Kai klientas klausia, kuri EDR platforma geriausia – Bitdefender GravityZone, SentinelOne ar CrowdStrike – atsakome, kad klausimas užduotas ne taip. Visos trys yra rimtos, visos trys sustabdo šiuolaikines atakas, ir visas tris diegiame savo klientams. Skirtumas ne tame, kuri „stipresnė“, o tame, kuri tinka konkrečiai įmonei, jos infrastruktūrai ir žmonėms, kurie ją administruos.
Tai nėra reitingas. Nepriklausomus testus skelbia specializuotos laboratorijos, ir jų rezultatai iš metų į metus kinta. Mes rašome apie kitką – apie kriterijus, kuriuos taikome, kai 30, 80 ar 300 darbo vietų įmonė prašo pasiūlyti apsaugą.
Straipsnyje aprašome penkis klausimus, kuriuos užduodame prieš siūlydami, ir kada kurią platformą dažniausiai rekomenduojame.
Pirmas klausimas: kiek įrenginių ir kokių
Darbo vietų skaičius svarbus, bet dar svarbiau – jų sudėtis. Vien Windows kompiuteriai yra viena situacija. Mišri aplinka su Mac kompiuteriais, Linux serveriais, virtualiomis mašinomis VMware platformoje ir keliomis dešimtimis mobiliųjų įrenginių – kita.
Visos trys platformos palaiko pagrindines operacines sistemas, bet skiriasi gylis. Bitdefender GravityZone turi labai brandų virtualizuotų aplinkų palaikymą – agentas beveik neapkrauna hipervizoriaus, ką vertiname savo pačių debesijoje. SentinelOne stiprus Linux ir konteinerių aplinkose, kur reikia vienodo agento serveriams ir darbo vietoms. CrowdStrike istoriškai orientuotas į dideles, geografiškai išsklaidytas aplinkas su tūkstančiais įrenginių ir labai lengvu agentu.
Jei klientas turi 40 kompiuterių ir du serverius – visos trys tiks ir sprendimą lems kiti kriterijai. Jei 400 įrenginių penkiose šalyse – vertinimas kitas.
Taip pat klausiame apie nuotolinius darbuotojus. Jei pusė komandos dirba iš namų ir kompiuteriai įmonės tinkle būna retai, svarbu, kad agentas gautų politikas ir siųstų įvykius per internetą be VPN – visos trys tai moka, bet skirtingai elgiasi, kai ryšio nėra kelias dienas iš eilės.
Antras klausimas: kas administruos konsolę
Tai dažniausiai lemiamas kriterijus mažoms ir vidutinėms įmonėms. EDR platforma, kurios konsolės niekas neatidaro, yra tik brangus antivirusas.
GravityZone konsolė mūsų praktikoje yra paprasčiausia pradedančiam administratoriui: politikos, ataskaitos ir perspėjimai išdėstyti taip, kad per valandą galima suprasti, kas vyksta. Todėl ją dažniausiai siūlome įmonėms, kuriose vienas IT specialistas atsakingas už viską.
SentinelOne konsolė galingesnė, bet reikalauja daugiau įsigilinimo. Jos įvykių grandinės (Storyline) ir automatinis atstatymas po atakos (rollback) yra labai stiprūs įrankiai, tačiau juos reikia mokėti skaityti ir pasitikėti automatika.
CrowdStrike Falcon konsolė skirta saugumo analitikui, ne bendrosios paskirties IT specialistui. Jos vertė atsiskleidžia, kai yra kas kasdien dirba su grėsmių paieška (threat hunting). Mažai įmonei be tokio žmogaus didelė dalis galimybių lieka nepanaudota.
Jei konsolę administruojame mes – kaip IT priežiūros dalį – šis kriterijus tampa mažiau svarbus, nes mūsų komanda kasdien dirba su visomis trimis.
Trečias klausimas: kaip skaičiuojama kaina
Kainų čia nerašome, bet skaičiavimo logika skiriasi ir ją verta suprasti prieš lyginant pasiūlymus.
Visos trys licencijuojamos pagal įrenginį per metus. Skirtumai:
- Bitdefender GravityZone paketai skirstomi pagal funkcijas – nuo bazinės apsaugos iki EDR, XDR ir MDR. Serveriai ir darbo vietos dažnai skaičiuojami skirtingai, virtualios mašinos gali būti licencijuojamos pagal hipervizoriaus branduolius.
- SentinelOne lygiai skiriasi funkcijomis; aukštesniuose lygiuose atsiranda įrenginių valdymas, USB kontrolė, tinklo matomumas ir ilgesnis duomenų saugojimas.
