Odbiorca przysłał ankietę bezpieczeństwa, w której pada nazwa Palo Alto Networks, i ktoś w firmie zaczyna szukać wykonawcy. Opisujemy, co daje Palo Alto ponad zwykły firewall, co psuje się przy złej konfiguracji i na czym stoi rachunek za drugi rok.
Palo Alto Networks to zapora dla firmy, która ma wymóg, a nie ochotę: zapis w umowie z odbiorcą, politykę grupy kapitałowej albo ruch między oddziałami, który ktoś musi widzieć i udowodnić. Bez takiego wymogu odradzamy ten sprzęt przy pięćdziesięciu stanowiskach i proponujemy FortiGate. Urządzenie płacicie raz, subskrypcje co roku.
Odbiorca przysłał ankietę bezpieczeństwa, w której pada nazwa tego producenta, i ktoś w firmie zaczyna szukać wykonawcy. Prowadzimy taką platformę od rozpoznania do przekazania, więc opisujemy, co się w niej psuje przy złej konfiguracji i na czym stoi rachunek za drugi rok.
Rozmowa o tym sprzęcie zaczyna się zwykle od zdania, które klient usłyszał od kogoś innego: „potrzebujecie pełnej widoczności ruchu”. Warto wiedzieć, co się za tym kryje, zanim podpiszecie zamówienie.
Starszy firewall prowadzi rejestr podobny do dawnego rachunku telefonicznego: data, godzina, wybrany numer, czas trwania. Dopóki każda firma i każda usługa miały własny numer, taki rachunek coś mówił. Dziś w internecie prawie wszystko dzwoni pod jeden numer, czyli port 443, bo tamtędy idzie ruch szyfrowany. Poczta, system księgowy, dysk prywatny pracownika, komunikator i narzędzie atakującego są na tym rachunku nierozróżnialne. Zapis „połączenie na 443, 14 minut” nie jest już informacją.
źródło: magnific.comTen sprzęt sprzedaje rejestr innego rodzaju: nie numer, tylko rozmówcę i temat. Reguła nie mówi „port 443 otwarty”, tylko nazywa aplikację, użytkownika i urządzenie po imieniu. Zamiast zapisu, że ktoś z księgowości korzysta z szyfrowanej strony, dostajecie zapis, że Anna z księgowości wysłała plik do dysku prywatnego o 16:40.
Różnica robi się kosztowna dopiero w dniu incydentu.
Firma bez takiej ewidencji odpowiada na pytania odbiorcy albo ubezpieczyciela zdaniami w trybie przypuszczającym. Nie wie, którym kanałem dane wyszły, nie umie pokazać, kto miał do nich dostęp, i nie potrafi wskazać godziny. Przy zgłoszeniu naruszenia z RODO to jest różnica między raportem a oświadczeniem, że raportu nie ma. Przy audycie odbiorcy z motoryzacji albo z farmacji bywa różnicą między utrzymaniem kontraktu a jego utratą.
Drugą pozycją rachunku jest czas naszej pracy po incydencie. Odtworzenie przebiegu zdarzenia z urządzenia, które zapisało same adresy i porty, to kilkanaście godzin zgadywania. Z urządzenia, które zapisało aplikację i użytkownika, to jedno zapytanie w logu.
Podstawy samego mechanizmu opisaliśmy osobno, przy okazji tekstu o tym, co robi zapora na styku firmy z internetem . Tutaj mówimy wyłącznie o klasie sprzętu, która tę widoczność sprzedaje jako swój główny towar, i o tym, ile ona realnie kosztuje.
Zacznijmy od zdania, które kosztuje nas czasem zlecenie: w typowej firmie na 5 do 50 stanowisk Palo Alto Networks nie jest właściwym wyborem. Nie dlatego, że to słaby sprzęt, bo jest odwrotnie. Dlatego, że jego przewaga zaczyna się tam, gdzie ktoś codziennie czyta logi, akceptuje zmiany reguł i odpowiada za zgodność przed kimś z zewnątrz. Firma, w której nie ma takiej osoby ani takiej umowy, kupuje możliwości, których nikt nie włączy, i płaci za nie co roku.
Są trzy układy, w których zmieniamy zdanie i sami ten sprzęt proponujemy.
