Seqrite vs SentinelOne — คุ้มกับส่วนต่างราคาไหม
SentinelOne ขายตัวเองด้วยการตอบสนองอัตโนมัติที่ตัดสินใจ remediate เองโดยไม่รอ analyst และคิดราคาสูงกว่าเพื่อความสามารถนั้น คำถามจึงไม่ใช่ว่าความสามารถนี้ดีหรือไม่ แต่คือทีมของคุณอยู่ในสถานะที่ได้ประโยชน์จากมันหรือเปล่า
เราเขียนหน้านี้แบบตรงไปตรงมา เพราะสำหรับบางองค์กรส่วนต่างราคานั้นคุ้มชัดเจน และสำหรับบางองค์กรมันคือการจ่ายเพิ่มเพื่อความสามารถที่สุดท้ายต้องปิดทิ้ง
การตอบสนองอัตโนมัติคุ้มกับทีมแบบไหน
| สถานะของทีม | แนวทางที่มักเหมาะ | เหตุผล |
|---|---|---|
| ไม่มีคนเฝ้า console นอกเวลาทำการ | เปิดการตอบสนองอัตโนมัติเต็มรูปแบบ | การตัดวงจรทันทีมีค่ามากกว่าความเสี่ยงที่จะตัดผิด เพราะทางเลือกอีกทางคือปล่อยไว้จนเช้า |
| มี SOC หรือ MSSP ที่ตรวจ alert ก่อนตัดสิน | เปิดอัตโนมัติเฉพาะกรณีที่มั่นใจ ที่เหลือให้คนตัดสิน | ถ้าระบบ remediate เองบ่อย ทีมจะเสียเวลาไปกับการไล่ตรวจย้อนหลังว่าอะไรถูกย้อนกลับไปแล้วบ้าง |
| มีเครื่องในสายการผลิตที่หยุดไม่ได้ | จำกัดอัตโนมัติไว้ที่การแจ้งเตือนและการกักกันเครือข่าย | การ isolate หรือ rollback อัตโนมัติบนเครื่องควบคุมการผลิต มีต้นทุนสูงกว่าตัวมัลแวร์ที่กำลังจะบล็อก |
| ต้องส่งหลักฐานให้ผู้ตรวจสอบ | เน้นความครบของ timeline และระยะเก็บย้อนหลัง | สิ่งที่ผู้ตรวจสอบขอดูคือลำดับเหตุการณ์ที่ครบถ้วน ไม่ใช่ความเร็วในการตอบสนอง |
ส่วนต่างราคา — เทียบอย่างไรให้ตรง
อย่าเทียบราคาต่อเครื่องปีแรกอย่างเดียว เพราะส่วนต่างจริงระหว่างสองแนวทางนี้ไม่ได้อยู่ที่ค่า license อย่างเดียว
- ระดับ license ที่จำเป็นเพื่อให้ได้การตอบสนองอัตโนมัติจริง บางความสามารถอยู่ในระดับที่สูงกว่าที่เสนอมารอบแรก
- เวลาที่ทีมต้องใช้ตรวจสอบย้อนหลังว่าระบบย้อนกลับอะไรไปบ้าง ซึ่งเป็นต้นทุนคนที่ไม่อยู่ในใบเสนอราคา
- จำนวนวันเก็บ telemetry ย้อนหลัง และส่วนต่างเมื่อต้องเก็บนานขึ้น
- ราคาต่ออายุปีที่สองและสาม
- ถ้าสุดท้ายต้องปิดการทำงานอัตโนมัติบางส่วนเพราะกระทบงาน ส่วนต่างที่จ่ายไปเหลือคุณค่าเท่าไร
Seqrite EDR วางตัวไว้ตรงไหน
Seqrite EDR เน้นการมองเห็นและการตอบสนองที่คนสั่ง มากกว่าการตัดสินใจแทน บันทึก process, network connection และ registry change ต่อเนื่อง แล้ว map alert เข้ากับ MITRE ATT&CK ให้ไล่จาก IoC ไป TTP ได้ในคอนโซลเดียว การตอบสนองที่ทำได้คือ Isolate เครื่อง, Kill Process และ Block IOC เก็บ telemetry ย้อนหลังค่าเริ่มต้น 30 วัน ขยายได้ถึง 365 วัน และเลือกวางแบบ cloud console หรือ on-premise ได้
แปลว่าถ้าทีมคุณมีคนตัดสินใจอยู่แล้ว สิ่งที่คุณต้องการคือหลักฐานที่ครบและเครื่องมือที่สั่งงานได้เร็ว ไม่ใช่ระบบที่ตัดสินใจแทน กรณีนี้ส่วนต่างราคาของแนวทาง autonomous มักไม่คุ้ม
คำถามที่ควรถามตอน POC
- การตอบสนองอัตโนมัติที่สาธิตให้ดู อยู่ในระดับ license ใด และราคาที่เสนอครอบคลุมหรือไม่
- เมื่อระบบ remediate เอง เราย้อนดูได้อย่างไรว่ามันทำอะไรไปบ้าง และย้อนกลับการกระทำนั้นได้หรือไม่
- ในช่วง POC ระบบ remediate อัตโนมัติกี่ครั้ง และในนั้นเป็น false positive กี่ครั้ง
- กำหนดกลุ่มเครื่องที่ห้ามทำอัตโนมัติได้หรือไม่ เช่น เครื่องควบคุมการผลิตหรือเซิร์ฟเวอร์ฐานข้อมูล
- telemetry เก็บย้อนหลังกี่วันในราคานี้ และ 365 วันราคาเปลี่ยนเท่าไร
- ข้อมูลเก็บที่ภูมิภาคใด มีทางเลือกเก็บในประเทศหรือไม่
- ราคาต่ออายุปีที่สองและสาม ระบุเป็นลายลักษณ์อักษรได้หรือไม่
อยากปรับใช้กับองค์กรของคุณ?
ทีมขายของเราช่วยประเมินและจัด Demo/POC ให้เหมาะกับคุณ