简介这是一份深信服终端安全管理系统EDR用户手册的PDF文档专为企业安全管理员、IT运维及终端安全相关技术人员编写系统讲解终端安全防护方案的实际部署与运维方法。手册涵盖产品概述、关键特性、首次上线流程及产品使用指南重点介绍了实时监控、威胁检测、事件响应、资产管理等核心功能并针对安装环境、网络连通、白名单收集、管理端部署和产品激活给出具体操作指引同时以符号说明和注意事项提示安全使用规范。资源包含1个PDF文件总大小约98.99MB结构清晰便于查阅。目前该资料已有775人学习/下载是一份可帮助读者快速上手深信服EDR平台、构建终端安全防护体系的实用参考手册。1. 一份 398 页 EDR 用户手册为什么值得在上线前通读一遍搞终端安全管理的人拿到一份 398 页的用户手册时第一反应往往是“先翻截图”但这份 EDR 用户手册的价值恰恰在那些容易被跳过的章节里。它没有停留在功能介绍层面而是把“首次上线”拆成了准备、部署、激活、分组、策略、终端下发六个连续动作每一段都标注了环境要求和验证方法。对正在做终端安全方案选型、准备给公司批量部署 EDR、或者需要应付等保合规检查的人来说这份手册能直接当操作蓝图用。需要说明的是本篇文章基于该手册的完整内容整理所有涉及品牌名的位置均以“某厂商”代称思路和参数仍然照常可用。2. 上线前先拍板三件事管理端形态、客户端边界和网络放行清单2.1 管理端选型软件版和硬件版先回答三个问题再选EDR 系统的管理端是整个体系的控制核心终端 Agent 的所有策略下发、告警收集、日志汇总都汇聚到这里。手册在“管理端安装环境”里把管理端分成软件管理端和硬件管理端两条路线选型时先问自己三个问题现有虚拟化资源够不够用谁负责底层系统的日常维护网络规模在什么量级。软件管理端的优势是部署灵活可以跑在已有的虚拟化平台或通用服务器上资源跟着业务弹性走适合已经建好私有云、有专职运维团队的环境。它的代价是底层操作系统、数据库、中间件都要自己维护出问题时排查链路更长。硬件管理端则是一台出厂预装好的设备系统、数据库、管理服务全部封装好接电配 IP 就能用适合对稳定性要求高、又不想在底层技术上花太多精力的中小规模环境。手册里把管理端的安装环境按维度拆开了大致包含操作系统版本、CPU 核心数、内存容量、磁盘空间、网卡数量这几项。软件管理端会根据终端规模给出最低配置和推荐配置两档终端数少的时候 4 核 CPU、8GB 内存就能跑起来终端数上来之后内存和磁盘要同步加尤其是磁盘日志和告警数据的增长速度比预想中快得多。硬件管理端的资源是固定的选型时要把未来三年的终端增长量算进去否则后期扩容只能换设备很被动。部署位置也值得提前规划。管理端控制台是 Web 界面日常运维要访问建议放在管理网段内和业务网段之间用防火墙隔离。如果管理端和客户端跨网段除了放行端口还要确认终端能通过域名或 IP 正确解析到管理端地址。2.2 客户端环境要求操作系统的支持边界比你想的更严格客户端 Agent 的兼容性直接决定了终端能不能顺利接管。手册在“客户端安装环境”里按操作系统类型分别列了支持范围Windows 终端覆盖服务器版本和桌面版本Linux 服务器按发行版和内核版本划了边界macOS 和国产化终端各有单独的支持列表。这里有一条经验不要只看“支持 Windows/Linux/macOS”这种大分类同一系统的大版本更新后Agent 兼容性可能有变化上线前拿真实环境做抽样验证比什么都靠谱。客户端环境要求里另一个容易被忽略的维度是硬件架构。x86 和 ARM 架构的安装包通常是分开的国产化终端多用 ARM 或其它国产 CPU 架构Agent 安装包必须匹配。手册在“国产化终端部署”章节里专门强调了这一点说明这个问题在真实项目里踩过的人不少。下载安装包时先确认终端 CPU 型号再选对应架构的 Agent能省掉一堆安装失败或安装后进程起不来的麻烦。