4.3 终端检测与响应 EDR（产品技术档案）

信源等级：L2/L3/L4 ｜ 最后核验：2026-09-24 核心来源：沙利文×头豹《2026 年中国端点检测与响应（EDR）市场研究》、IDC 终端安全/IT 安全软件市场份额报告、Gartner《中国终端防护（EPP/EDR）市场概览》、奇安信/微步/360 官方披露 关联文档：4.1 网络安全产品地图与OT联动、3.3 工业主机卫士

一、定义与定位

**EDR（Endpoint Detection and Response，端点检测与响应）**是以端点为核心的数据驱动型安全能力：通过对终端设备持续监测与行为记录，构建细粒度运行态可观测性，将原本不可见的系统内部活动转化为可分析的安全信号，支撑威胁狩猎与事件溯源[1]。

与相邻产品的区别（沙利文口径，L2[1][2]）：

产品	核心手段	局限
传统杀毒（AV/EPP）	文件哈希签名、静态特征扫描、有限启发式	难以发现无文件攻击、零日攻击、离地攻击（LotL）
HIDS 主机入侵检测	日志集中存储检索、变种病毒检测	日志检索 ≠ 实质 EDR；缺少行为分析与自动化响应闭环
实质 EDR	端点行为遥测 + 行为分析（IOA）+ 攻击链溯源 + 自动化响应闭环	—

行为分析能力和自动化响应闭环是 EDR 区别于传统终端安全产品（杀毒软件、HIDS）的重点[2]。

能力演进链（行业演进共识，L4）：杀毒软件（AV/EPP 特征检测）→ 终端安全（管控/补丁/审计）→ EDR（行为遥测+检测响应）→ XDR（EDR+NDR+日志管理+UEBA+威胁情报统一关联）[7]。

二、核心技术架构

2.1 端侧：内核级全维度遥测（沙利文技术底座定义，L2[1]）

• 轻量级探针（Agent）：低资源占用前提下，实现操作系统内核层与应用层全维度数据采集；
• 采集维度：进程创建、文件系统操作、网络连接、注册表变更、任务列表、内存操作、脚本执行、线程；
• 进程树与攻击故事线：构建完整进程树，记录祖先/后代关系并将零散日志挂载对应节点，从原始数据升级为具备安全语义的”攻击故事线”；
• 行为指标（IOA）检测：将父子进程、API 调用、网络回连串联成行为序列，识别利用合法系统工具的离地攻击（LotL）与无文件攻击。

2.2 云侧：检测与响应平台

• 数据汇聚 → 关联富化（威胁情报/ATT&CK 映射/图计算攻击链溯源）→ 告警降噪与智能事件聚合 → 调查取证 → 自动化处置（进程终止、网络隔离、样本加黑、策略固化）；
• 中国市场架构形态：本地化数据存储/管控节点部署（合规驱动）与云原生 SaaS 化平台（云地协同）并存[2]。

2.3 MITRE ATT&CK 映射

• 检测规则/覆盖度以 MITRE ATT&CK 框架为共同标尺（沙利文以其为 EDR 评估核心研究对象之一[2]）；
• 实测样例：奇安信天擎 EDR 在赛可达实验室测试中 ATT&CK 框架攻击技术覆盖面 354 个、覆盖率 94.9%，病毒样本检测率 99.5%、勒索病毒查杀率 100%、零误报（2022 年数据，L3[5]）；
• 微步 OneSEC 官方宣称 ATT&CK 技术覆盖率 98%、IOC 准确率 99.99%（L3[4]）。

