CrowdStrike và Microsoft Defender 2026: Giá, khả năng phát hiện và khác biệt SKU

CrowdStrike và Microsoft Defender không chỉ có một phép so sánh

Phần lớn bài viết về chủ đề này so sánh một sản phẩm tên là “CrowdStrike” với một sản phẩm tên là “Microsoft Defender”. Thực tế không có sản phẩm nào như vậy. Cả hai tên gọi đều bao trùm một hệ thống giấy phép với năng lực rất khác nhau, và sai lầm tốn kém nhất của người mua là đem một cấp trong hệ thống này so với một cấp không tương đương trong hệ thống kia.

Đây là chi tiết khiến phần lớn các bài so sánh trở nên thiếu chính xác: CrowdStrike Falcon Pro không bao gồm EDR. Hãy đọc bảng so sánh gói dịch vụ của CrowdStrike và bạn sẽ thấy Endpoint Detection and Response được liệt kê nhưng không có mô tả bên dưới Go và Pro, trong khi chỉ được mô tả đầy đủ ở Enterprise. Go và Pro là các gói chống virus thế hệ mới, có kiểm soát thiết bị, bảo vệ di động và (ở Pro) quản lý tường lửa. Nếu mua Falcon Pro vì nghĩ rằng mình đã có EDR thì bạn đã nhầm.

Microsoft gặp vấn đề ngược lại. Defender for Business — SKU dành cho doanh nghiệp nhỏ và vừa — có EDR, điều tra và phản hồi tự động cũng như quản lý lỗ hổng, trong khi Defender for Endpoint Plan 1, SKU cấp thấp dành cho doanh nghiệp, lại không có. FAQ về Defender for Business của Microsoft nêu rõ Plan 1 bao gồm bảo vệ thế hệ mới và giảm bề mặt tấn công; EDR, điều tra tự động, threat hunting và lưu giữ dữ liệu trong sáu tháng chỉ có từ Plan 2.

Vì vậy, sản phẩm dành cho SMB lại có EDR mạnh hơn sản phẩm cấp thấp dành cho doanh nghiệp. Khi xếp hai hệ thống theo năng lực thay vì theo cấp tiếp thị, ta có bảng sau:

Hãy chú ý khoảng trống trong cột CrowdStrike. Không có cấp CrowdStrike nào tương đương Defender for Business — tức EDR thực sự nhưng không đi kèm mức giá và gánh nặng vận hành của doanh nghiệp lớn. Khoảng trống này chính là câu chuyện thương mại quan trọng ở phân khúc doanh nghiệp nhỏ, đồng thời giải thích vì sao hai nhà cung cấp thường đánh mất khách hàng vào tay nhau vì những lý do không liên quan đến chất lượng phát hiện.

Giá CrowdStrike và Microsoft Defender năm 2026

Cả hai nhà cung cấp đều công bố giá niêm yết, vì vậy phần này có thể kiểm chứng thay vì chỉ là ước tính. Điều không dễ nhận ra từ các trang giá là hai bên không tính phí trên cùng một đơn vị. CrowdStrike tính theo thiết bị. Microsoft tính theo người dùng, và một giấy phép Defender for Endpoint cho người dùng bao phủ tối đa năm thiết bị — con số được Microsoft nêu trực tiếp trong FAQ trên trang giá Defender. Cả hai nhà cung cấp đều không tính máy chủ vào các giới hạn này.

Chỉ riêng khác biệt về đơn vị tính phí đã tác động đến phép so sánh nhiều hơn bất kỳ tính năng nào. Một doanh nghiệp 60 người, trong đó mỗi người có một laptop và một máy tính để bàn, tương đương 120 thiết bị tính phí với CrowdStrike nhưng chỉ 60 tài khoản tính phí với Microsoft.

Giá niêm yết CrowdStrike Falcon

Giới hạn 100 thiết bị của Falcon Go chỉ được ghi chú nhỏ trên trang giá của CrowdStrike thay vì đặt ở vị trí nổi bật, khiến các công ty đang tăng trưởng dễ lập ngân sách theo mức $59.99. Khi vượt 100 thiết bị, bạn phải đổi gói chứ không chỉ trả thêm trên cùng một hóa đơn.

Giá niêm yết Microsoft Defender

Một lưu ý thực tế dễ gây nhầm lẫn khi mua sắm: tại thời điểm bài viết này được thực hiện, Microsoft không công bố giá độc lập của Defender for Endpoint Plan 1 và Plan 2 trên các trang giá bảo mật chính. Plan 2 đến với phần lớn khách hàng thông qua Microsoft 365 E5, tiện ích bổ sung Microsoft Defender Suite giá $12 dành cho tenant E3 hoặc báo giá từ đại lý. Nếu một bài so sánh đưa ra con số chính xác theo từng thiết bị cho Plan 2, hãy hỏi nguồn của con số đó.

