ในหน้านี้
คำถามที่เราถามก่อนแนะนำสินค้าใดก็ตาม ไม่ใช่ "อยากได้ยี่ห้อไหน?" แต่เป็น "ถ้ามี Alert ร้ายแรงตอนตีสามคืนวันเสาร์ ใครเป็นคนเห็น?" คำตอบนี้ตัดสินว่าคุณควรซื้ออะไร มากกว่าตารางเปรียบเทียบฟีเจอร์ใดๆ
ห้าคำที่ต้องรู้
| คำ | ทำอะไร |
|---|---|
| AV | เทียบไฟล์กับฐานข้อมูล signature ของมัลแวร์ที่รู้จักแล้ว |
| NGAV | เพิ่ม machine learning และการวิเคราะห์พฤติกรรม เพื่อบล็อกมัลแวร์ที่ไม่เคยเห็นมาก่อน |
| EDR | บันทึกกิจกรรมในเครื่องตลอดเวลา (process เครือข่าย registry การล็อกอิน) ตรวจหาลำดับที่น่าสงสัย และมีเครื่องมือตอบสนองระยะไกล |
| XDR | เชื่อมข้อมูล EDR กับอีเมล identity firewall และ cloud เพื่อเห็นเหตุการณ์ทั้งหมดในที่เดียว |
| MDR | เป็นบริการ: นักวิเคราะห์ภายนอกดู Alert และตอบสนองแทนคุณ 24/7 |
สินค้าส่วนใหญ่ในปี 2026 รวม NGAV และ EDR ไว้ใน agent เดียว ความต่างอยู่ที่ระดับไลเซนส์ และใครเป็นคนอ่านข้อมูล
แต่ละยี่ห้อเรียกว่าอะไร
| ยี่ห้อ | ระดับ EDR | บริการ MDR |
|---|---|---|
| Microsoft | Defender for Business (มีใน Microsoft 365 Business Premium), Defender for Endpoint P1/P2 | ผ่านบริการของ Microsoft หรือผู้ให้บริการภายนอก |
| CrowdStrike | Falcon Go, Pro, Enterprise | Falcon Complete |
| Sophos | Intercept X พร้อม EDR/XDR | Sophos MDR; Sophos ซื้อ Secureworks (Taegis) เสร็จในต้นปี 2025 |
| ESET | ESET PROTECT หลายระดับ | ESET MDR |
| Trend Micro | Vision One | บริการ MDR ของ Trend Micro |
| Kaspersky | Kaspersky Next (หลายระดับ EDR/XDR) | Kaspersky MDR |
หมายเหตุแบบเป็นกลาง: ตั้งแต่ปี 2024 สหรัฐอเมริกาห้ามขายและอัปเดตสินค้า Kaspersky ในประเทศของตน ในลาวยังใช้ได้ตามปกติ แต่ถ้าองค์กรของคุณมีบริษัทแม่หรือผู้ให้ทุนที่เกี่ยวข้องกับสหรัฐ ให้ตรวจนโยบายของเขาก่อน
ทำไม AV อย่างเดียวไม่พอ
การโจมตีจำนวนมากทุกวันนี้ไม่มีไฟล์มัลแวร์ให้สแกนเลย:
- ผู้โจมตีล็อกอินด้วยรหัสที่ขโมยมา ผ่าน VPN หรือ RDP
- ใช้เครื่องมือที่มีใน Windows อยู่แล้ว เช่น PowerShell, WMI และ PsExec ("living off the land")
- ติดตั้งซอฟต์แวร์รีโมตที่ถูกลิขสิทธิ์เพื่อควบคุมเครื่อง
AV มองไม่เห็นสิ่งเหล่านี้ เพราะไม่มีอะไรเป็น "ไฟล์ไม่ดี" EDR เห็น เพราะมันดูลำดับ: Outlook เปิด Excel, Excel เรียก PowerShell, PowerShell ดาวน์โหลดบางอย่างและเชื่อมต่อ IP ที่ไม่คุ้นเคย แต่ละขั้นดูปกติ แต่ทั้งลำดับไม่ปกติ
EDR ยังจับพฤติกรรมที่เกิดก่อน ransomware: การขโมยรหัสจากหน่วยความจำ (LSASS) การลบ volume shadow copy การปิดบริการความปลอดภัย เมื่อจับได้ มันแยกเครื่องออกจากเครือข่ายได้ (โดยยังเชื่อมกับ console) ฆ่า process และในบางสินค้า กู้ไฟล์ที่ถูกเข้ารหัสคืนได้
