EDR与雷池WAF安全设备使用指南

一、EDR端点检测与响应系统

1. EDR概述

EDR(Endpoint Detection and Response)是一种通过对端点设备进行监控、检测和响应的安全技术，用于保护计算机系统免受恶意攻击和数据泄露等威胁。

EDR的核心价值：

• 应对复杂安全威胁：自动化发现、隔离、修复、调查安全威胁
• 高效防御：在威胁造成危害前进行检测和防御
• 广泛适用性：支持各类设备(台式机、服务器、笔记本、移动设备、IoT等)
• 适应现代化需求：结合云计算和AI技术实现智能检测

EDR与相关技术区别：

• XDR(扩展检测和响应)：不仅关注端点，还包括网络、电子邮件、应用程序、云工作负载等数据源
• MDR(托管检测和响应服务)：可理解为托管的XDR服务

2. EDR核心功能

1. 持续收集端点数据
2. 实时分析和威胁检测
3. 自动威胁响应
4. 溯源深度处置
5. 支持威胁搜寻和安全加固

3. OpenEDR使用指南

安装步骤：

1. 访问官网(https://www.openedr.com/)注册账号
2. 输入TOTP动态口令(可使用腾讯身份验证器小程序或手机密码管理器)
3. 在Windows端点下载并安装OpenEDR代理
4. 对于Windows Server 2016需特殊配置：
   • 进入Settings → Client Setting → Windows → Xcitium Client -EDR
   • 点击Edit，选择版本为2.4.04

主要功能模块：

1. Security → alerts：查看安全警告
2. Security → Investigate：记录所有活动(如程序尝试截图等)
3. Managed Security → Incidents：事件监测

二、长亭雷池WAF

1. 雷池WAF概述

官网：https://waf-ce.chaitin.cn/
官方文档：https://waf-ce.chaitin.cn/docs/

技术特点：

• 采用反向代理技术
• 对客户端隐藏真实服务器
• 所有请求需先经过WAF检测

环境要求：

• 操作系统：Linux
• 指令架构：x86-64
• 软件依赖：
  • Docker 20.10.14+
  • Docker Compose 2.0.0+
• 最小化环境：1核CPU/1GB内存/5GB磁盘

2. 安装与配置

安装命令(Kali示例)：

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"

初始配置：

1. 完成TOTP验证(使用身份验证器小程序扫描二维码)
2. 配置防御站点：
   • 设置代理地址(如http://[WAF服务器IP]:18888)
   • 指定后端真实服务器IP

3. 核心功能

1. 攻击事件查看

• 自动记录SQL注入等攻击尝试
• 详细记录攻击者IP、时间、攻击类型和输入内容
• 需手动刷新页面查看最新记录

2. 防护站点管理

• 查看站点目录结构
• 监控站点访问情况

3. 防护配置选项

• 黑白名单管理
• 人机验证(登录验证框)
• 频率限制(防爆破)
• 语义分析(漏洞类型管理)

4. 技术优势

1. 强大主动防御能力：

   • 基于业务流量学习建立"千人千面"防御策略
   • 应用深度学习算法识别非法流量

2. 高性能处理：

   • 单节点可处理20万QPS高并发
   • 99%请求延迟<1ms
   • 对业务几乎零影响

3. 智能语义分析：

   • 从语言角度分析检测
   • 无需规则即可防御0day漏洞
   • 解决误报、漏报问题

三、总结

EDR和WAF是现代化安全防御体系中的重要组成部分：

• ER专注于端点安全，提供深度检测和响应能力
• 雷池WAF提供Web应用层防护，特别擅长应对各类Web攻击

OpenEDR作为开源EDR解决方案，适合研究和学习使用；长亭雷池WAF以其高性能和智能防御能力，是企业级Web安全防护的理想选择。