CrowdStrike và SentinelOne 2026: giá, phát hiện và TCO thực tế

CrowdStrike và SentinelOne: sản phẩm nào tốt hơn?

Ở cấp độ mà mỗi sản phẩm thực sự cung cấp khả năng phát hiện và phản hồi trên thiết bị đầu cuối, giá niêm yết chỉ chênh nhau $5,00 cho mỗi endpoint mỗi năm, tương đương 2,7%. Nếu chọn giữa hai sản phẩm này chỉ dựa trên giá, bạn đang tối ưu một biến số gần như không tạo ra khác biệt. Quyết định nằm ở mô hình vận hành, không phải chi phí.

Phần dưới đây trình bày bằng chứng cho từng trường hợp trên.

So sánh giá CrowdStrike và SentinelOne một cách chính xác

Cả hai hãng đều công bố giá niêm yết và đều thiết kế các gói sao cho cấp độ mà phần lớn người mua nên chọn có giá gần gấp ba cấp độ được nhìn thấy đầu tiên. Dưới đây là thông tin mỗi hãng công bố trên chính website của mình.

Thông tin bị trích dẫn sai nhiều nhất trong phép so sánh này: Falcon Go và Falcon Pro của CrowdStrike không bao gồm khả năng phát hiện và phản hồi trên endpoint. Trên bảng so sánh gói chính thức của CrowdStrike, các mục Endpoint Detection and Response và Threat Intelligence & Hunting chỉ có mô tả dưới Falcon Enterprise. Go là phần mềm diệt virus thế hệ mới, có kiểm soát thiết bị và bảo vệ di động. Pro bổ sung quản lý tường lửa. Cả hai đều không ghi nhận telemetry của endpoint để điều tra. Cấu trúc gói của SentinelOne cũng tương tự: mọi gói dưới Singularity Complete chỉ là EPP, không có EDR, threat hunting hay lưu trữ dữ liệu phục vụ điều tra, và trang các gói nền tảng của SentinelOne niêm yết Complete ở mức $179.99 và Commercial ở mức $229.99 cho mỗi endpoint mỗi năm.

Vì vậy, phép so sánh chính xác phải là $184.99 so với $179.99, không phải $59.99 so với $179.99. Bất kỳ bài viết nào nói CrowdStrike khởi điểm rẻ hơn ba lần đều đang so sánh một sản phẩm diệt virus với một sản phẩm EDR.

Có thêm hai chi tiết về giá thực sự làm tăng chi phí nhưng hiếm khi xuất hiện trong các bài so sánh. Thứ nhất, thanh toán theo tháng có mức phụ phí rất cao: CrowdStrike niêm yết Falcon Enterprise ở mức $19.99 cho mỗi thiết bị mỗi tháng, tương đương $239.88 mỗi năm so với giá trả theo năm là $184.99 — tức trả thêm 30% khi chọn kỳ hạn theo tháng. Với Falcon Go, mức chênh còn lớn hơn: $95.88 quy đổi theo năm so với $59.99, tương đương khoảng 60%. Thứ hai, đơn mua Falcon Go bị CrowdStrike giới hạn ở 100 thiết bị theo điều khoản đặt hàng, nên đây không phải cấp độ mà doanh nghiệp có thể mở rộng lâu dài.

Một lưu ý về việc nghiên cứu giá. Các website tổng hợp giá thường đưa ra thông tin rất mâu thuẫn về cặp sản phẩm này — trong quá trình chuẩn bị bài viết, một website tổng hợp được trích dẫn rộng rãi niêm yết SentinelOne Complete ở mức $99 cho mỗi endpoint mỗi năm, trong khi một website khác lại ghi giá theo năm của CrowdStrike dưới dạng giá theo tháng. Cả hai hãng đều công bố số liệu chính thức trên website của mình. Hãy ưu tiên các nguồn đó và chỉ xem bảng tổng hợp giá là điểm khởi đầu để nghiên cứu đàm phán, không phải sự thật cuối cùng.