Mogę Ci jakoś pomóc?
Poza tymi trzema sytuacjami odradzamy, i mówimy to na pierwszym spotkaniu, a nie po podpisaniu umowy.
Warto rozbroić jedno nieporozumienie, bo wraca w co drugiej rozmowie. NIS 2 nie wskazuje producenta i nie ma w niej listy dopuszczonych firewalli. Dyrektywa mówi o zarządzaniu ryzykiem, o obsłudze incydentów i o odpowiedzialności kierownictwa, a nie o marce urządzenia w szafie.
Handlowiec, który sprzedaje Palo Alto jako „zgodność z NIS 2 w pudełku”, sprzedaje Wam coś, czego w tym pudełku nie ma.
Zgodność powstaje z procedur, ewidencji i przećwiczonej reakcji, a sprzęt jest jednym z narzędzi.
Drugi próg jest budżetowy i mniej oczywisty, bo nie chodzi o samo urządzenie. Chodzi o to, czy w Waszym budżecie na trzy lata mieszczą się subskrypcje, wsparcie producenta i godziny kogoś, kto będzie to prowadził. Firma, która kupuje urządzenie z inwestycji, a utrzymanie zostawia „na później”, po roku ma najdroższy router w mieście z wygasłymi subskrypcjami.
Wdrożenie prowadzimy w ośmiu krokach i żaden z nich nie zaczyna się od wyjmowania urządzenia z pudełka. Kolejność nie jest naszym wymysłem, tylko wnioskiem z tego, co się psuje, gdy ktoś ją skróci. Skracają ją prawie wszyscy.
źródło: magnific.comDwie rzeczy w tej kolejności są nienegocjowalne. Rozpoznanie idzie przed zamówieniem sprzętu, bo model dobiera się do ruchu, a nie do budżetu z zeszłego roku. Przełączenie idzie z planem powrotu, bo firewall to jedyne urządzenie, którego nieudana zmiana odcina całą firmę od świata i od nas.
Sieć wokół tego urządzenia zwykle też wymaga pracy, a podział na segmenty opisaliśmy przy okazji tekstu o dzieleniu małej sieci na strefy . Firewall bez segmentacji widzi ruch do internetu i nie widzi tego, co dzieje się między komputerami w biurze, więc połowa jego możliwości zostaje w kartonie.
Wdrożenie jest jednorazowe, a firewall wymaga uwagi co miesiąc przez cały czas swojego życia. To jest część, o której oferty milczą najczęściej, bo trudniej ją policzyć niż dzień montażu.
Nasz rytm pracy nad takim urządzeniem wygląda tak:
Mogę Ci jakoś pomóc?
Kiedy | Co robimy | Uwaga |
|---|---|---|
Co miesiąc | stan subskrypcji, wersja systemu, wolne miejsce na logi, sprawdzenie, czy zdarzenia rzeczywiście wychodzą poza urządzenie | przy okazji przeglądamy reguły dodane w ostatnich tygodniach, bo to one najczęściej powstają w pośpiechu |
Co kwartał | przegląd całej polityki: pozycje bez trafień, wyjątki bez właściciela, konta administratorów, dostępy przyznane na czas określony, które ten czas przekroczyły | wynik dostajecie na piśmie, razem z propozycją, co zamknąć |
Raz na kwartał albo częściej | aktualizacja systemu, po sprawdzeniu, co producent poprawił i czy wydanie nie jest świeże na tyle, żeby czekać | krytyczna podatność w urządzeniu brzegowym łamie ten harmonogram i wtedy aktualizacja idzie natychmiast, także wieczorem |
Na bieżąco | zmiany reguł, publikacje nowych usług i dostępy dla nowych pracowników | każda zmiana wchodzi z opisem i właścicielem, każda jest odwracalna, bo kopia konfiguracji powstaje przed nią, a nie po niej |
Raz w roku | rozmowa o sprzęcie: czy model dalej wyrabia, ile zostało do końca wsparcia producenta | sprawdzamy też, czy odnowienie subskrypcji na trzy lata nie wyjdzie taniej niż trzy odnowienia roczne |
Sprzęt i subskrypcje kupujecie na siebie, więc urządzenie i licencje należą do Was, a nie do nas.