Chênh lệch nổi bật rất lớn. Defender for Business giá $3.00 mỗi người dùng mỗi tháng tương đương $36 mỗi người dùng mỗi năm và bao phủ tối đa năm thiết bị. Falcon Enterprise có giá $184.99 mỗi thiết bị mỗi năm. Cả hai đều có EDR. Đây không phải chênh lệch làm tròn — đó là lý do Microsoft thường thắng trên giấy trong các cuộc đánh giá SMB trước cả khi người mua mở giao diện quản trị.

Khả năng phát hiện: dữ liệu kiểm thử năm 2026 thực sự cho thấy gì?

Đây là phần thường bị đưa tin sai nhất, nên hãy bắt đầu bằng sự thật định hình lại toàn bộ vấn đề: hiện không có kết quả MITRE ATT&CK đối đầu trực tiếp nào giữa hai nhà cung cấp này.

Vào tháng 6 năm 2025, Microsoft thông báo sẽ không tham gia MITRE ATT&CK Evaluations: Enterprise 2025, cho biết quyết định này giúp hãng tập trung nguồn lực cho Secure Future Initiative và phát triển sản phẩm. SentinelOne và Palo Alto Networks cũng rút lui vào tháng 9. Infosecurity Magazine đưa tin vòng kiểm thử đó chỉ còn khoảng một chục đơn vị tham gia, giảm từ 19 đơn vị năm trước và 30 đơn vị vào năm 2022.

Kết quả thường được trích dẫn của CrowdStrike với 100% phát hiện, 100% bảo vệ và không có false positive đến từ vòng kiểm thử năm 2025 đó — vòng mà Microsoft không tham gia. Đây là kết quả có thật trước các kỹ thuật tấn công khó, bao gồm lần mô phỏng đối thủ trên đám mây đầu tiên của MITRE và tactic Reconnaissance mới được bổ sung. Tuy nhiên, đó không phải là chiến thắng trước Defender vì Defender không tham gia. Chuyên gia phân tích Allie Mellen của Forrester cũng công khai cảnh báo rằng các tuyên bố 100% của nhà cung cấp cần được xem xét kỹ, vì chúng có thể phản ánh cách báo cáo chọn lọc hoặc cấu hình kiểm thử mà không ai sử dụng trong môi trường thực tế.

Phép so sánh trực tiếp hiện tại: AV-Comparatives H1 2026

Kiểm thử độc lập gần đây nhất có cả hai nhà cung cấp là AV-Comparatives Business Security Test tháng 3–6 năm 2026, công bố vào 15 tháng 7 năm 2026. Bài kiểm thử chạy trên Windows 11 với 400 tình huống thực tế. Kết quả không giống kịch bản mà phần lớn người mua kỳ vọng:

CrowdStrike thắng bài kiểm thử bảo vệ trước malware với cách biệt 0.4 điểm. Microsoft thắng về bảo vệ trong thế giới thực với cách biệt 0.3 điểm, không có cảnh báo nhầm và mức ảnh hưởng đo được đến hệ thống chỉ khoảng một nửa. AV-Comparatives cũng nêu rõ CrowdStrike nằm trong nhóm có false positive cao hơn mức trung bình với phần mềm không dành cho doanh nghiệp trong vòng kiểm thử đó.

Dưới đây là những lưu ý giúp dữ liệu này hữu ích thay vì gây hiểu lầm, bởi đây là phần thường bị bỏ qua:

• Các sản phẩm không tương đương. AV-Comparatives kiểm thử “Microsoft Defender Antivirus with MEM” với “CrowdStrike Falcon Enterprise.” Đây là lớp phòng ngừa của Microsoft so với nền tảng EDR đầy đủ của CrowdStrike. Bài kiểm thử đo xem malware có bị chặn hay không, chứ không đo khả năng chuyên viên tái dựng một cuộc xâm nhập sau đó.
• Cấu hình không tương đương. Nhà cung cấp tự cấu hình sản phẩm của mình cho các bài kiểm thử. CrowdStrike bật mọi thứ ở mức “Extra Aggressive”, sử dụng bản sensor dành cho người dùng sớm và bật toàn bộ playbook phát hiện. Microsoft chạy gần với mặc định, thời gian chờ cloud dài hơn và bật gửi mẫu. Chênh lệch false positive ít nhất một phần là hệ quả của lựa chọn này.
• Tỷ lệ phòng ngừa hội tụ ở nhóm dẫn đầu, nhưng năng lực phản hồi thì không. Sáu nhà cung cấp có kết quả nằm trong khoảng 1.3 điểm về bảo vệ thế giới thực. Khác biệt đáng kể giữa các nền tảng nằm ở hunting, lưu giữ dữ liệu và điều tra — những yếu tố không được đo trong bài kiểm thử này.

