MKB bedrijf: Kaspersky vervangen voor Sentinel One?

[makje]

Ik open dit topic omdat we op ons werk nadenken over een overstap van onze Kaspersky software naar een andere aanbieder van 'beschermingssoftware' met een concreet voorstel voor Sentinel One en ik ben op zoek naar wat meer informatie over Sentinel One. Aanleiding is een gevalletje met Kaspersky, laat ik daarom een stukje informatie en achtergrond geven:

We hebben ongeveer 200 Windows computers en laptops en een 40 Windows servers (VMs) en gebruiken al een 8 jaren Kaspersky Endpoint Security met centraal beheer via de Security Center en opzich naar tevredenheid. Voor de computers updaten we elk jaar wel naar de laatste Kaspersky versie maar voor de servers hadden we dat de afgelopen jaren niet gedaan, tot een paar maand terug. Toen heb ik de update gedaan van 10.0 SP1 naar 11.4 eerst voor een paar servers, later wat meer en uiteindelijk alle en een week later ben ik op vakantie gegaan...

Je begrijp denk ik al: in mijn vakantie hebben ze grote problemen gehad met fileservers die 'ineens' niet meer toegankelijk waren waardoor de backups mislukten en 1 applicatieserver zwaar in de war raakte enzovoorts (de externe systeembeheerders in achterwacht hebben ook niet alles handig opgepakt maar goed). Dit alles is nog in mijn afwezigheid uiteindelijk naar Kaspersky herleid: De Network Attack Blocker (NAB) van 10.2 lijkt uitgebreid met een “Enable protection of shared folders against external encryption” ofwel bescherming tegen ransomware welke standaard enabled is en standaard bij een detectie de netwerkverbinding blockt. Die nieuwe functie had ik wel gezien maar niet als een risico ingeschat want ja de NAB zat er al jaren op en de eerste servers hadden allen geen probleem en bescherming tegen ransomeware willen we wel... Gevolg was dat een paar keren niemand meer bij een van de 4 fileservers kon, ook niet via RDP alleen beheerders nog via de Hyper-V console. Onze Veeam backupsoftware kon er dus via netwerk niet meer bij (en ik vermoed dat dit ook gebeurde tijdens het maken van een backup 's nachts, zou niet weten waarom die anders in de war raakte maar die gegevens heb ik niet).
Dat is nu wel opgelost door deze bescherming uit te zetten op de servers, maar Kaspersky heeft een deuk gekregen en de licentie moet over een paar maanden verlengd worden, of niet.

Nu heeft onze aanbieder (de externe systeembeheerders) het over Sentinel One als zijnde veeeeeeeel beter dan 'iets ouderwets als Kaspersky'. Nu zit ik dus wat rond te zoeken naar reviews over Sentinel One en aan de ene kant vind ik veel enthousiaste reviews van gebruikers en eigen medewerkers, maar niets wat wat meer... onafhankelijk klinkt zoals een review van meerdere paketten. Beter gezegd, de onfhankelijke reviews lijken Sentinel One een beetje aan de zijlijn te laten?
https://www.nsslabs.com/t...nced-endpoint-protection/
https://comparecamp.com/s...icing-pros-cons-features/ (kaspersky krijgt bij hun een hogere score met 92%, al lijkt dat meer over 1 losse werkstation te gaan)

Heeft iemand op Tweakers ervaringen met Sentinel One en zo ja wat zijn die op het gebieden van

• bescherming (antivirus, antimaleware, antiransomware)
• false positives, overenthousiaste ingerepen bij verdacht gebruikt (onze computergebruikers zijn geen standaard officewerkers, maar gebruiken allerlei test en meet software en apparatuur van vele fabrikanten)
• beheer(gemak) en typische tijdsbesteding voor de systeembeheerder?

