Kaspersky、Bitdefender、ESET 企业终端防护怎么选

我们实际被问到的问题

"我们的 Kaspersky 快到期了。一个供应商建议换 Bitdefender，另一个人说 ESET 在老电脑上更轻，报价单里还多了一行 EDR。EDR 是什么？一家有四十台老 Windows 电脑的公司该选哪个？"

先简单回答 EDR：传统杀毒软件拿文件去比对已知的恶意样本。EDR（Endpoint Detection and Response）记录每台电脑上发生的事情，比如进程、网络连接和登录，标记可疑的事件链，并让管理员远程隔离某台机器。XDR 把同样的思路扩展到邮件、服务器、身份和云端，放在一个控制台里。完整解释见杀毒软件与 EDR。对采购来说，关键是：只有有人看告警，EDR 才有用。

这三家的防护都不错，独立实验室的结果每年都很接近，所以在老挝的办公室里，检出率很少是区分点。真正起决定作用的是控制台、更新方式、老硬件，以及谁来盯告警。

三家对比

控制台：云端还是本地

云控制台意味着不用维护服务器。去外省站点或带回家的笔记本照样能通过网络上报和接收策略。对没有机房的 20 台电脑办公室，云端几乎总是对的选择。

本地控制台适合网络封闭或网络较弱的情况：矿区、有 OT 网络的工厂、管理层不希望安全数据离开大楼的办公室。代价是要有一台服务器去打补丁、备份，还要扛过 17:00–19:00 的停电高峰。三家都提供两种模式，其中 Kaspersky 的本地服务器最成熟，ESET 和 Bitdefender 更偏向云端。

老电脑：Windows 7 和 Windows 10

老挝很多办公室还在用 Windows 10，有些还留着接打印机、考勤机或老财务软件的 Windows 7 电脑。先看事实：Microsoft 在 2020 年 1 月停止了 Windows 7 的安全更新，并于 2025 年 10 月 14 日结束了 Windows 10 的标准支持。

终端防护修不了没打补丁的操作系统。它能拦很多东西，但攻击者利用永远不会被修补的系统漏洞会轻松得多。厂商对老版本 Windows 的支持也在逐步减少，而且 EDR 功能通常比基础杀毒需要更新的 Windows。购买前，而不是购买后，先查每家当前的支持列表，对照你具体的 Windows 版本。

关于资源占用：在 4 GB 内存、机械硬盘的电脑上，重的代理加上上班时间全盘扫描，会让机器像坏了一样。ESET 在这方面口碑最好，但三家都能调：把全盘扫描放在午休或下班后，关掉不用的模块。4 GB 加机械硬盘的机器，真正的解决办法是换 SSD 并做升级计划。

离线和物理隔离环境的更新

矿区营地、部分工厂和偏远站点的网络慢、贵或者根本没有。特征库更新小而频繁，代理升级大而偶尔。行之有效的设计是：本地一台机器下载一次，再分发给局域网里的所有电脑。

• Kaspersky：本地 Security Center 作为更新源，更新代理可以服务各个站点。完全离线的网络，用经过批准的介质把更新带进去。
• Bitdefender：被设为 relay 角色的终端为本站点缓存更新和安装包。
• ESET：缓存代理在局域网提供更新，mirror tool 为完全没有网络的环境准备更新。

如果用 U 盘带更新进去，要用专用、扫描过的盘，并有书面流程。否则离线网络会落后好几周而没人发现。

20 台和 200 台

数量对设计的影响比品牌更大。带宽计算示例：假设新版代理是一个 150 MB 的安装包。

• 20 台电脑各自直接下载：20 × 150 MB = 3,000 MB，约 3 GB。普通办公室光纤没问题。
• 一个站点 200 台各自下载：200 × 150 MB = 30,000 MB，约 30 GB 走一条线路。经过一个本地 relay 或缓存：150 MB 只进来一次，其余都在局域网内。

20 台时：云控制台、厂商标准企业级别、自动更新、一个人接收告警邮件。只有这个人或托管服务每天看告警，EDR 才值得。

200 台时：按部门和站点分组和设策略，每个网络弱的站点都放本地 relay 或缓存，至少在服务器和管理员电脑上部署 EDR，并有人每天分拣告警。这时候SOC 监控或厂商的托管检测服务就开始划算了，因为没人能利用业余时间把 200 台终端看好。

先确认你们自己的厂商政策

有些买家因为母公司政策、合作方要求、出资方规定或保险问卷，不能使用某些厂商。这种情况对 Kaspersky 的影响比另外两家多。这个决定我们不替你做：请确认你们公司自己的政策和厂商政策，在购买前而不是部署后，问一下总部或主要合作方。语言方面，决定前先确认控制台和用户看到的提示有没有员工能读懂的语言，不要想当然。

不同场景我们会怎么选

• 小办公室，10 到 30 台、大多是老电脑，只有一个 IT：ESET，代理轻、云控制台简单。
• 成长中的 SME，50 到 200 台，计划加 EDR：Bitdefender，从防护到 EDR 的台阶清楚，以后还可以选托管服务。
• 矿山或工厂的封闭网络，网络很少或没有：Kaspersky，本地服务器和离线更新工具成熟，前提是你们公司和合作方的政策允许。否则选 ESET 或 Bitdefender 的本地控制台。
• 有前台、后台和几台服务器的酒店：三家都可以；把精力放在把客人 Wi-Fi 和员工电脑隔离开，以及邮件安全上，因为酒店的很多感染来自邮件。
• 已经在用 Kaspersky 且没有政策问题的公司：可以续费，但要把已经付了钱的模块打开，并检查每台电脑是否真的在向控制台上报。

不管选哪家，都要配合打补丁、备份和员工培训。EDR 抓的是漏进来的东西，代替不了这些。

下一步

通过 WhatsApp 发给我们当前杀毒控制台的截图（产品、设备数、到期日），以及按 Windows 版本粗略统计的电脑数量。我们会告诉你哪些机器要先处理、三家里哪家适合你的网络，如果有站点网络弱，也会给出离线更新的设计。我们的部署方式见终端防护与 EDR。