CrowdStrike
CrowdStrike จากสหรัฐฯ ขาย EDR ที่ทำงานจาก Cloud ผ่านแพลตฟอร์ม Falcon จุดแข็งคือทีมล่าภัยคุกคาม (OverWatch) และบริการ Falcon Complete ที่ทีม CrowdStrike รับมือเหตุการณ์แทนคุณ ชุดสำเร็จรูป Falcon Go, Falcon Pro และ Falcon Enterprise จัดโมดูลเป็นระดับ
- สำนักงานใหญ่
- United States
- กลุ่มเป้าหมาย
- ระดับกลางระดับองค์กร
- เว็บไซต์ทางการ
- www.crowdstrike.com
เหมาะกับใคร
สถาบันการเงินและบริษัทที่มีหลายสาขา ที่ไม่มีคนเฝ้าระบบตอนกลางคืน และต้องการทีมภายนอกรับมือเหตุการณ์ 24/7
ภาพรวม
CrowdStrike คือใคร
CrowdStrike มีสำนักงานใหญ่ที่เมือง Austin รัฐ Texas สหรัฐฯ บริษัทสร้าง EDR ที่ทำงานจาก Cloud ตั้งแต่ต้น: ในเครื่องมีเพียง Sensor ตัวเล็กตัวเดียว ส่วนการวิเคราะห์และ Console อยู่บนแพลตฟอร์ม Falcon ไม่มี Server บริหารให้ตั้งในห้องของคุณ
ชื่อ CrowdStrike เป็นที่รู้จักทั่วโลกในวันที่ 19 กรกฎาคม 2024 เมื่ออัปเดต Content ที่ผิดพลาดทำให้เครื่อง Windows ประมาณ 8.5 ล้านเครื่องขึ้นจอสีฟ้า หลังเหตุการณ์นั้น CrowdStrike เปลี่ยนมาปล่อยอัปเดตเป็นขั้น ๆ และให้ลูกค้าเลือกได้ว่าจะรับอัปเดต Content เร็วหรือช้า เรื่องนี้ไม่ได้แปลว่าสินค้าไม่ดี แต่เป็นบทเรียนว่า Agent ทุกตัวที่ทำงานระดับ Kernel ต้องมีแผนกู้คืน
สินค้าเข้ากันอย่างไร
- Falcon Prevent: Antivirus รุ่นใหม่ (NGAV) ที่ไม่พึ่ง Signature อย่างเดียว
- Falcon Insight XDR: EDR เต็มรูปแบบ บันทึกทุก Process และการเชื่อมต่อเพื่อสืบสวนและตอบสนอง
- Falcon OverWatch: ทีมคนของ CrowdStrike ล่าภัยคุกคามในระบบของคุณ 24/7
- Falcon Complete: บริการ MDR ทีม CrowdStrike ไม่ได้แค่แจ้งเตือน แต่ลงมือแยกเครื่องและกำจัดภัยคุกคามให้
- Falcon Identity Protection สำหรับ Active Directory และ Entra ID, Falcon Next-Gen SIEM สำหรับรวบรวม Log
ชุดสำเร็จรูป Falcon Go, Falcon Pro และ Falcon Enterprise รวมโมดูลเหล่านี้ตามระดับ องค์กรใหญ่ซื้อแบบ Falcon Flex ได้ ใช้งบก้อนเดียวแล้วเลือกโมดูลตามต้องการ
เหมาะกับใคร
CrowdStrike เหมาะที่สุดกับองค์กรที่รู้ว่าตัวเองไม่มีทีมเฝ้าระบบตอนกลางคืน และอยากจ้างทีมภายนอกทำแทน เช่น สถาบันการเงินและบริษัทที่มีสาขาหลายแห่ง
จุดแข็ง
- Falcon Complete ให้ทีม CrowdStrike ลงมือตอบสนองเหตุการณ์แทนคุณ 24/7 ซึ่งองค์กรในลาวส่วนใหญ่สร้างเองไม่ได้
- Sensor ตัวเดียวและ Console บน Cloud: ไม่มี Server บริหารให้ดูแล และ Notebook ที่อยู่นอกสำนักงานก็ยังถูกป้องกันและรายงานได้
- ขยายจาก Endpoint ไป Identity, Cloud และ SIEM ได้โดยใช้ Sensor เดิม ไม่ต้องติดตั้ง Agent เพิ่ม
- การบันทึก Process ละเอียด ช่วยให้ตอบได้ว่าเหตุการณ์เริ่มจากเครื่องไหน เมื่อไร และลามไปถึงไหนแล้ว
สิ่งที่ควรรู้ก่อนเลือก
- ราคาต่อเครื่องสูงกว่า Antivirus ทั่วไปมาก โดยเฉพาะเมื่อรวม Falcon Complete ให้เทียบกับค่าจ้างทีม SOC เอง ไม่ใช่เทียบกับ Antivirus
