Bring Your Own EDR è una classe di tecniche in cui un attaccante riutilizza un agente legittimo di endpoint detection and response come parte del percorso di attacco. Invece di cercare di compromettere direttamente il sistema operativo, l'attaccante abusa della fiducia, dei privilegi o delle interfacce di gestione dello stesso strumento di sicurezza. Poiché gli agenti EDR sono progettati per operare con ampia autorità, possono diventare un vettore di privilegio verso aree normalmente protette.
Questo è importante perché le difese moderne spesso presuppongono che il prodotto di sicurezza sia più difficile da abusare rispetto al software ordinario. In pratica, controlli di accesso deboli, interfacce amministrative esposte, percorsi di aggiornamento non sicuri o impostazioni anti-manomissione inadeguate possono consentire a un attaccante di usare l'agente per eseguire codice non firmato, modificare componenti protetti o interagire con processi sensibili di Windows, come i servizi PPL. I difensori dovrebbero trattare l'amministrazione dell'EDR come ad alto rischio: limitare l'accesso amministrativo locale, mettere in sicurezza i canali di gestione, monitorare le modifiche alla configurazione dell'agente e generare alert su processi figlio inaspettati o sulla riconfigurazione dei servizi. La lezione fondamentale è che anche i confini di fiducia attorno agli strumenti di sicurezza sono superfici di attacco.