Firewall dla firmy Zielona Góra

Co wychodzi dziś z Waszej hali do internetu

Rozmowa o brzegu sieci zaczyna się zwykle od pytania, kto może wejść do firmy z zewnątrz. To pytanie łatwe, bo odpowiedź brzmi zwykle „nikt” i zwykle jest prawdziwa. Trudniejsze jest drugie: co z Waszej sieci wychodzi na świat.

W zakładzie, w którym pracują maszyny kupowane przez piętnaście lat od różnych dostawców, odpowiedź bywa zaskakująca. Moduł telemetryczny wysyłający dane o cyklach pracy do producenta. Sterownik z wbudowaną aktualizacją pobieraną z serwera w innym kraju. Kamera z aplikacją w chmurze, kupiona przez dział utrzymania ruchu do podglądu linii. Rejestrator czasu pracy z własnym kanałem zdalnego wsparcia.

Żadne z tych połączeń nie jest samo w sobie atakiem. Każde jest jednak otwartą drogą w obie strony, o której nikt w firmie nie podjął świadomej decyzji.

Dlaczego reguła wyjściowa jest trudniejsza od wejściowej

Regułę wejściową pisze się prosto: nie wpuszczamy nikogo poza tym, co jawnie udostępniamy. Regułę wyjściową trzeba napisać po inwentaryzacji, bo jej zaostrzenie bez wiedzy o tym, co się łączy, zatrzyma coś, o czym nikt nie pamiętał.

Kolejność, którą stosujemy, wygląda tak. Najpierw miesiąc obserwacji: firewall zapisuje, kto z hali dokąd wychodzi, bez blokowania. Potem lista połączeń z przypisaniem właściciela, czyli osoby albo dostawcy, który potrafi powiedzieć, do czego to służy. Potem decyzja przy każdej pozycji: zostawiamy, zawężamy do konkretnego adresu, czy odcinamy. Dopiero na końcu reguła odcinająca resztę.

Ten tryb wydłuża wdrożenie o kilka tygodni i jest jedynym, po którym nie ma telefonu z pytaniem, dlaczego zatrzymała się linia.

Co zapisujemy i jak długo to trzymamy

Rodzaj zdarzenia	Po co zapisujemy	Ile trzymamy
Połączenia wychodzące z segmentu produkcji	ustalenie, co maszyny wysyłają na zewnątrz	miesiące
Odrzucone próby wejścia z internetu	rozpoznanie, czy ktoś testuje Wasz brzeg	tygodnie
Sesje dostępu zdalnego pracowników	odpowiedź na pytanie, kto był w systemie	miesiące
Sesje firm serwisowych	rozliczenie zgłoszenia z dostawcą maszyny	miesiące
Zmiany konfiguracji urządzenia	ustalenie, kto i kiedy zmienił regułę	trwale
Wykorzystanie łącza	planowanie zakupu i wykrywanie anomalii	miesiące

Logi trzymane wyłącznie na samym urządzeniu mają jedną wadę, która wychodzi w najgorszym momencie: przy poważnym zdarzeniu to urządzenie jest pierwszą rzeczą, którą się przestawia albo wymienia. Dlatego zapis wysyłamy poza brzeg sieci, na maszynę, do której dostępu nie ma z segmentu produkcyjnego.

Jak wymieniamy brzeg w zakładzie pracującym na zmiany

Nowe urządzenie konfigurujemy i sprawdzamy przed przyjazdem, więc na miejscu zostaje samo przepięcie i test. Okno umawiamy poza godzinami pracy hali, a stary sprzęt zostaje podłączony i gotowy do powrotu do czasu, aż potwierdzimy z listy, że wszystko działa: dostęp do internetu, poczta, systemy w chmurze, tunele pracowników, połączenia serwisowe i publikowane usługi.

Lista kontrolna powstaje wcześniej, razem z Wami, i to ona jest najważniejszym dokumentem tej wizyty. Bez niej sprawdzanie kończy się na tym, że internet działa, a brakujące połączenie ujawnia się w poniedziałek rano, gdy nikogo z nas nie ma w mieście.

Czego firewall nie zrobi

Nie zabezpieczy stacji roboczych, na których ktoś otworzy załącznik. Nie zastąpi kopii zapasowych ani podziału sieci na segmenty, który jest warunkiem wcześniejszym, a nie skutkiem wdrożenia. Nie odetnie zagrożenia przyniesionego na nośniku wprost do maszyny w hali. Nie sprawi też, że urządzenie bez wsparcia producenta przestanie być ryzykiem.

Jeśli sieć jest jeszcze płaska, sensowniejszym pierwszym krokiem jest konfiguracja sieci firmowej, bo reguły na brzegu mają sens dopiero przy istniejących segmentach. Nadzór nad regułami i dostępami po wdrożeniu opisuje administracja siecią, a przy sprzęcie brzegowym objętym wymaganiami odbiorcy warto zajrzeć do wdrożenia sieci Cisco.

Treść sprawdzona i zaktualizowana: 31 lipca 2026