Introduction to EDR

Overview — An introductory Blue Team & SOC room on EDR (Endpoint Detection and Response). It explains why EDR reaches far beyond traditional antivirus: continuous endpoint telemetry, behavioural and anomaly detection, IOC correlation, MITRE ATT&CK mapping, and powerful response actions (host isolation, process termination, file quarantine, remote shell, and artifact collection). It closes with a simulated triage in which you investigate real detections across several endpoints.

Task 1 — Introduction

An EDR continuously monitors endpoints, detects advanced threats, and provides rich context through process trees, timelines, and historical visibility. That ability to reconstruct the full story behind a detection is what sets it apart from a simple point-in-time detector.

Resumen — Room introductorio de Blue Team & SOC sobre EDR (Endpoint Detection and Response). El recorrido explica por qué un EDR va mucho más allá del antivirus tradicional: telemetría continua del endpoint, detección por comportamiento y anomalías, correlación con IOCs, mapeo a MITRE ATT&CK y acciones de respuesta potentes (aislar el host, terminar procesos, poner ficheros en cuarentena, shell remota y recopilación de artefactos). Cierra con una triage simulada en la que hay que investigar detecciones reales sobre varios endpoints.

Task 1 — Introduction

Un EDR monitoriza los endpoints de forma continua, detecta amenazas avanzadas y aporta contexto rico mediante árboles de procesos, timelines y visibilidad histórica. Esa capacidad de reconstruir la historia completa de una detección es lo que lo diferencia de un simple detector puntual.

Task 2 — Foundations and feature pillars

EDR rests on three pillars:

Q: Which feature of EDR provides a complete context for all the detections?
A: Visibility

Q: Which process spawned sc.exe?
A: cmd.exe

EDR is host-centric: it complements network-level controls but does not replace them.

Task 3 — Beyond the Antivirus

The room's analogy makes it clear: AV is like an immigration check comparing passports against a known list (signatures), whereas EDR is like in-airport security, watching ongoing behaviour through cameras and sensors. AV often misses obfuscated PowerShell, memory injection, and unusual parent-child chains; EDR correlates behaviours, flags anomalies, and shows the full attack chain.

Q: In the analogy, what presents an AV?
A: Immigration check

Q: Which legitimate process was hijacked?
A: svchost.exe

Q: Which solution might mark this activity as clean?
A: Antivirus (AV)

Task 4 — How an EDR works

The agents (sensors) installed on each endpoint collect rich telemetry and can perform local detections. The central console correlates, enriches with threat intel, applies ML/analytics, and surfaces alerts with their severity. EDR also integrates with the wider security stack and feeds the SIEM for centralised investigations.

Q: Which component collects telemetry?
A: agent

Q: An EDR agent is also known as?
A: Sensor

Task 5 — EDR Telemetry

Telemetry is the endpoint's black box. Among the types it collects: process executions and terminations, network connections, command-line activity, file and folder modifications, and registry changes. With this data the analyst reconstructs timelines, identifies root cause, and tells benign from malicious behaviour even when each individual action looks normal.

Q: Which telemetry helps detect C2?
A: Network connections

Q: Where are Windows configuration settings stored?
A: Registry

Task 6 — Detection and Response Capabilities

Detection techniques:

• Behavioral detection — flags unusual parent-child chains (e.g. winword.exe spawning powershell.exe).
• Anomaly detection — flags deviations from the endpoint baseline.
• IOC matching — correlates with known malicious hashes, domains, and URLs.
• MITRE ATT&CK mapping — contextualises tactics and techniques.
• Machine learning — detects complex, fileless, and multi-stage patterns.

Response capabilities: isolate the host, terminate processes, quarantine files, remote shell, and artifact collection (memory, logs, folders, registry hives).

Q: Which feature helps identify threats based on known malicious behaviors?
A: IOC matching

Task 7 — Investigate an alert on EDR (simulated triage)

The scenario asks you to triage medium/high-severity detections across several hosts using process trees, network telemetry, and threat-intel labelling. These are the findings per endpoint:

Note the last case: UpdateAgent.exe is labelled as a legitimate internal tool. Threat intel doesn't only confirm what's malicious — it also helps rule out false positives and avoid wasting time on known benign activity.

Task 8 — Conclusion and analyst takeaways

The room leaves four practical outcomes:

• Architectural understanding: agents (sensors) feed a central console with correlated alerts and contextual evidence.
• Detection depth: EDR spots behaviours, anomalies, and complex chains that evade AV-only controls.
• Response readiness: analysts can contain and remediate quickly using isolation, kills, quarantine, remote access, and artifact collection.
• Investigation efficiency: process trees, command lines, network flows, and ATT&CK mapping cut time-to-triage.

