macOS 上的 EDR 冻结

- 本文介绍的"EDR Freeze"是一种针对macOS端点的攻击技术,能让攻击者暂时禁用EDR(端点检测与响应)安全软件,从而在系统上执行恶意操作而不被检测。 - EDR是安装在电脑上、持续监控系统活动(如进程、文件、网络连接)并试图发现恶意行为的安全产品——类似高级杀毒软件。macOS常见的EDR包括SentinelOne、CrowdStrike、Microsoft Defender等。 - EDR Freeze利用的是EDR产品自身的一个功能:为了排除性能问题,许多EDR允许管理员"冻结"或暂停对特定进程的监控。攻击者通过获得足够权限(通常是root或TCC授权),可以滥用这一机制,让EDR对自己的恶意进程视而不见。 - 这一技术此前已在Windows上被讨论过,但在macOS上是较新的攻击面,反映了macOS在企业环境中日益普及后,针对它的攻击手法也在快速演进。 - 对读者而言,这说明了EDR不是万能药:即便部署了最新安全工具,攻击者仍能找到方法绕过,防御者需要关注EDR自身的加固与监控策略。