在近年勒索攻击的应急复盘中，一个越来越普遍的现象值得所有企业警惕：明明已经部署了 EDR，核心业务最终还是被加密瘫痪。问题往往不在 EDR 的检测引擎本身 —— 攻击者早已不再和杀毒引擎正面硬碰，而是通过 EDR 致盲技术，从内核层、网络层绕开防护边界，让 EDR“看不见威胁、发不出告警、拦不住攻击”。
从内核驱动直接终结防护进程，到系统规则掐断网络上报链路，再到静默限速让遥测彻底“失声”，EDR 致盲已经成为勒索团伙的标准前置动作。看懂这些攻击的底层逻辑，看清传统防护的固有缺陷，才能跳出“堆设备、拼特征”的惯性，真正建立能守住业务底线的防御体系。
01 内核级绝杀：BYOVD 驱动，绕开所有用户态防护
BYOVD（Bring Your Own Vulnerable Driver，自带漏洞驱动攻击）是当前最高危的致盲手段，也是海外勒索团伙的首选方案。攻击者利用硬件、软件厂商发布的合法签名旧驱动（如亿赛通 ProcessCtr.sys、微星 RTCore64.sys、戴尔 DBUtil_2_3.sys 等），这些驱动经过微软 WHQL 认证，系统默认允许加载；但旧版本存在 IOCTL 未校验等漏洞，可被用来获取内核级任意读写、进程终止能力。
攻击者拿到本地管理员权限后，上传并加载这类驱动，直接在内核层调用 ZwTerminateProcess 终止 EDR 主进程。更致命的是，传统防护机制在它面前几乎全部失效：
▍ObRegisterCallbacks 进程回调无效
回调只能在用户态创建句柄时清理权限，而驱动运行在内核模式，对象转换时会跳过权限校验，即便拿到无权限句柄依然能杀死进程。
▍PPL 受保护进程无效
PPL 仅限制用户态操作，内核驱动不受其约束，带有 PPL 保护的 Defender、EDR 进程均可被直接终止。
▍特征哈希拉黑治标不治本
已知漏洞驱动超过 700 款，黑名单更新永远滞后于攻击；且多数驱动属于正常商用软件，强行拉黑会引发严重兼容性问题。
02 网络层断联：WFP 精准拦截，EDR 沦为“信息孤岛”如果说 BYOVD 是“硬杀死”，那 WFP 流量拦截就是“软断联”。攻击者利用 Windows 自带的 Windows 过滤平台（WFP），无需加载第三方驱动，直接调用 FwpmFilterAdd 添加内核级出站过滤规则，通过 ALE AppID 精准匹配 EDR 进程的完整路径，定向阻断其全部网络通信。EDR 的日志上报、策略接收、威胁情报同步全部中断，进程依然存活，但已经和管理平台彻底失联。
这类攻击的隐蔽性在于：它利用系统原生框架实现，没有恶意驱动，静态特征极少；很多企业的安全运营只关注 EDR 进程是否存活，并不会主动监控系统防火墙过滤器的变更，往往等到业务异常才发现防护早已失效。
03 静默式限速：QoS 带宽卡死，更隐蔽的“软致盲”
比 WFP 阻断更难察觉的，是基于 QoS 策略的限速致盲。攻击者通过 WMI、PowerShell 或直接修改注册表，配置系统 QoS 策略，调用 Windows 原生的 pacer.sys 数据包调度驱动，对 EDR 进程设置极端带宽限制（低至 8bit/s）。EDR 进程正常运行、网络连接也没有中断，但遥测数据、告警信息几乎无法发出，TLS 握手持续超时，效果等同于“网络极度卡顿”，很难触发常规告警。
这种“不杀进程、不断网络、只卡带宽”的手法，完美模拟了网络故障的假象，安全团队往往会先排查网络问题，等到确认是攻击时，勒索加密早已完成。
二、传统防护屡屡失效：三个被忽视的底层误区致盲技术之所以能屡屡得手，本质上是传统防御思路存在三个根深蒂固的认知偏差。
误区 1 把“进程存活”等同于“防护有效”
绝大多数企业的安全运营基线，都以“EDR 进程是否运行、服务是否启动”作为判断标准。但现代致盲攻击早已不追求杀死进程 —— WFP 断网、QoS 限速、内核抹除回调，都能让 EDR “活着但失效”。进程在，不代表能看见威胁、能发出告警、能执行策略。
