[研究]Symantec 防毒+EDR 會紀錄哪些行為 ?

[研究]Symantec 防毒+EDR 會紀錄哪些行為 ?

2026-11-08

一、Symantec 防毒 + EDR 會紀錄哪些行為？

類別	可能紀錄的行為	可追查的資訊
1. 程序執行	EXE、DLL、PowerShell、CMD 執行	程序名稱、路徑、PID、父程序
2. 程序關係	程序啟動其他程序	Parent/Child Process、執行鏈
3. 檔案操作	建立、修改、刪除、下載檔案	檔名、路徑、雜湊值
4. 惡意程式	病毒、木馬、勒索軟體	偵測名稱、時間、處置結果
5. 網路連線	程式對外建立連線	IP、Port、連線程序等（依產品能力）
6. DNS 行為	DNS 查詢、可疑網域	網域、查詢及相關威脅事件（視模組而定）
7. 登錄檔	建立、修改、刪除 Registry	Registry Key、Value
8. 開機啟動	Run Key、服務、排程工作	持久化（Persistence）行為
9. PowerShell	可疑指令、腳本執行	命令列、程序及相關事件（依蒐集設定）
10. USB 裝置	外接裝置使用	裝置事件（依裝置控制功能）
11. 防護設定	防毒服務、政策或防護功能異動	停用、異常、設定變更事件
12. 漏洞攻擊	Exploit、記憶體攻擊	攻擊行為及攔截結果
13. 勒索軟體	大量檔案加密、可疑檔案異動	行為偵測、阻擋事件
14. 橫向移動	遠端執行、可疑網路活動	攻擊線索及相關程序事件
15. 帳號相關活動	可疑登入或帳號濫用線索	依 EDR 整合及遙測能力而定

二、EDR 比一般防毒多紀錄什麼？

監控項目	一般 SEP 防毒	Symantec EDR
病毒、木馬偵測	有	有
病毒掃描紀錄	有	可整合
程序啟動紀錄	有限／依功能	有
程序父子關係	有限	有
DLL 載入	有限	有
檔案建立、修改、刪除	部分安全事件	有
Registry 異動	部分安全事件	有
網路活動	防火牆連線紀錄	有
使用者登入／登出	非主要功能	可蒐集相關事件
可疑 PowerShell	依防護功能	可偵測
攻擊行為關聯分析	有限	有
攻擊事件調查及回溯	有限	有

Broadcom 的 Symantec EDR 文件提到，Endpoint Activity Recording 可以蒐集程序、DLL、檔案、資料夾、Registry、網路等活動，並用來調查攻擊行為。

三、公司 MIS 可以監看到什麼程度？

使用者在電腦上的行為	是否可能被監控
開啟 Visual Studio	可以記錄程序啟動
執行 SQL Server Management Studio	可以記錄程序啟動
使用 CMD、PowerShell	可以記錄程序及可疑活動
執行自製 EXE、BAT、PS1	可以記錄相關程序活動
下載檔案	部分檔案及網路活動可追蹤
複製、修改、刪除檔案	EDR 可記錄相關檔案活動
使用 USB 隨身碟	依裝置監控功能及事件蒐集設定
連接外部網站	可記錄部分網路連線資訊
連接內部 SQL Server	可追蹤部分網路連線資訊
開啟某個 Word、Excel 文件	可記錄相關程序或檔案活動，但不代表能讀取文件內容
輸入鍵盤內容	不是一般 EDR 的標準監控項目
螢幕畫面截圖	不是一般 EDR 的標準監控項目
瀏覽器完整瀏覽歷史	不是一般 EDR 的標準監控項目
電子郵件內容	不是一般 EDR 的標準監控項目

(完)