Of weet iemand een ander pakket als betere opvolger voor Kaspersky en zo ja waarom?

edit:
misschien handig om te vermelden, zoeken op Tweakers geeft mij alleen deze post van Wartopia van 2017 die zelf ook om ervaringen met Sentinel One (in vergelijking met 2 andere oplossingen) vraagt

[ Voor 3% gewijzigd door makje op 19-10-2020 12:42 ]

[Jazzy]

Ik heb geen ervaring met Sentinel One maar zou wel een beetje terughoudend zijn met wisselen omdat je één keer een slechte ervaring gehad hebt. Bijna alle leveranciers hebben wel eens een fuck-up gehad, ik herinner me vergelijkbare problemen met NOD32 terwijl die tot op dat moment echt hoog aangeschreven stonden.

[makje]

@Jazzy ik snap wat je bedoeld, maar ik beslis niet of we wisselen en omdat de problemen in mijn afwezigheid waren en de externe mensen 'ons zo fantastisch gered hebben' weegt alles wat ze zeggen nu zwaar bij de leidinggevende die in mijn afwezigheid zelf ook voor het eerst ooit eigen uren in IT zaken heeft moeten steken.

Daarnaast: we hebben nu 8 jaar lang Kaspersky en ik ben er niet mee getrouwd, als er nu betere oplossingen zijn dan sta ik helemaal open daarvoor. Maar dan zie ik wel graag dat de oplossing ook echt beter is inderdaad én dat die een vervanging is voor Kaspersky en niet alleen iets wat ook iets in die buurt is maar eigenlijk nog iets ernaast nodig heeft. Ofwel een geinformeerde beslissing om te switchen kan ik helemaal achter staan

[Knee-Buckler]

Heeft iemand op Tweakers ervaringen met Sentinel One en zo ja wat zijn die op het gebieden van
bescherming (antivirus, antimaleware, antiransomware)
false positives, overenthousiaste ingerepen bij verdacht gebruikt (onze computergebruikers zijn geen standaard officewerkers, maar gebruiken allerlei test en meet software en apparatuur van vele fabrikanten)
beheer(gemak) en typische tijdsbesteding voor de systeembeheerder?

Wij gebruiken sinds een aantal weken nu Sentinel One (we hadden ESET) en ik vind het top. Qua false positives valt het heel erg mee. Ja sommige dingen (vooral oud spul) kan een melding geven, maar die keur je goed en dan loopt het top.

Als het ingericht wordt, kan je ook al een hoop instellen wat wel en niet meegenomen moet worden, zo kan je bijvoorbeeld paden excluden of alleen een paar bestanden.


https://solutions.central...1JsY2s1iNb3IaAuX_EALw_wcB staat goed veel informatie.

De demo hebben ze bij mij hier op lokatie gedaan en ben er echt enthousiast over. Het grote voordeel van Sentinel one is dat het compleet anders detecteerd dan onze ESET, welke eigenlijk gewoon een database is die geupdate wordt.

Sentinel One kijkt naar processen en het register, om te kijken wanneer je bijvoorbeeld een pdf opent en er een .exe (of iets in verwerkt zit) de procedure klopt, klopt dit niet dan stopt het proces. En als er dan eventueel ransomware in zit. Dan heb je bij wijze van 2 documenten gegijzeld, maar Sentinel One draait dit terug door de eigen "back up".

[Brahiewahiewa]

makje schreef op maandag 19 oktober 2020 @ 13:09:
... maar ik beslis niet of we wisselen en omdat de problemen in mijn afwezigheid waren en de externe mensen 'ons zo fantastisch gered hebben' weegt alles wat ze zeggen nu zwaar bij de leidinggevende ...

Is de beslissing al genomen? Of heb jij toch nog iets in te brengen?

Anyway, de vraag is of je voor één product moet gaan. Je ziet vaak dat men bewust kiest voor het ene product voor de servers en het andere product voor de clients. Vooral omdat de attack vectoren nogal verschillen tussen die twee rollen. Bijvoorbeeld die "protection of shared folders" is iets wat op clients niet speelt, die hebben geen shared folders

[makje]

@Knee-Buckler bedankt voor je reactie, hebben jullie Eset hiermee volledig vervangen en nu 1 product waarmee je servers en werkstations beveiligd? Of hebben jullie naast Sentinel One ook nog andere beveiligingsproducten op de servers en werkstations?

