什么是XDR

场景一：还原攻击路径，实现精准溯源

痛点描述

APT（Advanced Persistent Threat，高级持续性威胁）攻击通常潜伏期长、路径复杂，常涉及多个跳板机。传统安全设备各自为战，产生海量且碎片化的异构日志。安全运营人员必须手动跨设备梳理这些孤立线索，不仅耗时费力，且极易在复杂的信息迷宫中遗漏关键环节，难以还原攻击全貌，导致无法快速定位攻击源头和受影响资产。

XDR方案

XDR依托强大的跨域关联分析引擎，将防火墙、EDR等多源异构日志自动整合，构建出完整的攻击链路图。它将离散的告警转化为连贯的“攻击故事线”，清晰展示攻击者从最初的入侵点、内网横向移动，到最终达成攻击目标的全部过程，并支持上下文可视化，让安全运营人员“一眼看清”攻击全貌。

举例

以下场景展示了XDR如何将看似孤立的碎片化告警，自动关联为一条完整的攻击故事线：

• T1：防火墙检测到外部IP 1.1.1.5对内部主机192.168.1.100发起扫描。
• T2：防火墙检测到主机192.168.1.100与外部IP 1.1.1.5建立C2（Command and Control，命令与控制）连接。
• T3：EDR检测到主机192.168.1.100上A进程创建了可疑计划任务。

XDR关联结果：

• 攻击链还原：系统自动将T1、T2、T3关联为一条完整的攻击链，如“外部扫描 → 初始入侵 → C2通信 → 持久化”。
• 上下文可视化：安全运营人员只需单击攻击链上的任一节点，即可查看详细的上下文信息（如进程树、文件操作、网络流等），从而快速定位攻击源头和受影响范围。

场景二：跨域关联分析，确认威胁真实性

痛点描述

在传统安全运营中，单点设备的告警往往缺乏跨域上下文，导致“告警疲劳”与“响应滞后”。例如，防火墙检测到外部IP对内网进行暴力破解时，因无法感知主机是否最终被攻陷，通常仅生成一条告警，不会触发彻底阻断。随后攻击者若成功登录，EDR虽记录了该登录行为，却因不知道这是紧随暴力破解而来的恶意行为，难以将其判定为异常。安全运营人员需在海量告警中人工交叉比对，才能确认“攻击是否成功”。这种方式效率极低，极易让真实威胁在研判期间持续蔓延。

XDR方案

XDR通过关联多源数据，将外部攻击行为（如暴力破解）与终端内部行为（如登录成功、横向移动）进行逻辑关联，从而准确研判威胁真实性。当同一源IP的攻击行为在不同设备上被检测到时，XDR能自动判定攻击结果，将告警攻击结果从“未知”更新为“成功”。一旦确认攻击成功且满足模型预设条件，系统将自动执行处置动作（如联动防火墙阻断IP地址），实现快速响应闭环。

举例

以下场景展示了XDR如何通过跨域关联确认攻击结果，并自动升级告警与触发处置：

• T1：防火墙检测到外部IP 1.1.1.5在1分钟内对内部主机192.168.1.100的SSH端口发起了超过100次登录尝试。初始告警类型为“暴力破解”，攻击结果为“未知”。
• T2：在T1发生后的2分钟，EDR检测到主机192.168.1.100上存在来自IP 1.1.1.5的SSH登录成功事件。
• T3：在T2发生后的5分钟，EDR检测到主机192.168.1.100上的A进程开始向内部另一台主机192.168.1.200的445端口发起大量连接尝试（内网横向移动）。

XDR关联结果：

• 告警自动升级（重定义告警）： 通过关联T1（暴力破解尝试）与T2（登录成功），系统确认攻击已得手，自动将T1告警的“攻击结果”从“未知”更新为“成功”，提升告警优先级。
• 攻击链还原：系统自动将T1、T2、T3关联为一条完整的攻击链，如“外部暴力破解 → 主机失陷 → 内网横向移动”。
• 自动响应闭环：由于已确认了攻击成功，若满足预设的自动处置条件（例如配置了“攻击成功自动阻断”规则），系统将自动执行处置动作，阻止威胁进一步扩散。

XDR vs SIEM：从“全量审计”到“精准感知”

核心差异：SIEM（Security Information and Event Management，安全信息与事件管理）像一个“日志仓库”，侧重于全量数据的接入、存储和合规审计，而XDR像一个“作战指挥中心”，侧重于高价值数据的关联分析与快速响应。SIEM回答‘发生了什么’，XDR回答‘正在发生什么，以及如何应对’。

