Суть. Средство защиты рабочих станций перестало быть продуктом и стало процессом: важно не что обнаружено, а кто это увидел, за сколько минут и что сделал дальше. Поэтому сделка выигрывается не сравнением показателей обнаружения, а ответом на вопрос «кто у вас разбирает срабатывания и когда».
Разговор, который работает
- Сколько срабатываний в сутки приходит сейчас и кто их читает?
- Что происходит с оповещением, пришедшим в выходные?
- Сколько времени прошло между заражением и обнаружением в последнем инциденте?
- Можете ли вы за час ответить, на скольких машинах встречался конкретный файл?
- Что вы покажете клиенту или регулятору, если инцидент придётся объяснять?
Четвёртый вопрос — самый показательный. В компаниях без централизованного сбора событий ответ занимает дни, и это ощутимая боль, о которой редко говорят вслух.
Кому продаётся
| Роль | Аргумент |
|---|---|
| Руководитель ИБ | Видимость по всему парку и возможность ответить на вопрос «что произошло» |
| ИТ-директор | Один агент вместо нескольких, меньше влияния на производительность машин |
| Финансы | Подписка вместо содержания круглосуточной смены |
| Юристы и комплаенс | Журналы и отчётность при разборе инцидента |
Где сделка выигрывается
- Нет своей круглосуточной смены. Основной сценарий: компания не может содержать дежурство, но обязана реагировать.
- Много ноутбуков вне периметра. Классические схемы рассчитаны на машины в офисе.
- После инцидента у себя или в отрасли. Бюджет открывается быстро и на короткое время — важно успеть.
- Требование заказчика или партнёра. Крупные клиенты всё чаще требуют определённого уровня защиты от подрядчиков.
Где упирается
- «У нас уже есть антивирус». Разговор не про замену, а про то, что происходит после срабатывания.
- Стоимость на большом парке. Подписка на тысячи машин — заметная сумма; помогает разделение парка по критичности.
- Опасения по поводу передачи данных наружу. Вопрос закономерный, ответ должен быть готов заранее и в письменном виде.
- Нет людей, чтобы принимать результат. Если разбирать некому, стоит обсуждать управляемый сервис, а не только лицензии.
Как считать
Сравнение с текущим антивирусом по цене лицензии всегда проигрышно. Рабочая модель — сложить стоимость подписки со стоимостью того, чего сейчас нет: круглосуточного реагирования, централизованного расследования и отчётности. Если компания уже пыталась нанять людей в смену, цифры сходятся сами.
Портфель платформы Falcon
| Направление | Что делает |
|---|---|
| Защита конечных точек | Антивирус нового поколения, EDR и XDR на одном лёгком агенте |
| Управляемый сервис | Круглосуточный мониторинг и реагирование силами вендора (MDR) |
| Защита идентичности | Обнаружение атак на учётные записи и Active Directory |
| Облачная безопасность | Защита облачных нагрузок, контейнеров, контроль конфигураций |
| Разведка угроз | Данные о группировках и их методах |
| SIEM нового поколения | Сбор и анализ журналов на той же платформе |
Модель лицензирования
Подписка по числу защищаемых устройств или нагрузок с пакетами модулей. Чем больше модулей подключено, тем больше ценность единой платформы, но и тем важнее показать, какие из них нужны клиенту сейчас, а какие — на следующем этапе. Ключевой вопрос при расчёте — кто будет реагировать на инциденты: своя команда или управляемый сервис.
Роль партнёра
- Пилот на части парка с разбором найденного.
- Развёртывание агента и замена прежнего антивируса без окна незащищённости.
- Настройка политик и исключений для критичных систем.
- Процесс реагирования: кто получает оповещение и что делает.
- Расширение на идентичность, облака и журналы.
Цикл сделки
| Этап | Что важно |
|---|---|
| Повод | Инцидент, окончание контракта на антивирус, требование страховщика или регулятора |
| Пилот | Реальные устройства, реальная активность, отчёт с находками |
| Решение | Модули, срок подписки, кто реагирует |
| Внедрение | Поэтапная замена агента, контроль совместимости |
Конкуренты
| Альтернатива | Как отвечать |
|---|---|
| SentinelOne | Сравнивать на пилоте: обнаружение, автономное реагирование, удобство консоли |
| Microsoft Defender for Endpoint | Часто уже есть в лицензиях. Сравнить покрытие не-Windows систем, управляемый сервис, единую платформу |
| Классические антивирусы | Показать разницу между блокировкой известного и обнаружением поведения |
Частые вопросы
Связанное
Сделка выигрывается ответом на вопрос «кто у вас разбирает срабатывания и за сколько минут», а не сравнением показателей обнаружения. Продаётся процесс реагирования, а не продукт.
Источники
- CrowdStrike — официальная документация по платформе Falcon.
- MITRE ATT&CK — база тактик и техник атакующих.
Материал обновлён 3 октября 2026