Het grote voordeel van Sentinel one is dat het compleet anders detecteerd dan onze ESET, welke eigenlijk gewoon een database is die geupdate wordt

Maar ervaar je die verbetering ook dan? want ik hoor dat wel overal bij Sentinel One, maar gewone virusscanners doen tegenwoordig ook meer dan alleen een database volgens mij, met 'heuristic scanner' en 'sandbox' enzo. Is het dus beter of klinkt het heel goed?

@Brahiewahiewa de beslissing is zeker niet genomen nog en ik heb zeker welk wat in te brengen. Maar goed ik denk dat af en toe inhoudelijk eens evalueren of Kaspersky nog steeds goed is voor ons wel verstandig is dus daar ben ik het wel mee eens. Alleen de manier waarop Sentinel one naar binnen gepraat (geschreeuwd) wordt staat me wat tegen maar als het ook een goed product is... Verlengen van Kaspersky kost een fractie van de aanschafprijs en van Sentinel One krijg ik de indruk dat die wel prijzig is dus bij Kasperksy blijven zal verwacht ik sowieso het goedkoopst zijn en de minste moeite kosten omdat het al ingericht is. Prijzen niet niet mijn verantwoordelijkheid maar weegt absoluut mee.

Bewust een ander pakket op servers dan op werkstations begrijp ik als 1 pakket ook beter geschikt is voor de een of de ander, maar indien niet dan houdt ik liever wel 1 pakket qua beheerslast en productkennis. We zijn maar een klein bedrijf

_{Soms is het net alsof een directie denkt dat als ze jou de duurdere virusscanner geven zij jou daarmee een plezier doen...
(en als je echt pech hebt is vervolgens het (nooit benoemde) budget voor IT 'op')}

[Knee-Buckler]

makje schreef op maandag 19 oktober 2020 @ 15:32:
@Knee-Buckler bedankt voor je reactie, hebben jullie Eset hiermee volledig vervangen en nu 1 product waarmee je servers en werkstations beveiligd? Of hebben jullie naast Sentinel One ook nog andere beveiligingsproducten op de servers en werkstations?


[...]
Maar ervaar je die verbetering ook dan? want ik hoor dat wel overal bij Sentinel One, maar gewone virusscanners doen tegenwoordig ook meer dan alleen een database volgens mij, met 'heuristic scanner' en 'sandbox' enzo. Is het dus beter of klinkt het heel goed?

We gebruiken op sommige servers nog Trend Micro (dit zijn vooral hele oude servers die we aan het uitfaseren zijn). Op de werkstations alleen Sentinel One. Of ik ervaar of het beter is, is nu nog lastig te zeggen we gebruiken het nog maar een aantal weken. Ik heb nog geen "infecties" gehad zeg maar..

Het is geen traditionele virusscanner maar veel meer..het doet zoveel meer, ik zou echt eens iemand op bezoek vragen bij jou om de functies van Sentinel One te laten zien, en laten opsommen wat Sentinel One doet tegenover een traditionele Virusscanner..

Wat betreft het beheer, hebben wij het in beheer bij een ICT partij die het monitoren. Ze hebben een aparte afdeling die de meldingen van Sentinel One beheren om bijvoorbeeld false positives te monitoren en goedkeuren of blokkeren.

[Diederik]

Tsja, Sentinel One staat niet in dit lijstje:
https://www.av-test.org/e.../business-windows-client/

Dat is voor mij voldoende reden om niet voor deze partij te kiezen.

