Licensed for Distribution
This research note is restricted to the personal use of ().端点保护魔力象限
2026年5月26日 - ID G00838669 - 阅读时长：41分钟
作者：Deepak Mishra、Evgeny Mirolyubov、Nikul Patel
AI的快速普及以及新兴的供应商主权要求，正在塑造买家对端点保护产品的优先关注点。买家在选择供应商时，应将主权目标纳入考量，同时也要考虑对企业端点上AI发现与使用控制的相关要求。
战略规划设想
到2028年，90%的端点保护供应商将提供AI发现和使用控制功能。
到2029年，30%的中型组织会将端点、数据安全和身份安全功能融合到工作空间安全平台中，从而实现整体保护和集中式策略管理。
到2029年，组织若能将端点安全工具、管理流程和运营团队整合起来，则可将事件响应时间至少缩短40%。
市场定义/描述
Gartner将端点保护定义为用于保护托管端点（包括台式电脑、笔记本电脑、虚拟桌面、移动设备，在某些情况下还包括服务器）免受已知和未知恶意软件攻击的安全软件。端点保护为安全团队提供了必要工具，用于调查和补救那些规避预防控制措施的事件。端点保护产品可作为软件代理部署到端点并连接到集中式安全分析和管理控制台。
端点保护提供了一种防御性安全控制，通过结合使用静态分析、行为分析等安全技术，保护最终用户端点免受已知和未知的恶意软件及无文件攻击。其还利用攻击面减少功能（如设备控制、主机防火墙管理和应用程序控制）来限制对威胁的暴露。组织将端点保护作为纵深防御战略的一环进行部署，以减少端点攻击面，最大程度地降低端点受损风险。其检测和响应功能经常作为具有更广泛威胁检测、调查和响应(TDIR)功能产品的一部分，有助于发现、调查和补救规避预防控制措施的威胁。
必备功能
-
通过实时扫描和反恶意软件技术来保护端点免受恶意软件侵害。
-
通过设备控制、主机防火墙管理、漏洞利用防护或针对各种操作系统的应用程序控制等功能，来减少端点攻击面。
-
通过对端点、应用程序和最终用户活动的行为分析，来检测并阻止端点威胁。
可选功能
-
集成端点检测和响应(EDR)功能，支持实时遥测数据采集、可自定义检测、事件后调查和响应。
-
评估端点在软件和操作系统层面的漏洞及错误配置情况，并支持针对各种操作系统的内置或集成补丁管理与虚拟补丁。
-
提供集成端点数据丢失防护功能，以识别并防止敏感数据通过可移动介质、打印、蓝牙和浏览器发生外泄。
-
针对配置最佳实践和新兴威胁，提供持续评估和优化端点保护策略及设置功能。
-
与工作空间安全平台（包括电子邮件安全、安全服务边缘、身份保护、数据安全控制、端点管理工具及安全企业浏览器）集成。
-
与原生和第三方TDIR产品集成，以支持跨多种安全控制的遥测数据收集、关联、调查和补救。
-
针对生命周期终止、不常见操作系统或遗留服务器工作负载支持扩展保护。
-
纳入嵌入式网络安全AI助手，用于告警汇总、内容创作和响应指导。
魔力象限
供应商优势与劣势
Bitdefender
Bitdefender在本魔力象限中获评为“前瞻者”。这是一家总部位于罗马尼亚布加勒斯特的供应商，Bitdefender GravityZone是其核心端点保护产品。该供应商支持云交付、混合和本地（包括气隙隔离）部署管理。Bitdefender GravityZone非常适合寻求成熟端点保护方案的中小型组织，这些方案能够在易用性与强大的TDIR功能之间实现良好平衡。
过去一年，Bitdefender的关键产品开发包括：
-
网络漏洞扫描器：通过基于网络的扫描扩展端点漏洞评估能力，以识别暴露的服务、开放端口以及常见漏洞和暴露(CVE)。
-
合规管理器：支持跨NIST、CIS Controls、NIS2和GDPR等标准的持续合规监控、补救、控制映射及报告。
该供应商还与OVHcloud（法国）和secunet（德国）建立了新的主权云合作伙伴关系，从而在欧盟托管环境中交付GravityZone。其还收购了Mesh Security（电子邮件安全）。Bitdefender 的2026年路线图包括用于改进暴露管理的入侵路径预测能力，以及用于帮助组织发现和控制企业AI使用情况的AI安全能力。
-
产品战略：Bitdefender的持续投入与端点保护市场中新兴的买家需求相契合。其中包括投资于主动加固和攻击面减少(PHASR)、直观且集成良好的产品控制台，以及旨在帮助组织发现并控制AI使用情况的产品路线图。
-
地区战略：产品控制台支持多种语言，且Bitdefender在欧洲、北美和亚太地区提供SaaS云托管入网点。近期在法国和德国提供的主权托管选项，为欧洲组织带来了更多部署选择。
-
定价：相对于本魔力象限中的其他供应商，Bitdefender的端点保护产品定价在产品所提供的功能广度和深度方面具有竞争力。
-
运营：与“领导者”相比，Bitdefender仍是本魔力象限中规模较小的提供商之一，其业务多元化程度较低、资源较少且企业知名度也较低。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与“领导者”相比，Bitdefender被列入竞争性端点保护提供商候选名单的频率较低。
-
市场响应速度和过往表现：Bitdefender拥有的端点保护市场份额仍低于本魔力象限中的“挑战者”和“领导者”。
Broadcom
Broadcom在本魔力象限中获评为“利基企业”。这是一家总部位于美国加利福尼亚州帕洛阿尔托的供应商，其提供两种不同的端点保护产品：Symantec Endpoint Security (SES) Complete和Carbon Black Cloud。Broadcom支持云交付（包括AWS GovCloud）、混合和本地（包括气隙隔离）部署管理。Broadcom的端点保护产品非常适合已投资于Broadcom产品组合的大型全球性企业和组织。
过去一年，Broadcom的关键产品开发包括：
-
SES Complete中的事件摘要视图：提供汇总每起事件的时间线，包括优先级、严重程度、受影响的实体以及建议的补救措施。
-
Unified Symantec Endpoint Security Agent：旨在通过统一Broadcom的端点保护、Web安全和安全访问代理，来减少代理管理开销。