Strategic advice: pair EDR with SIEM, NDR, email gateways, IAM, and DLP for defence-in-depth; keep tuned baselines and curated detection content; establish playbooks for common detections (PowerShell misuse, LOLBins, process injection, suspicious network beacons); and use retrospective hunting across historical telemetry to uncover spread, persistence, and additional compromised assets.

Beyond the room

A few concrete, independently-verifiable anchors for these concepts — public knowledge, not part of the room itself:Real EDR products follow the same agent/console model described here: Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne Singularity, and VMware Carbon Black are widely deployed commercial examples, alongside the open-source Wazuh and Elastic Security stacks.MITRE ATT&CK® (attack.mitre.org) is the public knowledge base most EDR vendors map their detections to. It organises adversary behaviour into Tactics (the "why" — e.g. Execution, Persistence, Defense Evasion) and Techniques/Sub-techniques (the "how"), each with a stable ID, for example T1055 Process Injection, T1003 OS Credential Dumping, and T1071 Application Layer Protocol (C2).On Windows, most EDR agents build their telemetry on top of ETW (Event Tracing for Windows) and kernel-level callbacks. Sysmon (part of Microsoft Sysinternals) is the free tool commonly used to reproduce similar process, network, and registry logging for labs and SIEM ingestion.Tools abused by attackers precisely because they are legitimate and already present on the host — like the curl.exe seen in Task 7 — are catalogued by the LOLBAS project (lolbas-project.github.io) for Windows, and by GTFOBins for Linux.The detection logic analysts write to catch these behaviours is often shared as Sigma rules, a vendor-agnostic YAML format (sigmahq.io) that can be translated into most EDR and SIEM query languages.

Key takeaways

• EDR extends antivirus with continuous telemetry and historical endpoint visibility.
• Its three pillars are Visibility, Detection, and Response.
• Detection blends behaviour, anomalies, IOC matching, ATT&CK, and ML — it doesn't rely on signatures alone.
• The agent (sensor) collects telemetry while the central console correlates it and enriches it with threat intel.
• Triage relies on process trees, network telemetry, and threat-intel labelling to separate malicious from benign.
• EDR is host-centric: it performs best integrated into a defence-in-depth stack alongside the SIEM.

Task 2 — Foundations and feature pillars

El EDR se apoya en tres pilares:

Q: Which feature of EDR provides a complete context for all the detections?
A: Visibility

Q: Which process spawned sc.exe?
A: cmd.exe

El EDR está centrado en el host: complementa los controles a nivel de red, pero no los reemplaza.

Task 3 — Beyond the Antivirus

La analogía del room lo deja claro: el AV es como el control de inmigración que comprueba pasaportes contra una lista conocida (firmas), mientras que el EDR es como la seguridad dentro del aeropuerto, vigilando el comportamiento en curso con cámaras y sensores. El AV suele fallar ante PowerShell ofuscado, inyección en memoria y cadenas padre-hijo inusuales; el EDR correlaciona comportamientos, marca anomalías y muestra la cadena de ataque completa.

Q: In the analogy, what presents an AV?
A: Immigration check

Q: Which legitimate process was hijacked?
A: svchost.exe

Q: Which solution might mark this activity as clean?
A: Antivirus (AV)

Task 4 — How an EDR works

Los agentes (sensores) instalados en cada endpoint recogen telemetría rica y pueden hacer detecciones locales. La consola central correlaciona, enriquece con threat intel, aplica ML/analítica y presenta las alertas con su severidad. Además, el EDR se integra con el resto del stack de seguridad y alimenta al SIEM para investigaciones centralizadas.

Q: Which component collects telemetry?
A: agent

Q: An EDR agent is also known as?
A: Sensor

Task 5 — EDR Telemetry

La telemetría es la caja negra del endpoint. Entre los tipos que recoge están: ejecuciones y terminaciones de procesos, conexiones de red, actividad de línea de comandos, modificaciones de ficheros y carpetas, y cambios en el registro. Con estos datos el analista reconstruye timelines, identifica la causa raíz y distingue lo benigno de lo malicioso aunque cada acción aislada parezca normal.