资源占用是客户端环境要求里最微妙的指标。安全软件常年在终端上驻留CPU 占用、内存占用、磁盘占用都有限制值。手册在这个位置给出的数值属于参考基线实际部署时要拿业务终端的典型配置去测试。特别是服务器场景数据库、业务中间件对 CPU 和 IO 敏感Agent 的实时防护开启后可能触发性能波动这部分在策略配置阶段还要二次调优。2.3 网络连通性与白名单收集这两个步骤决定 Agent 能否上线网络连通性要求是“首次上线”章节里最硬核的部分。管理端和各终端 Agent 之间有固定通信端口终端注册、策略下发、日志回传、告警上报都走这些端口。手册要求先把相关的端口加入防火墙放行名单并画出了管理端到客户端的通信链路。实际操作中如果企业网络里有终端安全准入设备或零信任网关还要额外确认这些设备是否会对 Agent 和管理端的通信做拦截这类问题在排查 Agent 离线时占了很大比重。另一个准备工作是“收集白名单文件”这个步骤看起来不起眼但直接影响后续安全策略的误报率。这里的思路是在上线前把终端上现有的安全软件进程、合法的业务程序、开发编译工具全部收集起来整理成信任名单避免 Agent 安装后把这些正常程序误判为可疑文件。我一般在试点阶段会用一段 PowerShell 脚本批量收集终端进程路径# 收集当前终端所有运行进程的可执行文件路径输出到文本文件 Get-Process | Select-Object -ExpandProperty Path | Sort-Object -Unique | Out-File -FilePath C:\temp\process_paths.txt -Encoding UTF8这段脚本的作用是导出终端上正在运行的程序路径清单按路径去重后保存为文本。参数方面Select-Object -ExpandProperty Path取的是进程的可执行文件完整路径Sort-Object -Unique做排序去重Out-File指定输出文件建议用 UTF8 编码避免中文路径乱码。收集到的清单不需要直接全部导入信任名单先人工过一遍把带签名或哈希值明确的留下路径可疑的再单独核查。白名单的收集越充分后面策略配置阶段就越省事。如果上线前不收集Agent 部署后实时防护一开大量误报会淹没真正的威胁告警运营的人很快就会对告警疲劳反而把真实风险漏过去。3. 管理端部署与激活从空机到控制台能用的完整动作3.1 部署软件管理端安装、初始化、验证三个环节软件管理端的部署流程在手册里写得比较清晰整体分三块先把管理端程序包放到服务器上运行安装向导完成基础安装接着进入初始化配置设置管理端 IP、数据库参数、管理员账号最后通过浏览器访问控制台验证登录。安装环境里数据库和依赖组件是常见的坑点。手册要求准备好底层数据库软件管理端安装包会自动完成大部分初始化工作但数据库连接参数最好在安装前确认避免安装到一半才发现数据库连不上。给管理端规划 IP 时建议使用固定的内网地址管理端 IP 在 Agent 注册时会被写入终端配置后期改 IP 会连带处理所有已部署 Agent十分麻烦这个决策要一次做对。我一般会在管理端部署完成后用一段命令验证服务状态和端口监听情况# 查看管理端主服务运行状态 systemctl status edr-manager # 检查管理端监听端口是否正常 ss -lntp | grep 443systemctl status edr-manager用于确认管理端服务处于运行状态如果服务起不来先看日志文件定位具体报错。ss -lntp | grep 443用来确认控制台的 HTTPS 端口处于监听状态443 是默认值具体端口以手册“网络连通性要求”里的清单为准。服务起来了、端口在监听再用浏览器访问控制台登录页看页面能否正常加载。