EDRData模块解析SharpEDRChecker如何识别138种安全产品特征【免费下载链接】SharpEDRCheckerChecks running processes, process metadata, Dlls loaded into your current process and the each DLLs metadata, common install directories, installed services and each service binaries metadata, installed drivers and each drivers metadata, all for the presence of known defensive products such as AVs, EDRs and logging tools.项目地址: https://gitcode.com/gh_mirrors/sh/SharpEDRChecker在网络安全领域识别系统中的安全防护产品是红队评估和渗透测试的关键步骤。SharpEDRChecker作为一款专业的端点检测与响应EDR识别工具其核心能力源自EDRData模块。这个模块包含了138种安全产品的特征库让工具能够精准识别各种防病毒软件、EDR系统和日志工具。 EDRData模块安全产品的指纹库EDRData模块位于SharpEDRChecker/EDRData.cs是整个工具的核心数据库。它定义了一个名为edrlist的字符串数组包含了138个安全产品的关键词。这些关键词覆盖了市场上绝大多数主流安全解决方案包括防病毒产品Avast、Avira、Bitdefender、Kaspersky、McAfee、Norton等EDR系统CrowdStrike、Carbon Black、SentinelOne、Cybereason、Elastic等安全工具Sysinternals、Sysmon、Wireshark等云安全平台Palo Alto Networks、Cisco AMP、Fortinet等 智能匹配机制如何识别安全产品SharpEDRChecker通过多个检查模块利用EDRData的特征库进行匹配1. 进程检查ProcessChecker在SharpEDRChecker/ProcessChecker.cs中工具会获取所有运行进程的信息包括进程名、路径、描述、命令行参数等。然后将这些信息与EDRData中的138个关键词进行不区分大小写的匹配。2. 模块加载检查工具还会检查当前进程加载的DLL模块在SharpEDRChecker/ProcessChecker.cs中通过遍历当前进程的所有模块将模块文件名和元数据与EDRData特征库进行匹配。3. 服务检查ServiceChecker在SharpEDRChecker/ServiceChecker.cs中工具检查系统中安装的所有服务将服务名、显示名、二进制路径等信息与特征库匹配。4. 驱动程序检查DriverCheckerSharpEDRChecker/DriverChecker.cs模块会检查已安装的驱动程序识别可能的安全监控驱动。5. 目录检查DirectoryCheckerSharpEDRChecker/DirectoryChecker.cs检查常见的安全产品安装目录寻找残留的痕迹。 EDRData特征库的构建策略EDRData模块的特征库设计体现了几个关键策略1. 多维度识别特征库不仅包含产品名称还包括可执行文件名如csagent.exe、xagt.exe、cb.exe服务名如SecurityHealthService、GRRservic进程名如msascuil、msmpeng公司名如Palo Alto Networks、CrowdStrike2. 变体覆盖对于同一产品包含多种命名变体carbonblack和carbon blackanti malware、anti-malware和antimalwareanti virus、anti-virus和antivirus3. 隐藏EDR检测通过检查文件元数据如数字签名、公司信息即使进程或服务被重命名也能识别出安全产品。️ 实际应用场景红队评估在红队行动中了解目标系统部署了哪些安全产品至关重要。SharpEDRChecker可以帮助识别EDR产品制定绕过策略发现监控工具避免触发警报了解安全防护体系选择合适的技术蓝队自查蓝队可以使用该工具检查安全产品是否正确部署和运行是否存在未授权的安全监控系统是否存在安全盲点渗透测试渗透测试人员可以快速了解目标环境的安全防护水平选择合适的攻击向量避免使用会被检测的技术 技术实现细节匹配算法工具使用简单的字符串包含匹配但通过将所有输入转换为小写实现不区分大小写的匹配。这种设计虽然简单但非常高效foreach (var edrstring in EDRData.edrlist) { if (allattribs.ToLower().Contains(edrstring.ToLower())) { matches.Add(edrstring); } }数据聚合每个检查模块都会收集尽可能多的信息进行匹配包括文件名和路径进程描述和标题命令行参数文件元数据签名、公司等 持续更新与扩展EDRData模块的设计允许轻松扩展。随着新的安全产品上市只需在edrlist数组中添加相应的关键词即可。项目维护者会定期更新特征库保持工具的时效性。目前特征库覆盖的产品包括国际厂商CrowdStrike、SentinelOne、Carbon Black、Elastic等国内厂商Qianxin奇安信、Sangfor深信服等开源工具Osquery、GRR等系统工具Windows Defender、Sysmon等 使用建议与最佳实践1. 权限要求运行SharpEDRChecker需要足够的权限来查询所有进程信息检查系统服务读取文件元数据2. 结果解读工具的输出分为几个部分进程检查结果模块加载检查服务检查驱动程序检查目录检查汇总报告3. 规避检测由于工具本身可能被安全产品标记建议在受控环境中使用结合其他规避技术分析结果时考虑误报可能 总结EDRData模块是SharpEDRChecker的大脑包含了138种安全产品的特征指纹。通过智能匹配算法工具能够在多个维度识别系统中的安全防护产品为红队评估、蓝队自查和渗透测试提供重要情报。这个模块的设计体现了简单但有效的理念通过精心维护的特征库和全面的检查覆盖实现了高准确度的安全产品识别。无论是评估现有防护体系还是规划攻击路径EDRData模块都提供了宝贵的技术支撑。随着网络安全威胁的不断演变EDRData模块的特征库也会持续更新保持对新兴安全产品的识别能力。对于任何需要了解系统安全防护状况的专业人士来说SharpEDRChecker都是一个不可或缺的工具。【免费下载链接】SharpEDRCheckerChecks running processes, process metadata, Dlls loaded into your current process and the each DLLs metadata, common install directories, installed services and each service binaries metadata, installed drivers and each drivers metadata, all for the presence of known defensive products such as AVs, EDRs and logging tools.项目地址: https://gitcode.com/gh_mirrors/sh/SharpEDRChecker创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考