终端安全怎么选：防病毒、EDR、终端管控是三种东西

「终端安全」这个词在招标文件里被用得太宽：防病毒、EDR、EPP、终端管控、终端准入、桌面云安全都叫终端安全。价格从每点几十元到每点上千元，差 20 倍。先分清你要防的是病毒、是攻击、还是人。

一、三类产品，三种目标

这四类经常被合并采购，但能力来源不同：防病毒靠特征库，EDR 靠行为规则与遥测数据，管控靠策略引擎，准入靠网络设备联动。一份招标文件写「终端安全一体化平台」然后只给一个包的预算，最后往往每项都只做到及格线。

二、按点数计价的四个变量

• 终端点数：PC、服务器、虚拟机是否同价，服务器版通常更贵
• 操作系统：Windows、macOS、Linux、麒麟、统信是否都支持，国产 OS 支持常需额外授权
• 功能模块：防病毒、EDR、DLP、管控、准入是分开卖还是打包
• 服务年限：病毒库升级服务通常按年收费，三年起谈

三、EDR 的真实能力怎么看

EDR 的价值 80% 在 数据留存与检索。只留 7 天遥测的 EDR，遇到潜伏期长的 APT 基本无用；默认留存 30 天、可扩展到 180 天的产品才有实战意义。这一条要写进合同。

四、涉密与政务场景的额外要求

• 三合一：涉密终端要求「违规外联监控、移动存储介质管理、涉密信息交换」三项能力，普通 EDR 不覆盖
• 外设管控粒度：能否按设备类型（U 盘、光驱、蓝牙、无线网卡、打印机）分别控制，能否设只读
• 水印与截屏：屏幕水印是否支持隐形水印与溯源，截屏是否可控
• 国产化：麒麟/统信桌面版上的驱动稳定性，是否会与办公软件冲突

五、真实成交价参考

单价来自库内 2026 年政采公示，终端点数与模块范围需按项目公告核对；同一产品在不同项目的单价差异主要来自点数与年限。

把这三行放一起能看出预算分配逻辑：终端安全（7.5 万）在整个安全盘子里的占比很小，真正的大钱在流量侧（NDR 60 万）与数据侧（DLP 14 万）。这不是说终端不重要——终端是攻击落地的地方，但它的单价天然低，靠的是覆盖面而不是单点强度。

六、上线四步

1. 盘点资产：先搞清楚有多少终端、什么系统、谁在用，装不上的（老旧系统、工控机）单独列白名单
2. 灰度试点：选 1 个部门跑两周，重点看业务软件兼容性与性能影响
3. 分批推广：按部门分批，每批留一周观察期，出问题能快速回滚
4. 建立运营：告警谁看、多久处置、误报怎么放行——没有运营流程，终端安全就是个耗资源的摆设

本站可对比的型号

奇 天擎终端安全奇安信 · 安全 版本V10.0覆盖功能设备分组管理、策略制定下发、全网健康监测、统一杀毒、漏洞修复、运维管控、报表与查询管理平台计价按套：1,250 元/套；78,000 元/套 参数 → 中 终端安全管控系统中孚信息 · 安全 产品定位终端与设备入网审核/管控/审计：支持 802.1x 标准认证与 MAC 绑定，保证接入资产合法性价格阶梯平台+终端双层计价：套件平台 3.2 万/套、BM 安全套件终端 1200 元/套大单参照同厂商密保卫士体系：电子科大 196.35 万整包；辽宁调查总队 1200 点×206 元 参数 → 明 Chinasec（安元）数据安全保险箱明朝万达 · 安全 参考价格单品无公开价；厂商价位锚点：终端 DLP 项目中标 46 万、大型终端防泄漏项目 180 万产品定位终端敏感数据隔离沙箱：驱动层把本地文件夹映射为保密磁盘，与本地数据完全隔离；生产数据下载到保险箱全程不落地核心能力敏感文件导入保险箱隔离操作；导出须走审批流；细粒度权限按敏感等级分级；标准化接口对接业务应用/云盘/分类分级系统 参数 →

奇安信天擎是 EPP + 管控一体化的代表；中孚终端安全管控系统面向涉密与政务内网的强管控场景；明朝万达数据安全保险箱偏数据侧防护（加密与沙箱）。三者定位不同，按「防病毒 / 防人 / 防数据」区分。

延伸阅读：终端安全品类页、数据防泄漏怎么选、等保三级设备清单、日志审计怎么选。