该供应商还发布了Symantec CBX (Carbon Black XDR)，将Symantec的预防、保护、数据安全和安全Web网关功能与Carbon Black的检测与响应技术进行整合。此举旨在增强整个Broadcom网络安全产品组合的可视性、威胁检测与响应能力。
Broadcom未披露其2026年路线图相关信息。
-
垂直战略：Broadcom支持本地端点保护管理功能，包括在高度受监管组织所要求的气隙隔离环境中进行部署。
-
整体可行性：Broadcom是一家资金雄厚的大型供应商，拥有广泛的网络安全和基础设施产品组合。该公司持续对其端点保护产品进行渐进式增强和错误修复。
-
地区战略：除英语外，SES Complete的管理仪表板还支持多种欧洲和亚洲语言，从而使国际运营团队受益。
-
客户体验：Broadcom主要针对超大型组织，这限制了其直接向较小规模组织进行有效销售、提供支持并与之建立信任的能力。Broadcom通过其Catalyst合作伙伴计划为中小型组织提供支持。
-
创新：Broadcom的研发重点在于端点保护产品的渐进式增强与集成，而对应对影子AI和企业AI采用等新兴风险的重视程度有限。
-
市场响应速度和过往表现：Broadcom的端点保护产品主要对专注于其更广泛网络安全产品组合的现有客户具有吸引力。
Check Point Software Technologies
Check Point Software Technologies在本魔力象限中获评为“前瞻者”。这是一家总部位于以色列特拉维夫的供应商，Check Point Harmony Endpoint是其核心端点保护产品。该供应商支持云交付、混合和本地（包括气隙隔离）部署管理。Check Point Harmony Endpoint非常适合投资于Check Point工作空间安全产品Harmony套件的组织。
过去一年，Check Point的关键产品开发包括：
-
统一隔离管理：集中管理跨端点和电子邮件安全产品的隔离文件和内容。
-
AI使用控制：通过同时利用端点代理和浏览器扩展，增强对员工AI使用情况的发现、风险评分和控制能力。
Check Point的2026年路线图包括基于风险的跨产品配置评估与补救，以及跨端点、电子邮件、浏览器、移动设备和暴露管理产品更统一的事件关联与调查体验。
过去一年，Check Point收购了Lakera、Cyata、Cyclops Security和Veriti，以加强对AI使用的控制、暴露管理和自动化安全控制评估。
-
对市场的了解：Check Point通过收购和内生增长，扩展了其端点和工作空间安全产品组合，增强了其对目标客户的相关性。
-
地区战略：该供应商在大多数主要地理区域（包括欧洲、北美、亚太地区和中东）至少支持一个SaaS入网点，同时还支持本地部署管理。
-
定价：与本魔力象限中的其他供应商相比，鉴于Check Point在预防、保护和数据安全功能方面的广度，其端点保护产品定价具有竞争力。
-
产品：客户报告称，Harmony Endpoint可能会因系统资源占用较高（主要在扫描期间），导致受保护端点运行变慢。
-
市场响应速度和过往表现：与“挑战者”和“领导者”相比，Check Point拥有的端点保护市场份额仍然较低。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与本魔力象限中的“领导者”相比，Check Point很少被列入竞争性端点保护提供商候选名单。
CrowdStrike
CrowdStrike在本魔力象限中获评为“领导者”。这是一家总部位于美国得克萨斯州奥斯汀的供应商，CrowdStrike Falcon是其核心端点保护产品。该供应商仅支持云交付（包括AWS GovCloud）部署管理。CrowdStrike Falcon非常适合希望将成熟端点保护融入具有更广泛TDIR功能的产品的组织。
过去一年，CrowdStrike的关键产品开发包括：
-
自动化线索：检测增强功能，将相关事件、指标和检测结果进行聚合，形成可信度更高的线索，以支持安全调查。
-
Charlotte AI智能体：为安全分析师提供的自动化功能，用于执行威胁调查、界定影响范围并记录调查发现。
CrowdStrike的2026年路线图包括防范对合法应用程序（如远程管理工具）滥用的功能，以及用于保障Anthropic Claude、OpenAI Codex、Microsoft Copilot等AI助手安全的增强功能。
CrowdStrike宣布计划在沙特阿拉伯、印度和阿拉伯联合酋长国新增SaaS入网点，并与Schwarz Group建立主权云合作伙伴关系，以便未来在欧盟托管的STACKIT环境中交付Falcon。
过去一年，CrowdStrike收购了SGNL（身份安全）、Seraphic Security（安全企业浏览器）、Onum（遥测数据管道）以及Pangea（AI应用安全）。
-
客户体验：客户认为客户管理、技术支持以及托管服务响应迅速且富有帮助，从而提高了对CrowdStrike的整体信任度。
-
产品战略：CrowdStrike通过利用强大的市场地位以及对产品扩展的持续投资，迅速拓宽了其产品范围，而这一切均建立在单一轻量级端点代理和管理控制台之上。这种方法使客户能够应对更广泛的现有和新兴挑战，包括身份保护、暴露管理、安全运营、AI安全等。
-
产品：CrowdStrike的突出优势在于其对性能影响较小、云端管理成熟、EDR功能深入，以及其数据安全能力日益成熟。
-
定价：与本魔力象限中的其他供应商相比，CrowdStrike仍是一款高端定价的端点保护产品。
-
地区战略：尽管近期已有相关公告，但对于德国和美国以外的云托管入网点，客户和潜在客户的选择仍然有限。
-
垂直战略：Falcon不适合需要本地端点保护管理能力、需要在无代理访问条件下保护气隙隔离环境，或希望在美国境外实现完全运营与技术主权的组织。
ESET
ESET在本魔力象限中获评为“挑战者”。这是一家总部位于斯洛伐克布拉迪斯拉发的供应商，ESET PROTECT是其核心端点保护产品。该供应商支持云交付、混合和本地（包括气隙隔离）部署管理。ESET PROTECT非常适合寻求成熟端点预防和保护功能的中小型组织。