CrowdStrike và SentinelOne cho 50 endpoint: con số thực tế

50 endpoint là quy mô thường khiến doanh nghiệp đưa ra quyết định sai nhất: đủ lớn để cần EDR thực thụ nhưng vẫn đủ nhỏ để chưa có dòng ngân sách bảo mật riêng. Ở mức giá niêm yết, trước mọi khoản chiết khấu:

Chênh lệch giữa hai gói EDR tương đương ở quy mô này là $250 mỗi năm. Con số đó còn thấp hơn chi phí hai giờ làm việc của một chuyên gia tư vấn. Khoản chênh lệch sẽ bị xóa bỏ bởi bên phân phối nào chiết khấu mạnh hơn; ở quy mô SMB, mức chiết khấu từ 30% trở lên cho các gói tương đương thường được báo cáo ở cả hai phía.

Yếu tố thực sự quyết định tổng chi phí sở hữu ở quy mô 50 endpoint không phải giấy phép. Đó là bốn khoản sau, được sắp xếp theo mức độ thường xuyên làm vượt ngân sách:

• Ai theo dõi console. EDR mà không ai đọc cảnh báo chỉ là phần mềm diệt virus đắt tiền. Nếu không có người phân loại cảnh báo, bạn đang mua MDR chứ không phải EDR, và MDR thường có giá từ $180 đến $400 cho mỗi endpoint mỗi năm — bằng một đến hai lần chi phí giấy phép. Lưu ý rằng dịch vụ Falcon Complete có quản trị của CrowdStrike được nhiều nguồn cho là yêu cầu tối thiểu 200 endpoint, khiến dịch vụ này không phù hợp ở quy mô trên.
• Thời gian lưu trữ dữ liệu. Thời gian lưu trữ dữ liệu điều tra mặc định khá ngắn trên cả hai nền tảng. Nếu một khung tuân thủ hoặc bảng câu hỏi bảo hiểm an ninh mạng yêu cầu thời gian dài hơn, gói lưu trữ mở rộng sẽ được báo giá riêng ở cả hai bên.
• Endpoint được tính như thế nào. Cả hai hãng đều định nghĩa endpoint khá rộng — máy chủ, máy tính ảo và workload trên cloud đều tiêu tốn giấy phép. Các đội ngũ chỉ tính số laptop thường đánh giá thấp nhu cầu từ 20 đến 40%.
• Triển khai và tinh chỉnh. Hãy phân bổ đủ số giờ thực tế để tinh chỉnh các ngoại lệ trong tháng đầu tiên, đặc biệt nếu bạn sử dụng máy của lập trình viên hoặc phần mềm nghiệp vụ có hành vi giống malware.

Tỷ lệ phát hiện: vì sao không thể so sánh số liệu 2026 của hai bên

Đây là điểm khiến gần như mọi bài so sánh trên mạng âm thầm sai lệch, và nó còn quan trọng hơn giá.

CrowdStrike đã tham gia MITRE ATT&CK Evaluations: Enterprise năm 2025 và công bố tỷ lệ phát hiện 100%, tỷ lệ bảo vệ 100% cùng không có false positive trong toàn bộ bài đánh giá; bài đánh giá này lần đầu bổ sung các kỹ thuật về danh tính xuyên miền và cloud. Kết quả Enterprise gần đây nhất của SentinelOne là từ năm 2024: phát hiện 100% trên toàn bộ 16 bước tấn công và 80 bước nhỏ, không có độ trễ phát hiện và ít hơn 88% cảnh báo so với nhà cung cấp trung vị.

Hai kết quả đó không thể so sánh trực tiếp vì SentinelOne không tham gia bài kiểm thử năm 2025. Trong bài viết tháng 9 năm 2025, SentinelOne xác nhận sẽ không tham gia đánh giá Enterprise để chuyển nguồn lực sản phẩm và kỹ thuật sang lộ trình riêng. Microsoft cũng rút lui trước đó trong cùng năm, còn Palo Alto Networks rút lui cùng SentinelOne. Khi thấy một bảng so sánh năm 2026 hiển thị cả hai hãng đều đạt 100%, đó là phép đặt một kết quả năm 2025 cạnh kết quả năm 2024 trong khi hai bài kiểm thử có độ khó khác nhau đáng kể.

