Kui klient küsib, milline EDR-platvorm on parim – Bitdefender GravityZone, SentinelOne või CrowdStrike –, vastame, et küsimus on püstitatud valesti. Kõik kolm on tõsiseltvõetavad, kõik kolm peatavad tänapäevaseid rünnakuid ja me juurutame klientidele kõiki kolme. Erinevus ei ole selles, milline on „tugevam“, vaid selles, milline sobib konkreetsele ettevõttele, selle taristule ja inimestele, kes seda haldama hakkavad.
See ei ole pingerida. Sõltumatuid teste avaldavad spetsialiseeritud laborid ja nende tulemused muutuvad aasta-aastalt. Kirjutame millestki muust: kriteeriumidest, mida rakendame, kui 30, 80 või 300 tööjaamaga ettevõte palub meil kaitset pakkuda.
Selles artiklis kirjeldame viit küsimust, mida esitame enne pakkumise tegemist, ja seda, millal me iga platvormi tavaliselt soovitame.
Esimene küsimus: mitu seadet ja millised
Tööjaamade arv on oluline, kuid nende koosseis on veelgi olulisem. Ainult Windowsi arvutid on üks olukord. Segakeskkond Macide, Linuxi serverite, VMware’i virtuaalmasinate ja paarikümne mobiilseadmega on teine.
Kõik kolm platvormi toetavad peamisi operatsioonisüsteeme, kuid sügavus on erinev. Bitdefender GravityZone’il on väga küps tugi virtualiseeritud keskkondadele: agent koormab hüpervisorit vaevu, mida me hindame oma pilves. SentinelOne on tugev Linuxi ja konteinerkeskkondades, kus serverid ja tööjaamad vajavad sama agenti. CrowdStrike on ajalooliselt keskendunud suurtele, geograafiliselt hajutatud keskkondadele tuhandete seadmetega ja väga kerge agendiga.
Kui kliendil on 40 arvutit ja kaks serverit, sobivad kõik kolm ning otsustavad muud kriteeriumid. Kui tal on 400 seadet viies riigis, on hinnang teistsugune.
Küsime ka kaugtöötajate kohta. Kui pool meeskonnast töötab kodus ja arvutid ühenduvad ettevõtte võrguga harva, peab agent saama poliitikaid ja saatma sündmusi internetis ilma VPN-ita. Kõik kolm suudavad seda, kuid käituvad erinevalt, kui ühendust pole mitu päeva järjest.
Teine küsimus: kes konsooli haldab
Väikeste ja keskmise suurusega ettevõtete jaoks on see enamasti otsustav kriteerium. EDR-platvorm, mille konsooli keegi ei ava, on lihtsalt kallis viirusetõrje.
Meie kogemuse järgi on GravityZone’i konsool algajale administraatorile kõige lihtsam: poliitikad, aruanded ja hoiatused on paigutatud nii, et tunni ajaga saab aru, mis toimub. Seetõttu pakume seda kõige sagedamini ettevõtetele, kus üks IT-spetsialist vastutab kõige eest.
SentinelOne’i konsool on võimsam, kuid nõuab rohkem õppimist. Selle sündmuseahelad (Storyline) ja automaatne taastamine pärast rünnakut (rollback) on väga tugevad tööriistad, kuid peab oskama neid lugeda ja automaatikat usaldama.
CrowdStrike Falconi konsool on ehitatud turvaanalüütikule, mitte üldise profiiliga IT-spetsialistile. Selle väärtus ilmneb siis, kui keegi tegeleb igapäevaselt ohuküttimisega (threat hunting). Väikeettevõttele, kus sellist inimest pole, jääb suur osa võimalustest kasutamata.
Kui konsooli haldame meie, osana IT-hooldusest, muutub see kriteerium vähem oluliseks, sest meie meeskond töötab kõigi kolmega iga päev.
Kolmas küsimus: kuidas hind kujuneb
Hindu me siin ei nimeta, kuid arvutusloogika on erinev ja seda tasub enne pakkumiste võrdlemist mõista.
Kõik kolm litsentsitakse seadme kohta aastas. Erinevused:
- Bitdefender GravityZone’i paketid jagunevad funktsioonide järgi, alates põhikaitsest kuni EDR-i, XDR-i ja MDR-ini. Servereid ja tööjaamu loetakse sageli erinevalt ning virtuaalmasinaid saab litsentsida hüpervisori tuumade järgi.
- SentinelOne’i tasemed erinevad funktsioonide poolest; kõrgemad tasemed lisavad seadmekontrolli, USB-kontrolli, võrgunähtavuse ja pikema andmete säilitusaja.
- CrowdStrike’i müüakse moodulitena: põhi-EDR, identiteedikaitse, haavatavuste haldus, ohuteave. Iga moodul on eraldi rida ja kogusumma sõltub sellest, mitu te valite.
