员工在防火墙外访问公司数据的设备。
什么是 EDR - 端点侦测与响应？
端点侦测与响应 ，也称为 EDR 或端点侦测与威胁响应。它被视为端点防病毒技术的下一个进化。作为 UEM 策略的重要组成部分，EDR 专注于持续监控端点设备的安全状态，务求快速侦测与响应网络威胁。EDR 尤其普遍作为应对如勒索软件和恶意软件等端点威胁。
最佳的 EDR 工具能够分析来自任何种类端点的所有安全事件，无论位于企业防火墙内或外，都能识别可疑活动。理想的 EDR 解决方案应能生成警报，帮助安全运营分析师发现、识别、调查并解决问题。此外，EDR工具还应收集与安全事件相关的所有遥测数据。最佳的 EDR 解决方案能够平衡这些数据与相关事件的其他环境信息。
EDR 对于缩短事件响应团队的响应时间至关重要，能够帮助他们基于更准确的信息更快地采取行动，这是在威胁真正发生之前加以阻止的最佳方式。
在缺乏对攻击者行为的可见性和对攻击路径的信息是侦测攻击的两大主要障碍。为了改善缺乏可见性并追踪攻击源头，IT 经理和安全分析师趋向依赖 EDR 技术的支持。EDR 旨在管理和保护各种端点设备、揭示威胁来源、并追踪攻击者从受入侵端点横向移动到网络其他部分的数字足迹。
EDR 与防病毒软件的区别
虽然端点侦测与响应和防病毒软件都涉及对端点的监控与保护，但它们并不是同一回事。防病毒软件通常是 EDR 解决方案的一部分，但需要明确的是，并非所有防病毒软件都具备 EDR 功能。主要区别在于，EDR 解决方案基于这样一个假设工作：受管理的端点迟早会遭到入侵。尽管单独使用防病毒软件可以很好地防御已知的恶意软件，但它并非万无一失，特别是在面对零日攻击或复杂的网络钓鱼攻击，如社交工程。 如果企业仅依赖防病毒软件而不采用 EDR，在发生网络入侵时，组织将面临未能有效掌握被攻击端点的情况的重大风险。
什么是下一代防病毒软件 (NGAV)？
企业需要领先下一个威胁一步的企业级防病毒保护。随着新病毒不断推出以通过网络钓鱼攻击来传播恶意软件、勒索软件、间谍软件、特洛伊木马和其他恶意软件，企业的数据需要持续的防护。
这正是 下一代防病毒软件 大显身手的地方。NGAV 作为现代化的防护措施，弥补了传统防病毒软件的不足。它通过多种先进技术来阻止新兴攻击，并能够识别和防范未来的威胁。
下一代防病毒软件采用先进的监控技术来搜寻各种威胁。它的防御能力甚至可以应对零日攻击。简单来说，NGAV 不会等到网络安全威胁被侦测到才开始工作，而是时刻保持警惕。
与传统的防病毒软件不同，下一代防病毒软件具备以下能力：
- 捕猎威胁并主动解决 IT 问题
- 更快地侦测病毒和威胁
- 在减少风险的同时，过滤掉虚假警报带来的干扰
尽管传统防病毒软件可能在十年前足以保护端点设备，但它已无法应对当今复杂的威胁。
端点安全解决方案
最佳的端点安全解决方案应具备以下关键能力：
- 威胁防范： 托管式威胁捕猎，和能支持应对已知和未知的威胁。您的端点安全系统必须能够快速侦测并响应各种等级和类型的威胁，例如商业电子邮件入侵等。
- 设备管理和应用控制： 持续监控所有端点设备和业务应用，确保最佳安全保健始终到位。您需要确保对整个组织的所有端点和应用程序保持控制，否则，员工可能无意中禁用安全协议或政策，或停用需要保持启用的应用程序。
- 自动侦测和修复： 仅仅侦测到威胁是不够的；必须在它们造成损害之前将其消除。您的端点安全工具还应具备自动修复低级别威胁的能力，以便让安全团队有更多精力应对更复杂的问题。
- 智能警报和报告： 由机器学习支持的对事件和警报的环境信息。需要注意的是，尽管许多产品声称使用机器学习，但并非所有机器学习技术都是相同的。 深度学习 在恶意软件侦测方面的表现一直优于其他机器学习模型。
什么是扩展式侦测与响应 (XDR)?
扩展式侦测与响应 (XDR) 是 EDR 的更高级版本。
EDR 主要用于控制和消除端点上的威胁，而 XDR 则将这些威胁捕猎和响应能力扩展到端点之外。这种更高级的网络保护形式专注于整个基础设施，能够快速、准确地识别趋势和威胁。
与 NGAV 一样，XDR 是对传统防病毒软件的显著改进。传统防病毒软件倾向于被动响应，而 XDR 则主动寻找威胁，并迅速应对已知和未知的攻击。
理解 XDR 有助于安全专家解答以下问题：
- 为什么某个端点或设备运行缓慢？
- 哪些端点存在已知漏洞、未知服务或未经授权的浏览器扩展？
- 设备上是否有程序在未经组织批准的设备上运作，而需要删除？
- 您能否发现未受管理或未受保护的设备，如笔记本电脑、手机和物联网设备？
- 哪些程序导致办公网络问题？
- 安全团队能否分析云安全组，以识别暴露在公共互联网的资源？
- 能否侦测到零日或未知的威胁？
EDR 是保护端点的出色解决方案。但每个端点仅是整个安全框架的一部分。如果您的企业网络由多个系统组成，您可能需要 XDR 来实现终极的防护。
关于端点安全工具
在应对端点上的恶意软件和勒索软件攻击时，侦测速度至关重要，尤其是在保护企业防火墙之外的移动设备时。传统的端点安全措施，如传统的端点管理和防病毒，已经力有不逮。如今复杂的威胁要求我们对所有类型的攻击保持持续的警惕，包括零日攻击。
Sophos 引领着端点安全的方向。我们对端点安全的方法提供强大且现代化的工具，能够支持高级威胁捕猎，并实现全面的端点安全管理。
了解更多关于下一代端点安全如何为您的安全生态系统保驾护航，永不过时的信息，并立即注册免费试用 Sophos Endpoint Antivirus。
相关安全主题：如何降低勒索软件风险