Người mua cần ghi nhớ ba điều sau:

• MITRE không chấm điểm hay xếp hạng các hãng. MITRE công bố dữ liệu phát hiện thô cho từng bước nhỏ. Mọi tỷ lệ phần trăm nổi bật bạn nhìn thấy, bao gồm cả hai con số 100% ở trên, đều do đội ngũ marketing của chính các hãng tính toán và diễn giải từ dữ liệu thô đó.
• Độ bao phủ phát hiện không còn là yếu tố khác biệt. Cả hai nền tảng đều nằm ở nhóm dẫn đầu hoặc gần dẫn đầu về độ bao phủ phân tích trong nhiều năm. Khoảng cách về khả năng phát hiện thô giữa hai bên nhỏ hơn nhiều so với khoảng cách giữa một trong hai nền tảng và một hệ thống triển khai kém hiệu quả của nền tảng còn lại.
• Phép so sánh vẫn còn giá trị là phép so sánh dịch vụ managed. Falcon Complete của CrowdStrike đã tham gia đánh giá Managed Services của MITRE, trong đó kiểm thử chuyên viên phân tích, quy trình leo thang và quy trình phản hồi thay vì chỉ kiểm thử sản phẩm. Dịch vụ managed của SentinelOne chưa được đánh giá ở cấp độ đó. Nếu bạn đang mua MDR thay vì phần mềm, đây là sự bất đối xứng thực sự về bằng chứng độc lập — không chứng minh dịch vụ nào tốt hơn, nhưng cho thấy chỉ một bên đã được đo lường độc lập.

Cả hai hãng vẫn là Leaders trong Gartner's Magic Quadrant for Endpoint Protection Platforms, mỗi hãng đã giữ vị trí này trong sáu kỳ liên tiếp. Điều đó cho thấy cả hai đều đáng tin cậy, nhưng không cho bạn biết nên mua sản phẩm nào.

CrowdStrike và SentinelOne cho doanh nghiệp nhỏ

Với dưới khoảng 100 endpoint và không có nhân sự bảo mật chuyên trách, cách nhìn chính xác là không sản phẩm nào được thiết kế để bạn tự mua và tự vận hành mà không cần hỗ trợ. Điểm thất bại của cả hai cũng giống nhau: bạn mua EDR, không ai theo dõi, rồi 18 tháng sau một sự cố đã âm thầm diễn ra trong nhiều tuần dù telemetry vẫn nằm trong console.

Nếu mua trực tiếp, SentinelOne thường phù hợp hơn với doanh nghiệp nhỏ không có nhân sự chuyên trách. Phản hồi tự động và rollback khiến hành vi mặc định của sản phẩm là hành động thay vì chỉ cảnh báo; đây là lựa chọn mặc định đúng khi không có chuyên viên phân tích. Lợi thế của CrowdStrike nằm ở chiều sâu thông tin tình báo và threat hunting, nhưng lợi thế đó chỉ phát huy khi có người đọc và xử lý dữ liệu.

Các gói rẻ hơn là một cái bẫy cần được nói rõ. Falcon Go ở mức $59.99 và Singularity Core ở khoảng $69.99 trông giống lựa chọn dành cho doanh nghiệp nhỏ và được định giá để tạo cảm giác như vậy. Nhưng chúng chỉ là phần mềm diệt virus. Nếu lý do mua của bạn là bảng câu hỏi bảo hiểm an ninh mạng, đánh giá bảo mật từ khách hàng hoặc một khung tuân thủ, hãy kiểm tra chính xác câu chữ — phần lớn hiện yêu cầu khả năng phát hiện và phản hồi, nghĩa là cần Falcon Enterprise hoặc Singularity Complete, với ngân sách cao hơn khoảng ba lần so với gói được báo giá ban đầu.