Dostęp administracyjny mamy na kontach imiennych, które odbieracie jednym kliknięciem w dniu zakończenia współpracy. Konfiguracja, dokumentacja i kopie są Wasze i przekazujemy je bez dyskusji, także wtedy, gdy odchodzicie do kogoś innego.
Nie prowadzimy tego urządzenia „przy okazji”, w ramach ogólnej opieki nad komputerami, i nie polecamy takiego układu u nikogo. Brzeg sieci albo ma gospodarza z nazwiskiem i zapisanym czasem reakcji, albo nie ma go wcale.
Cztery rzeczy poniżej odpowiadają za większość telefonów, które odbieramy po wdrożeniach prowadzonych przez kogoś innego. Żadna z nich nie jest usterką urządzenia. Wszystkie są konsekwencją tego, jak ten system działa, i wszystkich da się uniknąć decyzją podjętą przed przełączeniem.
1. Zmiana wchodzi dopiero po zatwierdzeniu konfiguracji. System trzyma osobno konfigurację roboczą i tę, na której urządzenie faktycznie pracuje. Działa to jak dokument, który wszyscy redagują w brudnopisie, a do obiegu idzie dopiero wtedy, gdy ktoś naciśnie „wyślij”. Poprawka wpisana w panelu nie robi więc nic, dopóki nie zostanie zatwierdzona.
Pułapka leży w tym, co wtedy wychodzi z brudnopisu. Zatwierdzenie domyślnie obejmuje wszystkie zmiany, do których macie uprawnienia, także te zostawione tam przez kogoś innego trzy tygodnie temu. Producent przewidział na to wyjście: da się zawęzić zatwierdzenie do zmian wskazanych administratorów. Ma to jednak dwa warunki, o których się zapomina. Zatwierdzenie cudzych zmian wymaga konta z odpowiednim uprawnieniem, a zawężenie działa tylko wtedy, gdy każdy pracuje na własnym koncie. W firmie, w której wszyscy logują się jednym wspólnym administratorem, nie ma czego rozdzielać i zatwierdzenie znów jest wszystkim naraz.
Przy rozbudowanej polityce samo zatwierdzenie trwa minuty, więc pomyłka o ósmej rano nie cofa się jednym kliknięciem.
2. Aktualizacja sygnatur potrafi zmienić działanie reguły. Producent dokłada nowe rozpoznania aplikacji, a ruch, który wczoraj wpadał do jednej kategorii, dziś wpada do nowej i przestaje pasować do Waszej reguły. Objaw jest zawsze ten sam: rano nie działa jeden program, reszta działa, a nikt niczego nie zmieniał. Ustawiamy z tego powodu opóźnienie instalacji nowych sygnatur i przeglądamy listę nowych rozpoznań, zanim wejdą na urządzenie.
3. Bez rozszyfrowywania ruchu połowa obietnicy zostaje na papierze. Szyfrowanego połączenia urządzenie nie zajrzy do środka, więc kontrola treści i wykrywanie złośliwych plików działają na tym, co widać z zewnątrz. Włączenie rozszyfrowywania wymaga własnego certyfikatu na wszystkich komputerach, kosztuje wydajność i wymaga wpisania wyjątków dla bankowości oraz spraw pracowniczych. Część aplikacji i tak zerwie połączenie, bo ma wbudowaną listę certyfikatów, którym ufa, więc wyjątki dopisuje się także dla nich.
źródło: magnific.com4. Panel zarządzania wystawiony do internetu. To najkosztowniejszy błąd z całej czwórki, bo znane podatności w urządzeniach brzegowych są wykorzystywane w ciągu dni od publikacji, a nie miesięcy. Dostęp do zarządzania ma iść z sieci wewnętrznej albo tunelem, z ograniczeniem adresów źródłowych, a konta administratorów mają być imienne i chronione drugim składnikiem logowania. Dlaczego samo hasło tu nie wystarcza, pokazaliśmy przy okazji tekstu o drugim składniku logowania .
Czego w tym sprzęcie nie lubimy: rytmu pracy, który narzuca zatwierdzanie konfiguracji. Drobna zmiana, na innych urządzeniach robiona przy telefonie z klientem, tutaj jest operacją planowaną, bo trzeba obejrzeć, co jeszcze leży w brudnopisie, i zdecydować, czy zatwierdzamy to razem. To jest cena za to, że nie da się przypadkiem wpuścić połowy zmiany, i przy dużej polityce ta cena jest uczciwa. Przy jednym biurze i dwunastu regułach bywa po prostu męcząca.
