[研究]自行架設免費 EDR Server/Client(Agent)推薦
2026-08-28
| 排名 | 方案 | Server | Windows Agent | EDR 能力 | FIM/目錄監控 | 自架 | 推薦度 |
|---|---|---|---|---|---|---|---|
| 🥇 | Wazuh | Linux | Windows | ★★★☆☆ | ★★★★★ | ✅ | 95/100 |
| 🥈 | Velociraptor | Linux/Windows | Windows | ★★★★★ | ★★★★☆ | ✅ | 92/100 |
| 🥉 | Comodo OpenEDR | Elastic/ELK 等 | Windows | ★★★★★ | ★★★★☆ | ⚠️ | 75/100 |
| 4 | Free EDR / 舊 OpenEDR fork | Linux/Docker | Windows | ★★★★☆ | ★★★★☆ | ✅ | 60/100 |
********************************************************************************
Wazuh
https://documentation.wazuh.com/current/quickstart.html
官方目前仍明確定位為免費、Open Source 的 XDR/SIEM 平台。
大致上可以說「XDR 包含 EDR 的核心能力」。
「正式機 Code 目錄是否被駭客新增/修改/刪除」的需求，Wazuh 特別適合。
********************************************************************************
Velociraptor (伶盜龍屬)
https://www.velociraptor-docs.org/downloads/
「伺服器被入侵後，我要查駭客到底做了什麼？」
Velociraptor 甚至比 Wazuh 更強。
********************************************************************************
Comodo OpenEDR
https://github.com/ComodoSecurity/openedr
2025～2026 年的 OpenEDR 專案目前有一些值得非常注意的安全維護問題；GitHub 上甚至仍有公開的高風險漏洞議題，例如 2026 年 7 月提出的多項 local privilege-boundary / RCE / SYSTEM execution 問題。
https://github.com/ComodoSecurity/openedr/issues/56
功能上很像 EDR，但如果是正式機，目前不建議把 OpenEDR 當第一選擇。
Comodo OpenEDR 並不是提供一個完整的「OpenEDR Server」安裝包，讓你像 Wazuh 一樣安裝 Server + Dashboard。
它目前大致有兩種模式：
| 模式 | Server / Console | Agent | 是否自行架設 | 說明 |
|---|---|---|---|---|
| Comodo/Xcitium Cloud EDR | ☁️ Comodo Cloud | Windows Agent | ❌ | 官方提供的完整管理平台 |
| OpenEDR Open Source | 自己架 Elasticsearch + Logstash + Kibana | OpenEDR Windows Agent | ✅ | 自己組 EDR 後端 |
| 真正的 OpenEDR Server | ❌ 沒有類似 Wazuh Server 的獨立套件 | — | — | 這點很重要 |
官方 GitHub 的安裝文件寫得很清楚：OpenEDR Agent 本身把 telemetry 留在 endpoint，然後可以透過 Filebeat → Elasticsearch，再用 Kibana 做分析；Elasticsearch 可以自己裝在自己的機房或 Docker。
https://github.com/ComodoSecurity/openedr/blob/main/getting-started/InstallationInstructions.md
而 OpenEDR 官方社群在 2024 年也直接回答：Cloud Console cannot be run locally (on-premise)
但是可以自己部署 OpenEDR instance，自己配置規則，並使用 Elasticsearch/Kibana。
https://community.openedr.com/t/using-cloud-console-locally-and-agent-connectivity/950
********************************************************************************
FreeEDR
https://github.com/jymcheong/FreeEDR
不建議現在新建正式環境採用這個。
********************************************************************************
最後建議
🥇 正式環境
Wazuh
最推薦。免費、Open Source、自架、Windows Agent、FIM、Event Log、Sysmon、Dashboard 都完整。
🥈 想做進階 EDR / Threat Hunting
Wazuh + Velociraptor
這個組合比單獨一套免費 EDR 更有價值。
🥉 想研究真正的 Kernel-level EDR
Comodo OpenEDR
很值得 Lab 測試，但我目前不建議你直接拿來當正式機第一防線。
❌ 舊版「OpenEDR / Free EDR」
jymcheong/OpenEDR 已經特別改名為 Free EDR，是為了避免和 Comodo 的 OpenEDR 混淆；它的架構需要 Linux/Docker，Windows Agent 曾測試到 Windows 10 / Server 2012 R2～2019。
不建議現在新建正式環境採用這個。
********************************************************************************
(完)
