آنجا که نمیتوان به EDR اعتماد کرد
بیایید با محدودیت های EDR آشنا شویم


همه EDRها (چه CrowdStrike چه Defender ATP یا SentinelOne چه محصولات ایرانی) ذاتاً نیاز دارند OS حداقل تا کرنل بیاد بالا تا بتونند Agent/Driver خودشون رو لود کنند.
مکانیزم‌های مقابله در Pre-OS خودشون EDR نیستند، بلکه:

✳️ مساله Secure Boot + Measured Boot + ELAM
✳️ ترکیب با Remote Attestation via TPM (ارسال PCR Values به Server امن)
✳️ و Off-Host Scanning (مثل استفاده از یک محیط Boot امن برای بررسی EFI و دیسک)

اگر این مکانیزم‌ها فعال/به‌روز نباشن، EDR به‌تنهایی نمی‌تونه جلوی Bootkit رو بگیره.

حالا میتونید درک کنید وقتی مدیر امنیت یک سازمان هستی که برنامه به روزرسانی نداره چقدر در مردابی.
یا اگر در سازمان خاص مدیر هستی دیگه چقدر وضع خرابه ...