Mogę Ci jakoś pomóc?
Werdykt najpierw, uzasadnienie pod nim.
FortiGate wygrywa w firmie na 5 do 50 stanowisk i nie zmieniamy tego zdania. Za te same pieniądze dostajecie urządzenie, które w tej skali robi wszystko, co taka firma realnie włączy, ma szerszą dostępność w polskich kanałach sprzedaży i szybszą wymianę gwarancyjną. Różnice zaczynają się przy rozpoznawaniu aplikacji i przy raportowaniu, czyli dokładnie tam, gdzie firma bez własnego informatyka i tak nie zagląda. Konfiguracja wchodzi od razu, bez osobnego zatwierdzania, co przy jednym biurze jest zaletą, a nie brakiem dyscypliny.
Rzecz, na którą trzeba uważać, to historia podatności w module dostępu zdalnego tego producenta: aktualizacje na FortiGate wgrywa się natychmiast po wydaniu, bez odkładania na wygodniejszy termin.
Sophos wybieramy tylko wtedy, gdy firma ma już ochronę stacji roboczych tego producenta. Wtedy jedna konsola nad brzegiem sieci i nad komputerami realnie skraca czas reakcji, bo urządzenie i komputer wymieniają się informacją o zainfekowanej stacji. Sam firewall Sophos nie jest natomiast powodem, żeby zmieniać producenta ochrony stacji, i nie jest powodem, żeby wybrać go zamiast FortiGate. Widoczność ruchu ma słabszą niż Palo Alto Networks, a przy skomplikowanej polityce szybciej robi się w nim bałagan.
MikroTik jest dobrym wyborem tam, gdzie jest kto go utrzyma. Daje najwięcej elastyczności za najmniejsze pieniądze i jest w Polsce świetnie dostępny. Nie jest jednak urządzeniem tej klasy: rozpoznawania aplikacji i kontroli treści na poziomie Palo Alto tam po prostu nie ma. Firmie bez własnego informatyka odradzamy go jako jedyne zabezpieczenie brzegu, chyba że opiekę nad nim bierze ktoś z zewnątrz na stałe.
Cisco Meraki bierzemy pod uwagę przy kilkunastu małych lokalizacjach. Zarządzanie z chmury oszczędza dojazdy i daje jeden widok na wszystkie oddziały. Pułapka jest w licencji: to nie jest urządzenie, które po wygaśnięciu pracuje dalej w ograniczonym zakresie, więc dzień przerwy w opłacie jest dniem przerwy w pracy oddziału. Przy jednej lokalizacji ten model nie ma sensu.
Piątą opcją jest nie kupować niczego i uporządkować to, co stoi. Zaskakująco często najlepszym ruchem jest przegląd reguł na obecnym urządzeniu, zamknięcie wystawionych usług, włączenie logowania i podział sieci na segmenty. Kosztuje ułamek wymiany sprzętu i usuwa realne ryzyko, a nie ryzyko z prezentacji handlowej. Jeśli po takim przeglądzie okaże się, że urządzenie nie wyrabia albo nie dostaje już poprawek, rozmowa o zakupie zaczyna się od twardych danych.
Kryteria wyboru, których używamy, są cztery:
Marka jest ostatnią odpowiedzią, nie pierwszą. Sprzęt, który obsługujemy na co dzień, i zakres tej obsługi opisuje strona administracji siecią firmową .
Rachunek składa się z sześciu pozycji i tylko pierwsza jest jednorazowa.
