影响与风险
单看文件特征容易漏掉滥用正常工具的攻击，进程行为能提供更多上下文。
安全运营
EDR
EDR 终端检测与响应
持续采集终端行为，发现可疑活动并支持隔离、调查与响应。
一句话记忆EDR 记录终端行为，帮助发现并处置异常。
持续采集终端行为，发现可疑活动并支持隔离、调查与响应。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 031安全运营
概念：办公电脑的文档进程启动异常脚本，分析员查看进程树并隔离设备。
一个具体场景
把概念放进日常操作
办公电脑的文档进程启动异常脚本，分析员查看进程树并隔离设备。
从这些线索开始
查看进程树、命令、网络连接及告警关联，而非只看一个文件名。
可以采取的动作
覆盖关键终端，持续调优规则，演练隔离与证据保留流程。