Ten tekst opisuje, co dostajecie w pakiecie, jak wygląda codzienna praca w konsoli, gdzie licencje potrafią zaskoczyć rachunkiem i przy jakim układzie w firmie wygrywa Microsoft Defender, Sophos albo ESET. Piszemy też, kiedy odradzamy zakup.
Bitdefender GravityZone pilnuje komputerów i serwerów z jednej konsoli, patrząc na zachowanie procesu, a nie wyłącznie na sygnaturę pliku. Przy pięćdziesięciu stanowiskach o wyniku decyduje jednak nie silnik, tylko odpowiedź na pytanie, kto ogląda alerty i kto ma prawo odciąć maszynę od sieci. Sama licencja bez tej pracy jest kosztem, nie ochroną.
Macie konsolę, w której od miesiąca wisi czerwone zdarzenie, i nikogo, kto miałby je zamknąć. To jest czujnik dymu wpięty do dzwonka w pustym mieszkaniu: urządzenie działa bez zarzutu, tylko nikt nie słyszy. Rozkładamy zawartość pakietu, codzienną pracę w panelu oraz miejsca, w których licencja zaskakuje rachunkiem. Wskazujemy też układy, przy których wygrywa Microsoft Defender, Sophos albo ESET.
Wyobraźcie sobie dwie osoby pilnujące wejścia do biurowca. Pierwsza ma listę twarzy, których wpuszczać nie wolno, i porównuje z nią każdego, kto podchodzi do drzwi. Druga listy nie ma, za to patrzy, co wpuszczony robi w środku: czy idzie do swojego pokoju, czy naciska klamki wszystkich drzwi po kolei.
Pierwsza to antywirus sygnaturowy. Druga to ochrona stacji roboczych.
Sygnatura jest odciskiem palca znanego pliku. Metoda jest szybka i tania, ma jednak ograniczenie wpisane w samą konstrukcję: rozpoznaje wyłącznie to, co ktoś wcześniej opisał i rozesłał. Plik złożony na nowo pod jedną kampanię nie ma jeszcze swojego odcisku, więc dla listy jest nieznajomym z ważnym dowodem. Warstwy reputacyjne i uczenie maszynowe część takich plików zatrzymają, ale robią to na prawdopodobieństwie, a nie na pewnym dopasowaniu.
Zostaje druga droga: patrzeć, co plik robi po uruchomieniu. Szyfruje dokumenty w kolejnych katalogach, kasuje kopie w tle systemu, próbuje wyłączyć własną ochronę. Żadna z tych czynności nie jest zakazana z osobna. Dopiero ich ciąg układa się we wzór, którego uczciwy program nie wykonuje, i to jest moment, w którym silnik behawioralny przerywa proces.
Z tego samego mechanizmu bierze się jedyny koszt tej metody, i warto go znać przed wdrożeniem, bo cała jego reszta z niego wynika. Ochroniarz patrzący na zachowanie czasem zatrzyma kogoś, kto po prostu ma nietypową pracę. Program magazynowy, który co noc przepisuje tysiące plików między katalogami, wygląda z zewnątrz dokładnie jak szyfrowanie. Dlatego wdrożenie ma okres obserwacji i listę wykluczeń. Nie dlatego, że produkt jest niedokończony.
Druga różnica jest organizacyjna i to ona zwykle decyduje o zakupie.
Zwykły antywirus mieszka na komputerze i tam się kończy. Ochrona klasy firmowej ma konsolę, w której widać wszystkie urządzenia naraz, politykę przypisaną do grupy, a nie do pojedynczej maszyny, oraz historię zdarzeń pozwalającą ustalić, którędy nastąpiło wejście. Do tego dochodzi zdalne działanie: izolacja komputera od sieci jednym kliknięciem, bez proszenia użytkownika, żeby wyjął kabel.
Trzecia różnica nie jest techniczna.
Antywirus działa sam, ochrona firmowa zakłada, że ktoś patrzy w konsolę.
GravityZone to jedna konsola dla wszystkiego, co ma agenta: komputerów Windows, maców, serwerów Windows i Linux oraz telefonów służbowych. Konsola działa w chmurze producenta albo jako maszyna wirtualna u Was, o czym niżej przy licencjach.
Codzienna praca w niej sprowadza się do czterech rzeczy:
Mogę Ci jakoś pomóc?
Flota na 30 stanowisk mieści się w trzech, czterech grupach polityk i to wystarcza na lata. Rozrost liczby grup jest sygnałem, że ktoś rozwiązuje politykami problem, który jest gdzie indziej.