如果页面打不开优先检查服务器防火墙和 SELinux 状态这两处是最常见的拦截原因。从安装到控制台能访问看起来是点几下鼠标的事但数据库连接失败、端口冲突、磁盘空间不足都可能让安装过程卡住。手册里的“准备工作”章节已经把磁盘空间的检查项列出来了实际操作时我会在安装前先执行df -h看一眼分区使用率避免装到一半磁盘写满这种翻车虽然低级但真遇到过不止一次。3.2 级联部署适合什么样的网络上下级同步的取舍手册里单独列了“级联部署”一节这是一种上下级管理模式适合总部-分支机构这种多层级网络结构。上级管理端统一下发策略、汇总告警下级管理端负责本地终端的日常管理即使上级链路中断下级仍然能维持本区域的安全策略执行。级联部署的核心价值在分级管理和带宽控制。分支机构的终端不需要直接连到总部管理端而是注册到本地下级管理端告警数据按需同步到上级节省跨地域专线的带宽占用。代价是多了一套管理端要维护授权管理、策略优先级、日志聚合的复杂度都会上升。配置级联时手册要求先搭上级管理端再在下级管理端上配置连接上级的地址和认证凭据并在上级管理端完成对下级的授权许可。这里有一个容易混的点级联关系建立后策略的统一下发方向是从上级到下级如果下级有本地个性化策略需求要么在上级规划策略分组时预留空间要么放弃在该节点使用级联策略否则会出现下一章要详细说的“下级策略被覆盖”问题。3.3 产品激活销售授权和试用授权的导入路径管理端部署完只是空壳必须激活授权才能让终端 Agent 正常注册。手册把激活分成销售授权激活、试用授权激活和国产化授权激活三条路径清理得很清楚。销售授权激活指的是企业正式采购后拿到的授权文件或激活码导入时需要在控制台的“授权管理”页面选择对应入口填入序列号并上传授权文件。试用授权激活服务于产品评估阶段授权有效期通常较短但功能不受限制目的是让用户在真实环境里把流程跑通。这两条路径的界面入口不同授权文件的格式也不同导入时要选对入口选错了界面会直接提示授权无效不要怀疑是文件坏了。导入授权时我会额外核对两个信息授权文件对应的产品版本号以及授权包含的终端数。版本不匹配的授权文件导入后可能提示成功但功能异常终端数不够则会出现 Agent 注册失败或告警“超出授权数量”。手册里在“授权管理”章节会展示当前授权余量上线前把这个数字截个图存下来后面排查终端离线问题时有对比依据。3.4 分组管理先建组再配策略别把所有终端放在默认组终端管理章节里的“分组管理”是个容易被低估的功能。新部署的 EDR 系统通常会有一个默认组如果嫌麻烦把终端全部丢进去策略就只能一套配置走天下而研发部门的编译工具、财务部门的办公软件、运维部门的服务器它们的信任名单和安全基线完全不是一回事。手册建议的流程是在终端 Agent 批量下发之前先把分组结构建好。按部门划分是一种常见思路更细一点可以按操作系统类型再分一层比如“研发部-Windows”、“研发部-Linux”、“财务部-Windows”这样后续配策略时灵活度最高。分组建好后把“策略配置”阶段的各个策略模板关联到对应分组再从终端部署环节下发 Agent终端注册完成后自动落到所属分组策略随即生效。这里有一个执行顺序的问题先建组、再配策略、后发 Agent。如果顺序颠倒Agent 先上线进了默认组再迁移分组可能在迁移窗口期执行旧策略实时防护、病毒查杀这些模块的开关状态会短暂变化对严格要求不中断的场景不友好。手册虽然没有明说这个顺序但按它“首次上线”章节的编排逻辑操作是最顺的路径。4. 终端 Agent 下发与策略落地控制台和终端之间的最后一公里4.1 Windows 终端静默安装参数与批量下发思路Windows 终端的 Agent 部署手册提供了两种路径从控制台手工下载安装包或者使用静默安装参数实现无人值守安装。企业里上百台终端一台台手工装不现实静默安装是主流选择。