ໃນໜ້ານີ້
ຄຳຖາມທີ່ເຮົາຖາມກ່ອນແນະນຳສິນຄ້າໃດກໍຕາມ ບໍ່ແມ່ນ "ຢາກໄດ້ຍີ່ຫໍ້ໃດ?" ແຕ່ແມ່ນ "ຖ້າມີ Alert ຮ້າຍແຮງຕອນຕີສາມຄືນວັນເສົາ, ໃຜເປັນຄົນເຫັນ?" ຄຳຕອບນີ້ ຕັດສິນວ່າທ່ານຄວນຊື້ຫຍັງ ຫຼາຍກວ່າຕາຕະລາງປຽບທຽບຄຸນສົມບັດໃດໆ.
ຫ້າຄຳທີ່ຕ້ອງຮູ້
| ຄຳ | ເຮັດຫຍັງ |
|---|---|
| AV | ທຽບໄຟລ໌ກັບຖານຂໍ້ມູນ signature ຂອງມັລແວທີ່ຮູ້ຈັກແລ້ວ |
| NGAV | ເພີ່ມ machine learning ແລະ ການວິເຄາະພຶດຕິກຳ ເພື່ອບລັອກມັລແວທີ່ບໍ່ເຄີຍເຫັນມາກ່ອນ |
| EDR | ບັນທຶກກິດຈະກຳໃນເຄື່ອງຕະຫຼອດ (process, ເຄືອຂ່າຍ, registry, ການເຂົ້າໃຊ້), ກວດຫາລຳດັບທີ່ໜ້າສົງໄສ ແລະ ມີເຄື່ອງມືຕອບສະໜອງທາງໄກ |
| XDR | ເຊື່ອມຂໍ້ມູນ EDR ກັບ email, identity, firewall ແລະ cloud ເພື່ອເຫັນເຫດການທັງໝົດໃນບ່ອນດຽວ |
| MDR | ເປັນບໍລິການ: ນັກວິເຄາະພາຍນອກເບິ່ງ Alert ແລະ ຕອບສະໜອງແທນທ່ານ 24/7 |
ສິນຄ້າສ່ວນຫຼາຍໃນປີ 2026 ລວມ NGAV ແລະ EDR ໄວ້ໃນ agent ດຽວ. ຄວາມຕ່າງຢູ່ທີ່ລະດັບໃບອະນຸຍາດ ແລະ ໃຜເປັນຄົນອ່ານຂໍ້ມູນ.
ແຕ່ລະຍີ່ຫໍ້ເອີ້ນວ່າຫຍັງ
| ຍີ່ຫໍ້ | ລະດັບ EDR | ບໍລິການ MDR |
|---|---|---|
| Microsoft | Defender for Business (ມີໃນ Microsoft 365 Business Premium), Defender for Endpoint P1/P2 | ຜ່ານບໍລິການຂອງ Microsoft ຫຼື ຜູ້ໃຫ້ບໍລິການພາຍນອກ |
| CrowdStrike | Falcon Go, Pro, Enterprise | Falcon Complete |
| Sophos | Intercept X ພ້ອມ EDR/XDR | Sophos MDR; Sophos ຊື້ Secureworks (Taegis) ສຳເລັດໃນຕົ້ນປີ 2025 |
| ESET | ESET PROTECT ຫຼາຍລະດັບ | ESET MDR |
| Trend Micro | Vision One | ບໍລິການ MDR ຂອງ Trend Micro |
| Kaspersky | Kaspersky Next (ຫຼາຍລະດັບ EDR/XDR) | Kaspersky MDR |
ໝາຍເຫດທີ່ເປັນກາງ: ຕັ້ງແຕ່ປີ 2024 ສະຫະລັດອາເມລິກາຫ້າມຂາຍ ແລະ ອັບເດດສິນຄ້າ Kaspersky ໃນປະເທດຂອງຕົນ. ໃນລາວຍັງໃຊ້ໄດ້ຕາມປົກກະຕິ, ແຕ່ຖ້າອົງກອນຂອງທ່ານມີບໍລິສັດແມ່ ຫຼື ຜູ້ໃຫ້ທຶນທີ່ກ່ຽວພັນກັບສະຫະລັດ ໃຫ້ກວດນະໂຍບາຍຂອງເຂົາເຈົ້າກ່ອນ.
