Część 2 z 4 cyklu o tym, jak dziś wygląda ochrona firmy.

W poprzednim wpisie porównaliśmy firmę do domu, a ochronę stacji roboczych do kamer, które nagrywają, co dzieje się w środku. Jeśli go nie czytałeś, wystarczy jedno zdanie streszczenia: antywirus pilnuje drzwi, a warstwa XDR obserwuje, co robi ktoś, kto już wszedł.

Zostaje pytanie, którego wtedy nie zadaliśmy. Jak on właściwie wszedł?

Zdecydowana większość włamań do firm zaczyna się od wiadomości. Faktura od dostawcy, którego znasz. Prośba o pilne potwierdzenie płatności. Powiadomienie, że hasło do firmowej poczty wygasa za 24 godziny, z uprzejmym linkiem do zmiany.

Pracownik klika, wpisuje hasło na stronie łudząco podobnej do prawdziwej i wraca do pracy. Nic się nie dzieje. Nic nie wybucha, żaden alarm nie dzwoni. Napastnik ma teraz klucz do drzwi i wcale się nie spieszy, żeby z niego skorzystać.

W metaforze domu: włamywacz nie majstrował przy zamku. Wyjął z Twojej skrzynki na listy podrobione pismo, na które sam odpisałeś, podając mu kod do bramy.

Dlatego ochrona samych komputerów, choćby najlepsza, pilnuje drugiego etapu ataku, a nie pierwszego.

Sensowny komplet obejmuje trzy miejsca naraz.

Skrzynka na listy, czyli poczta. Filtrowanie wiadomości, zanim trafią do skrzynki pracownika, wyłapywanie prób podszywania się pod znanych nadawców i sprawdzanie, dokąd naprawdę prowadzi link w wiadomości.

Skrytki poza domem, czyli aplikacje chmurowe. Firmowy pakiet biurowy, dyski współdzielone, poczta w chmurze. Tam dziś leży większość dokumentów i tam napastnik zagląda najpierw, bo nie musi w tym celu w ogóle dotykać komputera pracownika.

Wnętrze domu, czyli stacje robocze i serwery, opisane w poprzednim wpisie.

Tu leży sedno i to jest różnica między EDR a XDR.

Gdy widzisz tylko komputer, masz podejrzany proces bez kontekstu. Ktoś uruchomił coś dziwnego, ale nie wiesz, skąd się to wzięło. Gdy widzisz pocztę i komputer razem, masz całą historię: ta wiadomość, ten załącznik, ten pracownik, ten komputer, te pliki.

I dostajesz coś jeszcze ważniejszego: listę wszystkich pozostałych osób w firmie, które dostały tę samą wiadomość. Możesz usunąć ją ze wszystkich skrzynek, zanim ktokolwiek inny ją otworzy. To różnica między jednym zainfekowanym laptopem a kilkunastoma.

Poniższe elementy rzadko trafiają do ulotek, bo nie brzmią efektownie. W praktyce to one załatwiają większość problemów, zanim ktokolwiek zdąży je zauważyć.

• Drugi klucz do drzwi. Uwierzytelnianie wieloskładnikowe, czyli bezpośrednia odpowiedź na scenariusz z początku tego wpisu. Pracownik oddał hasło, ale napastnik i tak nie wejdzie, bo musi jeszcze potwierdzić logowanie na telefonie, którego nie ma. Jedna z niewielu rzeczy w bezpieczeństwie, która daje ogromny efekt przy niewielkim koszcie.
• Przegląd okien, zanim ktoś ich spróbuje. Skanowanie podatności i automatyczne łatanie systemów oraz aplikacji. Zamiast czekać, aż ktoś znajdzie niedomykające się okno, sam je znajdujesz i naprawiasz. Większość udanych ataków wykorzystuje dziury, na które łatka istniała od miesięcy.
• Bunkier na podejrzane przesyłki. Nieznany plik, zanim trafi na komputer pracownika, jest uruchamiany i obserwowany w odizolowanym środowisku w chmurze. Jeśli okaże się szkodliwy, nigdy nie dotrze do adresata. To odpowiedź na zagrożenia, których nikt jeszcze nie skatalogował.
• Sejf, którego nie da się otworzyć poza domem. Pełne szyfrowanie dysków. Zgubiony w pociągu laptop przestaje być wyciekiem danych i staje się wyłącznie kosztem sprzętu, a to różnica także w rozmowie z organem nadzorczym.
• Pomieszczenie, w którym naprawdę leży majątek. Osobna ochrona serwerów. Ransomware celuje w serwery plików i backupy, a nie w laptopa handlowca.
• Telefony i tablety. Coraz częściej to na nich pracownik czyta firmową pocztę i zatwierdza logowania. Ochrona urządzeń mobilnych i możliwość zdalnego wyczyszczenia zgubionego telefonu należą do kompletu.

Wszystko powyżej można kupić od siedmiu różnych dostawców. Wtedy dostajesz siedem konsol, siedem umów, siedem terminów odnowienia i siedem miejsc, w które trzeba zajrzeć, żeby zrozumieć jeden incydent. W małym zespole IT oznacza to, że nikt nie zagląda nigdzie.

Sensowniejsze jest jedno miejsce, w którym widać wszystkie urządzenia, wszystkie alerty i stan zabezpieczeń całej firmy, uruchamiane w chmurze albo na własnym serwerze.

Nawet najlepiej zintegrowany komplet ochrony urządzeń i poczty widzi tylko to, na czym jest zainstalowany.

Nie widzi Twojego firewalla. Nie widzi, kto i kiedy logował się przez VPN. Nie widzi przełączników, serwera plików bez agenta, kamer przemysłowych, sterowników na produkcji ani systemu kontroli dostępu do budynku. A napastnik owszem, korzysta z nich wszystkich.

O tym, co zrobić z tą resztą i jak połączyć wszystkie te ślady w jeden obraz, będzie kolejny wpis.

Nie czekając na nic i nie kupując niczego: włącz uwierzytelnianie wieloskładnikowe na firmowej poczcie. To jedna zmiana, która eliminuje większość skutków wyłudzenia hasła. Jeśli potrzebujesz pomocy z resztą, zadzwoń albo napisz