چرا نمیتوان به تلمتری های EDR اعتماد کرد .
درباب نقد سایت زیر که بحث این روزها است از زاویه ای دیگر

https://www.edr-telemetry.com

سامانه‌های تشخیص و پاسخ در نقاط پایانی (EDR) با وعده‌ی "دید کامل" از طریق جمع‌آوری حجم وسیعی از داده‌های تله‌متری، به سنگ بنای امنیت مدرن تبدیل شدند. با این حال، اتکای مطلق به این داده‌ها یک فرض خطرناک است، زیرا مهاجمان پیشرفته اکنون قادر به کور کردن، دستکاری و فریب عامل EDR هستند.

مشکل اصلی در این است که عامل EDR خود بر روی سیستمی اجرا می‌شود که ممکن است در معرض خطر قرار گیرد. مهاجمان با استفاده از تکنیک‌های پیچیده، این منبع داده را غیرقابل اعتماد می‌کنند:

1.  حملات سطح کرنل (Kernel-Level Attacks): با دسترسی به هسته سیستم‌عامل (Ring 0)، مهاجمان می‌توانند قلاب‌ها (Hooks) و مکانیزم‌های نظارتی EDR را مستقیماً حذف یا غیرفعال کنند. تکنیک BYOVD (Bring Your Own Vulnerable Driver) نمونه بارز این روش است که در آن از یک درایور امضاشده و آسیب‌پذیر برای خاموش کردن دفاع امنیتی استفاده می‌شود.

2.  دور زدن در فضای کاربری (User-Space Evasion): روش‌هایی مانند فراخوانی مستقیم سیستمی (Direct System Calls) به بدافزار اجازه می‌دهند تا لایه‌های نظارتی EDR را کاملاً دور زده و فعالیت‌های خود را بدون تولید هیچ‌گونه تله‌متری انجام دهد.

پیامد این حملات، ایجاد یک حس امنیت کاذب و مرگبار است. تیم‌های امنیتی ممکن است با تحقیقات ناقص مواجه شوند و حملات فعال را نادیده بگیرند، زیرا ابزار اصلی دیده‌بانی آن‌ها کور شده است.

راهبرد صحیح، پذیرش اصل "عدم اعتماد به یک منبع داده" است. تیم‌های امنیتی باید تله‌متری EDR را به طور مداوم با منابع داده مستقل دیگر مانند لاگ‌های شبکه (NDR)، فایروال‌ها و لاگ‌های بومی سیستم‌عامل همبسته‌سازی و راستی‌آزمایی کنند. همچنین، شکار تهدید فعال و تحلیل حافظه زنده (Memory Forensics) به ابزارهای ضروری برای کشف فعالیت‌هایی تبدیل شده‌اند که از دید EDR پنهان مانده‌اند.