Một điều khác cũng nên kiểm tra trước khi so sánh: bạn có đang được cấp quyền sử dụng EDR mà không biết hay không. Hãy xem phần Defender bên dưới.

CrowdStrike và SentinelOne cho MSP

Với các nhà cung cấp dịch vụ managed, bài toán sẽ đảo chiều vì bạn đang mua một nền tảng vận hành cho nhiều tenant thay vì bảo vệ một hệ thống duy nhất. Bốn yếu tố quyết định là:

Trên thực tế, các MSP phục vụ khách hàng dưới 200 endpoint thường nghiêng về SentinelOne vì cơ chế cấp phép, trong khi MSP có khách hàng thuộc phân khúc mid-market và muốn bán lại một dịch vụ managed đã được xác thực thay vì tự xây dựng SOC thường nghiêng về CrowdStrike. Nếu bạn tự vận hành SOC trên một trong hai nền tảng, lựa chọn nền tảng ít quan trọng hơn quy trình xử lý cảnh báo và ngân sách lưu trữ dữ liệu.

Một điểm mang tính cấu trúc mà MSP cần đặc biệt chú ý: hãy xác minh cách mỗi hãng phân tách tenant đối với dữ liệu sự cố và tốc độ bạn có thể trích xuất telemetry khi kết thúc hợp đồng. Chi phí chuyển đổi giữa các nền tảng EDR chủ yếu đến từ việc mất dữ liệu phát hiện trong quá khứ, không phải từ việc triển khai lại agent.

Microsoft Defender for Endpoint đứng ở đâu?

Đây là phép so sánh mà phần lớn người mua nên thực hiện trước khi so sánh CrowdStrike với SentinelOne, nhưng thường xuyên bị bỏ qua.

Plan 2 là EDR đầy đủ. Với giá khoảng $62 mỗi người dùng mỗi năm và bao phủ tối đa năm thiết bị, sản phẩm này không cùng mặt bằng giá với hai lựa chọn còn lại — và nếu đang sở hữu Microsoft 365 E5, bạn đã có sẵn sản phẩm này. Trước khi mua EDR, hãy kiểm tra những quyền lợi trong thỏa thuận Microsoft hiện tại. Một số lượng đáng kể tổ chức đang sử dụng tính năng Plan 2 trên giấy phép Plan 1 hoặc trả tiền cho EDR bên thứ ba trong khi hệ thống E5 đã bao gồm một giải pháp tương tự.

Các lập luận ngược lại cũng có cơ sở và cần được nêu rõ. Đơn vị cấp phép khác nhau nên không thể so sánh hoàn toàn theo từng endpoint — đội ngũ có nhiều máy chủ hoặc máy dùng chung sẽ nhanh chóng thu hẹp khoảng cách. Defender mạnh nhất trên Windows và yếu hơn trên hệ thống không đồng nhất có nhiều macOS và Linux. Việc tập trung khả năng phát hiện vào cùng nhà cung cấp hệ điều hành và nhà cung cấp danh tính là một rủi ro tương quan mà một số đội ngũ bảo mật xem xét nghiêm túc. Ngoài ra, Microsoft cũng như SentinelOne đã rút khỏi đánh giá MITRE Enterprise năm 2025, nên kết quả độc lập gần đây nhất của Microsoft cũng là từ năm 2024.

Câu hỏi về rủi ro cần đưa vào RFP

Ngày 19 tháng 7 năm 2024, một bản cập nhật Rapid Response Content của CrowdStrike đã làm treo khoảng 8,5 triệu máy Windows. Nội dung lỗi được triển khai lúc 04:09 UTC và được thu hồi lúc 05:27 UTC; việc khôi phục cần thao tác thủ công trên từng máy và mất nhiều ngày ở một số ngành. Báo cáo sau sự cố được CrowdStrike công bố ghi rõ nguyên nhân: một tệp cấu hình nội dung không khớp với số trường mà trình thông dịch nội dung ở kernel mode dự kiến, trình xác thực không phát hiện được lỗi không khớp và không có cơ chế triển khai theo từng giai đoạn cho loại bản cập nhật đó.