三、中国市场的三种 EDR 产品形态（沙利文，L2[2]）

形态	技术实质	判断
① 传统防病毒引擎延伸	以文件哈希/静态特征/有限启发式为核心，叠加少量 EDR 元素（基础日志采集、简单进程监控）	未构建持续行为监控与自动化响应，非实质 EDR
② 传统终端安全产品的模块化扩展	在桌面管理、漏洞补丁、HIPS 等模块上增加 EDR 模块	架构非原生 EDR 设计，采集颗粒度与分析深度受限
③ 原生实质性 EDR	设计之初即以完整 EDR 理念为核心：轻量 Agent 多维行为采集 + 机器学习/UEBA/威胁情报 + 自动化编排响应全流程闭环	中国头部提供商落地交付的形态

中国 vs 欧美市场差异（L2[2]）：

• 欧美：产品化/模块化/SaaS 化清晰，云分析平台聚合端点遥测，偏检测深度与标准化；
• 中国：合规（等保/重保/护网）与内网隔离驱动本地化部署为”下意识选择”，同时一体化终端安全方案偏好明显；云化 EDR 被视为当下及未来的大趋势[4]；
• 本土刚需：国产操作系统（统信 UOS、麒麟）与国产 CPU（飞腾、龙芯、兆芯、海光、鲲鹏）适配，国密算法，本地漏洞情报[3][4]。

四、主要厂商与市场数据

4.1 市场与排名

指标	数据	来源
2022 年中国终端安全软件市场	奇安信份额 19.7%，2018 年起连续 5 年第一	IDC《中国 IT 安全软件市场跟踪报告 2022H2》，L2[5]
2023H2 终端安全市场	奇安信继续第一（连续 6 年）	IDC《中国 IT 安全软件市场跟踪报告 2023H2》，L2[6]
2025 年度终端安全市场	奇安信宣称 28.7% 份额、连续八年第一（第三方机构统计）	奇安信官网，L3[3]
2023 年中国网络威胁检测与响应（NDR，EDR 生态关联市场）	规模 23.8 亿元，同比 +1.6%；主要玩家：奇安信、深信服、安恒、绿盟、斗象	IDC（2024-06，Doc# CHC50964624），L2[7]
2025 年中国 NDR 市场	约 23.3 亿元；奇安信天眼 18.5% 连续 5 年第一（2021 年起）	IDC（2026-07），L2[8]
IDC MarketScape：中国终端安全检测与响应市场 2020	奇安信天擎 EDR 策略与市场份额双第一（领导者象限）	IDC，L2[9]
Gartner《Market Overview for Endpoint Protection (EPP/EDR) in China》（2026-09）	奇安信入选代表厂商（Example Vendors）	Gartner，L2[3]

4.2 沙利文 Frost Radar 2026（综合竞争力评估，非营收份额，L2[1][4]）

排名	厂商/产品	要点
1	微步在线 OneSEC（增长+创新双第一）	云端协同、威胁情报+行为双引擎、图计算攻击链溯源、智能事件聚合、自动化响应清理；ATT&CK 覆盖 98%、IOC 准确率 99.99%（厂商宣称）
2	360 数字安全	”云地一体”架构、EB 级安全数据、可管理数百万终端、50+ 预置响应动作（秒级进程终止/网络隔离）、自然语言策略编译平均 10 秒内、准确率 90%+
3	奇安信天擎 EDR	”云-管-端”三级分布式架构，集成防病毒、EDR、准入控制、资产审计等 12 项能力；政企/信创/一体化管控优势

市场 TOP 8（沙利文评估范围，按文中列序，L4[4]）：微步在线、360、奇安信、深信服、安恒、启明星辰、绿盟、天融信。

4.3 代表产品能力样例（厂商官方数据，L3）

厂商/产品	关键数据
奇安信天擎 EDR	AI 大模型赋能：威胁处置时间 10 分钟 → 3 分钟、准确率 >95%、日处理告警量提升 40 倍；SaaS 化部署周期数周 → 数小时，CPU 占用 <0.1%、内存 <50M；守护约 7000 万终端[3]
奇安信天守	云原生 SaaS 化 EDR，宣称银狐木马检出”零漏报”[3]
微步 OneSEC	详见 4.2 表
360 EDR	详见 4.2 表