Q: Which telemetry helps detect C2?
A: Network connections

Q: Where are Windows configuration settings stored?
A: Registry

Task 6 — Detection and Response Capabilities

Técnicas de detección:

• Behavioral detection — marca cadenas padre-hijo inusuales (p. ej. winword.exe lanzando powershell.exe).
• Anomaly detection — marca desviaciones respecto a la línea base del endpoint.
• IOC matching — correlaciona con hashes, dominios y URLs maliciosos conocidos.
• MITRE ATT&CK mapping — contextualiza tácticas y técnicas.
• Machine learning — detecta patrones complejos, fileless y multi-etapa.

Capacidades de respuesta: aislar el host, terminar procesos, poner ficheros en cuarentena, shell remota y recopilación de artefactos (memoria, logs, carpetas, hives del registro).

Q: Which feature helps identify threats based on known malicious behaviors?
A: IOC matching

Task 7 — Investigate an alert on EDR (triage simulada)

El escenario pide triar detecciones de severidad media/alta sobre varios hosts, usando árboles de procesos, telemetría de red y el etiquetado de threat intel. Estos son los hallazgos por endpoint:

Fíjate en el último caso: UpdateAgent.exe se etiqueta como herramienta interna legítima. El threat intel no solo confirma lo malicioso, también ayuda a descartar falsos positivos y a no perder tiempo en actividad benigna conocida.

Task 8 — Conclusion and analyst takeaways

El room deja cuatro resultados prácticos:

• Comprensión de la arquitectura: los agentes (sensores) alimentan una consola central con alertas correlacionadas y evidencia contextual.
• Profundidad de detección: el EDR detecta comportamientos, anomalías y cadenas complejas que evaden los controles basados solo en AV.
• Capacidad de respuesta: el analista puede contener y remediar rápido con aislamiento, kills, cuarentena, acceso remoto y recopilación de artefactos.
• Eficiencia de investigación: árboles de procesos, líneas de comandos, flujos de red y mapeo ATT&CK reducen el tiempo de triaje.

Consejos estratégicos: combina el EDR con SIEM, NDR, gateways de correo, IAM y DLP para defensa en profundidad; mantén líneas base afinadas y contenido de detección curado; establece playbooks para detecciones habituales (abuso de PowerShell, LOLBins, inyección de procesos, beacons de red sospechosos); y usa hunting retrospectivo sobre la telemetría histórica para descubrir propagación, persistencia y otros activos comprometidos.

Más allá del room

Algunos anclajes concretos y verificables de forma independiente para estos conceptos — conocimiento público, no parte del propio room:Los EDR reales siguen el mismo modelo agente/consola descrito aquí: Microsoft Defender for Endpoint, CrowdStrike Falcon, SentinelOne Singularity y VMware Carbon Black son ejemplos comerciales ampliamente desplegados, junto con los stacks open-source Wazuh y Elastic Security.MITRE ATT&CK® (attack.mitre.org) es la base de conocimiento pública contra la que la mayoría de fabricantes de EDR mapean sus detecciones. Organiza el comportamiento del adversario en Tácticas (el "por qué" — p. ej. Execution, Persistence, Defense Evasion) y Técnicas/Sub-técnicas (el "cómo"), cada una con un ID estable, por ejemplo T1055 Process Injection, T1003 OS Credential Dumping y T1071 Application Layer Protocol (C2).En Windows, la mayoría de agentes EDR construyen su telemetría sobre ETW (Event Tracing for Windows) y callbacks a nivel de kernel. Sysmon (parte de Microsoft Sysinternals) es la herramienta gratuita habitual para reproducir un logging similar de procesos, red y registro en laboratorios e ingesta en el SIEM.Las herramientas que los atacantes abusan precisamente por ser legítimas y estar ya presentes en el host —como el curl.exe visto en la Task 7— están catalogadas por el proyecto LOLBAS (lolbas-project.github.io) para Windows, y por GTFOBins para Linux.La lógica de detección que los analistas escriben para cazar estos comportamientos suele compartirse como reglas Sigma, un formato YAML agnóstico de fabricante (sigmahq.io) traducible a la mayoría de lenguajes de consulta de EDR y SIEM.

Puntos clave

• El EDR extiende al antivirus con telemetría continua y visibilidad histórica del endpoint.
• Sus tres pilares son Visibility, Detection y Response.
• La detección combina comportamiento, anomalías, IOC matching, ATT&CK y ML; no depende solo de firmas.
• El agente (sensor) recoge la telemetría y la consola central la correlaciona y enriquece con threat intel.
• La triage se apoya en árboles de procesos, telemetría de red y etiquetado de threat intel para separar lo malicioso de lo benigno.
• El EDR está centrado en el host: rinde al máximo integrado en un stack de defensa en profundidad junto al SIEM.