过去一年，ESET的关键产品开发包括：
-
增强的事件图：提供可视化攻击时间线和实体关系视图，以提升关联分析能力并改进事件调查。
-
Linux代理改进：添加补丁管理和网络隔离功能，以减少针对Linux端点的攻击面并提升威胁响应能力。
ESET的2026年路线图包括：与第三方混合网状防火墙提供商扩展集成，以及针对本地Microsoft Active Directory和Microsoft Entra ID等集成身份验证基础设施提供商的响应操作。这些增强功能旨在提升身份威胁检测与响应能力。
-
客户体验：客户认为ESET提供的技术支持及时迅速又有帮助。结合可靠的防护效能与针对常见管理任务的易用性，这为ESET的目标受众带来了良好的客户体验。
-
整体可行性：ESET的大部分收入来自向SMB和MSE细分市场销售其端点保护产品。其长期的市场积累和稳定表现，突显了ESET在该市场中的生存能力。
-
定价：与本魔力象限中的其他供应商相比，ESET的端点保护产品定价总体上具有竞争力。
-
产品战略：ESET的研发重点在于弥补差距、扩展第三方集成以及改进信号关联能力。该产品目前缺乏数据安全和AI使用控制功能，而买家对此类功能的需求日益增加，且本魔力象限中有更多供应商提供此类功能。
-
对市场的了解：过去一年，ESET更多的是跟随市场而非引领市场，对影子AI和企业AI采用等新兴最终用户挑战响应迟缓。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与本魔力象限中的“领导者”相比，ESET很少被列入竞争性端点保护提供商候选名单。
Fortinet
Fortinet在本魔力象限中获评为“利基企业”。这是一家总部位于美国加利福尼亚州森尼韦尔的供应商，FortiEndpoint是其核心端点保护产品。该供应商支持云交付、混合和本地（包括气隙隔离）部署管理。FortiEndpoint非常适合投资于Fortinet更广泛工作空间安全产品组合的组织。
过去一年，Fortinet的关键产品开发包括：
-
FortiDLP：新增数据分类、检测和响应功能，旨在防止数据通过可移动介质、Web应用程序和AI助手发生丢失。
-
浏览器安全：引入浏览器扩展，用于浏览器特定加固、威胁防护、数据丢失防护和第三方扩展管理。
Fortinet 的2026年路线图重点包括将FortiDLP更紧密地集成到FortiEndpoint中，通过单一端点代理和控制台实现统一保护和数据丢失防护。计划的增强功能包括：AI安全性，用于对本地安装的AI助手、模型上下文协议(MCP)服务器、插件和AI浏览器实现可视性与控制。
过去一年，Fortinet收购了Suridata（SaaS 安全态势管理）。
-
垂直战略：Fortinet在政府和制造业等关键垂直行业的业务分布均衡。该公司继续增强其本地部署产品，使其与云交付产品在功能上近乎完全对等。
-
定价：与本魔力象限中的其他供应商相比，Fortinet的端点保护产品定价具有竞争力。
-
整体可行性：Fortinet是一家资金雄厚的大型供应商，收入持续增长，并在多个业务领域拥有强劲的市场影响力。Fortinet继续投资于包括FortiEndpoint在内的工作空间安全技术，这一点从其近期推进的旨在增强综合数据保护能力的代理统一举措中可见一斑。
-
产品战略：预防功能（例如针对非Windows系统的主机防火墙管理）发布延迟，阻碍了Fortinet的产品战略。只有在更广泛的Fortinet生态系统中才能充分实现价值；独立部署在管理和安全运维方面可能会面临功能限制。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与本魔力象限中的“领导者”相比，Fortinet很少被列入竞争性端点保护提供商候选名单。
-
市场响应速度和过往表现：Fortinet拥有的端点保护市场份额仍明显低于本魔力象限中的“领导者”或“挑战者”。
Microsoft
Microsoft在本魔力象限中获评为“领导者”。这是一家总部位于美国华盛顿州雷德蒙德的供应商，Microsoft Defender for Endpoint是其核心端点保护产品。该供应商仅支持云交付（包括AWS GovCloud）部署管理。Defender for Endpoint非常适合希望将成熟端点保护集成到更广泛工作空间安全产品的组织，以及那些投资于Microsoft安全产品组合的组织。
过去一年，Microsoft的关键产品开发包括：
-
预测性防护：引入即时端点加固，旨在阻止勒索软件等已检测到的正在进行中的攻击的传播。
-
Defender部署工具：一款适用于Windows和Linux的新工具，旨在改善现代及传统操作系统上的代理程序接入流程，专为未使用Microsoft Intune的客户而设计。
该公司还在阿拉伯联合酋长国的Microsoft Azure云以及另一个美国政府云上推出了Microsoft Defender for Endpoint。
2026 年路线图包括用于恶意软件分析的新AI智能体，旨在提升恶意软件逆向工程能力，以及作为Microsoft Agent 365一部分的AI安全功能，用于对本地安装的AI助手、MCP服务器、插件和AI浏览器实现可视性与控制。
-
产品：Defender for Endpoint的突出优势在于其基于云的管理、先进的EDR功能、与Microsoft Defender Suite的紧密集成，以及日益成熟的数据安全功能。
-
产品战略：Microsoft通过预测性防护等增强功能不断完善其端点保护产品，彰显了其持续致力于满足新兴客户需求的承诺。
-
市场响应速度和过往表现：Microsoft拥有显著的端点保护市场份额，经常受到买家青睐，在捆绑Microsoft 365 E5时尤其如此。
-
销售执行：客户报告称，Microsoft的许可模式很复杂，难以理解。Microsoft Defender for Servers不包含在Microsoft 365 E3或E5等流行套餐中。
-
客户体验：客户指出，产品易用性以及技术支持的解决效果表现不够稳定。
-
垂直战略：Defender for Endpoint不支持本地部署管理，且不适合于寻求在美国境外获得完全运营或技术主权的组织。
Palo Alto Networks