ເປັນຫຍັງ AV ຢ່າງດຽວບໍ່ພໍ
ການໂຈມຕີຫຼາຍຢ່າງໃນປັດຈຸບັນ ບໍ່ມີໄຟລ໌ມັລແວໃຫ້ສະແກນເລີຍ:
- ຜູ້ໂຈມຕີເຂົ້າໃຊ້ດ້ວຍລະຫັດທີ່ຖືກລັກ ຜ່ານ VPN ຫຼື RDP
- ໃຊ້ເຄື່ອງມືທີ່ມີໃນ Windows ຢູ່ແລ້ວ ເຊັ່ນ PowerShell, WMI ແລະ PsExec ("living off the land")
- ຕິດຕັ້ງຊອບແວຄວບຄຸມທາງໄກທີ່ໃຊ້ກັນທົ່ວໄປ ເພື່ອຄວບຄຸມເຄື່ອງ
AV ບໍ່ເຫັນສິ່ງເຫຼົ່ານີ້ ເພາະບໍ່ມີອັນໃດເປັນ "ໄຟລ໌ບໍ່ດີ". EDR ເຫັນ ເພາະມັນເບິ່ງລຳດັບ: Outlook ເປີດ Excel, Excel ເອີ້ນ PowerShell, PowerShell ດາວໂຫຼດບາງຢ່າງ ແລະ ເຊື່ອມຕໍ່ IP ທີ່ບໍ່ຄຸ້ນເຄີຍ. ແຕ່ລະຂັ້ນເບິ່ງປົກກະຕິ, ແຕ່ລຳດັບທັງໝົດບໍ່ປົກກະຕິ.
EDR ຍັງຈັບພຶດຕິກຳທີ່ເກີດກ່ອນ ransomware: ການລັກລະຫັດຈາກໜ່ວຍຄວາມຈຳ (LSASS), ການລຶບ volume shadow copy, ການປິດບໍລິການຄວາມປອດໄພ. ເມື່ອຈັບໄດ້ ມັນສາມາດແຍກເຄື່ອງອອກຈາກເຄືອຂ່າຍ (ແຕ່ຍັງເຊື່ອມກັບ console), ຂ້າ process ແລະ ໃນບາງສິນຄ້າ ກູ້ໄຟລ໌ທີ່ຖືກເຂົ້າລະຫັດຄືນໄດ້.
ຕົວຢ່າງເສັ້ນເວລາຂອງເຫດການໜຶ່ງ
ນີ້ແມ່ນຮູບແບບທີ່ພົບເລື້ອຍ ບໍ່ແມ່ນເຫດການຂອງລູກຄ້າໃດ:
- ວັນສຸກ 18:00 ລະຫັດ VPN ຂອງພະນັກງານທີ່ຖືກລັກຈາກ phishing ຖືກໃຊ້ເຂົ້າລະບົບ.
- ວັນສຸກ 23:00 ຜູ້ໂຈມຕີສຳຫຼວດເຄືອຂ່າຍດ້ວຍເຄື່ອງມື Windows ແລະ ລັກລະຫັດ admin ຈາກໜ່ວຍຄວາມຈຳ.
- ວັນເສົາ 02:00 ລຶບ shadow copy, ປິດ backup agent ແລະ ເລີ່ມເຂົ້າລະຫັດ.
AV ອາດບໍ່ເຫັນຫຍັງຈົນຮອດຂັ້ນທີ 3. EDR ທີ່ຕັ້ງຄ່າດີ ຈະແຈ້ງຢູ່ຂັ້ນທີ 2. ແຕ່ຖ້າບໍ່ມີໃຜອ່ານ Alert ລະຫວ່າງ 23:00 ຫາ 02:00, ຜົນກໍຄືກັນ. ນີ້ແມ່ນເຫດຜົນທີ່ຄຳຖາມ "ໃຜເຫັນ Alert" ສຳຄັນກວ່າຍີ່ຫໍ້.
