Część 1 z 4 cyklu o tym, jak dziś wygląda ochrona firmy.

Wyobraź sobie duży dom, a w nim wszystko, na czym Ci zależy: dokumenty, oszczędności, rzeczy, których nie da się odtworzyć. Ten dom to Twoja firma, a te rzeczy to dane klientów, faktury, umowy i ciągłość działania.

Zabezpieczyłeś go rozsądnie. Solidne zamki, alarm, ogrodzenie. W świecie IT to Twój antywirus i firewall. To dobra podstawa i nie zamierzamy jej podważać.

Jest tylko jedno pytanie, którego zamki nie rozwiązują: co się dzieje, gdy ktoś już jest w środku?

Antywirus działa jak ochroniarz z listą osób niepożądanych. Sprawdza każdego przy wejściu i porównuje twarz ze zdjęciami znanych złodziei. Jeśli rozpozna, nie wpuszcza. To skuteczne wobec zagrożeń, które ktoś już opisał i skatalogował, i dlatego ta warstwa nadal jest niezbędna.

Problem w tym, że dzisiejszy atak rzadko wygląda jak wybite okno.

Napastnik najczęściej nie wyłamuje drzwi, tylko wchodzi cudzym, ale prawdziwym kluczem: hasłem wyłudzonym od pracownika albo kupionym na forum. W środku nie używa łomu, tylko narzędzi, które już tam są, wbudowanych w system mechanizmów administracyjnych. Z perspektywy ochroniarza przy drzwiach nie dzieje się nic niepokojącego: zalogowany użytkownik korzysta z legalnego oprogramowania.

Przepuszcza go. I ma rację, bo taka jest jego rola.

Przez lata rozmowa o bezpieczeństwie sprowadzała się do pytania „czy ktoś się do nas włamie?”. Przy odpowiedniej determinacji napastnika odpowiedź brzmi: prędzej czy później tak i żaden dostawca, który twierdzi inaczej, nie mówi Ci prawdy.

Właściwe pytanie brzmi: „ile czasu minie, zanim się o tym dowiesz?”.

Kilkanaście minut czy trzy miesiące, gdy zadzwoni kontrahent z pytaniem, dlaczego Twoje faktury krążą po sieci? Między tymi dwiema odpowiedziami leży różnica między incydentem a katastrofą, bo napastnik potrzebuje czasu. Musi rozejrzeć się po sieci, znaleźć dane warte kradzieży, zdobyć wyższe uprawnienia, wyłączyć kopie zapasowe. Dopiero na końcu szyfruje dyski i wystawia żądanie okupu. Ten czas to Twoja jedyna szansa.

Rozwiązania klasy EDR i XDR robią dokładnie jedną rzecz, której nie robi antywirus: obserwują, co dzieje się w domu już po wejściu. Działają na cztery sposoby.

1. Ciągły zapis (kamery z rejestratorem)

Kamery same w sobie nikogo nie zatrzymują, ale nagrywają wszystko. System rejestruje aktywność na stacjach roboczych, laptopach i, co szczególnie istotne, na serwerach: uruchamiane procesy, połączenia sieciowe, zmiany w konfiguracji, użycie kont.

Ten zapis jest przechowywany, więc można cofnąć się w czasie i sprawdzić, co działo się dwa tygodnie temu, nawet jeśli wtedy nikt niczego nie podejrzewał.

2. Wykrywanie zachowań (czujnik, który zna rytm domu)

Tu leży najważniejsza różnica względem antywirusa. System nie pyta „czy znam tego złodzieja?”. Pyta: „czy to zachowanie ma sens?”.

Komputer z księgowości o trzeciej w nocy przeszukuje udziały sieciowe działu kadr, pakuje znalezione pliki do archiwum i wysyła je na nieznany serwer. Każda z tych czynności z osobna jest legalna i żadna nie wywoła alarmu antywirusa. Dopiero ich sekwencja zdradza, co się dzieje.

3. Reakcja (odcięcie jednego skrzydła domu)

Gdy coś zostanie wykryte, z konsoli można działać natychmiast, bez podchodzenia do zainfekowanej maszyny: odizolować ją od sieci jednym kliknięciem, zatrzymać podejrzany proces, zablokować plik na wszystkich pozostałych urządzeniach w firmie.

Część reakcji ustawia się jako automatyczne, według własnych reguł. Część świadomie zostawia się do decyzji człowieka, bo odcięcie serwera produkcyjnego w środku dnia to decyzja biznesowa, nie techniczna.

4. Dochodzenie (przejrzenie nagrań po fakcie)

Po incydencie odtwarzasz pełną oś czasu: od którego urządzenia i którego kliknięcia się zaczęło, co napastnik po kolei robił, do których systemów zdążył sięgnąć.

Bez tego zostaje najgorszy scenariusz: wiadomo, że coś się stało, ale nie wiadomo co, więc na wszelki wypadek stawia się całą infrastrukturę od nowa. Z tym wiadomo, co dokładnie posprzątać i którą lukę zamknąć.

To jest narzędzie, nie ochroniarz.

Warstwa XDR pokazuje incydenty i daje możliwość natychmiastowego działania, ale ktoś musi na nią patrzeć. Zanim podejmiesz decyzję o zakupie, warto ustalić dwie rzeczy: kto u Ciebie zagląda do konsoli i co się dzieje ze zgłoszeniem, które pojawi się w piątek o 22:00?

Jeśli masz dział IT albo choćby jedną osobę odpowiedzialną za systemy, dostanie widoczność i narzędzia, których dziś nie ma. Jeśli nie masz nikogo takiego, to też jest ważna informacja, tylko prowadzi do innej rozmowy: o obsłudze po stronie dostawcy.

Opisaliśmy dom i kamery w środku. Tylko że większość włamań nie zaczyna się w domu, lecz w skrzynce na listy. W kolejnym wpisie: dlaczego ochrona komputerów bez ochrony poczty i chmury zostawia otwarte drzwi, i co jeszcze powinno znaleźć się w komplecie.

Jeśli nie chcesz czekać, zadzwoń albo napisz. Zaczniemy od tego, co faktycznie chcesz chronić i kto miałby obsługiwać zgłoszenia.