误区 2 靠用户态机制，防不住内核级攻击
PPL 保护、对象回调、用户态 Hook…… 这些主流防护机制大多工作在用户态或依赖句柄权限校验。一旦攻击者拿到管理员权限，通过合法驱动进入内核 Ring0 层，就拥有了系统最高控制权，可以从底层绕过所有用户态规则。这不是 EDR 引擎不够强，而是 Windows 权限模型决定的天然边界。
误区 3 重事后检测响应，轻事前风险收敛
当前大部分安全投入都集中在“攻击发生后怎么发现、怎么处置”，但对致盲攻击的前置条件几乎不做管控：本地管理员权限泛滥、驱动加载无审计、系统网络策略无人监控、终端软件随意安装、资产暴露面过大。事实上，无论是加载漏洞驱动，还是修改 WFP/QoS 系统配置，前提都是拿到管理员权限。如果事前能把权限、软件、暴露面管住，绝大多数致盲攻击根本无法启动。
三、从“拼检测”到“守底线”：事前防御 + 极限兜底的新范式致盲技术的持续演进，其实在传递一个明确的信号：不存在 100% 不被绕过的单点防护。真正成熟的防御，不能再指望“EDR 挡住所有攻击”，而要转向“就算 EDR 被致盲，核心资产也安全、攻击也扩散不开”的韧性体系。
01 事前防御：从源头拆掉致盲攻击的生存土壤
致盲攻击不是凭空发生的，它依赖管理员权限、可利用的驱动、可横向的网络路径。事前防御的核心，就是把这些前提条件一个个拆掉，让攻击“难落地、难扩散”。
▍收紧权限边界
统一治理设备账号、特权账号与域控权限，落实最小权限原则，严格限制普通用户的本地管理员权限。没有管理员权限，BYOVD 驱动无法加载，系统级网络策略也无法修改，从根源抬高攻击门槛。
▍驱动与软件全生命周期管控
建立驱动加载审计机制，结合已知漏洞驱动黑名单拦截高危载荷；通过软件白名单与软件治理，管控终端软件安装渠道，减少恶意工具、破解软件的落地路径。
▍收敛网络暴露面
通过网络准入、微隔离、零信任访问控制，收缩不必要的网络访问关系，限制横向移动路径，避免攻击者从单台失陷终端快速扩散到核心服务器。
02 主动自愈：建立致盲场景的“检测 - 修复”闭环
针对网络层致盲，不能被动等待业务故障，要建立主动的配置审计与自愈能力。
· 持续监控系统 WFP 过滤器、QoS 策略变更，一旦发现针对安全进程的阻断规则、异常限速策略，自动识别并移除，快速恢复 EDR 的通信与上报能力；
· 内核层面建立篡改检测机制，监控关键内核回调、系统函数的异常变动，发现驱动级篡改立即触发终端隔离与告警。
03 极限风险防控：就算 EDR 失效，也要守住业务底线
安全建设必须考虑最坏的情况：如果致盲成功、EDR 完全失效，企业能不能保住核心业务和数据？极限风险防控的核心，是用架构级手段把攻击影响锁在局部，做到“单点可以失守，整体不能失控”。
▍集权系统容错保护
对 AD 域控、运维管理系统、EDR 管理平台等高价值集权系统，做独立的安全隔离与保护，避免一处失守导致全网防护瘫痪。
▍核心数据加密 + EAIDR 兜底
核心业务文档、敏感数据落地加密，就算终端被攻破、EDR 失效，文件脱离授权环境，智能体非法调用授权进程依然无法打开，勒索软件拿不到明文数据。
▍网络分区分域隔离
按业务等级做网络分区，收敛跨区域访问权限，单区域失陷不会扩散到整个内网，把攻击影响控制在最小范围。
四、写在最后真正的安全，从来不是“永不被攻破”，而是“攻破之后不崩盘”。
从 BYOVD 到 WFP 再到 QoS 致盲，攻击手段还会不断迭代。与其跟着攻击手法疲于奔命地补规则、更特征，不如回归防御的本质：事前把暴露面和权限收得足够紧，让攻击难以上手；架构上把分层容错做得足够扎实，就算单点被突破也能守住底线。
联软科技基于二十余年端点与数据安全积累，以 TDNA 可信数字网络架构为核心，打造“事前收敛 + 多层防护 + 极限兜底”的立体式防勒索与极限风险防控体系。跳出单点 EDR 的攻防对抗，从身份、终端、网络、数据多个层面构建韧性防御，帮助企业在日益隐蔽的致盲攻击面前，真正守住核心业务与数据的安全底线。