Palo Alto Networks在本魔力象限中获评为“领导者”。这是一家总部位于美国加利福尼亚州圣克拉拉的供应商，Cortex XDR是其核心端点保护产品。该供应商仅支持云交付（包括AWS GovCloud）部署管理。Cortex XDR非常适合寻求将成熟且高度可定制端点保护融入更广泛TDIR功能产品的组织。
过去一年，Palo Alto Networks的关键产品开发包括：
-
Cortex XDR Endpoint DLP：新增数据分类、检测和响应功能，旨在防范数据通过可移动介质、Web应用程序和AI助手发生丢失。
-
动态驱动保护：增强对用户态到内核态交互的可视性，以在不依赖签名的情况下检测恶意意图以及对内核驱动的滥用。
该公司还在南非、巴西和印度新增上线了云托管入网点。
Palo Alto Networks的2026年路线图包括：增强的应用程序控制与允许列表功能；以及在其收购Koi Security后的AI安全功能，用于实现对本地安装的AI助手、MCP服务器、插件和AI浏览器的可视性与控制。其他计划的增强功能包括AI辅助配置管理和威胁调查。
除了收购Koi Security（针对端点的AI安全）之外，过去一年，Palo Alto Networks还收购了CyberArk（特权访问管理）、Protect AI（AI应用安全）以及Chronosphere（可观测性解决方案）。
-
产品：Cortex XDR因其有效的预防、保护和EDR功能，以及灵活的定制和自动化而受到客户青睐。
-
产品战略：Palo Alto Networks投资于成熟的EDR，并在各主要操作系统上实现预防与保护功能对等覆盖；同时具备成熟的云端管理能力，不断扩展端点DLP功能，并在AI安全方面拥有强劲的产品路线图。
-
创新：近期发展（例如针对内核驱动程序的行为保护、在风险暴露优先级划分中增强对控制上下文的使用，以及用于安全运营的内置AI智能体）展示出其致力于满足新兴最终用户需求的承诺。
-
垂直战略：尽管Cortex XDR提供Broker VM，但其不支持本地部署管理，且不适合于需要在无代理访问条件下保护气隙隔离环境的组织，也不适合于寻求在美国境外获得完全运营和技术主权的组织。
-
定价：Cortex XDR仍是一款高端定价的产品；客户经常反映称在续订时许可费用不断增加。
-
市场响应速度和过往表现：该公司拥有的端点保护市场份额仍明显低于本魔力象限中的其他“领导者”。
SentinelOne
SentinelOne在本魔力象限中获评为“领导者”。这是一家总部位于美国加州山景城的供应商，SentinelOne Singularity是其核心端点保护产品。该供应商支持云交付（包括AWS GovCloud）、混合和本地（包括气隙隔离）部署管理。SentinelOne Singularity非常适合寻求成熟端点保护，以及注重易用性的威胁检测、调查和响应功能的组织。
过去一年，SentinelOne的关键产品开发包括：
-
横向移动缓解：增强对发起横向移动设备的源IP的阻断，旨在缩短平均响应时间。
-
DNS收集：扩展收集的DNS遥测数据，以提升对DNS隧道、C2通信、横向移动及其他威胁的端点级检测能力。
该公司在沙特阿拉伯新推出了云托管入网点，并宣布与Google建立新的云托管合作伙伴关系，以在Google Cloud Platform上提供SentinelOne的产品。
SentinelOne 的2026年路线图包括：扩展对网络遥测数据的端点可视性，以提升对横向移动和命令与控制通信的检测能力；以及新端点DLP功能，用于防止数据通过可移动介质和Web应用程序发生丢失。
过去一年，SentinelOne收购了Prompt Security（AI使用控制）和Observo AI（遥测数据管道）。
-
产品战略：SentinelOne的产品战略和安全路线图可增强检测和响应能力、扩展网络遥测数据可视性，并可在整个受支持操作系统中保持强大的功能对等，从而契合新兴的客户需求。该平台提供与第三方产品的强大TDIR集成，并计划添加端点DLP功能，以及集成Prompt Security以实现AI使用控制。
-
对市场的了解：该公司展现出对端点保护市场走向的深入了解，尤其体现在对Prompt Security等公司的收购上。
-
市场响应速度和过往表现：SentinelOne拥有的端点保护市场份额比本魔力象限中包含的大多数其他供应商都要高。
-
地区战略：与地理分布更加多样化的竞争对手相比，该公司在北美和欧洲以外的市场渗透仍然有限。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，SentinelOne被列入买家候选名单的频率低于往年。
-
创新：SentinelOne近期的创新（例如高级DNS收集和横向移动缓解）不太可能塑造更广泛的端点保护市场。
Sophos
Sophos在本魔力象限中获评为“领导者”。这是一家总部位于英国英格兰阿宾顿的供应商，Sophos Endpoint是其核心端点保护产品（由Intercept X提供支持）。该供应商仅支持云交付部署管理。Sophos Endpoint非常适合希望将端点保护融入更广泛工作空间安全产品的组织。
过去一年，Sophos的关键产品开发包括：
-
Sophos Protected Browser：引入一款经过加固、基于Chromium的浏览器，该浏览器集成了浏览器特定威胁防护、安全访问和数据丢失防护功能。
-
Sophos AI Assistant：添加内置AI助手，用于告警分诊、事件优先级排序、威胁搜寻和分析师指导。
该公司推出了Sophos Workspace Protection，以保障远程和混合办公员工的安全，并在阿拉伯联合酋长国新推出了云托管入网点。
2026年路线图包括：新增SIEM产品（源自其2025年对Secureworks的收购），该产品具备第三方遥测数据摄取、长期保留、自定义数据解析和合规报告功能。其还提供一款新的持续控制监控产品（源自其2026年对Arco Cyber的收购），用于评估控制措施的有效性，将控制措施映射到风险和合规框架，并支持高管决策的制定。
-
运营：Sophos得益于对Secureworks的收购，通过扩大质量保证团队规模、拓展客户覆盖范围以及改善全球布局，加强了运营执行。