ບັນຫາແທ້: Alert ທີ່ບໍ່ມີໃຜອ່ານ
EDR ສ້າງ Alert. ບາງອັນສຳຄັນ, ຫຼາຍອັນບໍ່ສຳຄັນ. ຖ້າບໍ່ມີໃຜຄັດແຍກ ແລະ ຕັດສິນໃຈ, EDR ກໍກາຍເປັນ antivirus ລາຄາແພງ. ອົງກອນສ່ວນຫຼາຍໃນລາວ ມີພະນັກງານ IT ໜຶ່ງຫາສາມຄົນ ທີ່ດູແລທຸກຢ່າງຕັ້ງແຕ່ເຄື່ອງພິມຈົນຮອດ ERP. ການຫວັງໃຫ້ເຂົາເຈົ້າເບິ່ງ console EDR ທຸກມື້ ລວມທັງວັນພັກ ບໍ່ເປັນຄວາມຈິງ.
ທາງເລືອກທີ່ໃຊ້ໄດ້ແທ້:
| ສະຖານະການ | ສິ່ງທີ່ເຮົາແນະນຳ |
|---|---|
| ຕ່ຳກວ່າ 25 ເຄື່ອງ, ບໍ່ມີ IT ເຕັມເວລາ | NGAV/EDR ທີ່ມີ cloud console ແລະ ຕອບສະໜອງອັດຕະໂນມັດ (auto-isolate ເມື່ອກວດພົບແບບໝັ້ນໃຈສູງ) |
| 25–500 ເຄື່ອງ, ທີມ IT ນ້ອຍ | EDR ບວກ MDR: ນັກວິເຄາະພາຍນອກເບິ່ງ 24/7 ແລະ ໂທຫາທ່ານເມື່ອຕ້ອງຕັດສິນໃຈ |
| ອົງກອນໃຫຍ່ ຫຼື ມີຂໍ້ມູນການເງິນທີ່ອ່ອນໄຫວ | EDR/XDR ພ້ອມ SOC ພາຍໃນ ຫຼື ແບບປະສົມ |
ທັດສະນະຂອງເຮົາ: ສຳລັບອົງກອນ 50–200 ຄົນສ່ວນຫຼາຍ, EDR ລະດັບກາງບວກ MDR ໃຫ້ຜົນຫຼາຍກວ່າ XDR ລະດັບສູງສຸດທີ່ບໍ່ມີໃຜມີເວລາໃຊ້.
ຕົວຢ່າງ: ບໍລິສັດ 80 ເຄື່ອງ, IT ສອງຄົນ
ສົມມຸດມີ PC ແລະ notebook 75 ເຄື່ອງ, server Windows 4 ເຄື່ອງ ແລະ server Linux 1 ເຄື່ອງ ທີ່ແລ່ນ ERP. ພະນັກງານໃຊ້ Microsoft 365 Business Premium ຢູ່ແລ້ວ.
- PC ແລະ notebook: Defender for Business ທີ່ມີໃນໃບອະນຸຍາດຢູ່ແລ້ວ, ບໍ່ຕ້ອງຊື້ agent ໃໝ່
- Server: ໃບອະນຸຍາດ server ແຍກ ລວມທັງ server Linux ທີ່ມັກຖືກລືມ
- ການເບິ່ງ Alert: ບໍລິການ MDR ທີ່ເບິ່ງ console ດຽວກັນ 24/7 ແລະ ມີສິດແຍກເຄື່ອງໄດ້ເອງ
- ສິ່ງທີ່ IT ສອງຄົນເຮັດ: ກວດລາຍງານປະຈຳອາທິດ, ອັບເດດ Windows, ແລະ ຮັບສາຍເມື່ອ MDR ໂທມາ
ຖ້າບໍລິສັດດຽວກັນບໍ່ມີ Business Premium, ທາງເລືອກແມ່ນ EDR ຈາກຍີ່ຫໍ້ອື່ນ ທີ່ມີ MDR ຂອງຕົນເອງ. ສິ່ງທີ່ບໍ່ຄວນເຮັດແມ່ນຈ່າຍສອງເທື່ອ: Defender ທີ່ມີຢູ່ແລ້ວ ບວກກັບ EDR ອີກຍີ່ຫໍ້ ໂດຍບໍ່ມີໃຜເບິ່ງທັງສອງ.
