用途
edr-bypass-re 是一个用于审查 EDR 遥测覆盖情况和已知防御规避类别的技能。它基于离线证据和受控的防御覆盖评估，帮助安全人员分析已授权收集的 EDR 证据或离线取证镜像，并设计覆盖评估方案。该技能改编自 zhaoxuya520/reverse-skill（MIT），此目录修订版将操作性的致盲、植入部署和证据擦除配方替换为防御性审查程序，技能 ID 为兼容性保留。
主要能力
- 分析已授权、先前收集的 EDR 证据或离线取证镜像。
- 与系统所有者和 SOC 在隔离实验室中设计覆盖评估。
- 解释用户态插桩、内核回调、ETW 和 AMSI 之间的差异，而不假设特定供应商实现。
- 使用捆绑的参考资料对观察结果进行分类，包括钩子证据审查、取消钩子和系统调用技术分类、遥测完整性审查。
- 将观察结果与架构和版本匹配的基线进行比较，区分收集失败、过滤、保留和告警规则缺口。
使用方式
该技能要求仅限授权使用。在每次实时评估命令之前，必须收集确切的目标 URL、IP、账户或资源，确认所有者书面授权，以及允许范围。展示确切的命令和预期效果，并在当前对话中等待明确确认后再执行该操作。离线证据审查可以在已授权的任务范围内进行；本指南不提供操作性的规避命令。
程序包括：定义资产、授权证据来源、产品/版本、Windows 版本、配置、收集间隔和保留限制；保留原始证据并记录哈希、获取时间和工具版本；将观察结果与架构和版本匹配的基线进行比较；使用捆绑参考资料对观察结果进行分类；对于覆盖测试，在执行前商定良性的供应商支持的测试信号、预期事件来源、关联 ID 和有界窗口；报告每个假设及其证据和不确定性。
适用场景
- 授权安全评估中的 EDR 遥测覆盖审查。
- 离线取证镜像分析。
- 在隔离实验室中与系统所有者和 SOC 设计覆盖评估。
- 解释用户态插桩、内核回调、ETW 和 AMSI 的差异。
限制
这是一个静态审查和规划指南，不是绕过实现或供应商有效性基准。未记录内部结构和产品行为因版本和配置而异。不主张通用的钩子清单、系统调用号或安全绕过序列。上游引导脚本、工具索引和更广泛的攻击链路由未捆绑。不要虚构其路径或执行替代下载。进程转储可能包含凭据和个人数据，需保存在受限存储中并编辑导出的发现。