原文標題：Stopping attackers who want your endpoint protection to go dark
Sophos 於 10 月 13 日發表技術說明，介紹勒索軟體攻擊者如何先使用 EDR Killer 停用端點防護，再進行後續攻擊。文章聚焦 Bring Your Own Vulnerable Driver（BYOVD）手法：攻擊者載入合法簽章但存在漏洞的驅動程式，利用其核心權限干擾防護程序。這不代表驅動程式本身一定是惡意軟體，而是合法元件可能遭到濫用。
Sophos 表示，Endpoint 的「Block vulnerable drivers」政策預設啟用，可根據已知弱點驅動程式的雜湊與威脅情報，在載入前進行封鎖。由於修改已簽章檔案會破壞簽章，攻擊者單純重新命名通常無法改變其識別特徵。管理員若有業務需求，也可以明確授權特定驅動程式。
除了辨識已知檔案，產品還會觀察程式安裝驅動後立即傳送控制指令等異常行為。對於使用安全測試工具驅動程式的攻擊，Sophos 提供另一項封鎖設定；Tamper Protection 用來保護核心層級防護，另有「Prevent ETW tampering」避免攻擊者干擾 Windows Event Tracing 遙測。Adaptive Attack Protection 則可能在反覆攻擊行為出現時提高防護強度。
Sophos 提到一個客戶案例：攻擊者在 76 分鐘內，以七個不同且看似 Windows 元件的檔名嘗試載入相同的弱點驅動程式，均遭封鎖。公司也說明 CryptoGuard 勒索軟體防護以獨立核心篩選驅動程式運作，可降低單一端點程序被終止後的風險。這些是供應商揭露的案例，不能推論所有 BYOVD 攻擊都必然被阻止。
針對較少變更驅動程式的伺服器，管理員可啟用「Detect new kernel drivers」記錄新增核心驅動程式事件；該選項預設關閉，因為一般工作站可能產生大量正常變更事件。
發生了什麼事
Sophos 於 10 月 13 日發表技術說明，介紹勒索軟體攻擊者如何先使用 EDR Killer 停用端點防護，再進行後續攻擊。文章聚焦 Bring Your Own Vulnerable Driver（BYOVD）手法：攻擊者載入合法簽章但存在漏洞的驅動程式，利用其核心權限干擾防護程序。這不代表驅動程式本身一定是惡意軟體，而是合法元件可能遭到濫用。
為什麼重要
端點防護的完整性是勒索軟體防禦前提。若攻擊者能先讓偵測與事件紀錄失效，後續入侵將更難被發現，因此需要多層而非單點封鎖。
影響哪些人
Windows 端點管理員、資安營運中心、企業伺服器維護者及評估 EDR 方案的採購人員，都可據此檢視驅動程式封鎖與防竄改政策。
已確認與未確認
已確認 Sophos 公布的防護設定名稱及七次封鎖案例；文章未提供各版本完整支援矩陣、第三方獨立驗證或對所有攻擊工具的保證防護率。
