Symantec SEP 端點防護技術與評估重點

評估端點安全時，應涵蓋降低攻擊面、事前預防、事中處置及事後檢討改善。SEP／SESE／SESC 三種料號分別提供不同的防護與管理能力，選型時須配合企業環境與需求。

惡意程式防護技術是其中一環；其他防禦技術與政策控管，則協助降低攻擊面並強化整體防護。EDR提供事件調查與端點安全可視性，適合需要事後分析或嚴謹法規遵循的環境。AD 防護則運用欺敵技術與端點聯防，降低僅依賴 AD 主機單一防護措施的風險。

Symantec Global Intelligence Network（GIN）分析超過 9 PB 的安全威脅資料，並持續更新，提供威脅識別、分析與 AI 防護訓練所需的資料基礎。PB 為 2 的 50 次方。

相關資料：GIN 資訊圖表、GIN 網路研討會簡報。

結合特徵檔比對、檔案與網頁信譽、進階機器學習（AML）、人工智慧（AI）、啟發式分析、行為偵測、入侵預防、主機型防火牆、網路保護及政策鎖定，防禦病毒、蠕蟲、間諜程式、勒索軟體、零時差、社交詐騙、目標式攻擊、APT 與偷渡式下載。

多種技術協作，也用來降低單靠行為分析、機器學習或 AI 所造成的誤判。延伸閱讀：STAR 惡意程式防護技術白皮書。

Symantec Insight 分析檔案存在時間、下載次數、來源與位置，並交叉比對使用者、檔案及網站的關聯，為檔案指定信譽評等，協助辨識快速變種、自行變形或加密的惡意程式。

其資訊來自逾 200 個國家／地區、超過 1.75 億個系統，涵蓋上百億個使用者、檔案與網站間的數百億個關聯。依信譽優先掃描有風險的檔案，可減輕高達 70% 的掃描負荷。

端點採多面向機器學習，降低對病毒特徵的依賴，並以全球情報網數以兆計的好壞檔案樣本訓練，由威脅專家持續調校，再搭配多層防護與全球威脅情報。

機器學習的高偵測率須兼顧誤判。新創廠商平均誤判率約 10%，賽門鐵克結合後端情報查詢後的準確度達 99.9%。SEP 14 以機器學習提升偵測能力，並搭配定義檔維持準確度與效能。

在程式執行時監控將近 1,400 種檔案行為，運用機器學習判斷風險，協助防禦現階段尚未能以其他方式偵測的新型與未知威脅，提供零時差防護。

針對以封裝（Pack）隱藏的惡意程式，SEP 14 的高速模擬技術會在輕量型虛擬機器中，以毫秒速度掃描檔案，偵測藏匿威脅，兼顧偵測率與效能。

IPS 透過網路封包拆解、分析與過濾攔截威脅。賽門鐵克自 2003 年導入此技術；其攔截量約占各防護技術所攔截威脅的 70%。

支援已公開漏洞型攻擊、具有相似行為的零時差攻擊、無檔案攻擊（Fileless）及 URL 信譽識別，可阻擋惡意網頁、表單詐騙、網址重新導向、C&C 連線與技術支援詐騙。

延伸閱讀：IPS 入侵預防技術簡報、端點網路保護技術說明。

分析已揭露漏洞的攻擊模式，以非病毒特徵型技術緩和漏洞利用，降低常用應用程式尚未修補時的風險。

透過將 DLL 插入受保護的應用程式，偵測侵入嘗試並攔截或終止受威脅的程式，可因應 Heap Spray、SEHOP 覆寫與 Java 攻擊等零時差攻擊。

提供網路層（IP）與應用層（Application）的防禦及管理，監控電腦與 Internet 間的通訊，允許或攔截連線，並對其他電腦或應用程式的連線嘗試提出警告。

疑似發生內部攻擊時，可利用用戶端防火牆停止網路服務，作為端點自我保護與隔離措施，限制攻擊擴散。

透過裝置控管、應用程式控管、主機完整性檢查、系統鎖定及防護軟體自我保護，限制高風險操作與感染媒介，降低使用者接觸威脅的機會。

檢查病毒定義檔、系統修補版本、登錄機碼、AD 登入狀態及其他安全條件是否符合政策；不符合時，可依設定自動攔截、隔離或矯正。

管理人員也可用於查找異常機碼或檔案，分析整體環境的異常，強化端點安全控管。

保護 SEP 代理程式，避免遭停用，並對停用嘗試提出告警，降低攻擊者先關閉防護、再執行後續攻擊的風險。

限制硬體存取權限及可上傳、下載資料的裝置類型，並可與應用程式控管搭配，管理檔案、登錄、程序及裝置寫入行為。

例如只允許 USB 鍵盤與滑鼠連線，限制隨身碟或手機接入電腦。

控管檔案與系統登錄的存取、程序執行方式，以及可寫入的裝置資訊；搭配裝置控管，建立符合企業需求的應用程式操作政策，降低內外部安全風險。

支援 Windows 7 至 Windows 11、Windows Server 2008 至 Windows Server 2025，以及 Linux、Macintosh；用戶端無須重新開機即可取得最新防護完整功能。SESE 或 SESC 採雲端管理時，可新增 iOS／Android 防護。