五、与工业主机卫士（OT 形态）的差异

维度	EDR（IT 侧）	工业主机卫士（OT 侧，见 3.3）
防护理念	行为检测 + 威胁狩猎 + 溯源响应（允许安装的软件做坏事被发现）	应用白名单（只允许运行合法业务程序，白名单默认拒绝）
补丁/更新	依赖情报与行为模型持续更新	OT 主机难停机、难打补丁，白名单/虚拟补丁优先
遥测深度	内核级全维度遥测（进程/文件/注册表/内存/网络）	关键操作审计 + 合规基线
部署环境	办公网/服务器区	生产控制区/工程师站（服从生产可用性）
联动	NDR/XDR/SIEM（见 4.1、4.4）	工控审计/态势感知（见 3.2、3.4）

六、趋势（2025-2026）

1. AI 智能体化：从”局部功能辅助”到”意图理解+自主决策”——LLM 支持自然语言查询（NLS）调查取证；响应端基于置信度自主决策（如勒索场景仅终止异常加密进程不中断业务）[1]；
2. SaaS 化云地协同：云端集中检测能力 + 端侧轻量执行分层设计；云原生架构成沙利文等机构评判创新力的关键标准[4]；
3. 一体化平台/单代理：终端保护与数据安全、ZTNA 等整合至单一代理与管理平台（Gartner 观察，同时提示供应商依赖风险）[3]；
4. MDR 托管服务：安全人才短缺下，告警关联、攻击链重构、引导式调查、自动化响应 + MDR 成关键差异化（Gartner）[3]；
5. 合规与实战双驱动：等保、重保、护网（国家级攻防演练）是中国市场采购首要驱动（Gartner）[3]。

七、来源引用

1. 头豹研究院/发现报告，2026 年中国端点检测与响应（EDR）市场研究（研究周期 2025-01 至 2026-03）— https://www.fxbaogao.com/detail/5401684 （L2/L4）
2. 弗若斯特沙利文×头豹，《2026 年中国端点检测与响应（EDR）市场研究》发布稿（2026-05-14，中国证券报）— https://www.cs.com.cn/ssgs/07/2026/05/14/detail_2026051410011584.html （L2）
3. 奇安信集团，Gartner 发布中国 EPP/EDR 市场概览，奇安信入选代表厂商（2026-09-11）— https://www.qianxin.com/news/detail?news_id=15334 （L3）
4. 新浪财经，中国 EDR 市场 TOP 8（沙利文 Frost Radar，2026-04-27）— https://finance.sina.com.cn/wm/2026-04-27/doc-inhvxatn9251123.shtml （L4，转述沙利文 L2 报告）
5. 奇安信，IDC 报告：奇安信天擎 EDR 获国内市场份额和策略双第一（2020-10-27，含赛可达测试数据）— https://www.qianxin.com/news/detail?news_id=759 （L3）
6. 奇安信，中国 IT 安全软件市场跟踪报告 2023H2 — https://www.qianxin.com/report/detail/rid/63 （L2 转引）
7. IDC 咨询/安全内参，2023 年中国网络威胁检测与响应市场规模 23.8 亿元（2024-06-20，Doc# CHC50964624）— https://www.secrss.com/articles/67279 （L2）
8. 同花顺/IDC，奇安信天眼连续五年蝉联威胁监测与分析系统市场第一（2026-07-30，IDC《中国网络威胁检测与响应市场份额，2025》）— https://stock.10jqka.com.cn/20260730/c678556120.shtml （L2 转引）
9. 奇安信，IDC MarketScape：中国终端安全检测与响应市场 2020 厂商评估（2020-10-27 新闻稿）— https://www.qianxin.com/news/detail?news_id=759 （L3 转引）

注：本文”终端安全”（EPP/统一终端安全）份额与”EDR 细分”份额为不同统计口径，不可混用；沙利文 Frost Radar 为综合能力评估而非营收排名。