Идея антивируса, для которого не нужно ставить никаких агентов в систему, зацепила меня еще в 2017, когда Symantec купил малоизвестный стартап Outlier Security. Эта компания делала безагентный EDR, который использовал встроенные средства операционной системы для сбора телеметрии и реагирования на угрозы.

Преимущества такой безагентной установки в то время были очевидны: не нужно ставить еще один исполняемый файл на рабочую станцию, которые сжирал ресурсы и конфликтовал с другими установленными security-продуктами. А таких на рабочей станции в крупной компании было целый зоопарк: антивирус от одного вендора, DLP от другого, NDR от третьего, security-браузер от четвертого, анти-фишинг от пятого. MS Word ощущал себя неуютно.

Старая идея обретает новую форму. В любой системе есть все необходимые средства сбора данных для выявления угроз (например, подсистема Event Tracing или сервис Performance Logs and Alerts в Windows). Берем эти средства и опрашиваем через механизмы удаленного вызова, например DCOM. Для этого не нужен агент. Достаточно разобраться с прототипом (ссылка в компентариях) и подумать, что все-таки делать с реагированием.