EDR
Endpoint Detection and Response — software de segurança em computadores e servidores (endpoints) que monitora comportamento continuamente, detecta atividade suspeita e permite que um time investigue e responda (por exemplo, isolando uma máquina infectada). O sucessor do antivírus tradicional.
A diferença para o antivírus clássico: o antivírus procura ARQUIVOS maliciosos conhecidos (assinaturas); o EDR olha para o COMPORTAMENTO — o que os processos fazem, como se comunicam, quais chamadas de sistema fazem — e por isso pega ameaças modernas como malware fileless e living-off-the-land que o antivírus deixa passar. Funcionalidades: telemetria detalhada/gravação da atividade do endpoint (para rastrear uma invasão depois do fato), detecção automática de padrões suspeitos e capacidades de resposta (isolar a máquina da rede, matar processos, coletar evidências forenses). Exemplos: CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne. Costuma se apoiar em monitoramento via eBPF, próximo do kernel. Se estende para XDR (correlacionando mais fontes) e alimenta SOAR/SIEM. O componente básico da segurança de endpoint moderna. Relacionado a XDR e malware fileless.