Tóm lại một cách công bằng: xét khả năng chặn các mối đe dọa phổ biến trong năm 2026, hai sản phẩm này gần như nằm trong cùng biên sai số và Microsoft có số liệu tốt hơn về false positive cũng như hiệu năng. Xét khả năng phát hiện chuyên sâu trước đối thủ có chủ đích, CrowdStrike có thành tích được công bố mạnh hơn, nhưng hiện chưa có bài kiểm thử nào đặt hai sản phẩm vào cùng một phép đo để chứng minh điều đó.

Tổng chi phí sở hữu vượt xa dòng chi phí giấy phép

Với hệ thống trên khoảng 200 thiết bị, phí giấy phép là khoản nhỏ nhất trong ngân sách EDR. Những khoản dưới đây mới quyết định con số thực tế, và chúng tác động theo hướng trái ngược đối với hai nhà cung cấp.

Có hai điểm bất đối xứng quan trọng hơn phần còn lại.

Thứ nhất, chi phí Microsoft thường bằng 0 hoặc giảm thêm ở biên. Nếu tenant đã sử dụng Microsoft 365 E5, Defender for Endpoint Plan 2 đã được thanh toán. Mua thêm CrowdStrike sẽ hoàn toàn là chi phí phát sinh cho một năng lực mà tổ chức đã có giấy phép. Đây là lập luận rất khó bác bỏ trong cuộc xem xét ngân sách và là vị thế thương mại mạnh nhất của Microsoft trên thị trường này.

Thứ hai, năng lực của Microsoft chỉ sâu bằng giấy phép yếu nhất trong tenant. Mua Defender for Business giúp bạn có EDR nhưng không có hunting nâng cao hoặc timeline thiết bị đầy đủ — bạn chỉ thấy câu chuyện cảnh báo mà Microsoft trình bày và không thể truy vấn dữ liệu telemetry thô phía sau. Trong một sự cố thực tế, giới hạn này thường chỉ được phát hiện vào thời điểm tệ nhất. Cấp Enterprise của CrowdStrike cung cấp cùng một giao diện điều tra cho mọi khách hàng, bất kể họ mua thêm sản phẩm nào.

Rủi ro tập trung cũng cần được đề cập một cách thẳng thắn theo cả hai hướng. Ngày 19 tháng 7 năm 2024, một bản cập nhật nội dung sensor Falcon bị lỗi đã gây màn hình xanh trên khoảng 8.5 triệu máy Windows — đây là lỗi cấu hình, không phải vụ xâm nhập. CrowdStrike sau đó đã triển khai kiểm soát cập nhật nội dung và phát hành theo từng giai đoạn; mọi cuộc đánh giá nghiêm túc nên xác nhận các kiểm soát này được bật thay vì mặc định cho rằng chúng đã có. Rủi ro tương ứng ở phía Microsoft có hình thức khác nhưng vẫn thực tế: tập trung endpoint, danh tính, email và SIEM vào một nhà cung cấp có nghĩa là một sự cố ngừng dịch vụ hoặc xâm nhập của nhà cung cấp đó có thể tác động đến tất cả cùng lúc.

CrowdStrike và Microsoft Defender cho doanh nghiệp nhỏ

Ở quy mô dưới khoảng 300 người dùng, phép so sánh là Defender for Business với Falcon Go hoặc Falcon Pro, và xét về giá trị thì kết quả không cân sức.

Defender for Business giá $3.00 mỗi người dùng mỗi tháng bao gồm bảo vệ thế hệ mới, giảm bề mặt tấn công, lọc nội dung web, EDR, điều tra và khắc phục tự động cũng như quản lý lỗ hổng trên Windows, macOS, iOS và Android. Falcon Go giá $59.99 mỗi thiết bị mỗi năm bao gồm chống virus, kiểm soát thiết bị và bảo vệ di động — nhưng không có EDR. Falcon Pro giá $99.99 bổ sung quản lý tường lửa nhưng vẫn không có EDR.

Vì vậy, với doanh nghiệp nhỏ, con đường CrowdStrike rẻ nhất để có EDR thực sự là Falcon Enterprise giá $184.99 mỗi thiết bị mỗi năm. Con số này cao hơn khoảng năm lần chi phí hằng năm của Defender for Business tính theo mỗi tài khoản, chưa tính lợi thế tối đa năm thiết bị cho mỗi người dùng của Microsoft.

