Gdy klient pyta, która platforma EDR jest najlepsza, Bitdefender GravityZone, SentinelOne czy CrowdStrike, odpowiadamy, że pytanie jest źle postawione. Wszystkie trzy są poważnymi produktami, wszystkie zatrzymują współczesne ataki i wszystkie trzy wdrażamy u naszych klientów. Różnica nie polega na tym, która jest „silniejsza”, lecz na tym, która pasuje do konkretnej firmy, jej infrastruktury i osób, które będą ją administrować.
To nie jest ranking. Niezależne testy publikują wyspecjalizowane laboratoria, a ich wyniki zmieniają się z roku na rok. Piszemy o czymś innym: o kryteriach, które stosujemy, gdy firma z 30, 80 czy 300 stanowiskami prosi nas o propozycję ochrony.
W tym artykule opisujemy pięć pytań, które zadajemy przed złożeniem propozycji, oraz to, kiedy zwykle polecamy każdą z platform.
Pierwsze pytanie: ile urządzeń i jakich
Liczba stanowisk ma znaczenie, ale ważniejsza jest ich mieszanka. Same komputery z Windows to jedna sytuacja. Środowisko mieszane z komputerami Mac, serwerami Linux, maszynami wirtualnymi na VMware i kilkudziesięcioma urządzeniami mobilnymi to inna.
Wszystkie trzy platformy obsługują główne systemy operacyjne, ale głębokość tej obsługi jest różna. Bitdefender GravityZone ma bardzo dojrzałą obsługę środowisk zwirtualizowanych: agent prawie nie obciąża hiperwizora, co cenimy we własnej chmurze. SentinelOne jest mocny w środowiskach Linux i kontenerowych, gdzie serwery i stanowiska pracy potrzebują tego samego agenta. CrowdStrike historycznie skupia się na dużych, rozproszonych geograficznie środowiskach z tysiącami urządzeń i bardzo lekkim agentem.
Jeśli klient ma 40 komputerów i dwa serwery, pasują wszystkie trzy i zdecydują inne kryteria. Jeśli ma 400 urządzeń w pięciu krajach, ocena wygląda inaczej.
Pytamy też o pracowników zdalnych. Jeśli połowa zespołu pracuje z domu, a komputery rzadko łączą się z siecią firmową, agent musi odbierać polityki i wysyłać zdarzenia przez internet bez VPN. Wszystkie trzy to potrafią, ale zachowują się inaczej, gdy przez kilka dni z rzędu nie ma połączenia.
Drugie pytanie: kto będzie administrować konsolą
W małych i średnich firmach to najczęściej kryterium rozstrzygające. Platforma EDR, której konsoli nikt nie otwiera, to tylko drogi antywirus.
Z naszego doświadczenia konsola GravityZone jest najprostsza dla początkującego administratora: polityki, raporty i alerty są ułożone tak, że w godzinę można zrozumieć, co się dzieje. Dlatego najczęściej proponujemy ją firmom, w których za wszystko odpowiada jeden specjalista IT.
Konsola SentinelOne jest potężniejsza, ale wymaga więcej nauki. Łańcuchy zdarzeń (Storyline) i automatyczne odtwarzanie po ataku (rollback) to bardzo silne narzędzia, ale trzeba umieć je czytać i zaufać automatyce.
Konsola CrowdStrike Falcon jest zbudowana dla analityka bezpieczeństwa, a nie dla uniwersalnego specjalisty IT. Jej wartość widać, gdy ktoś na co dzień zajmuje się threat huntingiem. W małej firmie bez takiej osoby duża część możliwości pozostaje niewykorzystana.
Jeśli to my administrujemy konsolą, w ramach opieki IT, kryterium to traci na znaczeniu, bo nasz zespół pracuje ze wszystkimi trzema na co dzień.
Trzecie pytanie: jak liczona jest cena
Nie podajemy tu cen, ale logika kalkulacji jest różna i warto ją rozumieć, zanim zaczniesz porównywać oferty.
Wszystkie trzy są licencjonowane na urządzenie rocznie. Różnice:
- Pakiety Bitdefender GravityZone są podzielone według funkcji, od podstawowej ochrony po EDR, XDR i MDR. Serwery i stanowiska pracy często liczy się inaczej, a maszyny wirtualne mogą być licencjonowane według rdzeni hiperwizora.
- Poziomy SentinelOne różnią się funkcjami; wyższe dodają kontrolę urządzeń, kontrolę USB, widoczność sieci i dłuższe przechowywanie danych.
- CrowdStrike jest sprzedawany w modułach: podstawowy EDR, ochrona tożsamości, zarządzanie podatnościami, threat intelligence. Każdy moduł to osobna pozycja, a suma zależy od tego, ile ich wybierzesz.