- CrowdStrike parduodamas moduliais: pagrindinis EDR, tapatybės apsauga, pažeidžiamumų valdymas, grėsmių žvalgyba. Kiekvienas modulis – atskira eilutė, ir bendra suma priklauso nuo to, kiek jų pasirenkama.
Praktinė išvada: lyginant pasiūlymus reikia lyginti tą patį funkcijų rinkinį, ne tik įrenginio kainą. Pigiausias bazinis paketas be EDR nėra alternatyva kitos platformos EDR paketui, nors lentelėje atrodo patraukliau.
Dar vienas niuansas – licencijos terminas. Trejų metų sutartis dažniausiai palankesnė už metinę, bet riša įmonę su platforma laikotarpiui, per kurį infrastruktūra gali gerokai pasikeisti. Augančioms įmonėms siūlome metines licencijas su galimybe pridėti įrenginių, o stabilioms – ilgesnes.
Ketvirtas klausimas: su kuo turi integruotis
Jei įmonė gyvena Microsoft 365 aplinkoje, svarbu, kaip platforma jungiasi su Entra ID ir Microsoft Defender signalais. Visos trys turi integracijas, bet skirtingo gylio, ir kai kurios funkcijos dubliuojasi su tuo, kas jau apmokėta Microsoft licencijoje.
Jei yra SIEM sistema arba ji planuojama – tikrinamas žurnalų eksportas. Jei naudojamos Veeam kopijos – naudinga, kai EDR gali pažymėti užkrėstą atkūrimo tašką. Jei įmonė valdo mobiliuosius įrenginius – ar reikės atskiro MDM, ar platforma jį apima.
GravityZone mūsų debesijoje integruota tiesiogiai: cloud serveriai nuomojami jau su įdiegta apsauga, todėl klientui, kuris perkelia serverius pas mus, tai natūralus pasirinkimas be papildomo diegimo ir atskiros konsolės.
Penktas klausimas: ar reikia MDR
Visos trys gamintojos siūlo savo MDR paslaugą – analitikus, kurie stebi perspėjimus visą parą. Jei klientas nori gamintojo MDR, skirtumai yra reakcijos laike, ataskaitų formate ir kalboje, kuria bendraujama incidento metu.
Dažniausiai mūsų klientai renkasi kitą variantą: platformą administruoja ir stebi mūsų komanda, kuri pažįsta jų aplinką ir žino, kuris naktinis procesas yra mėnesio uždarymas, o kuris – ne. Tada platforma gali būti bet kuri iš trijų, o reakcija nuo 30 minučių galioja vienodai.
Ir vienu, ir kitu atveju iš anksto sutariame, ką analitikas gali daryti be klausimo: izoliuoti darbo vietą – taip, išjungti gamybos serverį – tik paskambinęs. Be tokio susitarimo MDR paslauga būna arba per daug atsargi, arba per daug savarankiška, ir abu variantai klientui kainuoja.
Kada kurią siūlome
Apibendrinant mūsų praktiką:
- Bitdefender GravityZone – įmonėms iki maždaug 150 darbo vietų, su virtualizuotais serveriais, kai konsolę administruos vienas IT specialistas arba mes. Taip pat visiems mūsų debesijos klientams.
- SentinelOne Singularity – įmonėms su reikšmingu Linux ir serverių sluoksniu, kur svarbus automatinis atstatymas po šifravimo atakos ir vienas agentas visoms platformoms.
- CrowdStrike Falcon – didesnėms, tarptautinėms ar reguliuojamoms įmonėms, kurios turi (ar perka) saugumo analitiką ir nori modulinės platformos tapatybei bei pažeidžiamumams valdyti.
Tai ne taisyklės, o pradinis taškas. Buvo atvejų, kai 30 darbuotojų įmonė pasirinko CrowdStrike dėl motininės įmonės reikalavimų, ir atvejų, kai 300 darbo vietų gamykla liko su GravityZone, nes ji puikiai veikė gamybos tinkle su senesnėmis operacinėmis sistemomis.
Nuo ko pradėti
- Surašykite įrenginių inventorių: kiek Windows, Mac, Linux, virtualių mašinų, mobiliųjų. Be šio sąrašo bet koks pasiūlymas bus apytikslis.
- Nuspręskite, kas administruos konsolę: vidinis specialistas, gamintojo MDR ar IT partneris.
- Patikrinkite, kokias saugumo funkcijas jau turite Microsoft 365 licencijoje – kartais dalis jų jau apmokėta ir dubliuoti nereikia.
- Paprašykite bandomosios versijos ne vienai, o dviem platformoms ir leiskite IT specialistui savaitę padirbėti su abiem konsolėmis.
- Susisiekite su mumis – parengsime palyginimą pagal jūsų inventorių ir pasiūlysime variantą, kuris bus prižiūrimas kaip IT priežiūros dalis.
