Firewall dla firmy Barlinek

Co dzieje się w piątek po południu, gdy zaszyfrują biuro rachunkowe

Scenariusz jest powtarzalny i nie wymaga niczyjej pomysłowości. W piątek około piętnastej przestaje otwierać się plik. Potem drugi. Po kwadransie okazuje się, że wszystkie dokumenty w folderze mają nową końcówkę, a na pulpicie leży plik tekstowy z instrukcją zapłaty. Serwer, na którym stoi program księgowy, jest w tym samym stanie.

W biurze rachunkowym ta sytuacja różni się od takiej samej awarii w sklepie jedną rzeczą: dane nie należą do Was. Za dwa tygodnie mija termin deklaracji dla kilkudziesięciu firm, a dokumenty źródłowe częściowo istnieją tylko na tym dysku. Rozmowa przestaje dotyczyć kosztu odzyskania danych, a zaczyna dotyczyć odpowiedzialności wobec klientów, którzy o niczym nie wiedzą.

Najczęstsza droga wejścia jest przy tym banalna. Nie jest nią wyrafinowany atak, tylko port pulpitu zdalnego otwarty kiedyś na routerze, żeby właściciel mógł popracować w niedzielę.

Dlaczego mała firma dostaje to samo, co duża

Bo nikt jej nie wybierał. Skanowanie adresów publicznych jest ciągłe, automatyczne i całkowicie obojętne na wielkość celu. Program szukający otwartego portu nie ma jak sprawdzić, ile osób pracuje w środku ani czy firma działa w mieście na czternaście tysięcy mieszkańców.

Przekonanie, że w Barlinku problem wygląda inaczej, ma jedno realne pokrycie i jest ono niekorzystne. Firma z większego miasta ma pod ręką kilka podmiotów, które zajmą się skutkami. Tutaj najbliższe wsparcie techniczne jest w Gorzowie albo w Myśliborzu, więc odzyskiwanie danych zaczyna się od czekania na umówiony termin. Właśnie dlatego opłaca się wydać na zamknięcie drzwi mniej, niż kosztuje ich późniejsze naprawianie.

Co bywa wystawione na świat, choć nikt tego nie planował

Co odpowiada z internetu	Kto o to poprosił	Co dajemy w zamian
Port pulpitu zdalnego do serwera	właściciel, żeby pracować w weekend	tunel z kontem imiennym i drugim składnikiem
Panel programu księgowego	dostawca oprogramowania przy wdrożeniu	dostęp przez bramę, wyłącznie z sieci firmy
Rejestrator kamer z aplikacją producenta	instalator monitoringu	odcięcie od świata, podgląd przez tunel
Dysk sieciowy z dokumentami klientów	ktoś chciał mieć pliki w podróży	udostępnianie z konta w usłudze chmurowej
Drukarka wielofunkcyjna ze skanowaniem do maila	serwis kopiarek przy instalacji	dostęp lokalny, wysyłka przez konto firmowe
Stary port pozostały po testach	wykonawca, który dawno skończył pracę	usunięcie po sprawdzeniu, czy nic z niego nie korzysta

Ostatni wiersz pojawia się w niemal każdej firmie, do której wchodzimy. Reguła założona na czas uruchomienia jakiegoś systemu przeżywa i sam system, i osobę, która o nią prosiła, bo nikt nie ma powodu, żeby ją skasować.

Jak zamykamy wyjście, nie zatrzymując pracy

Regułę wpuszczającą pisze się szybko, bo lista rzeczy, które mają odpowiadać z zewnątrz, jest krótka i dobrze znana. Trudniejsza jest druga strona: co z Waszej sieci wychodzi na świat. Zaostrzenie tego w ciemno zatrzyma bramkę do urzędu skarbowego, aktualizację programu księgowego albo wysyłkę pliku JPK i o poranku będziemy tłumaczyć, dlaczego biuro nie może pracować.

Dlatego kolejność jest odwrotna do intuicyjnej. Najpierw urządzenie zapisuje połączenia, nie blokując niczego. Potem powstaje lista tego, co się łączy, z przypisaniem osoby albo dostawcy, który potrafi wyjaśnić, po co to jest. Potem decyzja przy każdej pozycji: zostawiamy, zawężamy do konkretnego adresu albo odcinamy. Reguła zamykająca resztę wchodzi na końcu, gdy nikt już nie ma pytań.

Co robimy z zapisem zdarzeń

Logi trzymane wyłącznie na samym urządzeniu mają wadę, która ujawnia się dokładnie wtedy, gdy są potrzebne. Po poważnym zdarzeniu brzeg sieci jest pierwszą rzeczą, którą się przestawia, resetuje albo wymienia, a razem z nim znika historia. Dlatego zapis wysyłamy poza urządzenie, na maszynę, do której nie ma dostępu z sieci użytkowników.

W biurze rachunkowym najważniejsze są trzy rodzaje wpisów: kto i kiedy łączył się z zewnątrz, dokąd wychodziły komputery z dokumentami klientów i kto zmieniał reguły. Pierwsze dwa odpowiadają na pytania zadawane po incydencie, trzeci na pytanie zadawane rok później, gdy nikt nie pamięta, skąd wziął się wyjątek na liście.

Czego to urządzenie nie zrobi

Nie zabezpieczy komputera, na którym ktoś otworzy załącznik z fałszywej faktury. Nie zastąpi kopii zapasowych trzymanych poza siedzibą i nie odtworzy dokumentów, jeśli takiej kopii nie ma. Nie podzieli też sieci za Was: reguły mają sens dopiero na segmentach, więc czasem właściwym pierwszym krokiem jest konfiguracja sieci firmowej.

Sam brzeg wymaga potem przeglądu, bo lista wyjątków rośnie sama. Robimy to w ramach administracji siecią. Jeśli za brzeg ma robić router, który już u Was stoi, zajrzyjcie do konfiguracji MikroTik.

Treść sprawdzona i zaktualizowana: 31 lipca 2026