Konsola wysyła powiadomienia mailem i tu zaczyna się najczęstszy problem w małej firmie. Adres, na który idą alerty, po dwóch latach należy do osoby, która już tu nie pracuje, albo jest skrzynką ogólną, gdzie ginie między fakturami. Sama konsola działa wtedy bez zarzutu i to jest najgorsza część tej sytuacji: wszystko świeci na zielono, bo nikt nie otworzył zakładki z wykryciami.
Kolejność prac jest zawsze ta sama i żaden z kroków nie jest opcjonalny.
Między dostrojeniem a blokowaniem jest okres obserwacji. Bez niego pierwszy dzień pełnej ochrony kończy się telefonem z magazynu.
Bitdefender układa ofertę dla firm w drabinę poziomów: najniższy bez EDR, środkowy z EDR, wyższe z XDR oraz z usługą prowadzoną przez zespół producenta. Nazwy handlowe tych poziomów zmieniały się między generacjami produktu, więc przy zakupie czyta się aktualny cennik dystrybutora, a nie notatkę sprzed dwóch lat.
Dwa skróty z tej drabiny warto rozumieć, zanim ktoś wyceni je w ofercie. Zostańmy przy budynku z poprzedniej sekcji. EDR to nagrania z kamer w korytarzach. Sam zamek w drzwiach mówi, że ktoś się nie dostał. Nagranie mówi, którymi drzwiami wszedł, gdzie poszedł dalej i czego dotknął, i dopiero z niego da się ustalić, czy ten ktoś jest jeszcze w środku. XDR to te same kamery ustawione również poza budynkiem: przy poczcie, przy logowaniu do kont, przy ruchu sieciowym, spięte w jeden zapis, żeby dało się przejść za kimś przez kilka miejsc naraz.
Dla firmy na 5 do 50 stanowisk różnica praktyczna jest jedna: poziom bez EDR odpowiada na pytanie „czy coś nas zaatakowało”, a poziom z EDR na pytanie „którędy i co dalej”. Drugie pytanie zadaje się rzadko i zawsze w najgorszym tygodniu roku.
Pytania, które trzeba zadać przed podpisaniem, bo po podpisaniu odpowiedzi już nic nie zmienią:
Pytanie | Co się za nim kryje |
|---|---|
Za co liczy się licencja, za urządzenie czy za użytkownika | handlowiec z dwoma laptopami i telefonem to jedna pozycja albo trzy |
Jak liczone są serwery | w części ofert slot serwerowy waży więcej niż stanowisko robocze |
Co jest dodatkiem płatnym osobno | zarządzanie aktualizacjami, szyfrowanie dysków i ochrona poczty bywają dokupowane, mimo że w konsoli widać je w jednym menu obok reszty |
Ile trwa umowa i ile kosztuje odnowienie | pierwszy rok z rabatem i drugi bez rabatu to dwie różne kwoty w budżecie |
Co się dzieje, gdy firma się kurczy | zwykle nic: liczbę stanowisk łatwo podnieść w trakcie i trudno obniżyć |
Ile czasu trzymane są dane EDR | historia zdarzeń krótsza niż okno wykrycia incydentu nie odpowie na pytanie, którędy weszli |
Czyj jest tenant konsoli | pułapka, o której nikt nie mówi na spotkaniu handlowym |
Tenant to Wasze osobne mieszkanie w bloku producenta: własne drzwi, własne zamki, własne rzeczy w środku. Pytanie brzmi, czy umowa najmu jest podpisana na Waszą firmę, czy na firmę informatyczną, która Was tam wprowadziła.
Jeśli konsolę zakłada partner na swoim koncie, a Wy jesteście w niej jedną z grup urządzeń, to nie macie mieszkania, tylko pokój w cudzym. Zmiana dostawcy oznacza wtedy przeprowadzkę od zera: nowy tenant, ponowna instalacja agentów na wszystkich maszynach, przepisane polityki i historia zdarzeń, która zostaje po tamtej stronie.
Wyjaśnia się to jednym zdaniem w ofercie i pytaniem, kto figuruje jako właściciel konta.
My prowadzimy konsole klientów jako ich konsole i uważamy to za warunek uczciwej umowy, a nie za przewagę marketingową.
Mogę Ci jakoś pomóc?
Kwota za naszą pracę przy utrzymaniu ochrony urządzeń końcowych stoi na stronie usługi i jest tam liczona z konfiguracji, więc nie powtarzamy jej w tekście, który zestarzeje się szybciej niż cennik.
Wybór producenta jest w małej firmie decyzją wtórną wobec dwóch innych: co już macie w licencjach i kto będzie obsługiwał wykrycia. Poniższa tabela pokazuje sytuację, w której każdy z tych produktów wygrywa jednoznacznie.