[makje]

@Knee-Buckler tja het beheer uitbesteden maakt het wel makkelijk natuurlijk, dat is ook een manier

offtopic:
Helaas is mijn ervaring met uitbesteding in het algemeen dat het vooral makkelijk is voor de beherende partij omdat die gewoon niet al te moeilijk doet en naar mijn mening daardoor vaak minder scherp is ingericht dan ik zelf zou doen als ik er wel zelf verantwoordelijk voor ben... (leveranciers die servers inrichten: "nee firewall moet je uitzetten die zit alleen maar in de weg!" in plaats van netjes de juiste poorten open te zetten en de rest dicht te houden. Meerdere vlans voor scheiding? nee joh veel teveel werk lekker die server in het gebruikersvlan zetten joh. Laptop herinstalleren? nee joh ik gooi even die gebruikersmap leeg en dan kan de laptop wel opnieuw ingezet worden)

@Diederik tja ik zou graag hebben dat ze meegenomen worden in dit soort vergelijkende testen, hoeveel zout daar soms ook bij genomen moet worden, maar om alleen daarom er niet voor te kiezen... Maar zonder goede reviews online blijven alleen je mede Tweakers uit voor onafhankelijke ervaringen

[Diederik]

Laat ik het dan anders stellen, er zijn veel vergelijkende tests voor dit soort pakketten, maar Sentinel One wordt daarin niet meegenomen, daar zal een reden voor zijn.

Naar die reden kan je informeren bij je leverancier, en als er een bevredigend antwoord is, kan je het alsnog overwegen.

Tot nu toe heb je op Tweakers ook nog maar 1 tevreden gebruiker gevonden.

[Knee-Buckler]

makje schreef op vrijdag 23 oktober 2020 @ 16:32:
@Knee-Buckler tja het beheer uitbesteden maakt het wel makkelijk natuurlijk, dat is ook een manier

Dan heb je wel een makkelijke partij hier doen we het echt wel op mijn voorwaarden. En komen ze ook niet met een oplossing zoals jij aangeeft. We maken hier echt wel verschillende Vlans en een laptop wordt gewoon door Intune opnieuw uitgerold en aan een andere user assigned voordat die opnieuw ingezet wordt.

Diederik schreef op donderdag 22 oktober 2020 @ 17:21:
Tsja, Sentinel One staat niet in dit lijstje:
https://www.av-test.org/e.../business-windows-client/

Dat is voor mij voldoende reden om niet voor deze partij te kiezen.

maar het is ook geen AV oplossing.. het is een EDR oplossing.. dus dat die niet in die lijst staat vind ik eigenlijk wel logisch.

[ Voor 38% gewijzigd door Knee-Buckler op 26-10-2020 07:52 ]

[Verwijderd]

Uitervaring weet ik dat het deinstalleren van kaspersky op een aantal werkplekken tot een herinstallatie leidde. Neem dit mee in je overweging om over te stappen

[Drardollan]

Dit soort updates/upgrades moet je nooit doen net voor een vakantie. Gegarandeerd problemen.

Zelf ben ik erg tevreden over Sophos. Goed geprijsd, snel en betrouwbaar. Als service of on-prem af te nemen. En uitbreidbaar met bijvoorbeeld een firewall.

Sentinel ken ik enkel van naam, maar heb ik nooit ergens gezien of gehoord. Het komt ook over als snelle jongens met dure termen. Voor de bescherming van mijn netwerken vertrouw ik liever op ander soortige bedrijven.

[ Voor 39% gewijzigd door Drardollan op 26-10-2020 08:03 ]

[F_J_K]

Ik heb geen ervaring met SentinelOne.

makje schreef op maandag 19 oktober 2020 @ 12:36:
onze computergebruikers zijn geen standaard officewerkers, maar gebruiken allerlei test en meet software en apparatuur van vele fabrikanten[/li]

'Dus' veel t.o.v. normaal kantoorvolk afwijkend gedrag van applicaties? Dat wil je dan goed (breed en voldoende lang) praktijk-testen. Op de clients dan, neem ik aan. Nog een reden om te overwegen voor servers en clients andere scanners te hanteren. Vind ik zelf sowieso wel zo veilig: kleinere kans op false negatives.

Knee-Buckler schreef op maandag 19 oktober 2020 @ 15:41:
[...]
Het is geen traditionele virusscanner maar veel meer..het doet zoveel meer, ik zou echt eens iemand op bezoek vragen bij jou om de functies van Sentinel One te laten zien, en laten opsommen wat Sentinel One doet tegenover een traditionele Virusscanner..