-
整体可行性：持续的收入增长、大部分收入来源于端点保护产品销售，以及长期确立的市场地位，表明了对端点保护产品的持续投入。
-
定价：与本魔力象限中的其他供应商相比，Sophos的端点保护产品定价总体上具有竞争力。对于员工拥有多台设备的组织，其基于用户的许可模式具有吸引力。
-
垂直战略：Sophos不提供本地部署管理功能，这使得其产品不适合需要在其所支持的入网点之外实现数据主权的组织。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与本魔力象限中的其他“领导者”相比，Sophos很少被列入竞争性端点保护提供商候选名单。
-
创新：最近的研发工作重点在于提升端点代理性能，并添加用于告警汇总的AI辅助功能，旨在弥补现有产品差距，而非实现创新。
Trellix
Trellix在本魔力象限中获评为“利基企业”。这是一家总部位于美国得克萨斯州弗里斯科的供应商，Trellix Endpoint Security Solutions是其核心端点保护产品。该供应商支持云交付（包括AWS GovCloud）、混合和本地（包括气隙隔离）部署管理。Trellix Endpoint Security Suite非常适合需要具有细粒度定制选项的全面本地端点保护的组织。
过去一年，Trellix的关键产品开发包括：
-
勒索软件检测：将行为规则与进行欺骗的诱饵文件相结合，以提高对勒索软件的检测效能和缓解能力。
-
单个代理中增强的取证数据收集：添加用于收集命令壳层历史记录、PowerShell历史记录、内存获取以及文件和目录记录的操作，以支持调查。
该公司的2026年路线图包括进一步整合本地部署产品组件，例如通用用户体验(UX)设计、告警管理、搜索和管理平面。目标是提升Trellix产品组合的整体可用性。计划的增强功能还侧重于在攻击链的更早阶段加速组织范围内对勒索软件的响应。
-
地区战略：Trellix在北美、欧洲、澳大利亚、新加坡和印度等关键市场提供多个SaaS入网点，并为全球客户提供多语言支持。
-
垂直战略：该公司支持并投资于改进其本地部署管理解决方案，包括高度受监管组织所要求的气隙隔离环境中的部署。
-
定价：与本魔力象限中的其他供应商相比，Trellix的端点保护定价总体上具有竞争力。
-
产品战略：Trellix专注于通过功能对等、改进的检测和可自定义警报、远程Shell以及可配置的数据保留来弥补其本地部署产品的差距。该产品仍然缺少买家日益寻求且在本魔力象限中已被更多供应商所提供的AI发现与使用控制功能。
-
市场响应速度和过往表现：根据Gartner对市场份额、席位数量估算和客户咨询的评估，Trellix拥有的端点保护市场份额相对于本魔力象限中的领先提供商有所下降。
-
销售战略：Gartner客户咨询和Peer Insights反馈表明，与本魔力象限中的“领导者”相比，Trellix很少被列入竞争性端点保护提供商候选名单。
TrendAI
TrendAI在本魔力象限中获评为“领导者”。这是一家总部位于日本东京的供应商，TrendAI Vision One Endpoint Security是其核心端点保护产品。该供应商支持云交付、混合和本地（包括气隙隔离）部署管理。
TrendAI Vision One非常适合希望将成熟端点保护集成到更广泛工作空间安全产品的组织。
过去一年，TrendAI的关键产品开发包括：
-
建议的排除项：增强的排除项管理功能，重点支持基于端点上下文的建议，旨在降低运营开销。
-
增强的数据安全：添加数据安全传感器，在整个TrendAI的受保护环境中对敏感数据的移动进行分类和跟踪。
该供应商还在加拿大、英国和南非新推出了云托管入网点。
TrendAI的2026年路线图包括漏洞评估增强功能，旨在提供对未发布的端点漏洞信息以及来自TrendAI的威胁情报的抢先访问权限。此外，该路线图还重点包括对遥测数据、安全事件、上下文和意图的增强关联，以提高威胁检测的精确性。
-
产品战略：TrendAI持续对其端点保护产品进行投入，并支持广泛的操作系统（包括旧版本）。近期的增强功能（例如数据安全、攻击路径映射和自适应保护）与新兴的买家需求相契合。该路线图侧重于通过加固规则、基于浏览器的提示词注入保护和AI使用发现来减少攻击面，从而进一步巩固了其在端点保护市场的地位。
-
产品：Trend Micro的强大预防能力、基于云、混合及本地部署管理、广泛的操作系统支持范围和工作空间安全能力受到客户普遍好评。
-
定价：与本魔力象限中的其他供应商相比，TrendAI的端点保护产品定价总体上具有竞争力。
-
销售战略：最近的客户反馈显示，TrendAI基于积分的许可模式难以解读，并指出该供应商在如何于其更广泛的产品组合中分配积分方面透明度有限。
-
整体可行性：近年来，TrendAI在端点保护市场的收入增长速度比本魔力象限中的其他“领导者”要慢。
-
客户体验：最近的客户反馈和第三方测试结果表明，过多的警报和占用大量资源的扫描可能会影响最终用户体验。在分析期间一些客户还反馈了相关支持质量问题。
WithSecure
WithSecure在本魔力象限中获评为“利基企业”。这是一家总部位于芬兰赫尔辛基的供应商，WithSecure Elements XDR是其核心端点保护产品。该供应商支持云交付、混合和本地部署管理。WithSecure Elements XDR非常适合中小企业（特别是总部位于欧洲的中小企业）。
过去一年，WithSecure的关键产品开发包括：
-
攻击路径可视化：新的威胁模拟功能有助于将潜在攻击路径可视化，旨在提高建议补救操作的优先级。
-
集成增强功能：扩展后的预构建端点和身份相关集成与 API 库，旨在实现与第三方安全编排工具的集成。
WithSecure的2026年路线图包括AI增强型威胁调查功能，旨在通过自动化、汇总关键发现和建议响应措施来减少运营开销。其还增强了软件清单和补丁管理功能，旨在涵盖SaaS应用程序清单、使用情况和网络安全评估。
-
对市场的了解：WithSecure对端点保护市场动态和竞争对手的了解有助于该公司集中精力帮助欧洲各组织满足监管、产品和服务需求。
-
垂直战略：WithSecure宣布计划在德国AWS European Sovereign Cloud (ESC)上提供其产品。此举与其目标受众的需求相契合，对于追求数据和运营主权目标的欧洲组织颇具吸引力。
