一位安全分析师希望更好地了解用户和设备的活动，以便发现潜在的恶意行为。该分析师需要一种控制措施来检测行为何时偏离常见基线。分析师应该使用以下哪项？

端点检测和响应 (EDR) 解决方案通过持续监控和收集端点数据来检测可疑活动，并利用行为分析来识别偏离正常基线的异常行为，从而帮助分析师发现潜在的恶意活动。入侵防御系统 (IPS) 主要关注网络流量的实时检测和阻止，而不是端点行为分析。沙盒是一种隔离环境，用于安全地执行可疑文件，其主要目的是分析恶意软件，而非持续监控和基线偏离检测。防病毒软件主要通过签名或启发式方法检测已知恶意软件，对零日攻击或行为异常的检测能力有限。