Dat een verkopert een goed verhaal kan houden kan ik me voorstellen. Maar: wat doet het minder? Wat doet het anders? (Serieuze vraag. Er zijn -altijd- minpunten. Een Tesla S is misschien goedkoper, sneller, wendbaarder, zuiniger, comfortabeler dan een beetje trekker. Hij trekt alleen wat minder).

Niet in tests voorkomend: ik ben benieuwd of dat is omdat ze zelf niet mee willen doen, of omdat ze niet gevraagd willen worden. Heeft iemand daar zicht op?

[Drardollan]

Knee-Buckler schreef op maandag 19 oktober 2020 @ 15:41:
[...]
Het is geen traditionele virusscanner maar veel meer..het doet zoveel meer, ik zou echt eens iemand op bezoek vragen bij jou om de functies van Sentinel One te laten zien, en laten opsommen wat Sentinel One doet tegenover een traditionele Virusscanner..

Bestaan er nog "traditionele virusscanners" dan? Tegenwoordig is elke virusscan uitgebreid, in de volksmond noemt men het nog virusscanner of antivirus maar dat is het dan ook wel.

Wat kan Sentinel One wat een ander niet kan? Welke unieke features hebben zij en wat leveren ze op?

En dit is een serieuze vraag.

[DJMaze]

makje schreef op maandag 19 oktober 2020 @ 12:36:
We hebben ongeveer 200 Windows computers en laptops en een 40 Windows servers (VMs)

makje schreef op maandag 19 oktober 2020 @ 12:36:
Dit alles is nog in mijn afwezigheid uiteindelijk naar Kaspersky herleid: De Network Attack Blocker (NAB) van 10.2 lijkt uitgebreid met een “Enable protection of shared folders against external encryption” ofwel bescherming tegen ransomware welke standaard enabled is en standaard bij een detectie de netwerkverbinding blockt.

makje schreef op maandag 19 oktober 2020 @ 13:09:
als er nu betere oplossingen zijn dan sta ik helemaal open daarvoor

Beveiliging tegen Ransomware is anno 2020 essentieel.
Daarom heb je offline backups.
Heb je die niet, dan maakt het niks uit wat voor "virusscanner" je hebt, zodra het probleem zich voordoet.
Iedereen laten overstappen op Mac OS en GNU/Linux verlaagt het risico,, maar sluit het niet uit en is door de vendor lock-in natuurlijk ook geen oplossing.

Hoe weet je of Sentinal One beter beschermd dan Kasperky?
En how weet je of het meer/minder resources vreet van je VM's?

[ExilaaHH]

Wij bieden aan onze klanten al een behoorlijke tijd Sentinel One aan. Naar volledige tevredenheid ook. Wij merken dat tegenover de traditionele virusprotectie, zoals Kaspersky (die wij in het verleden ook aanbieden) of een ESET er veel minder false positives zijn, minder administratief werk en goede bescherming is.

Wij hebben in een sandbox getest met verschillende virussen en zien dat SentinelOne hierop veel beter acteert, nieuwe virussen pakt SentinelOne ook beter op.

[Knee-Buckler]

ExilaaHH schreef op maandag 26 oktober 2020 @ 13:10:
Wij bieden aan onze klanten al een behoorlijke tijd Sentinel One aan. Naar volledige tevredenheid ook. Wij merken dat tegenover de traditionele virusprotectie, zoals Kaspersky (die wij in het verleden ook aanbieden) of een ESET er veel minder false positives zijn, minder administratief werk en goede bescherming is.

Wij hebben in een sandbox getest met verschillende virussen en zien dat SentinelOne hierop veel beter acteert, nieuwe virussen pakt SentinelOne ook beter op.

En Sentinel One zorgt ook automatisch voor een rollback en isolatie mocht je wel ransomware krijgen. Dit heb ik hier getest met een ransomware op een PC afgesloten van het internet. Er werden een paar files encrypted, daarna draaide Sentinel One dit terug.

[The Realone]

Knee-Buckler schreef op maandag 26 oktober 2020 @ 13:26:
[...]


