Kad klients jautā, kura EDR platforma ir labākā, Bitdefender GravityZone, SentinelOne vai CrowdStrike, mēs atbildam, ka jautājums ir uzdots nepareizi. Visas trīs ir nopietnas, visas trīs aptur mūsdienu uzbrukumus, un mēs ieviešam visas trīs saviem klientiem. Atšķirība nav tajā, kura ir „stiprāka”, bet tajā, kura der konkrētam uzņēmumam, tā infrastruktūrai un cilvēkiem, kas to administrēs.
Šis nav vērtējums. Neatkarīgus testus publicē specializētas laboratorijas, un to rezultāti mainās no gada uz gadu. Mēs rakstām par ko citu: par kritērijiem, ko piemērojam, kad uzņēmums ar 30, 80 vai 300 darbstacijām lūdz piedāvāt aizsardzību.
Šajā rakstā aprakstām piecus jautājumus, ko uzdodam pirms piedāvājuma sagatavošanas, un to, kad parasti iesakām katru platformu.
Pirmais jautājums: cik ierīču un kādas
Darbstaciju skaits ir svarīgs, bet to sastāvs ir svarīgāks. Tikai Windows datori ir viena situācija. Jaukta vide ar Mac datoriem, Linux serveriem, virtuālajām mašīnām uz VMware un dažiem desmitiem mobilo ierīču ir cita.
Visas trīs platformas atbalsta galvenās operētājsistēmas, taču atbalsta dziļums atšķiras. Bitdefender GravityZone ļoti labi atbalsta virtualizētas vides: aģents gandrīz neslogo hipervizoru, ko mēs augstu vērtējam savā mākonī. SentinelOne ir spēcīgs Linux un konteineru vidēs, kur serveriem un darbstacijām vajadzīgs viens un tas pats aģents. CrowdStrike vēsturiski orientēts uz lielām, ģeogrāfiski izkliedētām vidēm ar tūkstošiem ierīču un ļoti vieglu aģentu.
Ja klientam ir 40 datori un divi serveri, der visas trīs, un izšķirs citi kritēriji. Ja ir 400 ierīču piecās valstīs, vērtējums ir citāds.
Jautājam arī par attālinātajiem darbiniekiem. Ja puse komandas strādā no mājām un datori reti pieslēdzas uzņēmuma tīklam, aģentam jāsaņem politikas un jānosūta notikumi internetā bez VPN. Visas trīs to spēj, taču uzvedas atšķirīgi, kad vairākas dienas pēc kārtas nav savienojuma.
Otrais jautājums: kas administrēs konsoli
Mazos un vidējos uzņēmumos tas visbiežāk ir izšķirošais kritērijs. EDR platforma, kuras konsoli neviens neatver, ir tikai dārgs antivīruss.
Pēc mūsu pieredzes GravityZone konsole ir vienkāršākā iesācēja administratoram: politikas, pārskati un brīdinājumi ir izkārtoti tā, ka stundas laikā var saprast, kas notiek. Tāpēc mēs to visbiežāk piedāvājam uzņēmumiem, kur par visu atbild viens IT speciālists.
SentinelOne konsole ir jaudīgāka, bet prasa vairāk mācīties. Tās notikumu ķēdes (Storyline) un automātiskā atjaunošana pēc uzbrukuma (rollback) ir ļoti spēcīgi rīki, taču jāprot tos lasīt un jāuzticas automatizācijai.
CrowdStrike Falcon konsole ir veidota drošības analītiķim, nevis vispārēja profila IT speciālistam. Tās vērtība atklājas, kad kāds katru dienu nodarbojas ar draudu medībām (threat hunting). Mazam uzņēmumam bez šāda cilvēka liela daļa iespēju paliek neizmantota.
Ja konsoli administrējam mēs, kā daļu no IT apkopes, šis kritērijs kļūst mazāk svarīgs, jo mūsu komanda ar visām trim strādā katru dienu.
Trešais jautājums: kā tiek aprēķināta cena
Cenas šeit nenorādām, taču aprēķina loģika atšķiras, un to ir vērts saprast, pirms salīdzināt piedāvājumus.
Visas trīs tiek licencētas par ierīci gadā. Atšķirības:
- Bitdefender GravityZone pakotnes ir sadalītas pēc funkcijām, no pamata aizsardzības līdz EDR, XDR un MDR. Serverus un darbstacijas bieži skaita atšķirīgi, un virtuālās mašīnas var licencēt pēc hipervizora kodoliem.
- SentinelOne līmeņi atšķiras pēc funkcijām; augstākie līmeņi pievieno ierīču kontroli, USB kontroli, tīkla redzamību un ilgāku datu glabāšanu.
- CrowdStrike tiek pārdots moduļos: pamata EDR, identitātes aizsardzība, ievainojamību pārvaldība, draudu izlūkdati. Katrs modulis ir atsevišķa pozīcija, un kopsumma ir atkarīga no tā, cik moduļus izvēlaties.
