中小企业 EDR (终端检测响应) 选型与 SIEM 整合建议

去年帮一家做医疗器械的顺义企业做等保复测，发现他们采购的某国际EDR产品试用期结束后，每年续费要28万。老板问我值不值，我说先把日志接进SIEM看看实际情况——结果每周告警风暴上百条，运维两个人根本看不过来，最后还是换方案了。这事让我意识到，中小企业选EDR最大的坑，不是技术不行，而是选型时没想清楚自己真能用起来多少功能。

本文不吹不黑，从一个落地角度聊聊CrowdStrike、SentinelOne、360 EDR三家的差异，以及怎么和现有SIEM配合。

三家用下来，真实差距在哪

先说CrowdStrike。这家是云原生架构，Agent很轻量，实测7-12MB内存占用，终端几乎无感。威胁情报能力确实是行业头部，去年有个客户中了个新型勒索变种，Falcon平台两小时就出了IoC指标。缺点也很直接：价格对中小企业不友好，国内节点延迟偶尔偏高，而且中文界面做得比较糙，告警规则需要自己调。

SentinelOne这两年势头很猛，我接触的几个客户反馈它的自动化响应能力比CrowdStrike更直接，rollback、kill process这些操作点几下就能完成。EDR+XDR打包卖，日志直接往Splunk、Elastic推，集成成本低。价格比CrowdStrike低大概30%，但中文技术支持响应偏慢，遇到复杂问题基本靠社区。

360 EDR国内政企客户多，最大的好处是本地化——数据不出境，对有合规要求的客户是硬需求。去年更新的RASP能力集成到终端防护里，防御深度比前两家细。但说实话，它的威胁情报质量和国际厂商有明显差距，攻击者画像库更新频率跟CrowdStrike的TI差了大概2-3天。另外和Splunk、ELK的对接需要做定制开发，偶有兼容性问题。

日志接SIEM，那些教科书不会写的坑

很多销售会告诉你”我们天然支持SIEM对接”，但实际把EDR日志接进Splunk或ELK会发现：告警格式不统一、时间戳有时区问题、事件去重逻辑跟SIEM侧冲突。我踩过最离谱的坑是某客户的SentinelOne日志里，同一个进程启动事件被拆成三条不同类型的log，SIEM侧做关联分析直接疯掉。

推荐的做法是先用轻量级方案验证。如果你们已经上了微软Sentinel（Azure原生的SIEM），三家EDR都有原生Connector，30分钟能跑通；如果用Splunk ES，建议先通过HEC走TCP，日志量大的话做个缓冲队列。

1. 确认EDR侧开启的日志类型——不建议全开，优先开Process Execution、Network Connection、File Write三类
2. 在SIEM侧配置字段映射，重点处理timestamp和hostname的归一化
3. 设置告警阈值，Windows Defender那个级别的智能阈值，不要照搬原厂模板
4. 跑满两周后根据误报数据反调规则，这个阶段最费时间但最关键

如果你们还没上SIEM，可以考虑我们的sTrust零信任方案，内置了基础日志采集能力，后期扩展SIEM时不用推倒重来。

价格与功能的平衡点，有个土办法

我有个土方法：采购前让厂商做72小时真实对抗测试。把近半年真实截获的钓鱼样本、恶意Hash发给对方，看能不能在沙箱里全量检出。这个测试成本几乎为零，但能筛掉PPT做得漂亮、实战拉胯的产品。

成本测算有个参考区间：100人规模的企业，CrowdStrike Falcon Complete大约18-22万/年，SentinelOne Singularity Complete约14-18万/年，360 EDR政企版看采购量级大概8-12万/年。如果只是做合规过等保，360够用；如果是真刀真枪防勒索，建议在SentinelOne基础上再配个邮件安全网关。

最后提醒一句：EDR买了不配运维等于白买。我见过太多企业花大钱部署了，然后Agent开着、告警没人看、规则不更新——这种状态还不如不买。建议采购前算清楚运维人力成本，否则续费的时候你会质疑这东西到底有没有用。