NORM-EDR

NORM-EDR NORM（正常 EDR） 是一个实验性的 内核级 EDR 研究项目 ，重点关注 可解释的检测 ，而非静默阻断。 NORM 不分配分数或终止进程，而是回答一个问题： 为什么这个二进制文件看起来可疑？ 该项目以 公开分步构建 的方式推进，作为学习与研究现代 EDR 如何对行为进行推理的旅程。 v0.3 – 内核内存扫描器更新 此版本引入了一种内存扫描例程，能够检测许多常见恶意软件样本中常用的一种内存执行模式。 此驱动程序现可枚举进程内存区域，并识别具有以下特征的疑似内存： MEMPRIVATE AllocationProtect = PAGEREADWRITE Protec...