Ba giới hạn khiến đây không phải chiến thắng tuyệt đối, và bạn nên kiểm tra cả ba trước khi cam kết:

• Defender for Business không hỗ trợ cấp phép kết hợp trong cùng một tenant — Microsoft nêu rõ điều này trong FAQ. Bạn không thể chạy một số tài khoản bằng Defender for Business và số khác bằng Plan 2 rồi kỳ vọng hệ thống hoạt động như nhau.
• Máy chủ cần tiện ích bổ sung riêng. Giấy phép người dùng không bao gồm quyền cho máy chủ, và tiện ích máy chủ có giới hạn riêng theo từng gói đăng ký. Doanh nghiệp có hệ thống máy chủ đáng kể nên tính rõ khoản này thay vì mặc định rằng đã được bao phủ.
• Không có hunting nâng cao. Nếu kế hoạch ứng phó sự cố của bạn cần truy vấn dữ liệu telemetry thô từ endpoint, Defender for Business không đáp ứng được; lộ trình nâng cấp là Plan 2 thông qua E5 hoặc tiện ích bổ sung Defender Suite.

Khuyến nghị thực tế cho doanh nghiệp nhỏ: nếu bạn đã sử dụng Microsoft 365, hãy bắt đầu với Defender for Business hoặc Business Premium và dành phần chênh lệch cho một dịch vụ phát hiện được quản lý. Mua Falcon Go thay vì Defender for Business nghĩa là trả nhiều tiền hơn để nhận ít hơn — bạn mất EDR mà không đổi lại được lợi ích tương xứng.

Tính chi phí cho 50 thiết bị theo cả hai phương án

50 thiết bị là quy mô thường khiến người ta đặt câu hỏi này nhất, vì vậy dưới đây là phép tính theo giá niêm yết. Giả định một công ty 50 người, chủ yếu dùng Windows, đang sử dụng Microsoft 365 Business Standard, không có đội ngũ vận hành bảo mật chuyên trách và không tính máy chủ ở cả hai phía.

So sánh tương đương — tức hai lựa chọn thực sự có EDR — Defender for Business tốn $1,800 mỗi năm còn Falcon Enterprise tốn $9,249.50. CrowdStrike đắt hơn 5.1 lần.

Giờ hãy thay đổi một giả định. Cấp cho 50 người một laptop và một máy tính để bàn, tức 75 thiết bị. Chi phí Microsoft vẫn là $1,800 vì bạn vẫn mua 50 giấy phép người dùng và 75 thiết bị vẫn nằm dưới giới hạn 250. CrowdStrike tăng lên 75 × $184.99 = $13,874.25. Tỷ lệ tăng lên 7.7 lần, dù tình trạng bảo mật không thay đổi — chỉ có đơn vị tính phí thay đổi.

Để công bằng, khoản chi thêm mua được gì? Falcon Enterprise bao gồm Adversary OverWatch, dịch vụ threat hunting được quản lý 24/7 của CrowdStrike. Defender for Business không có hunting được quản lý và cũng không có hunting nâng cao. Để đạt mức bao phủ tương đương ở phía Microsoft, bạn sẽ phải chuyển lên Plan 2 — thông qua E5 giá $60 mỗi người dùng mỗi tháng hoặc tiện ích Defender Suite giá $12 trên tenant E3 — rồi bổ sung Defender Experts. Khi đó khoảng cách thu hẹp đáng kể và quyết định không còn chủ yếu xoay quanh giá.

Điều đó có nghĩa câu hỏi thực sự với 50 thiết bị không phải là “sản phẩm nào rẻ hơn.” Mà là: có ai sẽ đọc cảnh báo EDR lúc 2 giờ sáng không? Nếu câu trả lời là không, chi $1,800 cho Defender for Business cộng với một nhà cung cấp dịch vụ phát hiện được quản lý sẽ hiệu quả hơn chi $9,249 cho một nền tảng không có người theo dõi. Nếu câu trả lời là có và người đó là một chuyên viên đủ năng lực, chiều sâu điều tra bổ sung bắt đầu xứng đáng với chi phí.

CrowdStrike và Microsoft Defender dành cho MSP

Với nhà cung cấp dịch vụ được quản lý, phép so sánh đảo chiều vì giới hạn không nằm ở giá trên mỗi endpoint mà ở tính đồng nhất giữa các khách hàng.