Pozycja | Co obejmuje |
|---|---|
Urządzenie | kupujecie je na siebie, u dystrybutora albo przez nas, po cenie dostawcy, a model wybiera się do ruchu z włączoną kontrolą |
Subskrypcje ochronne | ochrona przed zagrożeniami, filtrowanie stron, analiza plików w chmurze producenta i ochrona zapytań o nazwy domen, sprzedawane osobno albo w pakiecie |
Wsparcie producenta | osobna pozycja od subskrypcji, decyduje o wymianie uszkodzonego urządzenia oraz o dostępie do nowych wydań systemu |
Dostęp zdalny | część funkcji dla pracowników mobilnych jest licencjonowana osobno, więc firma, która kupiła sam firewall, odkrywa brak dopiero przy uruchamianiu pracy z domu |
Zarządzanie wieloma urządzeniami | wspólna konsola nad kilkoma firewallami jest osobnym produktem, z licencją liczoną od liczby zarządzanych urządzeń, a przy jednej lokalizacji nie jest potrzebna |
Nasza praca | wdrożenie, a potem bieżąca opieka, przeglądy reguł i aktualizacje |
Bez subskrypcji ochronnych urządzenie dalej filtruje ruch, ale przestaje rozpoznawać nowe zagrożenia, czyli robi to, co tańszy sprzęt.
Pięć pułapek, które kosztowały naszych klientów pieniądze albo nerwy, i żadna z nich nie jest zapisana wytłuszczoną czcionką w ofercie.
Pierwsza to para urządzeń pracująca w układzie zapasowym, w którym drugie przejmuje ruch, gdy pierwsze padnie. Kupując je, kupujecie nie zapasowe koło, tylko drugi samochód: to urządzenie potrzebuje własnych subskrypcji, a nie połowy licencji pierwszego. Rachunek za ciągłość jest więc bliżej podwojenia niż dopłaty i tak trzeba go wpisać do budżetu.
Druga to daty. Subskrypcje kupione przy różnych okazjach kończą się w różnych miesiącach i po trzech latach macie cztery odnowienia rocznie zamiast jednego. Prosimy dystrybutora o wyrównanie terminów przy pierwszym zakupie, bo później kosztuje to dopłatę za przedłużenie krótszej pozycji.
Trzecia to wygaśnięcie. Urządzenie po wygaśnięciu subskrypcji nie gaśnie i właśnie to jest niebezpieczne: pracuje dalej, przepuszcza ruch, wygląda normalnie w panelu, a przestaje dostawać sygnatury nowych zagrożeń. Firma dowiaduje się o tym przy audycie albo przy incydencie.
Czwarta to koniec wsparcia dla modelu. Producent publikuje daty zakończenia sprzedaży i zakończenia wsparcia dla każdej serii, a urządzenie kupione tanio z końcówki magazynu potrafi mieć te daty bliżej, niż wynika z ceny. Pytamy o nie przed zamówieniem i wpisujemy je do dokumentacji.
Piąta to rozszyfrowywanie ruchu liczone w wydajności. Włączenie kontroli treści i rozszyfrowywania obniża przepustowość wobec liczby z karty katalogowej. Model dobrany "na styk" zaczyna więc być wąskim gardłem dokładnie wtedy, gdy włączycie to, po co go kupiliście.
Kwot producenta nie przepisujemy do tego tekstu i nie zamierzamy tego zmieniać: cennik zmienia się szybciej niż wpis, a nieaktualna liczba jest gorsza od jej braku. Podajemy natomiast własne widełki. Wdrożenie firewalla w jednej lokalizacji zaczyna się u nas od 2 900 zł netto jednorazowo, a bieżąca opieka nad siecią od 2 000 zł netto miesięcznie za lokalizację. Obie kwoty pochodzą ze strony usługi firewall dla firmy, stan na 30 lipca 2026. To jest kotwica dla typowego brzegu sieci, nie dla Palo Alto Networks: przy tym sprzęcie dochodzi projekt stref, przepisanie reguł i rozszyfrowywanie ruchu, więc rachunek za naszą pracę jest wyższy.
Wszystkie pięć znaleźliśmy na urządzeniach kupionych i skonfigurowanych przez kogoś innego, w firmach, które były przekonane, że mają najlepszy firewall na rynku. Miały. Tyle że ustawiony tak, że równie dobrze mógł być czymkolwiek innym.
Reguły przepisane portami zamiast aplikacjami. Konfigurator przeniósł politykę ze starego urządzenia jeden do jednego, więc polityka dalej mówi o portach. Konsekwencja: płacicie co roku za rozpoznawanie aplikacji, którego nie używacie, a w logu widzicie ruch na porcie 443 zamiast nazwy programu. Efekt jest taki, jakby kupić samochód dostawczy i wozić nim jedną paczkę.