ตัวอย่างไทม์ไลน์ของเหตุการณ์หนึ่ง
นี่คือรูปแบบที่พบบ่อย ไม่ใช่เหตุการณ์ของลูกค้ารายใด:
- วันศุกร์ 18:00 รหัส VPN ของพนักงานที่ถูกขโมยจาก phishing ถูกใช้ล็อกอิน
- วันศุกร์ 23:00 ผู้โจมตีสำรวจเครือข่ายด้วยเครื่องมือ Windows และขโมยรหัส admin จากหน่วยความจำ
- วันเสาร์ 02:00 ลบ shadow copy ปิด backup agent และเริ่มเข้ารหัส
AV อาจไม่เห็นอะไรจนถึงขั้นที่ 3 EDR ที่ตั้งค่าดีจะแจ้งตั้งแต่ขั้นที่ 2 แต่ถ้าไม่มีใครอ่าน Alert ระหว่าง 23:00 ถึง 02:00 ผลก็เหมือนกัน นี่คือเหตุผลที่คำถาม "ใครเห็น Alert" สำคัญกว่ายี่ห้อ
ปัญหาจริง: Alert ที่ไม่มีใครอ่าน
EDR สร้าง Alert บางตัวสำคัญ หลายตัวไม่สำคัญ ถ้าไม่มีใครคัดแยกและตัดสินใจ EDR ก็กลายเป็น antivirus ราคาแพง องค์กรส่วนใหญ่ในลาวมีพนักงานไอทีหนึ่งถึงสามคน ที่ดูแลทุกอย่างตั้งแต่เครื่องพิมพ์ไปจนถึง ERP การหวังให้เขาดู console EDR ทุกวันรวมวันหยุด ไม่ใช่เรื่องจริง
ทางเลือกที่ใช้ได้จริง:
| สถานการณ์ | สิ่งที่เราแนะนำ |
|---|---|
| ต่ำกว่า 25 เครื่อง ไม่มีไอทีเต็มเวลา | NGAV/EDR ที่มี cloud console และตอบสนองอัตโนมัติ (auto-isolate เมื่อตรวจพบแบบมั่นใจสูง) |
| 25–500 เครื่อง ทีมไอทีเล็ก | EDR บวก MDR: นักวิเคราะห์ภายนอกดู 24/7 และโทรหาคุณเมื่อต้องตัดสินใจ |
| องค์กรใหญ่หรือมีข้อมูลการเงินที่อ่อนไหว | EDR/XDR พร้อม SOC ภายในหรือแบบผสม |
มุมมองของเรา: องค์กร 50–200 คนส่วนใหญ่ EDR ระดับกลางบวก MDR ให้ผลมากกว่า XDR ระดับสูงสุดที่ไม่มีใครมีเวลาใช้
ตัวอย่าง: บริษัท 80 เครื่อง ไอทีสองคน
สมมุติมี PC และโน้ตบุ๊ก 75 เครื่อง เซิร์ฟเวอร์ Windows 4 เครื่อง และเซิร์ฟเวอร์ Linux 1 เครื่องที่รัน ERP พนักงานใช้ Microsoft 365 Business Premium อยู่แล้ว
- PC และโน้ตบุ๊ก: Defender for Business ที่มีในไลเซนส์อยู่แล้ว ไม่ต้องซื้อ agent ใหม่
- เซิร์ฟเวอร์: ไลเซนส์เซิร์ฟเวอร์แยก รวมถึงเซิร์ฟเวอร์ Linux ที่มักถูกลืม
- การดู Alert: บริการ MDR ที่ดู console เดียวกัน 24/7 และมีสิทธิ์แยกเครื่องได้เอง
- งานของไอทีสองคน: ตรวจรายงานประจำสัปดาห์ อัปเดต Windows และรับสายเมื่อ MDR โทรมา
ถ้าบริษัทเดียวกันไม่มี Business Premium ทางเลือกคือ EDR ยี่ห้ออื่นที่มี MDR ของตัวเอง สิ่งที่ไม่ควรทำคือจ่ายสองต่อ: Defender ที่มีอยู่แล้ว บวก EDR อีกยี่ห้อ โดยไม่มีใครดูทั้งสองตัว
ติดตั้งอย่างไรไม่ให้วุ่นวาย
- ทำบัญชีทุกเครื่อง รวมเซิร์ฟเวอร์ โน้ตบุ๊กผู้บริหาร และ PC ในสายการผลิต เครื่องที่ไม่มี agent คือจุดที่ผู้โจมตีลงจอด
- ถอน AV เก่าออก ก่อน สอง engine ในเครื่องเดียวมักขัดกันและทำให้ช้า
- Pilot 1–2 สัปดาห์ ในโหมด detect/audit กับกลุ่มที่หลากหลาย (บัญชี วิศวกร เซิร์ฟเวอร์หนึ่งเครื่อง)
- ยกเว้นให้แคบ ถ้า ERP หรือฐานข้อมูลช้า ให้ยกเว้นเฉพาะ process หรือโฟลเดอร์ข้อมูลที่ผู้ขาย ERP แนะนำ ไม่ใช่ทั้งไดรฟ์