Cả hai nhà cung cấp đều hỗ trợ vận hành đa tenant. CrowdStrike cung cấp Falcon Flight Control, một giao diện quản trị cha có thể đẩy chính sách xuống các tenant con được phân tách, cùng Falcon Complete for Service Providers dành cho đối tác bán lại dịch vụ phản hồi được quản lý. Microsoft đưa MSP đi qua chương trình Cloud Solution Provider và Microsoft 365 Lighthouse; Microsoft nêu hai công cụ này trong FAQ bảo mật SMB của mình như nơi trung tâm để quản lý khách hàng trên Business Basic, Standard, Premium, Defender for Business và các SKU doanh nghiệp.

Khác biệt về cấu trúc nằm ở tác động của mỗi mô hình đến việc cung cấp dịch vụ:

Hàng đầu tiên chính là toàn bộ lập luận. Với Microsoft, khách hàng dùng Business Premium có EDR nhưng không có hunting nâng cao; khách hàng dùng E5 có Plan 2 đầy đủ; khách hàng dùng Business Standard gần như không có gì cho đến khi bạn bán cho họ gói nâng cấp. Quy trình xử lý, phân loại cảnh báo và báo cáo của bạn phải rẽ nhánh theo từng tenant, và nhánh bị bỏ quên chính là khách hàng mà bạn không thể điều tra đúng cách khi xảy ra sự cố. CrowdStrike loại bỏ sự biến động đó, đổi lại là một khoản mục mà khách hàng nào cũng nhìn thấy trên hóa đơn.

Mô hình thực tế thường hiệu quả là chuẩn hóa các khách hàng coi trọng bảo mật trên một nền tảng, còn các khách hàng ưu tiên tận dụng giấy phép thì dùng quyền lợi Microsoft hiện có; nhưng đừng bao giờ giả vờ rằng hai nhóm khách hàng nhận được cùng một dịch vụ. Điểm gây khó khăn trong vận hành thường là báo cáo — tạo các bản tổng kết bảo mật hằng tháng nhất quán giữa những tenant có mô hình dữ liệu khác nhau là bài toán về quy trình dữ liệu, không phải bài toán bảo mật, và đây là loại công việc phù hợp để giao cho một giải pháp tự động hóa thay vì tiêu tốn giờ làm của chuyên viên.

Lựa chọn nào tốt hơn? Bốn câu hỏi quyết định

Không có câu trả lời chung, và bất kỳ bài viết nào đưa ra một câu trả lời duy nhất đều đang cố bán cho bạn thứ gì đó. Có bốn câu hỏi mà câu trả lời của chúng quyết định kết quả trong gần như mọi cuộc đánh giá.

Ngoài ra, có ba kết luận cần nói thẳng:

• Đừng mua Falcon Go hoặc Falcon Pro với tư cách một sản phẩm EDR. Chúng không phải EDR. Nếu yêu cầu là EDR, lựa chọn CrowdStrike là Enterprise với ngân sách $184.99 mỗi thiết bị mỗi năm.
• Đừng coi câu “Defender miễn phí” là sự thật. Phần mềm chống virus tích hợp trong Windows là miễn phí. Mọi thứ đội ngũ bảo mật thực sự cần — quản lý tập trung, EDR, lưu giữ dữ liệu, hunting — đều là SKU trả phí; các lựa chọn hữu ích bắt đầu từ $3.00 mỗi người dùng mỗi tháng và có thể lên đến $60.
• Hãy đánh giá false positive đúng mức. Dữ liệu AV-Comparatives năm 2026 cho thấy Microsoft không có cảnh báo nhầm nào trong thế giới thực, so với tám cảnh báo của CrowdStrike, trong khi tỷ lệ bảo vệ gần như giống nhau. Với một đội ngũ nhỏ, mệt mỏi vì cảnh báo có khả năng khiến họ bỏ sót sự cố hơn là chênh lệch 0.3 điểm về khả năng phát hiện.

Hãy chạy thử nghiệm proof of concept trên chính hệ thống của bạn trước khi quyết định. Cả hai nhà cung cấp đều có bản dùng thử — CrowdStrike có bản Falcon dùng thử 15 ngày với thời hạn hoàn tiền 30 ngày, còn Microsoft có bản dùng thử Defender for Business 30 ngày — và hai tuần telemetry thực tế từ môi trường của bạn sẽ cho biết nhiều hơn mọi bảng so sánh trên internet, kể cả bảng này.

Nếu quyết định về endpoint chỉ là một phần trong cuộc đánh giá công nghệ rộng hơn và bạn chưa chắc nên giải quyết vấn đề nào trước, hãy cho chúng tôi biết hệ thống bạn đang sử dụng để chúng tôi hướng bạn đến phạm vi phù hợp.