Reguła domyślna bez logowania. Ruch, który nie pasuje do żadnej reguły, jest odrzucany i domyślnie nie zostawia po sobie wpisu. Konsekwencja: po incydencie nie da się pokazać, co pukało do drzwi i skąd, a to jest pierwsze pytanie, które zadaje każdy, kto ten incydent bada. Włączenie zapisu dla reguł domyślnych to jedno ustawienie i pierwsza rzecz, którą sprawdzamy przy przejmowaniu cudzego wdrożenia.
Logi zostawione na urządzeniu. Firewall trzyma zdarzenia we własnej pamięci przez ograniczony czas, a jego pojemność jest wielokrotnie mniejsza od tego, czego wymaga poważna analiza. Konsekwencja: zdarzenie sprzed sześciu tygodni zwyczajnie nie istnieje, a przy naruszeniu danych osobowych wykrytym po fakcie zostaje Wam oświadczenie zamiast dowodu.
Jedno konto administratora dla wszystkich. Hasło zna dwóch pracowników, poprzedni informatyk i firma, która to wdrażała. Konsekwencje są trzy: nie wiadomo, kto wprowadził zmianę, nie da się odebrać dostępu jednej osobie, a zatwierdzenie konfiguracji wypycha na urządzenie także cudze poprawki zostawione w wersji roboczej.
Ta trzecia jest tu najciekawsza, bo urządzenie umie ją rozwiązać, tylko nie ma czym. Zawężenie zatwierdzenia do zmian jednej osoby wymaga tego, żeby zmiany dało się przypisać do osoby, a przy wspólnym koncie wszystkie są tej samej. Konta imienne kosztują dziesięć minut pracy i dopiero one odblokowują mechanizm, za który już zapłaciliście.
Subskrypcja kupiona, funkcja nigdy nie włączona. Najczęściej dotyczy rozszyfrowywania ruchu i analizy plików, bo obie wymagają decyzji i rozmowy z pracownikami, a nie samego kliknięcia. Konsekwencja: firma płaci co roku za możliwości, które istnieją wyłącznie na fakturze, i jest przekonana, że jest chroniona lepiej, niż jest naprawdę.
Szósty błąd nie dotyczy urządzenia, tylko tego, co je otacza. Firewall wysyła zdarzenia i alarmy, ale ktoś musi je czytać, a alarm bez odbiorcy nie jest alarmem. Jak to układamy, opisaliśmy przy okazji tekstu o nadzorze nad infrastrukturą .
To, co dostajecie od nas przy wdrożeniu, pokazuje wprost, co daje Palo Alto Networks ponad samo pudełko z logo producenta. Lista jest stała i wpisujemy ją do umowy, żeby odbiór nie był rozmową o tym, co komu się wydawało.
Ostatni punkt jest tym, który najczęściej wypada z ofert konkurencji, a to właśnie on decyduje o tym, jak urządzenie wygląda po dwóch latach.
Przede wszystkim widoczność: reguła nazywa aplikację i użytkownika, a nie tylko port, więc log pokazuje, że Anna z księgowości wysłała plik na dysk prywatny, a nie że „ktoś” otworzył połączenie na 443. Do tego dochodzi polityka budowana wokół tożsamości i aplikacji, a nie adresu, oraz analiza plików w chmurze producenta. Część tego efektu da się osiągnąć na tańszym sprzęcie, ale tu to jest główna funkcja, nie dodatek.
Bez zewnętrznego wymogu nie opłaca się i mówimy to wprost. Przy dwudziestu osobach w jednym biurze FortiGate zrobi to samo taniej, a różnicę w cenie lepiej wydać na kopie zapasowe i na porządek w regułach. Sytuacja zmienia się, gdy odbiorca wpisał wymóg do umowy albo gdy macie kilka lokalizacji ze stałym ruchem między nimi.
Największa różnica jest w rytmie zmian: tutaj poprawka wchodzi dopiero po zatwierdzeniu konfiguracji, które domyślnie obejmuje też zmiany zostawione przez innych, a przy rozbudowanej polityce trwa minuty. To chroni przed wpuszczeniem połowy zmiany i utrudnia szybkie poprawki. Zawężenie zatwierdzenia do jednej osoby jest możliwe, pod warunkiem że każdy pracuje na własnym koncie. Druga różnica to opis ruchu aplikacjami zamiast portami, który daje lepsze logi, o ile ktoś przepisze reguły, zamiast je skopiować.
