EDR系统中读取终端检测数据的常见技术方式有哪些？

EDR（端点检测与响应）系统读取终端检测数据的常见技术方式包括以下几种：

1. 内核回调机制（Kernel Callbacks）：通过Windows内核提供的回调接口（如PsSetCreateProcessNotifyRoutine、ObRegisterCallbacks等），在进程创建/销毁、线程操作、注册表修改和对象访问时实时获取通知。
2. ETW（Event Tracing for Windows）：利用Windows内置的事件追踪框架，订阅系统级和应用级事件，涵盖进程、网络、DNS查询、文件I/O等行为，具有性能开销低、覆盖面广的特点。
3. API Hooking：分为用户态Hook（如Inline Hook、IAT Hook）和内核态Hook，拦截特定API调用以记录参数和执行上下文。由于稳定性与安全风险，现代EDR逐渐减少内核态Hook的使用。
4. 文件系统过滤驱动（Minifilter）：通过微软提供的Minifilter框架注册过滤回调，监控文件的创建、读写、删除和重命名等操作。
5. 网络流量捕获：使用WFP（Windows Filtering Platform）、NDIS过滤驱动或Winsock分层服务提供者（LSP）来捕获和分析网络层与应用层的通信数据。
6. AMSI（Antimalware Scan Interface）：集成反恶意软件扫描接口，读取脚本语言（如PowerShell、VBScript）在执行前的解密内容，用于检测无文件攻击。

判断依据与适用条件

• 内核回调与Minifilter适用于需要高权限、防篡改的底层行为监控场景。
• ETW适用于对性能要求较高且需广泛收集系统遥测数据的场景。
• AMSI专门针对内存中执行的脚本和宏代码检测。

常见误区

• 认为API Hooking是唯一的拦截手段。实际上，过度依赖用户态Hook容易被恶意软件绕过，且内核态Hook在现代操作系统中受到PatchGuard保护，容易引发蓝屏。
• 混淆日志采集与实时检测。ETW和内核回调提供的是实时流式数据，而传统安全审计日志通常是事后分析，两者在时效性上有本质区别。