数世咨询：2022主机检测与响应（HDR）能力指南（38页）.pdf

1、Host Detection and Response(HDR)主机检测与响应 北京数字世界咨询有限公司 2022.10能力指南Host Detection and Response(HDR)主机检测与响应能力指南 北京数字世界咨询有限公司 2022.10数字世界以网络连接为基础，以数据流动释放价值，以人工智能塑造未来。数字安全以网络安全为基本手段，以数据安全为核心目的，支撑数字经济的健康发展和国家社会的和谐稳定。数字世界，安全共生！数世咨询作为国内独立的第三方调研咨询机构，为监管机构、地方政府、投资机构、网安企业等合伙伙伴提供网络安全产业现状调研，细分技术领域调研、投融资对接、技术尽职调查、

2、市场品牌活动等调研咨询服务。报告编委综合分析师 刘宸宇 首席分析师 李少鹏 统计分析师 牛爱民 版权声明本报告版权属于北京数字世界咨询有限公司（以下简称数世咨询）。任何转载、摘编或利用其他方式使用本报告文字或者观点，应注明来源。违反上述声明者，数世咨询将保留依法追究其相关责任的权利。目录前言1关键发现2第一章市场情况3第二章能力定义5一、HDR5二、含义与区别5三、能力标准6第三章需求场景8第四章关键能力10 一、Agent 10二、安全视角的资产发现12三、检测能力13四、响应能力16第五章落地难点22目录第六章未来发展趋势23第七章应用案例25一、某大型企业主机检测与响应平台建设项目25二

3、、某政府单位主机检测与响应能力建设实践29 主机检测与响应（HDR）能力指南 1前言主机上的安全防护手段，多年来一直以 HIDS 为主，但随着金融、制造、能源等传统行业的数字化转型，到科技互联网等新兴行业的创新业务，数字经济的背后最重要基础设施之一是海量的云主机，目前大部分的主机安全场景都已经来到云端。针对云主机安全，目前现有的体系只有 2016 年 Gartner 提出的 CWPP 体系，但其目标是主机、虚拟机、容器，无服务器（serverless）等工作负载，没有任何一家单一厂商能够真正将其完整落地。除了 CWPP，还有针对端点（Endpoint）的 EDR，但与 CWPP 一样，EDR

4、中虽然也包含主机，但国内的 EDR实际落地时，主要集中在 PC 端，无论是业务场景还是系统层面，EDR 所需的安全能力与主机侧有很大不同。单纯针对主机侧的安全检测与响应，始终缺少一个“DR”对其做出体系化的描述；与此同时，无论是红蓝对抗演练，还是日常安全运营，主机侧的安全检测与响应又实实在在不断涌现着新的实战化需求。有需求就会有市场。越来越多的安全企业开始进入主机安全这一细分领域，实际上，做主机侧安全检测与响应的企业已经有一批优秀产品及服务。在本报告持续调研的一年多期间，仍有新的能力“玩家”进入到这个赛道中来。综上所述，在这样的背景下，理论与现实之间的空白，需要一个适宜的新赛道，对其做出定义与

5、描述。数世咨询撰写本能力指南，旨在梳理“主机检测与响应”这一细分领域的用户需求、市场现状，盘点能力企业的技术能力与典型案例，于用户和能力企业之间，建立指南性质的纽带，供各方参考。如有错误，欢迎不吝批评与指正。2关键发现主机检测与响应（Host Detection and Response-HDR）是指，以主机侧为目标，以探针 agent 为基础技术手段，采集网络、文件、进程等多种维度的数据并上传至管理平台，辅助威胁情报关联分析后，以自动化策略或人工响应处置安全事件的解决方案。HDR 细分领域的市场规模（2021 年）为 21.56 亿元人民币，相比较2020 年 12.8 亿，增长率为 68.

6、44%。新冠疫情第二年，客观上加快了国内云计算的进程，伴生的主机安全需求也随之增长；近年来持续的红蓝对抗实网攻防，对主机安全提供了有力的刚需支撑。HDR 的四大需求场景：合规驱动、技术驱动、效率驱动以及场景驱动。HDR 关键四大能力：agent、安全视角的资产发现、安全检测能力、安全响应能力。用户业务连续性与 agent 的接受程度负相关。主机侧的安全响应，一定要能够通过 HDR 产品与业务、网络、运维等兄弟团队进行同步、协同，这是 HDR 响应能力的重点。未来发展趋势，HDR 的未来会呈现需求与投入双增长的态势，内存安全能力将成为标配，实战化对抗场景仍将是主流，HDR 将与 EDR 趋于整合