Kaspersky vs Bitdefender vs ESET: เลือก EDR ให้องค์กร

คำถามที่เราได้รับจริง

"Kaspersky ของเราใกล้ต่ออายุ ซัพพลายเออร์รายหนึ่งแนะนำให้เปลี่ยนเป็น Bitdefender อีกคนบอกว่า ESET เบากว่าบนเครื่องเก่า และในใบเสนอราคามีบรรทัดชื่อ EDR ด้วย EDR คืออะไร และบริษัทที่มีพีซี Windows เก่าสี่สิบเครื่องควรเลือกตัวไหน?"

ตอบสั้นเรื่อง EDR: แอนติไวรัสแบบเดิมตรวจไฟล์เทียบกับสิ่งที่รู้อยู่แล้วว่าเป็นอันตราย EDR (Endpoint Detection and Response) บันทึกสิ่งที่เกิดขึ้นบนพีซีแต่ละเครื่อง เช่น process การเชื่อมต่อเครือข่าย และการล็อกอิน ตรวจจับลำดับเหตุการณ์ที่น่าสงสัย และให้ผู้ดูแลแยกเครื่องออกจากเครือข่ายจากระยะไกลได้ XDR ขยายแนวคิดเดียวกันไปที่อีเมล เซิร์ฟเวอร์ identity และคลาวด์ในคอนโซลเดียว คำอธิบายเต็มอยู่ในแอนติไวรัสกับ EDR ประเด็นสำหรับการซื้อคือ EDR ช่วยได้ก็ต่อเมื่อมีคนอ่าน alert

ทั้งสามเจ้าในบทความนี้ป้องกันได้ดี ผลแล็บอิสระวางทั้งสามไว้ใกล้กันทุกปี อัตราการตรวจจับจึงไม่ค่อยเป็นตัวแยกในสำนักงานที่ลาว สิ่งที่ตัดสินคือคอนโซล วิธีอัปเดต ฮาร์ดแวร์เก่า และใครจะเฝ้า alert

เทียบสามยี่ห้อ

คอนโซล: คลาวด์หรือ on-prem

คอนโซลคลาวด์แปลว่าไม่มีเซิร์ฟเวอร์ต้องดูแล แล็ปท็อปที่ไปไซต์ต่างแขวงหรือกลับบ้านยังรายงานเข้ามาและรับ policy ผ่านอินเทอร์เน็ตได้ สำหรับสำนักงาน 20 เครื่องที่ไม่มีห้องเซิร์ฟเวอร์ คลาวด์แทบจะเป็นคำตอบที่ถูกเสมอ

คอนโซล on-prem เหมาะเมื่อเครือข่ายปิดหรือลิงก์อินเทอร์เน็ตอ่อน: ไซต์เหมือง โรงงานที่มีเครือข่าย OT สำนักงานที่ผู้บริหารไม่อยากให้ข้อมูลความปลอดภัยออกนอกอาคาร ราคาที่ต้องจ่ายคือเซิร์ฟเวอร์ที่ต้องแพตช์ สำรองข้อมูล และจ่ายไฟให้ผ่านช่วงไฟตก 17:00–19:00 ทั้งสามเจ้ามีทั้งสองแบบ โดยเซิร์ฟเวอร์ on-prem ของ Kaspersky พัฒนามานานที่สุดในสามเจ้า ส่วน ESET และ Bitdefender เอนไปทางคลาวด์มากกว่า

พีซีเก่า: Windows 7 และ Windows 10

สำนักงานในลาวหลายแห่งยังใช้ Windows 10 และบางแห่งยังมีเครื่อง Windows 7 ต่อกับเครื่องพิมพ์ เครื่องสแกนลงเวลา หรือโปรแกรมบัญชีเก่า ข้อเท็จจริงก่อน: Microsoft หยุดอัปเดตความปลอดภัยของ Windows 7 ตั้งแต่มกราคม 2020 และสิ้นสุดซัพพอร์ตมาตรฐานของ Windows 10 เมื่อ 14 ตุลาคม 2025

endpoint protection แก้ระบบปฏิบัติการที่ไม่ได้แพตช์ไม่ได้ มันบล็อกได้มาก แต่ผู้โจมตีที่ใช้ช่องโหว่ OS ซึ่งจะไม่มีวันถูกแพตช์ทำงานได้ง่ายกว่า การรองรับ Windows รุ่นเก่าของผู้ผลิตก็ลดลงเรื่อยๆ และฟีเจอร์ EDR มักต้องการ Windows ใหม่กว่าแอนติไวรัสพื้นฐาน ตรวจตารางการรองรับปัจจุบันของแต่ละผู้ผลิตสำหรับ Windows รุ่นที่คุณใช้ก่อนซื้อ ไม่ใช่หลังซื้อ

