EDR
EDR（Endpoint Detection and Response）是面向终端设备的安全防护技术，通过持续监控终端行为、分析威胁指标并自动响应，检测和阻止恶意活动，是企业安全体系的重要组成部分。
核心事实
时间轴 (近 90 天)
Exoproc 不向目标进程写入新的 DLL 文件，也不打开网络端口，从而降低被安全软件检测的概率。
把模型作为安全底座而非外挂分析工具，意味着模型被放在数据流与控制流的中间层，向上承接策略生成与自然语言意图，向下对接防火墙、EDR、身份系统等执行点。
攻击者为了绕过 EDR，常采用直接系统调用、API 挂钩规避、进程注入、白名单利用等技术。
EDR 是一种部署在终端上的安全软件，通过监控进程行为、API 调用、文件操作和网络连接等，检测并响应恶意活动。
Agentic SOC 中日志、EDR 事件、邮件附件、HTTP User-Agent 等可能含有攻击者可控文字，若 AI 具备封锁 IP、停用账号等执行能力，风险等级会上升。
EDR（端点检测与响应）是一类企业级终端安全软件，能够记录进程行为、文件访问和网络连接，用于事后取证。
物联网设备通常缺乏端点检测与响应（EDR）工具，安全团队难以察觉异常。
篡改系统底层文件可能在企业内网环境中触发EDR（终端检测与响应）告警，带来合规风险
AI驱动的EDR、SIEM和用户行为分析（UEBA）系统已成为企业安全基础设施的主流组件
传统基于签名的防病毒或防火墙规则对APT攻击几乎无效，需要依赖行为分析、端点检测与响应（EDR）以及网络流量异常分析等更主动的防御手段
还有 5 条时间轴事件
全部知识事实 (16)
EDR（端点检测与响应）是一类企业级终端安全软件，能够记录进程行为、文件访问和网络连接，用于事后取证。
65%待验证Exoproc 不向目标进程写入新的 DLL 文件，也不打开网络端口，从而降低被安全软件检测的概率。
50%待验证把模型作为安全底座而非外挂分析工具，意味着模型被放在数据流与控制流的中间层，向上承接策略生成与自然语言意图，向下对接防火墙、EDR、身份系统等执行点。
50%待验证攻击者为了绕过 EDR，常采用直接系统调用、API 挂钩规避、进程注入、白名单利用等技术。
50%待验证EDR 是一种部署在终端上的安全软件，通过监控进程行为、API 调用、文件操作和网络连接等，检测并响应恶意活动。
50%待验证Agentic SOC 中日志、EDR 事件、邮件附件、HTTP User-Agent 等可能含有攻击者可控文字，若 AI 具备封锁 IP、停用账号等执行能力，风险等级会上升。
50%待验证物联网设备通常缺乏端点检测与响应（EDR）工具，安全团队难以察觉异常。
50%待验证篡改系统底层文件可能在企业内网环境中触发EDR（终端检测与响应）告警，带来合规风险
50%待验证AI驱动的EDR、SIEM和用户行为分析（UEBA）系统已成为企业安全基础设施的主流组件
50%待验证传统基于签名的防病毒或防火墙规则对APT攻击几乎无效，需要依赖行为分析、端点检测与响应（EDR）以及网络流量异常分析等更主动的防御手段
50%待验证Beacon的检测需要依赖行为分析、内存扫描以及EDR产品的深度联动，而非单纯的流量签名匹配
50%待验证零信任架构的实现依赖身份提供商（IdP，如Okta、Azure AD）、终端检测与响应（EDR）工具、以及通过SDP或CASB实现的网络访问控制等组件协同
50%待验证传统的EDR安全工具无法识别Markdown文件中的提示词攻击载荷
50%待验证短时间内出现系统信息收集、网段扫描、凭证文件读取的操作序列应触发高优先级告警
50%待验证Geiger关注AI代理在真实系统中的副作用，与EDR思路相似，只不过EDR关注恶意软件和人类攻击者，Geiger关注AI代理行为边界
50%待验证DLL 注入利用 Windows API（如 CreateRemoteThread、WriteProcessMemory）在目标进程中分配内存、写入 DLL 路径并触发 LoadLibrary 调用
50%