[研究]Symantec 防毒+EDR 會紀錄哪些行為 ?
2026-11-08
一、Symantec 防毒 + EDR 會紀錄哪些行為？
類別 |
可能紀錄的行為 |
可追查的資訊 |
|---|---|---|
1. 程序執行 |
EXE、DLL、PowerShell、CMD 執行 |
程序名稱、路徑、PID、父程序 |
2. 程序關係 |
程序啟動其他程序 |
Parent/Child Process、執行鏈 |
3. 檔案操作 |
建立、修改、刪除、下載檔案 |
檔名、路徑、雜湊值 |
4. 惡意程式 |
病毒、木馬、勒索軟體 |
偵測名稱、時間、處置結果 |
5. 網路連線 |
程式對外建立連線 |
IP、Port、連線程序等（依產品能力） |
6. DNS 行為 |
DNS 查詢、可疑網域 |
網域、查詢及相關威脅事件（視模組而定） |
7. 登錄檔 |
建立、修改、刪除 Registry |
Registry Key、Value |
8. 開機啟動 |
Run Key、服務、排程工作 |
持久化（Persistence）行為 |
9. PowerShell |
可疑指令、腳本執行 |
命令列、程序及相關事件（依蒐集設定） |
10. USB 裝置 |
外接裝置使用 |
裝置事件（依裝置控制功能） |
11. 防護設定 |
防毒服務、政策或防護功能異動 |
停用、異常、設定變更事件 |
12. 漏洞攻擊 |
Exploit、記憶體攻擊 |
攻擊行為及攔截結果 |
13. 勒索軟體 |
大量檔案加密、可疑檔案異動 |
行為偵測、阻擋事件 |
14. 橫向移動 |
遠端執行、可疑網路活動 |
攻擊線索及相關程序事件 |
15. 帳號相關活動 |
可疑登入或帳號濫用線索 |
依 EDR 整合及遙測能力而定 |
二、EDR 比一般防毒多紀錄什麼？
監控項目 |
一般 SEP 防毒 |
Symantec EDR |
|---|---|---|
病毒、木馬偵測 |
有
|
有
|
病毒掃描紀錄 |
有
|
可整合 |
程序啟動紀錄 |
有限／依功能 |
有
|
程序父子關係 |
有限 |
有
|
DLL 載入 |
有限 |
有
|
檔案建立、修改、刪除 |
部分安全事件 |
有
|
Registry 異動 |
部分安全事件 |
有
|
網路活動 |
防火牆連線紀錄 |
有
|
使用者登入／登出 |
非主要功能 |
可蒐集相關事件 |
可疑 PowerShell |
依防護功能 |
可偵測
|
攻擊行為關聯分析 |
有限 |
有
|
攻擊事件調查及回溯 |
有限 |
有
|
Broadcom 的 Symantec EDR 文件提到，Endpoint Activity Recording 可以蒐集程序、DLL、檔案、資料夾、Registry、網路等活動，並用來調查攻擊行為。
三、公司 MIS 可以監看到什麼程度？
使用者在電腦上的行為 |
是否可能被監控 |
|---|---|
開啟 Visual Studio |
可以記錄程序啟動 |
執行 SQL Server Management Studio |
可以記錄程序啟動 |
使用 CMD、PowerShell |
可以記錄程序及可疑活動 |
執行自製 EXE、BAT、PS1 |
可以記錄相關程序活動 |
下載檔案 |
部分檔案及網路活動可追蹤 |
複製、修改、刪除檔案 |
EDR 可記錄相關檔案活動 |
使用 USB 隨身碟 |
依裝置監控功能及事件蒐集設定 |
連接外部網站 |
可記錄部分網路連線資訊 |
連接內部 SQL Server |
可追蹤部分網路連線資訊 |
開啟某個 Word、Excel 文件 |
可記錄相關程序或檔案活動，但不代表能讀取文件內容 |
輸入鍵盤內容 |
不是一般 EDR 的標準監控項目 |
螢幕畫面截圖 |
不是一般 EDR 的標準監控項目 |
瀏覽器完整瀏覽歷史 |
不是一般 EDR 的標準監控項目 |
電子郵件內容 |
不是一般 EDR 的標準監控項目 |
(完)