เรื่องภาระเครื่อง: บนพีซี RAM 4 GB กับฮาร์ดดิสก์แบบจานหมุน agent ที่หนักบวกการสแกนเต็มระหว่างเวลางานทำให้เครื่องเหมือนเสีย ESET มีชื่อเสียงดีที่สุดในเรื่องนี้ แต่ทั้งสามเจ้าปรับได้: ตั้งสแกนเต็มช่วงพักกลางวันหรือหลังเลิกงาน และปิดโมดูลที่ไม่ใช้ ทางแก้จริงสำหรับเครื่อง 4 GB กับฮาร์ดดิสก์คือ SSD และแผนอัปเกรด

อัปเดตแบบออฟไลน์และ air-gapped

แคมป์เหมือง โรงงานบางแห่ง และไซต์ห่างไกลมีอินเทอร์เน็ตช้า แพง หรือไม่มีเลย อัปเดต signature มีขนาดเล็กและบ่อย ส่วนการอัปเกรด agent มีขนาดใหญ่และนานๆ ครั้ง การออกแบบที่ได้ผลคือเครื่องในพื้นที่หนึ่งเครื่องดาวน์โหลดครั้งเดียวแล้วแจกให้ทุกพีซีบน LAN

• Kaspersky: Security Center แบบ on-prem เป็นแหล่งอัปเดต และ update agent ให้บริการแต่ละไซต์ได้ สำหรับเครือข่ายที่ออฟไลน์ทั้งหมด นำอัปเดตเข้าไปด้วยสื่อที่อนุมัติแล้ว
• Bitdefender: endpoint ที่ได้รับบทบาท relay แคชอัปเดตและแพ็กเกจติดตั้งสำหรับไซต์ของตน
• ESET: caching proxy ให้บริการอัปเดตบน LAN และ mirror tool เตรียมอัปเดตสำหรับเครือข่ายที่ไม่มีอินเทอร์เน็ตเลย

ถ้านำอัปเดตเข้าด้วย USB ให้ใช้ไดรฟ์เฉพาะที่สแกนแล้วและมีขั้นตอนเป็นลายลักษณ์อักษร ไม่เช่นนั้นเครือข่ายออฟไลน์จะล้าหลังไปหลายสัปดาห์โดยไม่มีใครสังเกต

20 เครื่อง กับ 200 เครื่อง

จำนวนเครื่องเปลี่ยนการออกแบบมากกว่ายี่ห้อ ตัวอย่างคำนวณแบนด์วิดท์: สมมติ agent เวอร์ชันใหม่เป็นแพ็กเกจขนาด 150 MB

• 20 เครื่องต่างดาวน์โหลดเอง: 20 × 150 MB = 3,000 MB ประมาณ 3 GB บนไฟเบอร์สำนักงานทั่วไปไม่มีปัญหา
• 200 เครื่องในไซต์เดียวต่างดาวน์โหลดเอง: 200 × 150 MB = 30,000 MB ประมาณ 30 GB ผ่านลิงก์เดียว ถ้าผ่าน relay หรือแคชในพื้นที่หนึ่งตัว: 150 MB เข้ามาครั้งเดียว ที่เหลืออยู่บน LAN

ที่ 20 เครื่อง: คอนโซลคลาวด์ ระดับธุรกิจมาตรฐานของผู้ผลิต อัปเดตอัตโนมัติ และหนึ่งคนที่รับอีเมล alert EDR คุ้มก็ต่อเมื่อคนนั้นหรือบริการ managed จะดู alert ทุกวัน

