При сравнении цен на MDR полезно понимать, что можно получить за один и тот же годовой бюджет у разных провайдеров. Два предложения с похожей ценой могут предоставлять аналитикам доступ к разным доказательствам, хранить их в течение разных периодов или возлагать на вашу команду разные обязанности. Эти различия могут повлиять на то, что произойдет, когда вам потребуется расследовать взлом учетной записи или отследить скрытую активность злоумышленника в вашей среде.
Для руководителей служб безопасности, выбирающих между ценообразованием на основе активов и на основе объема данных, полезное сравнение начинается с систем, которые необходимо защитить, и журналов, необходимых для расследования угроз. Предоставление провайдерам одинаковых требований и бюджета помогает выявить решения, стоящие за каждым коммерческим предложением, включая то, что вам придется исключить или за что придется доплатить.
При ценообразовании на основе активов стоимость привязана к определенному количеству активов. Вам необходимо установить, как провайдер считает рабочие станции, серверы, облачные ресурсы и другие системы, а также какие источники данных и сервисные возможности включены в цену. Предсказуемое количество активов может помочь в планировании бюджета, но предложение все равно должно разъяснять любые ограничения интеграции или дополнительные сервисные сборы. В Rapid7 актив определяется как любой физический или виртуальный конечный узел или сервер, работающий под управлением поддерживаемой операционной системы в контролируемой среде.
При ценообразовании на основе объема данных часть стоимости зависит от объема собранных или обработанных данных. Сравнение должно учитывать включенный лимит, способ измерения оплачиваемого объема и то, что произойдет при увеличении использования. Хранение, поиск и вспомогательная инфраструктура также могут влиять на общую стоимость в зависимости от коммерческой модели. В Rapid7 клиенты MDR имеют доступ к 13 месяцам горячего хранения журналов в стандартной комплектации.
Какой бы подход вы ни оценивали, учитывайте технологии, аналитиков и поддержку реагирования, необходимые для предоставления услуги. Плату за объем данных SIEM нельзя напрямую сравнивать с подпиской на MDR, которая включает расследование и реагирование. Оба предложения должны учитывать работу, которую ваша организация ожидает от провайдера — эта ясность является ключом к успешному партнерству.
Как провести сопоставимое сравнение цен на MDR
Предоставьте каждому провайдеру одинаковый перечень активов, необходимые источники данных, потребности в хранении и ожидания от реагирования, а затем спросите, что вписывается в ваш годовой бюджет. Любые исключения должны быть видны в предложении, чтобы вы могли оценить их операционные последствия перед принятием решения.
Например, одно предложение может охватывать данные конечных точек и идентификационных данных, требуя при этом ограничить высокообъемные сетевые источники. Другое может охватывать эти источники, но не иметь возможности расследования, необходимой вашей команде. Взгляд на цену MDR за конечную точку или за гигабайт не решит эту разницу; вам нужно увидеть, как сервис использует доступные данные.
Используйте эти вопросы во время первоначальной демонстрации, чтобы превратить обсуждение цены в практическое сравнение.
Область сравнения
Что спросить у провайдера
Доказательства для запроса
Подход Rapid7
Широта сбора
Какие необходимые источники вписываются в этот бюджет?
Список включенных источников, исключений и дополнительных сборов.
Ценообразование на основе активов с неограниченным объемом данных, поддерживающее собственную и стороннюю телеметрию для конечных точек, облака, идентификационных данных, электронной почты и сети. Подтвердите покрытие для ваших необходимых источников в предложении.
Глубина сбора
Какие события и поля собираются, фильтруются или суммируются?
Примеры записей, показывающие, что попадает на платформу расследования.
Rapid7 собирает и нормализует телеметрию из поддерживаемых технологий. Используйте демонстрацию или пилотный проект, чтобы проверить, какие события и поля предоставляют ваши интеграции.
Ценность обнаружения
Как эти данные поддерживают угрозы, которые нам нужно обнаружить?
Пошаговое руководство по обнаружению, показывающее его зависимости от данных.
Расследования объединяют телеметрию безопасности с контекстом уязвимостей и рисков активов. Завершенные поиски угроз показывают обоснование, изученные данные, запросы и любые связанные расследования.
История расследований
Как долго хранятся данные и как аналитики могут их искать?
Поиск по старым записям с объяснением затрат на извлечение.