Produkt | Wygrywa, gdy | Przegrywa, gdy |
|---|---|---|
Bitdefender GravityZone | flota jest mieszana (Windows, macOS, serwery Linux), a firma nie ma Microsoft 365 Business Premium ani E5 | całą ochronę macie już opłaconą w planie Microsoft |
Microsoft Defender for Business | macie Microsoft 365 Business Premium, w którym ta ochrona jest zawarta | flota to głównie serwery Linux i maszyny spoza Microsoft Entra ID |
Sophos Intercept X | na brzegu sieci stoi firewall Sophos i chcecie, żeby oba elementy wymieniały się informacją o zainfekowanej maszynie | brzeg sieci jest innego producenta, bo znika główny powód wyboru |
ESET | potrzebujecie konsoli utrzymywanej wyłącznie u siebie i lekkiego agenta na starszym sprzęcie | oczekujecie jednej konsoli razem z ochroną poczty i zarządzaniem telefonami |
Zdanie, które w tej tabeli jest najważniejsze, dotyczy Microsoftu. Firma z planem Business Premium ma ochronę stacji w cenie planu, więc dokupienie drugiego produktu jest płaceniem dwa razy za tę samą warstwę. Sprawdzenie zajmuje minutę w panelu administracyjnym Microsoft 365 i robi się je przed rozmową z handlowcem, nie po niej.
Zdanie to ma jednak granicę i handlowcy po obu stronach o niej milczą. Ochrona zawarta w planie obejmuje komputery i telefony użytkowników, którym ten plan przypisano. Serwery nie mają przypisanego użytkownika, więc nie mieszczą się w tej licencji i obejmuje się je osobnym dodatkiem, kupowanym za maszynę. Firma z pięcioma serwerami i planem Business Premium ma zatem opłaconą jedną warstwę i nieopłaconą drugą, mimo że w rozmowie pada jedno słowo „ochrona”.
Pracujemy na Bitdefenderze, Microsoft Defenderze i Sophosie, co widać w naszych usługach z zakresu cyberbezpieczeństwa .
Poniższe błędy widujemy najczęściej i każdy z nich kosztuje więcej niż praca, której wymagało jego uniknięcie.
Błąd | Czym się kończy |
|---|---|
Dwie ochrony zainstalowane naraz | komputer zwalnia, obie ochrony blokują się wzajemnie, użytkownik prosi o wyłączenie jednej i zwykle wyłącza obie |
Blokowanie włączone pierwszego dnia, bez okresu obserwacji | zablokowany system magazynowy i telefon od kierownika zmiany |
Brak wykluczeń dla baz danych i plików wymiany | skanowanie w środku dnia roboczego, obciążony serwer, presja na wyłączenie ochrony |
Jedna polityka dla całej firmy | serwer traktowany jak laptop, skanowanie w godzinach pracy |
Alerty na skrzynkę, której nikt nie czyta | wykrycia sprzed tygodni czekają nieobsłużone |
Brak kontroli pokrycia | nowe komputery bez agenta, a to one obrywają pierwsze |
Tenant konsoli założony na koncie partnera | zmiana dostawcy oznacza odbudowę środowiska od zera |
Jedno konto administratora, bez MFA i bez konta zapasowego | utrata dostępu do konsoli w dniu, w którym jest najbardziej potrzebna |
Ostatni wiersz brzmi jak drobiazg i nim nie jest. Konsola ochrony to miejsce, z którego można odciąć każdą maszynę w firmie, więc jest celem samym w sobie. Uwierzytelnianie wieloskładnikowe na koncie administratora jest tu obowiązkowe, a dlaczego samo hasło już nie wystarcza, opisaliśmy w osobnym wpisie o uwierzytelnianiu wieloskładnikowym .
Warto też pamiętać, że ochrona stacji jest jedną warstwą. Wiadomość z załącznikiem zatrzymuje filtr poczty, ruch do serwera sterującego zatrzymuje firewall , a to, że maszyna przestała się meldować, widać w monitoringu infrastruktury .
Czy Bitdefender ma sens, jeśli mamy Microsoft 365 Business Premium? Zwykle nie. Ten plan zawiera już ochronę stacji roboczych, więc drugi produkt oznacza opłacanie tej samej warstwy dwa razy. Sprawdźcie w panelu Microsoft 365, jaki plan macie przypisany do użytkowników, zanim zaczniecie rozmowę o zakupie. Osobny produkt zaczyna mieć sens, gdy w firmie stoją serwery Linux albo maszyny spoza Microsoft Entra ID.
