问题所在
攻击者越来越多地利用系统自带的合法工具。如果看不到进程之间的先后链条，入侵可能数周都不被察觉。
模块的功能
有针对性的遥测
进程、网络连接、库加载、持久化、计划任务、PowerShell 脚本。
公认的规则
已编译的 Sigma 规则、时间维度关联，并系统性地对应到 MITRE ATT&CK。
清晰易读的事件
告警被归并为事件，附有时间线和说明。
已签名的响应
隔离、终止进程、隔离文件、收集证据：每项操作都经过签名并记录日志。
威胁狩猎
对整个设备群进行查询、保存查询，并搜索入侵指标。
如何运作
收集
代理端上报有用的事件，并在源头进行过滤。
关联
规则检测可疑的行为链条并创建事件。
响应
分析人员在 Action Center 中操作，必要时进行双重确认。
须知
- 该模块正在开发中：Windows 收集和操作中心已部分完成。
- macOS 上的收集取决于苹果的授权；若未获授权，已规划了备选方案。
- Kayzen 本身不提供 7×24 小时的 SOC：第 6 阶段计划开展合作。
常见问题
关于该模块的问题
使用 EDR 需要安全团队吗？
事件会用简单的语言说明，Copilot 助手也能帮助理解，但持续监控需要专人或服务商负责。
员工会被监控吗？
遥测针对的是进程和系统，而非文档内容。在企业中使用须告知员工，必要时告知劳资委员会（CSE）。