En Sentinel One zorgt ook automatisch voor een rollback en isolatie mocht je wel ransomware krijgen. Dit heb ik hier getest met een ransomware op een PC afgesloten van het internet. Er werden een paar files encrypted, daarna draaide Sentinel One dit terug.

Dit doet Kaspersky ook. Ik heb zo'n 7 jaar lang Kaspersky onder mijn hoede gehad bij een bedrijf met een enorm gevarieerde gebruikersomgeving. Van initiele integratie tot het einde toen ik vertrok. Legacy systemen, zeer gevoelige meetsystemen (en bijbehorende bagger software), office werkers, CAD, DevOps, enzovoorts. En hoewel Kaspersky zijn eigenaardigheden had heb ik nooit onoverkomelijke problemen gehad.

Uiteindelijk een PoC gestart met Carbon Black en Crowdstrike, die je goed kunt vergelijken met SentinelOne. Dit zijn EDR's, anders dan de "traditionele" security suites waar je KES bijvoorbeeld onder kunt scharen. Wat krijg je er voor terug? Meestal offloading van scanning/sandboxing naar de cloud en dus een lager resource gebruik, maar bovenal visibiliteit. Voor threathunting kun je eigenlijk niet om een EDR heen, maar de vraag is of je dat wel wil. Het ziet er leuk uit, je ziet hoe processen onderling communiceren en waar iets spawned, zo kun je een malware uitbraak erg gedetailleerd naar de bron herleiden. Waar de bron dan natuurlijk jouw perimiter is.

De vraag is welk voordeel je denkt te behalen door over te stappen. Je bent niet ineens beter beschermd, want Kaspersky is een prima security suite met een bak aan features die zorgt voor gelaagde beveiliging. Je krijgt er meer info voor terug, de vraag is wat dat je waard is.

Overigens heeft Kaspersky ook een EDR product, daar al eens naar gekeken?

[Felyrion]

Wij zijn zelf als IT partij overgestapt van Kaspersky naar SentinelOne voor onze klanten. De overstap is naar tevredenheid verlopen over het algemeen.
We hebben uitgebreid getest en het lijkt erop dat SentinelOne de meeste crypto's etc. die we hebben kunnen testen sneller oppakt (en met rollback opties, maakt gebruik van de shadowcopy hiervoor).

Grootste voordeel wat mij betreft is overiens de beheerslast. Kaspersky moet je eigenlijk continu achteraan wil je het op alle werkstations netjes bij hebben zonder issues. SentinelOne is (uitzonderingen daargelaten) veel zelfredzamer gebleken.

Ergens zou ik SentinelOne met Apple willen vergelijken. Je kunt er zelf niet zoveel aan aanpassen maar het werkt wel goed over het algemeen. Kaspersky is meer Android in de vergelijking, je kunt alle toeters en bellen aanpassen, maar het wordt er vaak niet overzichtelijker van.

Het stukje performance valt in het voordeel van SentinelOne uit. Heel soms zit er een versie tussen met issues, maar doorgaans geeft het een lagere load op de systemen.

[Diederik]

Knee-Buckler schreef op maandag 26 oktober 2020 @ 07:50:

maar het is ook geen AV oplossing.. het is een EDR oplossing.. dus dat die niet in die lijst staat vind ik eigenlijk wel logisch.

Ik vind dat je een beetje selectief leest, via mijn link vind je het volgende:

During July and August 2020 we continuously evaluated 17 endpoint protection products using settings as provided by the vendor.

Plaatje:

[Knee-Buckler]

Diederik schreef op maandag 26 oktober 2020 @ 15:36:
[...]


Ik vind dat je een beetje selectief leest, via mijn link vind je het volgende:

During July and August 2020 we continuously evaluated 17 endpoint protection products using settings as provided by the vendor.

Plaatje:
[Afbeelding]

Dan heb ik inderdaad niet goed gelezen.. mijn excuses, ik zou niet weten waarom Sentinel One daar niet tussen staat. Ik heb daar geen verklaring voor.