Wniosek praktyczny: porównując oferty, porównuj ten sam zestaw funkcji, a nie tylko cenę za urządzenie. Najtańszy pakiet podstawowy bez EDR nie jest alternatywą dla pakietu EDR innej platformy, choć w tabeli wygląda atrakcyjniej.
Jeszcze jeden niuans to okres licencji. Umowa trzyletnia jest zwykle tańsza niż roczna, ale wiąże firmę z platformą na czas, w którym infrastruktura może się mocno zmienić. Rosnącym firmom proponujemy licencje roczne z możliwością dokupienia urządzeń, a stabilnym – dłuższe okresy.
Czwarte pytanie: z czym musi się integrować
Jeśli firma żyje w środowisku Microsoft 365, ważne jest, jak platforma łączy się z Entra ID i sygnałami Microsoft Defender. Wszystkie trzy mają integracje, ale o różnej głębokości, a część funkcji pokrywa się z tym, co jest już opłacone w licencji Microsoft.
Jeśli jest SIEM albo jest planowany, sprawdzamy eksport logów. Jeśli używane są kopie zapasowe Veeam, pomaga to, gdy EDR potrafi oznaczyć zainfekowany punkt odtwarzania. Jeśli firma zarządza urządzeniami mobilnymi, pytamy, czy potrzebny będzie osobny MDM, czy platforma go pokrywa.
GravityZone jest zintegrowany bezpośrednio w naszej chmurze: serwery w chmurze są wynajmowane z już zainstalowaną ochroną, więc dla klienta przenoszącego do nas serwery to naturalny wybór, bez dodatkowej instalacji i bez osobnej konsoli.
Piąte pytanie: czy potrzebny jest MDR
Wszyscy trzej producenci oferują własną usługę MDR: analityków, którzy monitorują alerty całą dobę. Jeśli klient chce MDR producenta, różnice dotyczą czasu reakcji, formatu raportów i języka używanego podczas incydentu.
Najczęściej nasi klienci wybierają inną opcję: platformą administruje i monitoruje nasz zespół, który zna ich środowisko i wie, który nocny proces to zamknięcie miesiąca, a który nie. Wtedy platformą może być każda z trzech, a nasza reakcja od 30 minut obowiązuje tak samo.
W obu przypadkach z góry ustalamy, co analityk może zrobić bez pytania: odizolować stanowisko pracy – tak; wyłączyć serwer produkcyjny – dopiero po telefonie. Bez takiego uzgodnienia usługa MDR jest albo zbyt ostrożna, albo zbyt samodzielna, i jedno, i drugie kosztuje klienta.
Kiedy proponujemy którą
Podsumowując naszą praktykę:
- Bitdefender GravityZone: dla firm do około 150 stanowisk, z zwirtualizowanymi serwerami, w których konsolą będzie administrować jeden specjalista IT albo my. Także dla wszystkich naszych klientów chmury.
- SentinelOne Singularity: dla firm ze znaczną warstwą Linux i serwerów, dla których liczy się automatyczne odtwarzanie po ataku szyfrującym i jeden agent dla wszystkich platform.
- CrowdStrike Falcon: dla większych, międzynarodowych lub regulowanych firm, które mają (lub kupują) zasoby analityka bezpieczeństwa i chcą modułowej platformy do zarządzania tożsamością i podatnościami.
To nie są reguły, lecz punkt wyjścia. Zdarzały się firmy z 30 pracownikami, które wybrały CrowdStrike z powodu wymagań spółki-matki, i fabryki z 300 stanowiskami, które zostały przy GravityZone, bo bardzo dobrze sprawdzał się w sieci produkcyjnej ze starszymi systemami operacyjnymi.
Od czego zacząć
- Zrób inwentaryzację urządzeń: ile jest Windows, Maców, Linuksów, maszyn wirtualnych i urządzeń mobilnych. Bez tej listy każda propozycja będzie szacunkowa.
- Zdecyduj, kto będzie administrować konsolą: specjalista wewnętrzny, MDR producenta czy partner IT.
- Sprawdź, jakie funkcje bezpieczeństwa masz już w licencji Microsoft 365. Czasem część z nich jest już opłacona i nie trzeba jej dublować.
- Poproś o wersję próbną dwóch platform, nie jednej, i pozwól specjaliście IT przez tydzień pracować z obiema konsolami.
- Skontaktuj się z nami: przygotujemy porównanie na podstawie Twojej inwentaryzacji i zaproponujemy wariant, który będzie utrzymywany w ramach opieki IT.