-
定价：与本魔力象限中的其他供应商相比，WithSecure的端点保护产品定价具有竞争力。
-
产品战略：WithSecure的最新更新（包括用于可视化潜在攻击路径的威胁模拟和增强型API）主要在于解决产品缺陷而非推动创新，因此不太可能对更广泛的企业端点保护格局产生重大影响。
-
市场响应速度和过往表现：WithSecure拥有的端点保护市场份额仍然低于本魔力象限中的“领导者”或“挑战者”。
-
运营：WithSecure仍是一家规模相对较小的公司，其业务和地理覆盖范围的多样化程度不如本魔力象限中的“领导者”，尤其是在其近期剥离网络安全咨询业务并导致员工人数减少之后。
新增和排除的供应商
Gartner依照市场变化审查并调整了魔力象限的入选标准。由于上述调整，任何魔力象限中的供应商组合可能随着时间的推移而变化。如果第二年看不到魔力象限中前一年出现的某个供应商，并不一定说明我们更换了该供应商。这种情况可能是市场变化和评价标准变化或该供应商重心变化的反映。
新增的供应商
-
未向该魔力象限中新增任何供应商。
排除的供应商
-
Cisco
-
Cybereason
入选标准
Gartner没有为这项研究制定任何排除标准。
要获得入选本魔力象限的资格，提供商必须符合端点保护市场的定义，并且在Gartner的研究和调查过程开始（2026年2月9日）前，其核心端点保护产品需满足所有入选标准。产品和能力必须已正式发布，才会被纳入评估范围。要求包括：
-
解决方案至少支持Windows、macOS和Linux操作系统。
-
解决方案将预防、保护、检测和响应功能整合到单个代理中。
-
解决方案结合使用端点安全技术、攻击面减少控制以及操作系统和端点应用程序漏洞评估来执行保护。
-
解决方案嵌入EDR功能，包括实时（或近实时）收集自动化端点遥测数据以及检测定制、事件后调查和响应功能。
-
解决方案可提供严重程度评级、进程树，以及事件和警报与MITRE ATT&CK的映射，以协助用户进行根本原因分析和补救。
-
解决方案可提供基于云的SaaS式多租户安全分析和管理基础设施，由端点保护供应商进行维护。
-
解决方案与本地或第三方具有TDIR功能的产品集成，支持跨多个安全控制的遥测数据收集、关联、调查和响应。
-
解决方案与合作伙伴或供应商交付的服务封装器（如托管检测和响应(MDR)或共同管理的安全监控）紧密结合。
-
供应商必须独立于其他产品或服务来销售端点保护软件和许可。
-
供应商必须在内部设计、拥有和维护其大部分检测内容和威胁情报。如果OEM不是主要保护方法，则可以接受OEM增强。
-
供应商必须已在2026年2月9日之前的24个月内参加至少两次面向企业的知名公开测试（例如MITRE Engenuity、AV-Comparatives、AV-TEST、SE Labs或MRG Effitas），以测试安全效能。
-
截至2026年2月9日，供应商必须使用其端点保护在生产中保护并积极管理超过1,000万个端点，不包括通过OEM协议出售的席位。超过50万个席位必须安装于生产环境中，且账户规模大于500个席位。北美或欧洲以外的单个地区的企业客户数量不得超过客户总数的60%。
评估标准
执行力
Gartner分析师对供应商的流程、系统、方法和程序的质量以及效能进行评估，这些流程、系统、方法和程序有助于提升供应商的竞争力、效率和效益，提高收入，降低离职率并维护声誉。营销执行并非评级标准，因为其与该市场中的买家无关。
表1：执行力评估标准
| 评估标准 | 权重 |
|---|---|
|
产品或服务
|
高
|
|
整体可行性
|
中
|
|
销售执行/定价
|
中
|
|
市场响应/记录
|
高
|
|
营销执行
|
未评级
|
|
客户体验
|
高
|
|
运营
|
高
|
|
|
|
资料来源：Gartner（2026年5月）
前瞻性
Gartner分析师评估供应商的标准是，他们能否令人信服且符合逻辑地清楚阐明当前和未来市场方向、创新、客户需求和竞争力，还会评估这些陈述与Gartner市场观点的吻合程度。营销战略和业务模式并非评级标准，因为其与该市场中的买家无关。
表2：前瞻性评估标准
| 评估标准 | 权重 |
|---|---|
|
对市场的了解
|
高
|
|
营销战略
|
未评级
|
|
销售战略
|
中
|
|
产品战略
|
高
|
|
业务模式
|
未评级
|
|
垂直/行业战略
|
低
|
|
创新
|
中
|
|
地区战略
|
中
|
|
|
|
资料来源：Gartner（2026年5月）
象限描述
领导者
领导者在所有执行力和前瞻性标准方面都持续表现出进步。其可提供成熟的端点遥测支持、集成的EDR功能和成熟的基于云的管理。领导者提供双向工作空间安全集成，整体暴露评估和TDIR功能，使买家能够优化他们的安全堆栈。领导者拥有重要的思维和显著的市场份额。然而，成为领导者并非意味着他们是所有买家的默认选择。客户不会认为只能购买领导者的产品。市场现状面临前瞻者的挑战时，领导者的反应可能不那么敏捷。
挑战者
挑战者提供成熟的端点保护产品，可有效地满足端点保护买家的需求。他们还有很高的市场知名度，因此与“利基企业”相比，拥有更好的执行力。然而，挑战者通常在解决新兴需求方面行动迟缓，缺乏深度的产品集成，并且可能积累了技术债务，从而影响可用性。他们还可能与市场发展方向不够契合，相较于“领导者”，影响了他们的前瞻性。挑战者是实用的选择，特别是对于已经与其建立了战略关系的客户。
前瞻者
前瞻者先于市场竞争对手提供新功能和新兴功能，让买家能够尽早访问增强的安全性和管理。例如，前瞻者可能提供基于员工、设备和威胁上下文的动态端点和安全策略配置等功能；与本地和第三方工作空间安全控制的双向集成；以及更广泛的TDIR功能。
虽然前瞻者可能会影响市场技术发展的方向，但他们可能尚未展现出稳定的执行力过往记录，且往往缺乏市场份额。客户如需尽早享受创新功能，不妨选择前瞻者。
利基企业
利基企业提供可靠的产品，但很少在引入新功能和新兴功能或获得及保持显著市场份额方面引领市场。某些供应商之所以获评为利基企业，是因为他们专注于特定的地区或细分市场。其他则是利基企业，因为他们在用例、行业或技术能力集方面表现出色。对于现有客户、供应商目标细分市场中的客户、受支持地区不打算变革的组织以及希望增强现有端点保护以加强纵深防御的组织，利基企业不失为理想之选。