評估時應納入產線、醫療設備等仍使用 Windows 7 的環境，確認防護方案涵蓋既有作業系統，避免形成缺口。

管理主控台支援 Windows Server 2012 至 Windows Server 2025 與 HA 架構，資料庫支援 MS-SQL 或 MS-SQL Express。採購 SESE 或 SESC 時，可免費使用原廠雲端主控台，無須自建。

依群組套用防護、遵循管理及示警政策，並可限制用戶端自行操作、移除或停用相關功能。SEP／SESE／SESC 依產品提供地端自建或原廠雲端管理方式。

集中監控防護停用、移除、惡意程式偵測量與惡意網站存取等異常，有助及早發現端點安全風險。

支援主控台派送、原廠全球更新主機、內部內容更新主機，以及由 SEP 用戶端提供網內更新。隔離或無法連線的電腦，可下載自動更新程式後執行更新；未受集中控管的電腦也可使用內部更新來源，減少對外頻寬消耗。

提供後送與應變機制，協助處理自行開發或罕見乾淨軟體遭誤攔的情況。相關說明：誤判預防與修正。

原廠提供疑似誤報與漏攔檔案的遞交分析入口：

• 疑似誤報檔案：疑似誤報檔案遞交。
• 可疑檔案／疑似漏攔：可疑檔案遞交。

原廠提供系統診斷工具，蒐集防護軟體相關日誌，協助除錯與疑難排解。

擴充端點偵測與回應（EDR）、專業沙箱檢測、AD 防護及自適應防護等能力時，無須重新安裝用戶端代理程式，可降低導入時對既有生產環境的風險與架構複雜度。EDR 也協助管理人員掌握問題並進行事件調查。

就地取材攻擊（Living-off-the-Land，LOTL）利用電腦內既有的合法工具執行攻擊，例如 PsExec、PowerShell、WMI、VssAdmin、Reg.exe 與 Net.exe。相關說明指出，60% 以上的資安事件涉及此手法，前十大勒索軟體攻擊者常用工具中有 6 款屬於 LOTL 工具。

自適應防護運用 AI 與機器學習分析工具的使用情境，區分正常維運與可疑行為，並建議關閉未使用的工具或應用程式，減少攻擊管道。控制措施可依企業 IT 團隊的實際操作方式調整。

版本注意：SEP 14.3 RU10 已納入此功能，先前僅包含於 SESC。地端自建 SEP 與雲端主控台 SESE／SESC 的功能有差異，請參考自適應防護比較表。

透過開放 API，支援與主流 SIEM、SOC 分析平台協作，適合大型企業或委外資安服務情境。

2021 年八月，美國網路安全暨基礎架構安全管理署（CISA）宣布與民間科技公司合作，推動全國性聯合防禦計畫 JCDC（Joint Cyber Defense Collaborative）；博通賽門鐵克為首輪參與廠商之一。

端點防護的成效仰賴人員（People）、流程（Process）與技術（Technologies）配合。管理人員須落實預防政策，並具備及早發現、判斷與應變的能力，同時兼顧既有軟體與生產環境的運作。

保安資訊透過教育訓練、知識傳承與經驗分享，協助培養維運能力，並與客戶共同調整安全政策與防護策略。

功能文件：SEP 14.3 RU9、SEP 14.3 RU10。升級時須考量既有版本的安全狀態、生產環境與相容性；新版未必適用所有情境，可先洽詢保安資訊，評估合適的版本與導入方式。

相關功能演進可參考功能演進文件（PDF／803 KB），包括：

• 強化對 Conti、Avoslocker、Hive 等勒索軟體家族的防護。
• 預防濫用系統管理、第三方管理、安全評估、監測及紅隊工具的 LOTL 攻擊。
• 偵測勒索攻擊的初始存取與水平擴散技術。
• 防護 Cobalt Strike 使用的程序插入技術。
• 偵測 Emotet 垃圾郵件活動。
• 防禦 IcedID 威脅。
• 偵測目標式勒索攻擊中的可疑程序鏈。