- เหตุการณ์กรกฎาคม 2024 แสดงว่า Agent ระดับ Kernel ที่ผิดพลาดทำให้เครื่องทั้งหมดล่มพร้อมกันได้ ให้ตั้งนโยบายรับอัปเดตแบบเป็นขั้น เก็บ BitLocker Recovery Key ไว้ที่ที่เข้าถึงได้ และมีแผนกู้คืน
- ทุกอย่างอยู่บน Cloud ของ CrowdStrike องค์กรที่ต้องการ Console และข้อมูลอยู่ภายในเท่านั้นจะใช้ไม่ได้
- ชื่อโมดูลและชุดมีหลายแบบ ให้ระบุในใบเสนอราคาว่ารวม Insight XDR, OverWatch หรือ Complete หรือไม่ เพราะเป็นความต่างหลักของแต่ละระดับ
การใช้งานในลาว
CrowdStrike ในลาวพบส่วนใหญ่ในสถาบันการเงินและบริษัทข้ามชาติที่สำนักงานใหญ่เป็นผู้เลือก Licence ซื้อผ่านผู้จำหน่ายในไทย ไม่มีอุปกรณ์และไม่มีอะไหล่
สิ่งที่ควรเตรียม:
- อินเทอร์เน็ต: Sensor ป้องกันได้แม้ออฟไลน์ แต่การวิเคราะห์และการตอบสนองจากทีม CrowdStrike ต้องใช้อินเทอร์เน็ต สาขาที่ใช้สายเดียวควรมีสายสำรอง เช่น 4G
- แผนกู้คืน: เก็บ BitLocker Recovery Key ไว้นอกเครื่อง และมีช่างที่ไปถึงสาขาต่างแขวงได้ ถ้าต้องแก้เครื่องด้วยมือ
- ภาษาและเวลา: ทีม Falcon Complete สื่อสารเป็นภาษาอังกฤษ กำหนดให้ชัดว่าในลาวใครรับโทรศัพท์ตอนกลางคืนและมีสิทธิ์อนุมัติแยก Server ออก
วิศวกรในลาวที่เคยใช้ Falcon ยังมีน้อย แต่ Console เข้าใจง่าย และงานส่วนใหญ่ทีม CrowdStrike ทำให้
เทียบกับแบรนด์อื่น
Trend Micro เหมาะกว่าเมื่อมี Server เก่าเยอะและต้องการ Virtual Patching ส่วน Sophos มีบริการ MDR คล้ายกันและทำงานร่วมกับ Firewall ของตัวเอง ส่วนใหญ่งบต่ำกว่า ถ้าองค์กรใช้ Microsoft 365 E5 หรือ Business Premium อยู่แล้ว Microsoft Defender อาจเพียงพอ โดยเฉพาะเมื่อมีคนดู Alert ภายใน
สายผลิตภัณฑ์
- Falcon Prevent
- Falcon Insight XDR
- Falcon Complete
- Falcon OverWatch
- Falcon Identity Protection
- Falcon Next-Gen SIEM
โซลูชันที่ใช้แบรนด์นี้
คำถามที่พบบ่อย
หลังเหตุการณ์ปี 2024 ใช้ CrowdStrike ปลอดภัยไหม
สาเหตุคือไฟล์ Content ที่ผิดพลาด ไม่ใช่การถูกโจมตี และบริษัทได้เปลี่ยนวิธีปล่อยอัปเดตเป็นขั้น ๆ พร้อมให้ลูกค้าควบคุมเวลารับอัปเดต สิ่งที่คุณควรทำคือตั้งกลุ่มทดสอบให้รับอัปเดตก่อนและเตรียมแผนกู้คืน คำแนะนำนี้ใช้กับ EDR ทุกแบรนด์
องค์กร 100 เครื่องคุ้มไหมที่จะใช้ CrowdStrike
ขึ้นกับว่าใครจะดู Alert ถ้าไม่มีทีมไอทีเฝ้าและข้อมูลมีมูลค่าสูง ชุดที่รวม Falcon Complete คุ้มกว่าการจ้างคนเอง ถ้าแค่ต้องการ Antivirus ที่ดี มีทางเลือกที่งบต่ำกว่ามาก
ต้องถอน Antivirus เดิมก่อนติดตั้ง Falcon ไหม
ปกติคือใช่ การรันสอง Agent ที่สแกนพร้อมกันทำให้เครื่องช้าหรือขัดกัน วิธีที่เราใช้คือติดตั้ง Falcon ในโหมดตรวจจับอย่างเดียวก่อน ตรวจผล แล้วจึงถอน Antivirus เดิมและเปิดการป้องกันเต็ม
ชื่อแบรนด์และเครื่องหมายการค้าทั้งหมดเป็นของเจ้าของแต่ละราย การกล่าวถึงไม่ได้หมายความว่าเป็นตัวแทนอย่างเป็นทางการ เว้นแต่ระบุไว้ชัดเจน เราจัดหาสินค้าผ่านช่องทางจัดจำหน่ายที่ถูกต้อง
ส่งแปลนอาคาร หรือรูปหน้างานสักสองสามรูปมาให้เรา
เราจะถามรายละเอียดเพิ่ม แล้วส่งแบบระบบเบื้องต้นให้ ปรึกษาครั้งแรกฟรี เป็นภาษาลาว ไทย หรืออังกฤษ ทาง WhatsApp หรือเพจ Facebook