Nie. Dyrektywa mówi o zarządzaniu ryzykiem, zgłaszaniu incydentów i odpowiedzialności kierownictwa, a nie o marce urządzenia w szafie. Sprzęt pomaga spełnić część wymagań, bo daje ewidencję zdarzeń i kontrolę dostępu, ale sam z siebie zgodności nie tworzy. Firma bez procedur i bez przećwiczonej reakcji na incydent nie będzie zgodna nawet na najdroższym urządzeniu.
Urządzenie nie przestanie działać i to jest właśnie ryzyko: ruch idzie dalej, panel wygląda normalnie, a sygnatury nowych zagrożeń przestają przychodzić. Po kilku miesiącach macie firewall, który rozpoznaje wyłącznie to, co było znane w dniu wygaśnięcia. Daty odnowień pilnujemy w dokumentacji i uprzedzamy z wyprzedzeniem, bo zamówienie u dystrybutora też potrzebuje czasu.
Nie, o ile przełączenie ma okno i plan powrotu. Robimy je poza godzinami pracy, ze starym urządzeniem wpiętym i gotowym do przywrócenia, więc najgorszy scenariusz oznacza powrót do stanu sprzed przełączenia, a nie postój firmy. Pierwszy dzień po przełączeniu spędzamy na czytaniu logów, bo wtedy wychodzą programy, o których nikt nam nie powiedział.
Wymianę realizuje producent w ramach wsparcia i to jest powód, dla którego wsparcie kupuje się razem z urządzeniem, a nie „przy okazji odnowienia”. Konfigurację przywracamy z kopii trzymanej poza urządzeniem, więc nowy sprzęt wraca do pracy z tą samą polityką. Firma, która ma parę urządzeń, przechodzi na drugie bez czekania na przesyłkę.
Jest dopuszczalne, ale nie jest darmowe prawnie: wymaga podstawy, informacji dla pracowników i wpisania wyjątków dla ruchu, którego pracodawcy oglądać nie wolno, czyli bankowości i spraw zdrowotnych. Zakres kontroli opisuje się w regulaminie korzystania z narzędzi firmowych, a nie ustala po cichu na urządzeniu. Konfigurujemy to w tej kolejności: najpierw decyzja i informacja, potem włączenie.
Zaczynamy od przeglądu brzegu sieci, który macie dziś, i to jest jedyna rzecz, o którą prosimy na starcie. Nie wymaga wymiany niczego ani decyzji o zakupie.
Dostajecie z niego dokument na kilka stron. Znajdziecie w nim listę reguł otwierających ruch, z zaznaczeniem tych bez żadnych trafień, oraz listę usług widocznych z internetu. Dokument zawiera też ocenę, czy obecne urządzenie wyrabia i jak długo będzie dostawać poprawki, i kończy się rekomendacją z ceną. W rekomendacji stoi wprost, czy naszym zdaniem potrzebujecie Palo Alto, czy wystarczy FortiGate, czy w ogóle nie trzeba nic kupować.
Pracujemy z biura w Gorzowie Wielkopolskim i dojeżdżamy do klientów w regionie, a zdalnie obsługujemy całą Polskę. Zakres obsługi na miejscu opisuje strona usług IT w Gorzowie Wielkopolskim . Przegląd umawiacie przez formularz kontaktowy albo telefonicznie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Ten wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Czytaj artykułTekst odpowiada na trzy pytania. Dlaczego funkcja pomyślana jako niegroźny podgląd ustawień pozwalała uruchomić dowolne polecenie na serwerze. Dlaczego wystarczał do tego klucz najniżej postawionego użytkownika, a nie konto administratora.
Czytaj artykułCISA wpisała lukę CVE-2026-34910 w systemie UniFi OS firmy Ubiquiti do katalogu podatności wykorzystywanych w atakach. Tekst wyjaśnia, co ten wpis oznacza, jak dyrektywa BOD 26-04 ustawia priorytety łatania i jakie cztery działania podjąć w firmie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.