Praktiskais secinājums: salīdzinot piedāvājumus, salīdziniet vienādu funkciju kopumu, nevis tikai cenu par ierīci. Lētākā pamata pakotne bez EDR nav alternatīva citas platformas EDR pakotnei, lai gan tabulā izskatās pievilcīgāk.
Vēl viena nianse ir licences termiņš. Trīs gadu līgums parasti ir lētāks nekā gada, bet piesaista uzņēmumu platformai laikā, kad infrastruktūra var būtiski mainīties. Augošiem uzņēmumiem piedāvājam gada licences ar iespēju pievienot ierīces, bet stabiliem – ilgākus termiņus.
Ceturtais jautājums: ar ko jāintegrējas
Ja uzņēmums strādā Microsoft 365 vidē, svarīgi, kā platforma savienojas ar Entra ID un Microsoft Defender signāliem. Visām ir integrācijas, bet atšķirīgas dziļuma, un dažas funkcijas dublē to, kas jau ir apmaksāts Microsoft licencē.
Ja ir SIEM vai tāds ir plānots, pārbaudām žurnālu eksportu. Ja tiek izmantotas Veeam rezerves kopijas, noder, ja EDR var atzīmēt inficētu atjaunošanas punktu. Ja uzņēmums pārvalda mobilās ierīces, jautājam, vai būs vajadzīgs atsevišķs MDM vai platforma to nosedz.
GravityZone ir integrēts tieši mūsu mākonī: mākoņserveri tiek iznomāti ar jau uzstādītu aizsardzību, tāpēc klientam, kas pārceļ serverus pie mums, tā ir dabiska izvēle, bez papildu uzstādīšanas un atsevišķas konsoles.
Piektais jautājums: vai vajadzīgs MDR
Visi trīs ražotāji piedāvā savu MDR pakalpojumu: analītiķus, kas visu diennakti uzrauga brīdinājumus. Ja klients vēlas ražotāja MDR, atšķirības ir reakcijas laikā, pārskatu formātā un valodā, kādā notiek komunikācija incidenta laikā.
Visbiežāk mūsu klienti izvēlas citu variantu: platformu administrē un uzrauga mūsu komanda, kas pazīst viņu vidi un zina, kurš nakts process ir mēneša slēgšana un kurš nav. Tad platforma var būt jebkura no trim, un mūsu reakcija no 30 minūtēm darbojas vienādi.
Jebkurā gadījumā iepriekš vienojamies, ko analītiķis drīkst darīt, nejautājot: izolēt darbstaciju – jā; izslēgt produkcijas serveri – tikai pēc tālruņa zvana. Bez šādas vienošanās MDR pakalpojums ir vai nu pārāk piesardzīgs, vai pārāk patstāvīgs, un abi gadījumi klientam maksā dārgi.
Kad ko piedāvājam
Apkopojot mūsu praksi:
- Bitdefender GravityZone: uzņēmumiem līdz apmēram 150 darbstacijām, ar virtualizētiem serveriem, kur konsoli administrēs viens IT speciālists vai mēs. Kā arī visiem mūsu mākoņa klientiem.
- SentinelOne Singularity: uzņēmumiem ar ievērojamu Linux un serveru slāni, kur svarīga automātiska atjaunošana pēc šifrēšanas uzbrukuma un viens aģents visām platformām.
- CrowdStrike Falcon: lielākiem, starptautiskiem vai regulētiem uzņēmumiem, kuriem ir (vai kuri iegādājas) drošības analītiķu kapacitāte un kuri vēlas modulāru platformu identitātes un ievainojamību pārvaldībai.
Tie nav noteikumi, bet sākumpunkts. Ir bijuši gadījumi, kad 30 darbinieku uzņēmums izvēlējās CrowdStrike mātes uzņēmuma prasību dēļ, un gadījumi, kad rūpnīca ar 300 darbstacijām palika pie GravityZone, jo tas ļoti labi strādāja ražošanas tīklā ar vecākām operētājsistēmām.
No kā sākt
- Izveidojiet ierīču inventarizāciju: cik ir Windows, Mac, Linux, virtuālo mašīnu un mobilo ierīču. Bez šī saraksta jebkurš piedāvājums būs aptuvens.
- Izlemiet, kas administrēs konsoli: iekšējais speciālists, ražotāja MDR vai IT partneris.
- Pārbaudiet, kādas drošības funkcijas jums jau ir Microsoft 365 licencē. Dažkārt daļa no tām jau ir apmaksāta un nav jādublē.
- Pieprasiet divu platformu izmēģinājumu, nevis vienas, un ļaujiet savam IT speciālistam nedēļu strādāt ar abām konsolēm.
- Sazinieties ar mums: sagatavosim salīdzinājumu pēc jūsu inventarizācijas un piedāvāsim variantu, ko uzturēsim kā daļu no IT apkopes.