ຕິດຕັ້ງແນວໃດ ບໍ່ໃຫ້ວຸ້ນວາຍ
- ລົງບັນຊີທຸກເຄື່ອງ ລວມທັງ server, notebook ຜູ້ບໍລິຫານ ແລະ PC ໃນສາຍການຜະລິດ. ເຄື່ອງທີ່ບໍ່ມີ agent ແມ່ນບ່ອນທີ່ຜູ້ໂຈມຕີລົງຈອດ.
- ຖອນ AV ເກົ່າອອກ ກ່ອນ. ສອງ engine ໃນເຄື່ອງດຽວ ມັກຂັດກັນ ແລະ ເຮັດໃຫ້ຊ້າ.
- Pilot 1–2 ອາທິດ ໃນໂໝດ detect/audit ກັບກຸ່ມທີ່ຫຼາກຫຼາຍ (ບັນຊີ, ວິສະວະກອນ, server ໜຶ່ງເຄື່ອງ).
- ຍົກເວັ້ນໃຫ້ແຄບ. ຖ້າ ERP ຫຼື ຖານຂໍ້ມູນຊ້າ ໃຫ້ຍົກເວັ້ນສະເພາະ process ຫຼື ໂຟນເດີຂໍ້ມູນທີ່ຜູ້ຂາຍ ERP ແນະນຳ. ບໍ່ແມ່ນທັງໄດຣຟ໌.
- ເປີດ prevention ແລະ tamper protection ທຸກເຄື່ອງ. ຖ້າບໍ່ມີ tamper protection, ມັລແວທີ່ມີສິດ admin ປິດ agent ໄດ້.
- ອັບເດດເປັນວົງ. ສົ່ງ agent ລຸ້ນໃໝ່ໃຫ້ກຸ່ມນ້ອຍກ່ອນ ແລ້ວຈຶ່ງທຸກຄົນ. ການອັບເດດຊອບແວຄວາມປອດໄພທີ່ຜິດພາດ ເຄີຍເຮັດໃຫ້ເຄື່ອງ Windows ຈຳນວນມະຫາສານທົ່ວໂລກເປີດບໍ່ຂຶ້ນພ້ອມກັນມາແລ້ວ.
- ຂຽນໄວ້ວ່າໃຜຮັບ Alert ແລະ ຕ້ອງຕອບສະໜອງພາຍໃນເວລາເທົ່າໃດ.
ສະພາບໜ້າງານໃນລາວ
ອິນເຕີເນັດບໍ່ໝັ້ນຄົງ. ສາຂາຕ່າງແຂວງ ແລະ ບໍ່ແຮ່ ອາດຂາດການເຊື່ອມຕໍ່ຫຼາຍຊົ່ວໂມງ. ກວດວ່າ agent ຍັງປ້ອງກັນ ແລະ ບລັອກໄດ້ຂະນະ offline, ແລະ ສົ່ງ telemetry ທີ່ຄ້າງໄວ້ເມື່ອເຊື່ອມຕໍ່ຄືນ.
ເຄື່ອງເກົ່າ. PC ທີ່ຄວບຄຸມເຄື່ອງຈັກ ຫຼື ເຄື່ອງສະແກນລາຍນິ້ວມື ມັກໃຊ້ Windows ລຸ້ນທີ່ໝົດການຊ່ວຍເຫຼືອແລ້ວ. ຖາມຜູ້ຂາຍໃຫ້ຊັດວ່າ agent ຮອງຮັບລຸ້ນໃດ. ຖ້າບໍ່ຮອງຮັບ ໃຫ້ແຍກເຄື່ອງເຫຼົ່ານັ້ນໄປໄວ້ VLAN ຂອງຕົນເອງ ທີ່ຈຳກັດດ້ວຍ firewall.
Server Linux. ຢ່າລືມ server ທີ່ແລ່ນເວັບ, ຖານຂໍ້ມູນ ຫຼື ຊອບແວ CCTV ເທິງ Linux.
ພາສາ. MDR ສ່ວນຫຼາຍລາຍງານເປັນພາສາອັງກິດ. ກວດວ່າຄົນທີ່ຮັບສາຍຕອນກາງຄືນເຂົ້າໃຈພາສານັ້ນພໍ ທີ່ຈະຕັດສິນໃຈໄດ້.