Czym różni się licencja z EDR od podstawowej? Wersja podstawowa blokuje zagrożenie i zapisuje, że je zablokowała. Wersja z EDR dokłada historię zdarzeń: który proces uruchomił który, skąd przyszedł plik, na jakie maszyny poszło dalej. Ta różnica nie ma znaczenia, dopóki nic się nie stanie, a decyduje o wszystkim w dniu, w którym trzeba ustalić drogę wejścia.
Mogę Ci jakoś pomóc?
Czy Bitdefender zastąpi kopie zapasowe przy ransomware? Nie. Konsola potrafi cofnąć część zmian wprowadzonych przez proces szyfrujący, ale ta funkcja obejmuje to, co zdążyła objąć, i nie jest odtworzeniem środowiska. Kopia zapasowa jest osobną warstwą i pracuje wtedy, gdy wszystkie pozostałe zawiodły. Traktowanie ochrony stacji jako zamiennika backupu kończy się utratą danych.
Czy konsolę da się prowadzić samodzielnie, bez informatyka? Da się ją obsłużyć, trudniej ją prowadzić. Instalacja agenta i podstawowa polityka są w zasięgu osoby technicznie ogarniętej. Problemem jest codzienność: ocena, czy wykrycie jest realne, decyzja o izolacji maszyny i pilnowanie urządzeń, które przestały się meldować. To zajęcie na każdy dzień roboczy, a nie na wdrożenie.
Czy Bitdefender chroni serwery Linux i telefony służbowe? Tak, agent działa na Windows, macOS i popularnych dystrybucjach Linuksa, a telefony obejmuje się osobnym modułem. Serwery dostają własne polityki, bo harmonogram skanowania z komputera biurowego uruchomiony na bazie danych w środku dnia gwarantuje telefon od użytkowników. Zakres wsparcia dla konkretnej dystrybucji sprawdza się w dokumentacji producenta przed zakupem.
Czy konsola może stać u nas, a nie w chmurze producenta? Tak, GravityZone występuje w wariancie chmurowym i jako maszyna wirtualna uruchamiana we własnej infrastrukturze. Wariant lokalny wybiera się wtedy, gdy wymaga tego polityka firmy albo umowa z klientem. Kosztem jest utrzymanie tej maszyny: aktualizacje, kopie zapasowe i dostępność konsoli stają się Waszą odpowiedzialnością.
Czy trzeba odinstalować poprzednią ochronę przed instalacją? Tak i to jest krok, którego nie wolno pominąć. Dwa silniki ochrony na jednym systemie przechwytują te same operacje i wchodzą sobie w drogę, co kończy się spowolnieniem albo blokadą uruchamiania programów. Instalator potrafi usunąć część produktów automatycznie, ale przy starszych wersjach zostają sterowniki wymagające ręcznego sprzątnięcia.
Jeśli konsola ochrony w Waszej firmie już stoi, a nikt do niej nie zagląda, przejmiemy ją i zajmiemy się wykryciami. Zmiana producenta jest przy tym potrzebna rzadziej, niż się wydaje.
Umówcie 30 minut rozmowy o Waszej konsoli i powiedzcie nam trzy rzeczy: ile macie urządzeń, jaki produkt jest zainstalowany i na czyj adres przychodzą alerty. Trzecia odpowiedź mówi zwykle najwięcej.
Pracujemy w całej Polsce, także na miejscu. Firmy z Wielkopolski obsługujemy z biura w Poznaniu i tam też realizujemy usługi lokalnie .
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Ten tekst jest dla osoby, która ma już monitoring i zastanawia się, co z niego pokazać zarządowi. Po przeczytaniu będziecie wiedzieli, ile pozycji zmieścić na takim ekranie, skąd wziąć dane spoza monitoringu, jak udostępnić pulpit na zewnątrz firmy i dlaczego reguły alertów zostawiamy poza Grafaną.
Czytaj artykułCISA wpisała CVE-2026-20349 do katalogu podatności aktywnie wykorzystywanych w atakach. Luka w usłudze SSL VPN urządzeń Cisco ASA i FTD pozwala obcej osobie zrestartować firewall bez logowania, a jedyną ochroną jest poprawka, bo obejście nie istnieje.
Czytaj artykułPodatność CVE-2022-20775 w Cisco SD-WAN producent załatał jeszcze w 2022 roku, a mimo to w lutym 2026 trafiła na listę luk wykorzystywanych w atakach. Tekst wyjaśnia mechanizm, zagrożone wersje i działania wymagane przez CISA.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.