SafeGuard：一种用于实时端点威胁检测与响应的轻量级客户端-服务器架构

端点设备仍然是网络攻击的主要目标，但商业的端点检测与响应 (EDR) 平台对于规模较小且资源受限的组织来说通常过于昂贵且操作复杂。本文提出了 SafeGuard，一种用于实时端点监控、威胁报告和管理响应的轻量级三层客户端-服务器架构。该系统由基于 Flutter 并扩展 Kotlin 以实现 Android 系统访问的端点代理、用于认证设备和协调安全通信的 Node.js 中央服务器，以及用于实时监控和远程操作（如设备锁定、应用移除和警告通知派发）的管理仪表板组成。威胁检测是通过对维护的威胁数据库进行基于签名的比较来实现的，与通用的异常检测相比，优先考虑低计算开销、可解释性和易部署性。通信安全通过基于 TLS 的 WebSocket (WSS)、JSON Web Token (JWT) 认证和基于 HMAC 的消息完整性验证来实现。该系统通过单元、集成、系统、负载和初步安全测试进行了评估。在 50 个并发端点的模拟部署下，平均命令派发延迟约为 1.5 秒，并在负载下保持在 2 秒以下。无效的认证令牌被拒绝，而手动 SQL 注入和重放尝试在评估场景中均未成功。结果表明，开源技术栈可以提供实时的端点可见性和协调的管理响应，而无需商业许可成本。其贡献是架构和经验上的，而非算法上的，目前的局限性包括依赖静态威胁签名、侧重于 Android 的实现以及受控环境评估。