ETW绕过
ETW全称Windows事件跟踪，是EDR、终端安全软件采集进程行为、网络通信日志的核心机制。ETW绕过是攻击者主流对抗手段，通过卸载、禁用、篡改ETW会话，阻止安全软件捕获行为日志，实现恶意程序静默执行。
该技术常被GoldEagle等高级威胁团伙使用，入侵终端后结合EDR规避手段，静默建立C2通道、窃取数据，全程难以触发安全告警。攻击者利用漏洞植入后门之后，优先尝试阻断ETW日志，实现长期潜伏。
运维防御手段：加固终端基线，限制普通用户操作ETW相关内核组件；持续监控ETW会话异常关闭、日志中断行为；部署终端检测规则识别常见绕过手段；定期漏洞查询修复本地提权漏洞。同时做好内网流量审计，即便终端日志被绕过，也可通过外联异常域名发现攻击行为。
该技术常被GoldEagle等高级威胁团伙使用，入侵终端后结合EDR规避手段，静默建立C2通道、窃取数据，全程难以触发安全告警。攻击者利用漏洞植入后门之后，优先尝试阻断ETW日志，实现长期潜伏。
运维防御手段：加固终端基线，限制普通用户操作ETW相关内核组件；持续监控ETW会话异常关闭、日志中断行为；部署终端检测规则识别常见绕过手段；定期漏洞查询修复本地提权漏洞。同时做好内网流量审计，即便终端日志被绕过，也可通过外联异常域名发现攻击行为。
EDR是企业终端安全核心基础设施，CrowdStrike、微软Defender等产品占据主流市场。但2025年后攻击者EDR规避技术高度底层化，顶级攻击团队可500ms内进入EDR遥测盲区。本文从防御视角拆解主流绕过手段，帮助安全团队补齐终端防护短板，核心关键词：EDR规避、间接Syscall、ETW绕过、内核回调脱钩。
时间：2026-07-16
最新发布
阅读推荐
网络稳定性要怎么测试？
2025-09-09
域名注册账号暴力破解攻击增多，运维人员强化域名账户安全迫在眉睫
2026-09-23
BIND DNS服务器发布新版本，修复DoH高危漏洞
2026-09-21
豆包手机9月正式开售！努比亚NaviX Ultra打造全球首款AI智能体旗舰
2026-09-04
配置SSL的操作步骤有哪些？
2026-03-16
DNS攻击怎么解决？
2024-09-04
免费HTTPS证书要怎么申请？
2026-02-10
域名删除时间要去哪里查询？
2024-05-21
网页502报错是什么意思？
2025-09-05
云服务器被DDOS攻击怎么办？
2024-10-23
闽公网安备 35021102000564号