Praktiline järeldus: pakkumisi võrreldes võrrelge sama funktsioonide komplekti, mitte ainult hinda seadme kohta. Odavaim põhipakett ilma EDR-ita ei ole alternatiiv teise platvormi EDR-paketile, kuigi tabelis näeb see atraktiivsem välja.
Veel üks nüanss on litsentsi kehtivusaeg. Kolmeaastane leping on tavaliselt odavam kui aastane, kuid see seob ettevõtte platvormiga perioodiks, mille jooksul võib taristu oluliselt muutuda. Kasvavatele ettevõtetele pakume aastaseid litsentse seadmete lisamise võimalusega, stabiilsetele pikemaid tähtaegu.
Neljas küsimus: millega peab integreeruma
Kui ettevõte elab Microsoft 365 keskkonnas, on oluline, kuidas platvorm ühendub Entra ID ja Microsoft Defenderi signaalidega. Kõigil kolmel on integratsioonid, kuid erineva sügavusega, ning mõned funktsioonid kattuvad sellega, mis on Microsofti litsentsis juba makstud.
Kui on SIEM või see on plaanis, kontrollime logide eksporti. Kui kasutatakse Veeami varukoopiaid, on abiks, kui EDR suudab märgistada nakatunud taastepunkti. Kui ettevõte haldab mobiilseadmeid, küsime, kas on vaja eraldi MDM-i või katab selle platvorm.
GravityZone on meie pilves otse integreeritud: pilveserverid renditakse kaitse juba paigaldatuna, seega servereid meile kolivale kliendile on see loomulik valik, ilma lisapaigalduseta ja eraldi konsoolita.
Viies küsimus: kas MDR on vajalik
Kõik kolm tootjat pakuvad oma MDR-teenust: analüütikud, kes jälgivad hoiatusi ööpäevaringselt. Kui klient soovib tootja MDR-i, seisnevad erinevused reageerimisajas, aruande vormingus ja intsidendi ajal kasutatavas keeles.
Enamasti valivad meie kliendid teise variandi: platvormi haldab ja jälgib meie meeskond, kes tunneb nende keskkonda ja teab, milline öine protsess on kuulõpu sulgemine ja milline mitte. Siis võib platvorm olla ükskõik milline kolmest ning meie reageerimine alates 30 minutist kehtib võrdselt.
Mõlemal juhul lepime ette kokku, mida analüütik tohib teha küsimata: tööjaama isoleerida – jah; tootmisserveri välja lülitada – alles pärast telefonikõnet. Ilma sellise kokkuleppeta on MDR-teenus kas liiga ettevaatlik või liiga iseseisev ja mõlemad maksavad kliendile kätte.
Millal me mida pakume
Kokkuvõtteks meie praktika:
- Bitdefender GravityZone: kuni umbes 150 tööjaamaga ettevõtetele, kellel on virtualiseeritud serverid ja kus konsooli haldab üks IT-spetsialist või meie. Ka kõigile meie pilvekliendidele.
- SentinelOne Singularity: ettevõtetele, kellel on märkimisväärne Linuxi- ja serverikiht ning kellele on olulised automaatne taastamine krüpteerimisrünnaku järel ja üks agent kõigile platvormidele.
- CrowdStrike Falcon: suurematele, rahvusvahelistele või reguleeritud ettevõtetele, kellel on (või kes hangivad) turvaanalüütikute ressurss ja kes soovivad modulaarset platvormi identiteedi ja haavatavuste haldamiseks.
Need ei ole reeglid, vaid lähtepunkt. On olnud juhtumeid, kus 30 töötajaga ettevõte valis emaettevõtte nõuete tõttu CrowdStrike’i, ja juhtumeid, kus 300 tööjaamaga tehas jäi GravityZone’i juurde, sest see töötas tootmisvõrgus vanemate operatsioonisüsteemidega väga hästi.
Kust alustada
- Tehke oma seadmetest inventuur: mitu Windowsi, Maci, Linuxi, virtuaalmasinat ja mobiilseadet. Ilma selle nimekirjata on iga pakkumine ligikaudne.
- Otsustage, kes konsooli haldab: ettevõttesisene spetsialist, tootja MDR või IT-partner.
- Kontrollige, millised turvafunktsioonid on teie Microsoft 365 litsentsis juba olemas. Mõnikord on osa neist juba makstud ja neid ei ole vaja dubleerida.
- Küsige kahe platvormi prooviversiooni, mitte ühe, ja laske oma IT-spetsialistil nädal aega mõlema konsooliga töötada.
- Võtke meiega ühendust: koostame teie inventuuri põhjal võrdluse ja pakume välja variandi, mida hooldatakse IT-hoolduse osana.