背景
组织主要使用端点保护来保护最终用户端点（如笔记本电脑、工作站、虚拟桌面、移动设备），并且在某些情况下，还会通过减少端点攻击面和提供实时保护、检测和响应功能来保护服务器。供应商越来越多地将端点保护与更广泛的工作空间安全平台和具有TDIR功能的产品（例如集成安全运营中心解决方案和SIEM产品）相集成，以降低操作复杂性并帮助优化网络安全技术堆栈。
Gartner魔力象限供应商调查显示，超过60%的企业端点受到云交付端点保护产品的保护，这些端点保护产品包含现代行为保护功能。成熟的端点保护市场、不断演变的威胁以及对更有效的安全操作的需求已经开始将买家的兴趣转移到其他市场类别。据估计，25%的组织从其端点保护供应商处购买邻近、具有TDIR功能的产品（例如ISOC和SIEM)），以实现更高的效率和优化成本，而不是手动集成其他脱节的控制。
作为其端点保护产品的一部分，本研究中的所有供应商均提供网络安全AI辅助功能。尽管市场炒作，但目前这些技术的实际应用仍处于初期阶段。如今，AI助手在对先前存在的发现进行分类和解释方面大为有用，特别是对于经验不足的分析师或不熟悉特定安全工具的人员而言。大多数追求平台战略的端点保护提供商仍需将其AI助手与第三方产品集成，以有意义地加速跨异构安全堆栈的任务自动化。
市场概况
端点保护属于成熟市场，在该市场中，买家越来越多地基于对供应商的信任以及供应商实现更广泛网络安全成果的能力来选择供应商（请参阅《在下一次网络安全采购中利用Gartner的供应商信任指数》）。Gartner估计，2025年端点保护市场市值约为180亿美元，年增长率约为14%（请参阅《市场份额：企业软件》，全球，2025年）。值得注意的是，Microsoft和CrowdStrike占据了端点保护市场约40%的份额。Gartner预测，到2028年，该市场将以约11%的复合年增长率扩展，按固定汇率计算，规模将达到260亿美元（请参阅《预测：信息安全》，全球，2024-2030年，2026年第一季度）。
网络安全合理化
2026年，大多数网络安全负责人旨在将战略性网络安全供应商合理化，并简化其网络安全工具栈，以降低复杂性并优化成本。这一趋势使成熟的端点保护提供商能够在合同续签期间逐步扩大其产品覆盖范围，往往会取代或补充市场中的邻近产品和服务，例如暴露评估平台、安全信息和事件管理、身份威胁检测与响应、MDR等。然而，这也给仅专注于端点保护或未被买家视为潜在战略提供商的供应商增加了压力。近期的市场并购活动表明了这一趋势，因为提供商寻求扩展其功能和服务产品，以满足不断演变的网络安全需求。2025年，报告有400起网络安全公司并购，其中排名前10的网络安全企业软件安全供应商持续实现其收入增长（请参阅《利用Gartner的四大支柱评估框架，优化战略网络安全供应商》）。
新兴主权要求
地缘政治不稳定性加剧，正在推动对技术主权提出更高的要求，同时伴随着日益增加的监管压力和对执法的期望。处于易受地缘回归影响的行业和地区的买家正在重新审视其数据、运营和技术主权目标，这促使其评估区域性数据托管、本地部署管理方案、跨多个司法管辖区运营的多租户策略，以及总体上减少对国外网络安全提供商的依赖。作为回应，在此前于欧盟内扩大了覆盖范围后，多家端点保护提供商近期已扩展并宣布计划进一步将其云托管SaaS服务入网点扩展至新的区域云，特别是在中东和亚太国家/地区。（请参阅《欧洲背景：端点保护魔力象限》。）
AI对端点保护的影响
影子AI、AI浏览、企业AI采用的影响
组织对各种形式AI的快速采用正在超过网络安全控制规划、部署和微调的速度，并已导致企业端点及更广泛范围内数据通过AI服务发生丢失威胁的加剧。
员工和开发者越来越多地在正式控制之外使用AI助手和智能体，从而增加了攻击面以及数据泄露、凭据暴露和数据流不受管理的风险，而这些风险超出了传统端点和其他检测方法的可视范围。真正的问题在于，敏感数据通过AI服务发生丢失可能是不可逆且无法追踪的，而组织可能永远无法恢复丢失的数据（请参阅《发现并管理三大AI盲点：嵌入式AI、影子AI与AI浏览》）。
为应对这些风险，大多数端点保护供应商正在通过内生增长或收购的方式，推出AI发现和使用控制功能。开始出现的一些关键用例包括：
-
员工影子AI：对员工未经批准在企业管理设备上使用未获许可的AI行为的发现、风险评分与控制，包括AI浏览智能体（OpenAI ChatGPT、Anthropic Claude）、AI浏览器（Perplexity Comet、OpenAI ChatGPT Atlas），以及计算机使用智能体（Anthropic Claude Cowork、Microsoft Copilot Cowork、Meta Manus、OpenClaw）。员工使用影子AI可能导致敏感数据暴露、违反监管规定，以及通过AI相关服务丢失知识产权数据。
-
开发者影子AI：对开发者未经批准使用未获许可的AI行为的发现、风险评分与控制，包括使用AI编码助手（Claude Code、GitHub Copilot、Cursor）、本地LLM、MCP服务器以及外部AI API。开发者或公民开发者使用影子AI可能会导致源代码和嵌入式机密信息（API密钥、凭据）发生泄露，以及由AI生成的代码引入的许可或知识产权(IP)违规。
网络安全AI助手对端点保护管理的影响
供应商正越来越多地加大对生成式AI和智能体AI的投入，以改善产品可用性，但安全团队对此类AI的采用仍然有限。考虑到大多数中型组织缺乏成熟的安全运营或暴露管理流程，而供应商往往旨在利用AI助手来优化或自动化这些流程，这一点尤其如此。因此，网络安全负责人（尤其是在网络安全成熟度较低的组织中）继续优先考虑MDR服务而非AI助手，以实现成果交付。
根据Gartner的调查数据，目前仅有少数组织使用这些功能进行威胁检测、事件响应或策略管理。1 如今的生成式AI功能主要侧重于管理协助（例如事件汇总和文档发现），而智能体AI的发展路线图则旨在实现重复性任务的自动化，如告警分诊、自动化调查、查询或自定义剧本创建、恶意软件分析、响应规划等。从这些功能中实现有意义的价值，需要深度的产品和工作流集成，而这仍具有挑战性。评估AI助手功能的买家在进行投资前，必须重点衡量硬性的运营效率提升，以及对现有指标的改善。