- เปิด prevention และ tamper protection ทุกเครื่อง ถ้าไม่มี tamper protection มัลแวร์ที่มีสิทธิ์ admin ปิด agent ได้
- อัปเดตเป็นวง ส่ง agent รุ่นใหม่ให้กลุ่มเล็กก่อน แล้วค่อยทุกคน การอัปเดตซอฟต์แวร์ความปลอดภัยที่ผิดพลาดเคยทำให้เครื่อง Windows จำนวนมหาศาลทั่วโลกบูตไม่ขึ้นพร้อมกันมาแล้ว
- เขียนไว้ว่าใครรับ Alert และต้องตอบสนองภายในเวลาเท่าไร
สภาพหน้างานในลาว
อินเทอร์เน็ตไม่เสถียร สาขาต่างแขวงและเหมืองอาจขาดการเชื่อมต่อหลายชั่วโมง ตรวจว่า agent ยังป้องกันและบล็อกได้ขณะ offline และส่ง telemetry ที่ค้างไว้เมื่อเชื่อมต่อใหม่
เครื่องเก่า PC ที่คุมเครื่องจักรหรือเครื่องสแกนลายนิ้วมือมักใช้ Windows รุ่นที่หมดการสนับสนุนแล้ว ถามผู้ขายให้ชัดว่า agent รองรับรุ่นไหน ถ้าไม่รองรับ ให้แยกเครื่องเหล่านั้นไปไว้ VLAN ของตัวเองที่จำกัดด้วย firewall
เซิร์ฟเวอร์ Linux อย่าลืมเซิร์ฟเวอร์ที่รันเว็บ ฐานข้อมูล หรือซอฟต์แวร์ CCTV บน Linux
ภาษา MDR ส่วนใหญ่รายงานเป็นภาษาอังกฤษ ตรวจว่าคนที่รับสายตอนกลางคืนเข้าใจภาษานั้นพอจะตัดสินใจได้
สี่ตัวเลขที่ควรดูทุกเดือน
เมื่อระบบใช้งานแล้ว การทบทวนสั้นๆ ทุกเดือนบอกได้ว่าเงินที่จ่ายไปได้ผลหรือไม่:
- ความครอบคลุม: เครื่องที่ agent ปกติ ÷ เครื่องในทะเบียนทรัพย์สิน ต่ำกว่า 95% แปลว่ามีเครื่องหลบอยู่ที่ไหนสักแห่ง
- เวลาจนมีคนดู: Alert ร้ายแรงรอนานเท่าไรกว่าจะมีคนดู ขอตัวเลขนี้จากผู้ให้บริการ MDR
- Agent ที่ล้าสมัย: เครื่องที่ตามหลังเกินหนึ่งเวอร์ชัน ส่วนใหญ่เป็นโน้ตบุ๊กที่ไม่ค่อยกลับเข้าสำนักงาน
- รายการยกเว้น: ควรสั้นลงเรื่อยๆ ไม่ใช่ยาวขึ้น
คำถามที่ควรถามผู้ขาย
- Console และ telemetry เก็บไว้ประเทศหรือภูมิภาคไหน?
- ไลเซนส์ที่เสนอเก็บประวัติเหตุการณ์ได้กี่วัน?
- Agent ใช้ CPU และ RAM เท่าไรบน PC เก่า RAM 8 GB?
- มีการแยกเครื่องอัตโนมัติและ rollback ไหม อยู่ในไลเซนส์ระดับไหน?
- สำหรับ MDR: ใครตอบสนอง ภายในกี่นาที มีสิทธิ์แยกเครื่องเองไหม และโทรหาใคร เป็นภาษาอะไร?
- ควบคุมได้ไหมว่าอัปเดต agent ออกเมื่อไรและให้กลุ่มไหน?
ยี่ห้อที่เราจัดหาและติดตั้ง ได้แก่ CrowdStrike, Microsoft, Sophos, Trend Micro, ESET และ Kaspersky ทุกยี่ห้อมี EDR ที่ใช้ได้ดี การเลือกมักขึ้นกับไลเซนส์ที่คุณมีอยู่แล้ว และทางเลือก MDR ของแต่ละยี่ห้อ อ่านเพิ่มที่ Endpoint protection และ EDR และ เช็กลิสต์ป้องกัน ransomware
ตอบคำถามเดียวให้เรา
ใครเห็น Alert ตอนตีสามคืนวันเสาร์? บอกเรา พร้อมจำนวน PC และเซิร์ฟเวอร์ และไลเซนส์ Microsoft 365 ที่มี เราจะเสนอสองทางเลือก: แบบที่ทีมของคุณดูแลเอง และแบบที่มี MDR พร้อมขอบเขต pilot สองสัปดาห์
- #antivirus
- #edr
- #xdr
- #mdr
- #endpoint-security
