---
title: "Как продавать CrowdStrike: защита рабочих станций как сервис"
url: "https://kzsaleshub.com/kak-prodavat-crowdstrike/"
type: "knowledge_article"
category: "Продажи"
language: "ru"
source: "KZSalesHub"
published: "2026-08-15"
last_updated: "2026-10-03"
---

# Как продавать CrowdStrike: защита рабочих станций как сервис

**Суть.** Средство защиты рабочих станций перестало быть продуктом и стало процессом: важно не что обнаружено, а кто это увидел, за сколько минут и что сделал дальше. Поэтому сделка выигрывается не сравнением показателей обнаружения, а ответом на вопрос «кто у вас разбирает срабатывания и когда».

## Разговор, который работает

1. Сколько срабатываний в сутки приходит сейчас и кто их читает?
2. Что происходит с оповещением, пришедшим в выходные?
3. Сколько времени прошло между заражением и обнаружением в последнем инциденте?
4. Можете ли вы за час ответить, на скольких машинах встречался конкретный файл?
5. Что вы покажете клиенту или регулятору, если инцидент придётся объяснять?

Четвёртый вопрос — самый показательный. В компаниях без централизованного сбора событий ответ занимает дни, и это ощутимая боль, о которой редко говорят вслух.

## Кому продаётся

| Роль | Аргумент |
| --- | --- |
| Руководитель ИБ | Видимость по всему парку и возможность ответить на вопрос «что произошло» |
| ИТ-директор | Один агент вместо нескольких, меньше влияния на производительность машин |
| Финансы | Подписка вместо содержания круглосуточной смены |
| Юристы и комплаенс | Журналы и отчётность при разборе инцидента |

## Где сделка выигрывается

- **Нет своей круглосуточной смены.** Основной сценарий: компания не может содержать дежурство, но обязана реагировать.
- **Много ноутбуков вне периметра.** Классические схемы рассчитаны на машины в офисе.
- **После инцидента у себя или в отрасли.** Бюджет открывается быстро и на короткое время — важно успеть.
- **Требование заказчика или партнёра.** Крупные клиенты всё чаще требуют определённого уровня защиты от подрядчиков.

## Где упирается

- **«У нас уже есть антивирус».** Разговор не про замену, а про то, что происходит после срабатывания.
- **Стоимость на большом парке.** Подписка на тысячи машин — заметная сумма; помогает разделение парка по критичности.
- **Опасения по поводу передачи данных наружу.** Вопрос закономерный, ответ должен быть готов заранее и в письменном виде.
- **Нет людей, чтобы принимать результат.** Если разбирать некому, стоит обсуждать управляемый сервис, а не только лицензии.

## Как считать

Сравнение с текущим антивирусом по цене лицензии всегда проигрышно. Рабочая модель — сложить стоимость подписки со стоимостью того, чего сейчас нет: круглосуточного реагирования, централизованного расследования и отчётности. Если компания уже пыталась нанять людей в смену, цифры сходятся сами.

## Портфель платформы Falcon

| Направление | Что делает |
| --- | --- |
| Защита конечных точек | Антивирус нового поколения, EDR и XDR на одном лёгком агенте |
| Управляемый сервис | Круглосуточный мониторинг и реагирование силами вендора (MDR) |
| Защита идентичности | Обнаружение атак на учётные записи и Active Directory |
| Облачная безопасность | Защита облачных нагрузок, контейнеров, контроль конфигураций |
| Разведка угроз | Данные о группировках и их методах |
| SIEM нового поколения | Сбор и анализ журналов на той же платформе |

## Модель лицензирования

Подписка по числу защищаемых устройств или нагрузок с пакетами модулей. Чем больше модулей подключено, тем больше ценность единой платформы, но и тем важнее показать, какие из них нужны клиенту сейчас, а какие — на следующем этапе. Ключевой вопрос при расчёте — кто будет реагировать на инциденты: своя команда или управляемый сервис.

## Роль партнёра

- Пилот на части парка с разбором найденного.
- Развёртывание агента и замена прежнего антивируса без окна незащищённости.
- Настройка политик и исключений для критичных систем.
- Процесс реагирования: кто получает оповещение и что делает.
- Расширение на идентичность, облака и журналы.

## Цикл сделки

| Этап | Что важно |
| --- | --- |
| Повод | Инцидент, окончание контракта на антивирус, требование страховщика или регулятора |
| Пилот | Реальные устройства, реальная активность, отчёт с находками |
| Решение | Модули, срок подписки, кто реагирует |
| Внедрение | Поэтапная замена агента, контроль совместимости |

## Конкуренты

| Альтернатива | Как отвечать |
| --- | --- |
| SentinelOne | Сравнивать на пилоте: обнаружение, автономное реагирование, удобство консоли |
| Microsoft Defender for Endpoint | Часто уже есть в лицензиях. Сравнить покрытие не-Windows систем, управляемый сервис, единую платформу |
| Классические антивирусы | Показать разницу между блокировкой известного и обнаружением поведения |

## Частые вопросы

**Как отстроиться от встроенных средств защиты**

Не по обнаружению, а по расследованию: возможность за минуты ответить, где ещё встречался этот файл и что он делал. Встроенные средства это закрывают частично.

**Что делать, если у заказчика нет специалистов**

Предлагать управляемый сервис вместе с лицензиями. Продажа только лицензий в такой ситуации заканчивается неработающим внедрением и потерей клиента.

**Как заходить без инцидента**

Через требования партнёров и через вопрос о времени обнаружения. Если компания не может назвать это время, повод для разговора появляется сам.

## Связанное

- [Красные, синие и фиолетовые команды](https://kzsaleshub.com/framework/red-blue-purple/)
- [Программа безопасности](https://kzsaleshub.com/framework/security-program/)
- [Разбор инцидентов](https://kzsaleshub.com/framework/incident-postmortem/)
- [Модель угроз](https://kzsaleshub.com/framework/threat-model/)

Сделка выигрывается ответом на вопрос «кто у вас разбирает срабатывания и за сколько минут», а не сравнением показателей обнаружения. Продаётся процесс реагирования, а не продукт.

## Источники

1. CrowdStrike — официальная документация по платформе Falcon.
2. MITRE ATT&CK — база тактик и техник атакующих.

---
Источник: https://kzsaleshub.com/kak-prodavat-crowdstrike/