协同关系：两者通过数据流转实现能力互补。

• XDR → SIEM：XDR将经过关联分析后的高置信度告警和攻击故事线发送至SIEM，使SIEM获得精准的威胁信息，避免在海量原始数据中低效计算。
• SIEM → XDR：SIEM作为“全局日志湖”，负责长期的合规审计与全局感知；XDR负责精准处置。当SIEM识别出潜在风险时，可将该风险事件推送至XDR。XDR根据预设的响应策略，执行隔离或封禁等处置动作，从而将SIEM的‘感知能力’转化为XDR的‘处置能力’。

XDR vs EDR, NDR：从“单点视角”到“全局视野”

核心差异：EDR和NDR是XDR的底层传感器，提供单维度的碎片化数据；XDR是分析引擎，将多源数据关联成完整的攻击故事线。

XDR vs SOAR：从“检测大脑”到“执行手臂”

核心差异： XDR侧重于“检测”并生成高质量的威胁信号；SOAR侧重于“响应”，即执行预定义的自动化流程。

协同关系：XDR与SOAR之间构成了典型的“检测-响应”上下游协作关系。XDR提供高质量的触发信号（高置信度威胁事件），SOAR提供标准化的执行剧本。XDR通过跨域关联分析过滤噪声，确保自动化流程的精准执行；SOAR通过调用第三方API，将单纯的技术处置扩展为完整的管理闭环（如自动创建工单、通知管理员、记录结果）。

XDR vs MDR：从“产品”到“服务”

核心差异：XDR是一个技术工具/产品；MDR（Managed Detection and Response，可管理的检测与响应）是一种服务模式。

协同关系： XDR是MDR服务的核心底座。MDR服务商利用XDR平台，结合自身专家团队，为客户提供7×24小时的托管安全运营服务。对于缺乏专业人力的企业，选择MDR是快速获得XDR能力的最佳路径。

核心能力1：两级溯源回放，精准还原攻击链

平台通过时空关联分析，将防火墙、EDR等多源数据对齐，实现攻击链上下贯通式回放，精准还原攻击全过程，解决“攻击怎么发生的”问题。

攻击链图谱示意

核心能力2：全局风险视图与联动处置，从“看见”到“处置”的闭环

在完成攻击链溯源（核心能力1）后，安全运营人员最关心的是：“这个攻击影响了哪些资产？还有哪些主机可能已被控制？我该如何快速处理?” 平台通过以下能力，将单点溯源结果转化为全局风险管控。

1. 风险影响范围可视化：一张图看清“谁被牵连”

   当确认一个失陷对象（如恶意进程、失陷主机）后，系统自动构建风险传播图谱，清晰展示受影响资产的扩散路径与关联关系，帮助安全运营人员快速评估事件的影响面。

   表1-6 风险对象的关联关系

   层级	关联逻辑	示例
   1	从风险对象定位其所在主机	恶意进程A → 所在主机（主机X）
   2	从主机定位其网络通信对象	主机X → 通信过的其他主机（主机Y）
   3	从关联主机定位其内部可疑进程	主机Y → 内部可疑进程

2. 风险对象上下文聚合：从“单点告警”到“多维信息”

   针对攻击链中的每个风险实体（IP地址、域名、进程、文件），平台自动聚合多维度上下文信息，帮助安全运营人员快速判断风险等级与处置优先级。

   表1-7 风险对象的聚合信息

   风险对象类型	风险对象示例	聚合的上下文信息
   外部攻击源	IP地址	归属地、威胁信息检测结果（如是否为恶意IP）、相关告警事件
   风险主机	资产IP地址、主机名	所属站点、资产价值（如是否为核心资产）、相关告警事件
   进程	进程名、进程UUID（Universally Unique Identifier，通用唯一识别码）	所属资产、相关告警事件
   文件	文件Hash、文件名	所属资产、威胁信息检测结果（如是否为恶意文件）、相关告警事件
   域名	域名	威胁信息检测结果（如是否为恶意域名）、相关告警事件

3. 全局联动处置：一次勾选，批量处置

   针对攻击链中的风险对象，平台支持根据风险等级自动生成推荐的处置建议，安全运营人员只需单击“接受方案”，即可一键批量下发处置操作，联动防火墙、EDR等设备执行全局阻断，实现从“看见风险”到“处置风险”的闭环。

   表1-8 风险对象的处置能力

   处置动作	适用对象	联动系统	效果
   封禁攻击源IP	恶意攻击源IP地址、C2 IP地址	防火墙、NGFW（Next-Generation Firewall，下一代防火墙）	阻断外部攻击源
   隔离主机	失陷资产	EDR、NAC（Network Access Control，网络访问控制）	防止横向扩散
   查杀文件	恶意文件	EDR	清除恶意文件
   阻断域名	恶意域名	防火墙	切断恶意域名连接通信

核心能力3：灵活的关联分析引擎，自定义规则满足多场景需求

平台支持自定义关联分析规则，提供三种规则类型与四种输出结果类型，灵活组合以满足不同关联分析场景。

关联分析引擎能力

1. 三种规则类型

2. 四种输出结果类型