安装包的参数一般长这样EDR_Agent_Setup.exe /S /SERVER192.168.10.10 /PORT443 /TOKENdeploy-token-xxxx/S表示静默安装不弹出安装向导界面/SERVER指定管理端地址Agent 装好后会向这个地址注册/PORT指定管理端通信端口/TOKEN是部署令牌用于 Agent 首次注册时校验身份。这个令牌在控制台的终端部署页面生成有过期时间批量下发前要先确认令牌没过期。静默安装的典型用法是通过域组策略或终端管理工具下发。把安装包放到共享目录用一条批处理命令在所有目标终端上执行一次安装完成后 Agent 会自动启动并向管理端注册。验证安装成功的标准是控制台的终端列表里出现该终端的在线状态同时终端本机的服务列表里能看到 Agent 服务进程列表中能看到对应的守护进程。安装后有一个细节值得留意Agent 安装包卸载密码要在首次安装时设定后续卸载终端保护时需要输入。这个密码建议集中保管别散落在各终端管理员手里。4.2 Linux 服务器命令行安装与上线确认Linux 服务器的 Agent 部署和 Windows 差异明显没有图形界面引导全靠命令行完成。手册在“Linux 服务器部署”一节里按发行版类型分别给出了安装命令核心步骤是安装软件包、启动服务、确认注册状态。拿 RPM 系的系统举例典型的操作序列是这样的# 安装 Agent 软件包 sudo rpm -ivh edr-agent-3.7.2.x86_64.rpm # 启动 Agent 服务并设置开机自启 sudo systemctl enable --now edr-agent # 查看 Agent 服务运行状态 sudo systemctl status edr-agentrpm -ivh用于安装 RPM 格式的 Agent 包-i是安装、-v显示详细信息、-h打印进度条systemctl enable --now同时完成开机自启和服务启动systemctl status确认服务处于 running 状态。如果安装后服务是 stopped 状态大概率是配置文件里管理端地址没写对或者系统缺少依赖库查看/var/log/edr/agent.log之类的日志文件能快速定位。Linux 服务器上 Agent 安装成功并不等于注册成功。服务起来了只是进程层面的就绪还要确认 Agent 能连上管理端。检查方式包括查看 Agent 日志中的注册成功记录、在控制台终端列表里看该 Linux 服务器是否在线。有一个常见问题是 DNS 解析Agent 配置的管理端地址如果是域名服务器解析不了域名Agent 会反复重试连接现象是服务状态正常但控制台永远显示离线。4.3 安全策略配置基线病毒查杀、实时防护、勒索防护的推荐档位策略配置是 EDR 系统价值和风险的集中点。手册把策略拆成了基本策略、病毒查杀、实时防护、勒索防护、信任名单、安全通用配置等模块每个模块又有多个细分开关。全开不一定是最优解要根据业务容忍度调整。先看病毒查杀策略。这里有两个维度查杀引擎的扫描时机和扫描资源占用。扫描时机建议设置为定时任务避开业务高峰比如每天中午和下班后各一次扫描资源占用有限制选项在服务器上建议限制 CPU 和 IO 使用率避免扫描期间业务性能波动。实时防护策略是最核心的防线手动/自动开关分得很细。文件监控、进程监控、网络连接监控建议全部开启其中“未知文件检测”这类启发式选项可以先开启并观察误报情况企业环境里新软件安装频繁刚上线时误报集中出现是正常的通过信任名单逐步消化。勒索防护策略在手册里单列了一章它的设计思路是主动防御而非事后查杀。关键开关包括防篡改保护、诱饵文件机制、可疑行为拦截。在服务器场景诱饵文件机制会在文件共享目录放置诱饵文件一旦有进程尝试修改这些文件就立即触发防护动作。