Dễ hiểu khi xem đây là lý do để chọn nhà cung cấp còn lại. Nhưng đó là bài học sai. Báo cáo phân biệt rõ nội dung nào đã và chưa được triển khai theo giai đoạn: các bản cập nhật sensor vốn đã cho phép khách hàng kiểm soát thông qua Sensor Update Policies, với tùy chọn chạy phiên bản hiện tại, lùi một phiên bản hoặc lùi hai phiên bản. Rapid Response Content thì chưa có cơ chế đó. Mọi EDR agent hoạt động gần kernel trong nhóm này — bao gồm agent của SentinelOne — đều nhận bản cập nhật nội dung do nhà cung cấp đẩy theo mô hình tương tự. Sự cố năm 2024 cho thấy một đặc tính mang tính cấu trúc của cả nhóm sản phẩm, không phải lỗi chỉ có ở một nhà cung cấp.

Vì vậy, câu hỏi cần đưa vào RFP không phải là nhà cung cấp nào sẽ không bao giờ gây ra chuyện này cho tôi. Câu hỏi nên là:

1. Có những loại bản cập nhật nào và loại nào có thể triển khai theo từng ring?
2. Có thể ghim một phiên bản cho từng ring và từng nhóm nội dung không?
3. Quy trình rollback được tài liệu hóa khi bản cập nhật làm hỏng cả hệ thống là gì, và cần bao lâu cho mỗi host?
4. Những host nào có thể chấp nhận nằm trong ring thử nghiệm, và tôi đã thực sự gán chúng vào đó chưa?

Trong báo cáo sau sự cố, CrowdStrike cam kết triển khai Rapid Response Content tới nhóm canary và tăng quyền kiểm soát việc phân phối cho khách hàng; các chính sách cập nhật nội dung theo ring hiện đã có sẵn. Tuy nhiên, phần lớn người mua vẫn không cấu hình chúng. Chính khoảng trống cấu hình này, chứ không phải lựa chọn nhà cung cấp, mới là nơi rủi ro thực sự tồn tại.

Cách đưa ra quyết định thực tế

Hãy thực hiện lần lượt bốn bước sau và dừng lại ngay khi một bước đã trả lời được câu hỏi.

1. Kiểm tra các giấy phép hiện có. Nếu đang sở hữu Microsoft 365 E5, bạn đã có Defender for Endpoint Plan 2. Hãy triển khai và đánh giá sản phẩm này trước khi mua bất kỳ thứ gì khác.
2. Xác định bạn đang mua phần mềm hay dịch vụ. Nếu không có ai trong đội ngũ đọc console hằng ngày, bạn cần MDR; điều này có thể làm thay đổi danh sách lựa chọn và ngân sách từ hai lần trở lên.
3. Thử nghiệm cả hai trên hệ thống của mình. Cả hai đều có chương trình dùng thử. Các benchmark về khả năng phát hiện đã hội tụ; thứ chưa hội tụ là hành vi false positive trên phần mềm cụ thể của bạn, và điều đó chỉ có thể đo được trên chính các máy của bạn. Hãy chạy cả hai agent trong hai tuần trên một nhóm đại diện, bao gồm máy trạm của lập trình viên, rồi đếm số ngoại lệ mà mỗi sản phẩm buộc bạn phải tạo.
4. Đàm phán đúng cấp độ cần mua. Hãy yêu cầu báo giá Falcon Enterprise so với Singularity Complete, tuyệt đối không so sánh các gói cơ bản. Sau đó định giá riêng thời gian lưu trữ mở rộng và cách tính endpoint, vì đây là hai yếu tố thường khiến báo giá thay đổi.

Nếu sau cả bốn bước mà hai sản phẩm vẫn ngang nhau, hãy chọn console mà đội ngũ của bạn thấy dễ đọc hơn lúc 2 giờ sáng. Trong thị trường hiện nay, đây là tiêu chí phá thế cân bằng có cơ sở hơn bất kỳ benchmark nào được công bố.