ที่ 200 เครื่อง: กลุ่มและ policy แยกตามแผนกและไซต์ relay หรือแคชในทุกไซต์ที่ลิงก์อ่อน EDR อย่างน้อยบนเซิร์ฟเวอร์และพีซีของแอดมิน และมีคนคัดกรอง alert ทุกวัน ตรงนี้ที่การมอนิเตอร์ SOCหรือบริการ managed detection ของผู้ผลิตเริ่มคุ้ม เพราะไม่มีใครเฝ้า 200 เครื่องได้ดีในเวลาว่าง

ตรวจนโยบายผู้ขายของคุณเอง

ผู้ซื้อบางรายใช้ผู้ผลิตบางเจ้าไม่ได้เพราะนโยบายบริษัทแม่ ข้อกำหนดของพันธมิตร กฎของผู้ให้ทุน หรือแบบสอบถามของบริษัทประกัน เรื่องนี้กระทบ Kaspersky บ่อยกว่าอีกสองเจ้า เราไม่ตัดสินแทนคุณ: ตรวจนโยบายบริษัทและนโยบายผู้ขายของคุณเอง และถามสำนักงานใหญ่หรือพันธมิตรหลักก่อนซื้อ ไม่ใช่หลังติดตั้งแล้ว เรื่องภาษา ตรวจว่าคอนโซลและข้อความที่ผู้ใช้เห็นมีภาษาที่พนักงานอ่านได้หรือไม่ก่อนตัดสินใจ อย่าเดาเอา

เราจะเลือกยี่ห้อไหนสำหรับ

• สำนักงานเล็ก 10 ถึง 30 เครื่อง ส่วนใหญ่เป็นเครื่องเก่า มีไอทีคนเดียว: ESET เพราะ agent เบาและคอนโซลคลาวด์ใช้ง่าย
• SME ที่กำลังโต 50 ถึง 200 เครื่อง มีแผนเพิ่ม EDR: Bitdefender เพราะขั้นจากการป้องกันไป EDR ชัดเจน และมีตัวเลือก managed ภายหลัง
• เครือข่ายปิดที่เหมืองหรือโรงงาน อินเทอร์เน็ตน้อยหรือไม่มี: Kaspersky เพราะเซิร์ฟเวอร์ on-prem และเครื่องมืออัปเดตออฟไลน์ที่พัฒนามานาน ถ้านโยบายบริษัทและพันธมิตรของคุณอนุญาต ไม่เช่นนั้นใช้ ESET หรือ Bitdefender กับคอนโซล on-prem
• โรงแรมที่มีฟรอนต์ หลังบ้าน และเซิร์ฟเวอร์ไม่กี่ตัว: ยี่ห้อไหนก็ได้ในสามเจ้า ทุ่มแรงไปที่การแยก Wi-Fi แขกออกจากพีซีพนักงาน และความปลอดภัยอีเมล เพราะการติดเชื้อในโรงแรมจำนวนมากมาทางอีเมล
• บริษัทที่ใช้ Kaspersky อยู่แล้วและไม่มีปัญหาด้านนโยบาย: ต่ออายุได้ แต่เปิดโมดูลที่จ่ายเงินไปแล้ว และตรวจว่าพีซีทุกเครื่องรายงานเข้าคอนโซลจริง

ไม่ว่าเลือกตัวไหน ให้ใช้คู่กับการแพตช์ การสำรองข้อมูล และการอบรมพนักงาน EDR จับสิ่งที่หลุดเข้ามา แต่ไม่ได้มาแทนสิ่งเหล่านั้น

ขั้นต่อไป

ส่งภาพหน้าจอคอนโซลแอนติไวรัสปัจจุบัน (ชื่อผลิตภัณฑ์ จำนวนเครื่อง วันหมดอายุ) และจำนวนพีซีคร่าวๆ แยกตามรุ่น Windows ให้เราทาง WhatsApp เราจะบอกว่าเครื่องไหนต้องดูก่อน และยี่ห้อไหนในสามเจ้าเข้ากับเครือข่ายของคุณ รวมถึงการออกแบบอัปเดตออฟไลน์ถ้าไซต์ไหนอินเทอร์เน็ตอ่อน ดูendpoint protection และ EDRว่าเราติดตั้งอย่างไร