这个机制对正常业务的影响极小建议保持开启。配置项的推荐档位我按业务类型汇总了一下配置项办公终端业务服务器研发终端定时查杀每日一次低资源占用每日一次限资源每日两次避开编译时段实时防护全部开启文件网络开启全开配合信任名单勒索防护开启开启开启诱饵文件保留信任名单常规办公软件数据库、中间件编译工具、开发框架策略调整后不会立即在所有终端生效手册里策略下发一般有分钟级的延迟全局终端的策略刷新会分批进行。运营商网络里如果存在终端老旧、在线时间不规律的情况策略更新的生效时间可能被拉长配置变更后留出观察窗口再确认。4.4 信任名单先收集、再缩小、后复核的三段式玩法信任名单是策略配置里最需要克制力的模块。它承载了“哪些文件是被信任的”这个核心判断放得太宽让恶意文件趁虚而入放得太窄又让业务没法正常跑。手册里“信任名单”章节的配置维度包含哈希、签名、路径三类方式。哈希是文件级别的指纹精度最高适合对单个文件精确放行但软件升级后哈希变化信任记录就会失效。签名是厂商维度的信任适合对同一家软件商的多个版本统一放行精度适中是最推荐的模式。路径是目录维度的信任配置最方便但安全性最低——如果攻击者往信任目录里写入恶意文件实时防护会直接跳过。上线初期我建议采取三段式节奏。第一段“收集”按前面第 2 章提到的脚本把所有终端常见进程路径收集起来筛选出确实需要放行的。第二段“缩小”能走到签名维度的不设路径信任能用哈希的不用目录必须用路径的限定到具体子目录。第三段“复核”运行一个月后回来翻信任名单把已经不在用的软件清掉防止信任范围越来越大。信任名单的管理是一个持续过程不是一次性配置完就撒手不管的活。5. 避坑与排查首次上线 EDR 最容易翻车的五个环节5.1 Agent 装完始终离线现象终端上 Agent 进程正常运行控制台终端列表里却长时间显示“离线”状态。原因这是首次部署里最常见的故障。排查下来多数是网络层面的问题要么终端到管理端的通信端口被防火墙拦截要么终端的 DNS 解析不了管理端地址要么终端上安装了安全准入类软件拦截了 Agent 的连接请求。也有少数情况是 Agent 配置的管理端 IP 写错导致注册请求发到了错误的地址。解决先在终端上检查 Agent 配置文件中管理端地址确认和实际管理端 IP 一致再用telnet或nc测试通信端口通不通最后看 Agent 日志中的连接失败原因。如果端口不通去防火墙上放行对应端口。如果端口通但联网失败查终端 DNS 设置改用手册网络连通性清单里的管理端 IP 直连方式验证。用直连 IP 能注册成功问题就锁定在 DNS 解析环节。5.2 授权导入反复提示无效现象控制台上传授权文件后提示无效反复尝试都失败页面显示“授权文件解析失败”或类似错误。原因大多数情况是授权文件选错了激活入口。同一套授权体系里销售授权、试用授权、国产化授权用的是不同的导入通道和文件格式混着用就会出现解析失败。另一种情况是文件本身损坏从邮箱或网盘下载授权文件时格式被改动比如.dat文件被当作文本文件打开了导致内容损坏。解决先在控制台“授权管理”页面确认当前版本应该走哪条激活通道对照手册“产品激活”章节的界面位置。再检查下载的授权文件扩展名和文件大小是否正常不要用网页预览的方式打开授权文件直接下载保存后导入。文件下载下来先看日期和修改时间确认授权文件关联的产品版本和管理端版本对得上。5.3 开启实时防护后业务系统明显变慢现象实时防护策略下发生效后某台数据库服务器的响应时间明显增加磁盘 IO 占用率升高业务侧反馈系统“变卡了”。原因实时防护的文件监控会在文件打开、创建、修改时执行扫描动作。数据库每秒钟产生大量文件操作扫描引擎的介入给原本的 IO 链路增加了负担。这种情况通常不是引擎本身性能不行而是没有给服务器场景设置资源限制。