[研究]台灣商用、Freeware DLP 產品比較

[研究]台灣商用、Freeware DLP 產品比較

2026-10-23

類別	產品／原廠	主要功能	USB／端點阻擋	Web／郵件／雲端 DLP	授權與費用	台灣代理／經銷	優點	缺點	推薦度
商用	Forcepoint DLP — Forcepoint	機敏資料辨識、分類、政策控管、事件稽核	支援，依模組	支援，依部署與授權	付費，詢價	透過原廠查詢台灣合作夥伴	多通道資料防護、適合企業政策管理	導入及政策調校成本較高	★★★★★
商用	Microsoft Purview DLP — Microsoft	敏感資訊類型、標籤、端點與 Microsoft 365 資料防護	支援範圍依授權	Microsoft 365 與支援的雲端服務	依 Microsoft 365／Purview 授權	Microsoft 台灣及授權合作夥伴	適合既有 Microsoft 環境，可整合合規功能	授權層級複雜，非 Microsoft 工作負載需驗證	★★★★★（Microsoft 環境）
商用	Symantec DLP — Broadcom	敏感資料辨識、端點與網路外洩控管	依產品組合	依產品模組	付費，詢價	保安資訊有相關產品服務；正式代理層級及授權需確認	企業級政策、稽核與事件調查	採購、部署、維護成本較高	★★★★★
商用	Trellix DLP — Trellix	內容辨識、分類、資料探索、端點裝置控制	支援，依產品	支援 Web、郵件、網路等相應模組	付費，詢價	透過原廠查詢台灣合作夥伴	可涵蓋多種外洩管道，端點與網路產品可組合，	模組組合及部署架構須仔細評估	★★★★☆
商用	Endpoint Protector — CoSoSys	USB／周邊裝置管理、端點資料傳輸控管	主要強項	依產品功能與部署確認	付費，詢價	透過原廠查詢台灣經銷商	適合優先處理 USB 外洩風險	全通道防護能力需逐項確認	★★★★☆（USB 優先）
商用	Safetica — Safetica	端點 DLP、使用者活動、資料分類、內部風險管理	支援範圍依方案	進階方案涵蓋 Microsoft 365、Google Workspace 等	付費，詢價	透過原廠查詢台灣經銷商	方案分級清楚，兼顧資料防護與調查	不同方案的 OCR、SIEM、雲端功能有差異	★★★★☆
商用	Netskope One DLP — Netskope	雲端、SaaS、Web、郵件、端點資料防護	依端點方案	雲端與網路防護為強項	付費，詢價	透過原廠查詢台灣合作夥伴	適合 SaaS 與混合辦公環境	須考慮 SSE 架構、授權與流量導入	★★★★☆（雲端優先）
商用	Proofpoint DLP — Proofpoint	郵件外寄、機敏資料與使用者風險控管	依產品組合	郵件及相關資料防護功能	付費，詢價	透過原廠查詢台灣合作夥伴	適合重視郵件外洩的企業	USB 與端點控制須另行確認	★★★★☆（郵件優先）
免費／開源	OpenDLP — 開源專案	敏感資料探索、檔案與資料庫盤點	不宜視為完整即時阻擋	不宜視為完整多通道 DLP	歷史開源專案；維護狀態待確認	無一般商用代理體系	可作資料探索研究	維護、相容性及部署安全須審查	★★☆☆☆
免費／開源	Wazuh — Wazuh	SIEM／XDR 相關監控、檔案完整性監控、告警	主要是偵測及告警，需另行建置阻擋機制	可收集部分安全事件，不等於原生完整 DLP	開源核心免費，自建有維運成本	開源社群／自行建置	可自架、適合整合既有日誌及端點監控	不具備完整原生 DLP 攔截能力	★★★☆☆（補強）
免費／開源	osquery — 開源專案	端點狀態、程序、檔案與系統資訊查詢	本身不提供完整 DLP 阻擋	不提供完整多通道 DLP	開源免費	開源社群／自行建置	適合資產盤點與端點調查	需自行建立查詢與後續處置流程	★★☆☆☆（補強）
免費／開源	ClamAV — 開源專案	惡意檔案掃描、病毒偵測	不提供一般敏感資料外洩阻擋	不提供完整 DLP	開源免費	開源社群／自行建置	可補強惡意檔案檢測	防毒與 DLP 的目標不同	★☆☆☆☆（非 DLP 替代品）
免費／開源	MyDLP — 歷史開源專案	曾以資料外洩防護為定位	現況不宜直接假設	現況不宜直接假設	現行版本及授權狀態待確認	不建議未驗證就採用	可供研究歷史 DLP 架構	維護與安全性疑慮需先排除	★☆☆☆☆（研究用途）

最後建議

• 要完整商用 DLP： 優先安排 Forcepoint、Symantec、Trellix 的 PoC 比較。
• 已使用 Microsoft 365： 先盤點現有授權，再評估 Microsoft Purview DLP 是否能滿足需求。
• 預算只允許免費工具： 可用 Wazuh 做監控與告警，再搭配作業系統權限、裝置控制及網路政策；不能宣稱已達到完整 DLP。
• 最在意 USB 外洩： 將 Endpoint Protector、Trellix Device Control 與 Forcepoint／Symantec 端點功能列入實測。

(完)

[研究]Symantec EndPoint Protection 14.3 RU9 (SEP)安裝記

[研究]Symantec EndPoint Protection 14.3 RU9 (SEP)安裝記

2025-12-08

下圖，安裝後，不會提示要 Windows Reboot，但是點右下角 SEP 圖示，會告訴你需要重新啟動。

(完)