ສີ່ຕົວເລກທີ່ຄວນເບິ່ງທຸກເດືອນ
ເມື່ອລະບົບໃຊ້ງານແລ້ວ, ການທົບທວນສັ້ນໆທຸກເດືອນ ບອກໄດ້ວ່າເງິນທີ່ຈ່າຍໄປໄດ້ຜົນບໍ:
- ຄວາມຄອບຄຸມ: ເຄື່ອງທີ່ agent ປົກກະຕິ ÷ ເຄື່ອງໃນທະບຽນຊັບສິນ. ຕ່ຳກວ່າ 95% ໝາຍຄວາມວ່າມີເຄື່ອງລີ້ຢູ່ບ່ອນໃດບ່ອນໜຶ່ງ.
- ເວລາຈົນມີຄົນເບິ່ງ: Alert ຮ້າຍແຮງລໍຖ້າດົນປານໃດ ກວ່າຈະມີຄົນເບິ່ງ. ຂໍຕົວເລກນີ້ຈາກຜູ້ໃຫ້ບໍລິການ MDR.
- Agent ທີ່ລ້າສະໄໝ: ເຄື່ອງທີ່ຕາມຫຼັງເກີນໜຶ່ງລຸ້ນ, ສ່ວນຫຼາຍແມ່ນ notebook ທີ່ບໍ່ຄ່ອຍກັບເຂົ້າຫ້ອງການ.
- ລາຍການຍົກເວັ້ນ: ຄວນສັ້ນລົງເລື້ອຍໆ ບໍ່ແມ່ນຍາວຂຶ້ນ.
ຄຳຖາມທີ່ຄວນຖາມຜູ້ຂາຍ
- Console ແລະ telemetry ເກັບໄວ້ປະເທດ ຫຼື ພາກພື້ນໃດ?
- ໃບອະນຸຍາດທີ່ສະເໜີ ເກັບປະຫວັດເຫດການໄດ້ຈັກມື້?
- Agent ໃຊ້ CPU ແລະ RAM ເທົ່າໃດ ໃນ PC ເກົ່າ RAM 8 GB?
- ມີການແຍກເຄື່ອງອັດຕະໂນມັດ ແລະ rollback ບໍ, ໃນໃບອະນຸຍາດລະດັບໃດ?
- ສຳລັບ MDR: ໃຜຕອບສະໜອງ, ພາຍໃນຈັກນາທີ, ມີສິດແຍກເຄື່ອງເອງບໍ, ແລະ ໂທຫາໃຜ ເປັນພາສາຫຍັງ?
- ຄວບຄຸມໄດ້ບໍວ່າ ອັບເດດ agent ອອກເມື່ອໃດ ແລະ ໃຫ້ກຸ່ມໃດ?
ຍີ່ຫໍ້ທີ່ເຮົາສະໜອງ ແລະ ຕິດຕັ້ງ ລວມມີ CrowdStrike, Microsoft, Sophos, Trend Micro, ESET ແລະ Kaspersky. ທຸກຍີ່ຫໍ້ມີ EDR ທີ່ໃຊ້ໄດ້ດີ. ການເລືອກມັກຂຶ້ນກັບໃບອະນຸຍາດທີ່ທ່ານມີຢູ່ແລ້ວ ແລະ ທາງເລືອກ MDR ຂອງແຕ່ລະຍີ່ຫໍ້. ອ່ານເພີ່ມທີ່ Endpoint protection ແລະ EDR ແລະ ລາຍການກວດ ransomware.
ຕອບຄຳຖາມດຽວໃຫ້ເຮົາ
ໃຜເຫັນ Alert ຕອນຕີສາມຄືນວັນເສົາ? ບອກເຮົາ ພ້ອມຈຳນວນ PC ແລະ server, ແລະ ໃບອະນຸຍາດ Microsoft 365 ທີ່ມີ. ເຮົາຈະສະເໜີສອງທາງເລືອກ: ແບບທີ່ທີມຂອງທ່ານດູແລເອງ ແລະ ແບບທີ່ມີ MDR, ພ້ອມຂອບເຂດ pilot ສອງອາທິດ.
- #antivirus
- #edr
- #xdr
- #mdr
- #endpoint-security