解决到策略的实时防护配置里确认是否有限制扫描资源占用的选项存在。对数据库服务器可以尝试把这台服务器分到独立的策略组降低扫描频率的和实时监控级别同时对数据库的数据文件目录、临时目录加入信任名单越精细的信任规则越能缓解线上性能压力。调整后持续观察一段时间逐步找回资源占用和防护强度之间的平衡点。5.4 信任名单放太宽恶意文件被静默放行现象一次应急响应排查中发现问题文件追查后确认 Agent 对这次文件操作没有产生任何告警因为该文件所在目录被整体加入了信任名单。原因上线初期为了压制误报运维把信任名单直接配置成了一个大目录内含大量随意放置的脚本文件。实时防护看到文件在信任目录里就直接跳过扫描文件什么时候进来的、从哪里来的全部成了盲区。解决立刻修改信任名单把大目录拆成精确的单个目录不要用一级目录覆盖整个业务区域。优先用签名和哈希做信任少用路径信任。产生告警时实际业务的误报处理也应该走“先信任具体文件、再观察一周确认无异常”的路线而不是用目录一把梭。定期回归信任名单把已经失效的条目清掉。5.5 级联同步后下级策略被覆盖现象在分支机构配置了特有策略但上级管理端做了一次策略调整后下级节点的策略被统一切回了上级默认模板本地自定义配置丢失。原因下级管理端的策略本来就在上级策略的管辖范围内级联模式下“上级覆盖下级”是默认行为。分支机构需要在某些策略项保留本地独立配置时不能把策略模板和上级完全联动。解决调整思路而非对抗平台机制。对必须保留本地自定义策略的分支在上级管理端为它建立独立策略组把该分支的终端数据归属到独立分组然后再做策略下发。或者直接放弃该策略项在级联中的联动关系在下级管理端关闭策略继承以本地为准。无论选哪种方式前提是先弄清策略配置界面里的继承开关规则否则翻一次车又来一次。6. 交付前做一次全链路验证从测试文件到告警通知6.1 用标准测试文件走一遍检测闭环EDR 部署完毕、策略生效、终端全部在线还不算真正完工。我会在交付前做一次全链路验证用一份标准测试文件触发实时防护确认从终端检测、控制台告警、通知接收的全流程是通的。测试文件用 EICAR 标准测试字符串就行是无害的病毒特征样本各家安全产品都能识别。在 Windows 终端上用一行 PowerShell 生成测试文件并触发扫描# 生成 EICAR 标准测试文件 Set-Content -Path $env:TEMP\eicar_test.txt -Value X5O!P%AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$HH*生成后实时防护应立即对该文件执行隔离或删除操作控制台的“威胁检测”页面会产生一条告警记录。确认告警记录出现后再检查告警通知链路是否正常触达运维人员包括邮件通知、短信通知或管理端内置的告警中心。先清除测试文件再重复一次确保清理完成后不再有告警残留。6.2 把巡检变成每月固定动作全链路验证只是开始日常运维靠的是固定节奏的巡检。我习惯每月第一天跑一遍固定动作登录控制台看终端在线率有没有掉授权剩余天数够不够病毒库版本是不是最新的再翻一遍最近一个月的高危告警有没有遗漏未处理。这四个指标能覆盖 EDR 系统的大部分健康度。日志报表的导出也放到巡检日安全日志、操作日志、风险报告导出归档后面做等保材料、汇报安全态势时都能直接拿来用。远程运维功能在你需要处理某个终端问题时能派上大用场别等出事了再满世界找功能入口。以前我在一个项目交付里跳过了全链路验证因为“看着都是在线状态肯定没问题”结果客户那边第一次出现真实告警时才发现通知通道没有配置完整告警堆在系统里没人知道。从那以后我每次交付或策略调整后都强制自己走一遍“测试文件-告警-通知-归档”这条闭环。这份 398 页的手册适合在新环境上线前通读一遍尤其是“首次上线”和“部署”这两章希望帮到你。本文还有配套的精品资源点击获取