آینده EDRها؛ از تحلیل رویداد تا تحلیل گراف رفتار

نسل جدید سامانه‌های Endpoint Detection and Response (EDR) به‌تدریج از تشخیص مبتنی بر قوانین ثابت به سمت Graph AI و Sequence Models مانند Transformerها حرکت می‌کند. در این رویکرد، هدف تنها بررسی یک فایل، یک پردازش یا یک رویداد منفرد نیست؛ بلکه کل زنجیره فعالیت‌های سیستم به‌صورت یک گراف تحلیل می‌شود. ارتباط میان پردازش‌ها، فایل‌ها، رجیستری، ارتباطات شبکه، هویت کاربران و دسترسی‌ها در کنار یکدیگر بررسی می‌شوند تا رفتار واقعی سیستم درک شود.

برای مثال، اجرای یک فایل Word به‌تنهایی مشکوک نیست، اما اگر همان فایل باعث اجرای PowerShell، ایجاد تغییر در رجیستری، تزریق کد به یک پردازش دیگر و سپس برقراری ارتباط با یک سرور ناشناس شود، مدل هوش مصنوعی این زنجیره را به‌عنوان یک حمله چندمرحله‌ای تشخیص می‌دهد.

این تحول، دقت کشف حملات Fileless، تکنیک‌های Living-off-the-Land (LOLBins) و تهدیدهای پیشرفته (APT) را به‌طور قابل‌توجهی افزایش می‌دهد؛ زیرا به‌جای تکیه بر یک Rule، رفتار کلی مهاجم و ارتباط میان رویدادها را تحلیل می‌کند. این همان مسیری است که مشاهده میشود نسل درحال تغییر EDRها بر پایه آن توسعه میابد.

قدرت واقعی TrendAIدر یک Driver یا Hook خاص نیست؛ بلکه در کیفیت تله‌متری و همبستگی داده‌هاست.

**منبع : تلاش چند ماهه در شناخت رفتاری #ترند_میکرو توسط تیمMSSP #هامون Haumoun