Rapid7 предоставляет 13 месяцев хранения журналов. Подтвердите историю, доступную для каждого типа данных: оповещения конечных точек от третьих лиц имеют иную доступность, чем поиск по журналам.
Область реагирования
Что будет делать ваша команда после подтверждения угрозы?
Пошаговое руководство по кейсу и документированные обязанности.
Rapid7 MDR включает неограниченное реагирование на инциденты, охватывающее расследование, локализацию и устранение угроз. Отчеты об инцидентах документируют выводы, хронологию действий злоумышленника и рекомендуемые корректирующие действия.
Изменчивость затрат
Что меняет счет по мере роста активов или объемов данных?
Расчет с использованием ваших предположений о росте.
Ценообразование на основе активов с неограниченным объемом данных исключает объем данных как единицу биллинга. Запросите письменный расчет для дополнительных оплачиваемых активов и изменений в объеме услуг.
Что опыт Keyloop показывает о ценности MDR
Для Алана Симпсона, ныне полевого CISO в Rapid7, возможность собирать ранее ограниченные данные имела практическое значение во время его работы в Keyloop: «Раньше мы загружали около 250 ГБ в день в Splunk. После перехода на Rapid7 мы достигли 1,4 ТБ в день, включая NetFlow, полное ведение журналов DNS и журналы веб-приложений. Это были источники, которые нам раньше приходилось ограничивать или которые мы просто не собирали, поэтому мы получили гораздо лучшую видимость и покрытие».
Изменение также расширило историю, доступную для расследования, с большей уверенностью в том, как долго эти доказательства останутся доступными: «Мы также перешли от примерно 90 дней хранения в Splunk к 13 месяцам с Rapid7. Даже на эти 90 дней нельзя было положиться, так как хранение зависело от того, сколько данных мы загружали в то время. Наличие более длительной, предсказуемой истории имело реальное значение».
Предсказуемость цены была ключевым фактором, поскольку Keyloop росла за счет семи слияний и поглощений, каждое из которых приносило разный профиль данных. Его опыт иллюстрирует, почему сбор и хранение должны быть частью решения о покупке, хотя эти цифры сами по себе не устанавливают сопоставимую экономию затрат.
Как сравнивать цены на MDR помимо объема журналов
Как только вы поймете, какие данные вписываются в предложение, изучите, что провайдер может с ними сделать. Сбор большего количества журналов может устранить пробелы в видимости, но полезные расследования зависят от релевантных событий, согласованных временных меток и достаточного контекста для связи активности с пользователем или системой. Расследование с помощью ИИ также зависит от этой основы: необходимое событие, которое никогда не было записано, оставляет пробел в расследовании.
Дизайн инфраструктуры может повысить полезность этих доказательств. Например, маршрутизация доступа к интерфейсу управления через контролируемый путь создает более четкую точку мониторинга и помогает отличить ожидаемый доступ от активности, требующей расследования. Вот почему объем журналов и количество правил обнаружения должны оцениваться наряду с тем, как работает среда.
Во время проверки концепции выберите релевантный для вашего бизнеса сценарий угрозы и попросите провайдера продемонстрировать обнаружение, сбор доказательств и реагирование. Вы должны увидеть, какие записи подтверждают выводы и что происходит, если необходимый источник недоступен.
Как изменится стоимость ваших услуг MDR по мере роста?
Повторите сравнение, используя правдоподобное изменение, такое как поглощение компании, добавление облачных рабочих нагрузок или подключение ранее исключенного источника журналов. Для ценообразования на основе активов рассчитайте эффект от появления дополнительных тарифицируемых активов и изменения масштаба. Для ценообразования на основе объема поступающих данных оцените увеличение суточного объема, применимые обязательства и требования к хранению. Если количество активов остается прежним, при продлении контрактов с Rapid7 рост ограничен 5% на весь срок действия контракта, а не за год.
Попросите обоих провайдеров задокументировать допущения, включая трудозатраты на внедрение, необходимые лицензии и ту работу, которую ваша команда продолжит выполнять. После этого вы сможете оценить, что покрывает текущий бюджет, какие данные по-прежнему недоступны и во сколько обойдется адаптация к ожидаемым изменениям.
Ознакомьтесь с Rapid7 MDR и обсудите ценообразование с учетом ваших активов, необходимых источников данных, требований к хранению и объема реагирования.
*Упомянутые условия контракта и возможности Rapid7 верны на момент публикации и могут быть изменены.