产品演变
2026年，大多数端点保护供应商对核心端点保护功能的创新或增强有限。相反，他们正优先添加旨在满足新兴买家需求的邻近产品功能，例如AI发现和使用控制、集成式端点和企业数据丢失防护、浏览器安全、应用程序滥用防护、暴露评估、主动且即时的端点加固。他们还在增强智能体AI功能，旨在通过自动化来增强安全运营团队能力。尽管这些新功能对于应对新兴威胁实属必要，但这也意味着旧有差距在更长时间内得不到解决，从而导致产品在多项关键功能上出现显著差异，其中包括：
-
所收集用于行为分析和保护的近实时端点遥测数据
-
端点智能体的资源占用及其对系统性能的影响
-
对各种管理功能与检测逻辑的定制深度
-
针对非Windows和旧版操作系统所支持的控制能力
网络安全负责人在选择端点保护产品时，应使用《端点保护的关键能力》，根据特定的组织用例来评估各项功能，或构建适合自身需求的自定义用例。
1 《Gartner 2025年人工智能风险管理和使用方面的网络安全创新调查》。开展该调查旨在了解组织如何管理生成式AI和给予其支持的AI技术的网络安全风险。该研究于2025年3月21日至5月9日在北美(n = 181)、欧洲、中东和非洲(n = 71)和亚太地区(n = 50)的302名网络安全负责人中进行。符合条件的组织报告了2024财年全企业收入至少为2.5亿美元或等值数额，并且其组织内高级网络安全管理人员参与了与AI网络安全风险管理相关的活动。免责声明：此调查的结果并不代表“全球”调查结果或整个市场，而是反映了受访者和受访企业的观点。
Gartner的魔力象限团队使用了以下来源的数据：
-
自2025年7月以来的2,000多次Gartner客户咨询
-
gartner.com上的4,000多条Gartner Peer Insights评论
-
各供应商对本次魔力象限调查（包含100多个问题，涉及截至2026年第二季度的产品和供应商增强功能）的回答及其90分钟的产品实时演示
执行力
产品/服务：由供应商为既定市场提供的核心产品和服务。这包括当前的产品/服务功能、质量、功能集、技能等，无论是在本地提供，或通过按照市场定义和子标准中详细定义的OEM协议/合作伙伴提供。
整体可行性：可行性包括对组织整体财务状况的评估，以及对业务部门的财务和实际成功情况的评估，以及单个业务部门继续对产品投资、继续提供产品以及在组织的产品组合中推进前沿技术的可能性。
销售执行/定价：供应商在所有售前活动中的能力以及支持这些活动的结构。其中包括交易管理、定价和谈判、售前支持以及销售渠道的整体有效性。
市场响应/记录：随着机会的发展、竞争对手的行动、客户需求的演变以及市场动态的变化，做出响应、改变方向、保持灵活性并取得竞争成功的能力。该标准还考虑了供应商响应速度的历史记录。
营销执行：计划的清晰度、质量、创造性和效能，这些计划旨在传递组织的信息以影响市场、推广品牌和业务、提高产品知名度以及在客户心中树立产品/品牌和组织的正面形象。这种“品牌影响力”可以通过宣传、促销、思想领导、口头宣传和销售活动的组合来推动。
客户体验：能够让客户通过所评估产品达到成功结果的关系、产品、服务/计划。具体来说，这包括客户获得技术支持或客户支持的方式。可能还包括辅助工具、客户支持计划（及其质量）、用户组的可用性和服务等级协议等。
运营：企业达成其目标和承诺的能力。影响因素包括组织结构、技能、经验、计划、系统和其他使组织能够持续高效运营的工具的质量。
前瞻性
对市场的了解：供应商了解客户的需求并将其转化为产品和服务的能力。供应商对其市场表现出清晰的愿景，愿意倾听并了解客户的愿望和需求，以及用自己日臻完善的愿景来塑造或增强市场变化。
营销战略：在组织内部或通过网站、广告、客户计划和定位声明向外部持续传达的清晰、与众不同的宣传信息。
销售战略：销售产品的策略，运用恰当的直接或间接销售网络、营销、服务和通讯附属机构来延伸所涉市场、技能、专业知识、技术、服务和客户群的广度和深度。
产品战略：供应商用于产品开发和交付的方法，强调市场优势、功能性、方法和功能集，因为它们反映了当前和未来的需求。
业务模式：供应商内在业务主张的合理性和逻辑性。
垂直/行业战略：供应商的战略，用于引导资源、技能和产品来满足个别细分市场的特定需求，包括垂直市场。
创新：用于投资、合并、防御性或先发制人等目的的资源、专业知识或资本的直接、相关、互补和协同性布局。
地区战略：供应商的策略，即引导资源、技能和产品以满足“本土”或本地地理区域之外的特定地理需求。可以直接实现，也可以通过合作伙伴、渠道和子公司来实现，视当地情况和市场情况而定。
Learn how Gartner can help you succeed.
Talk to Us© 2026 Gartner, Inc.和/或其关联公司。保留所有权利。Gartner是Gartner,Inc.及其关联公司的注册商标。未经Gartner事先书面许可，不得以任何形式复制或分发本出版物。本出版物包括Gartner商业与技术洞察组织的意见，不应被视作事实陈述。本出版物中所含信息均从据信的可靠来源获取，但Gartner不对此类信息的准确性、完整性或适当性作出任何保证。虽然Gartner洞察可能会解决法律和财务问题，但Gartner并不提供法律或投资建议，不应将其洞察解释为或用作法律或投资建议。您需依照Gartner使用政策访问和使用本出版物。Gartner以独立和客观的声誉为傲。其洞察由其商业与技术洞察组织独立作出，不受任何第三方意见左右或影响。如需获得更多信息，请参阅“独立性和客观性的指导原则”。Gartner洞察不得用于生成式人工智能、机器学习、算法、软件或相关技术的信息输入，也不得用于上述目的的培训或开发。
本文件中的Gartner研究已从其原始英文版本翻译成上述/文件内语言。 Gartner已尽一切合理的业务努力确保翻译尽可能准确完整。 但是，在所有翻译中，译文与原文不可避免地会存在某种程度的差异。 如果在内容或意图方面存在差异，则应始终以原始英文版本中所述的含义为准。
本文件中的Gartner研究已从其原始英文版本翻译成上述/文件内语言。 Gartner已尽一切合理的业务努力确保翻译尽可能准确完整。 但是，在所有翻译中，译文与原文不可避免地会存在某种程度的差异。 如果在内容或意图方面存在差异，则应始终以原始英文版本中所述的含义为准。