Ochrona przed ransomware Białystok

Co się dzieje w pierwszej godzinie, gdy w firmie nie ma informatyka?

Zwykle to samo. Ktoś zauważa, że pliki mają dziwne nazwy albo że program handlowy nie łączy się z bazą. Dzwoni do współpracownika, potem do księgowości, w końcu do nas. Między pierwszym objawem a telefonem mija zwykle kilkanaście minut, czasem godzina, a szyfrowanie w tym czasie idzie dalej.

Firma z własnym działem IT ma w tym miejscu przewagę jednego ruchu: ktoś wstaje i odłącza serwer od sieci. W podlaskim zakładzie obsługiwanym z odległości takiego kogoś nie ma, więc to my musimy móc wykonać ten ruch z konsoli. Dlatego w tej usłudze tyle uwagi poświęcamy izolacji zdalnej i drugiej drodze wejścia. Bez nich pierwsza godzina, ta najważniejsza, byłaby stracona.

Drugi wniosek jest mniej oczywisty. Skoro reakcja opiera się na naszym dostępie, to nasz dostęp staje się celem. Napastnik, który wchodzi do firmy obsługiwanej zewnętrznie, szuka najpierw konta administracyjnego wykonawcy, bo ono otwiera wszystko i nikogo nie dziwi w rejestrach.

Skąd wrócicie, jeśli nikt nie stanie przy serwerze?

Co wraca	Skąd startuje	Czy wymaga obecności	Kiedy
Baza programu handlowego	środowisko zapasowe w centrum danych	nie	jako pierwsza
Poczta i pliki bieżące	usługa chmurowa i kopia poza firmą	nie	w pierwszych godzinach
Serwer plików	kopia w centrum danych, potem synchronizacja lokalna	nie	tego samego dnia
Stacje robocze	ponowna instalacja z obrazu, zdalnie	tylko przy uszkodzonym sprzęcie	równolegle
Urządzenie brzegowe	kopia konfiguracji wgrana przez drugą drogę	przy wymianie sprzętu	przed powrotem sieci
Dane archiwalne	kopia długoterminowa	nie	na końcu, po wznowieniu pracy

Kolumna trzecia jest tu całą treścią usługi. W dobrze przygotowanym środowisku tylko jedna pozycja wymaga rąk i dotyczy sytuacji, w której sprzęt fizycznie przestał działać. Na taki przypadek stoi u Was zapas, a wymiana idzie w umówionym terminie, nie w panice pierwszego dnia.

Dlaczego kopia w centrum danych zmienia rachunek czasu?

Bo przenosi punkt startu poza budynek, którego dotyczy zdarzenie. Kopia leżąca na dysku w Waszej serwerowni wymaga sprawnego serwera, sprawnej sieci i osoby, która to obsłuży. Kopia w centrum danych wymaga tylko naszego dostępu do konsoli, a ten mamy niezależnie od tego, co dzieje się w firmie.

Praktycznie wygląda to tak, że w chwili decyzji uruchamiamy maszyny wirtualne prosto z repozytorium, w środowisku odseparowanym od Waszej sieci. Ludzie łączą się z nimi przez tunel i pracują, podczas gdy równolegle odbudowujemy infrastrukturę na miejscu. Tej możliwości nie da się dokupić w trakcie zdarzenia, ona albo była przygotowana wcześniej, albo jej nie ma.

Kopia lokalna zostaje, bo do przywrócenia jednego katalogu jest po prostu szybsza. Układ jest więc podwójny: lokalnie na co dzień, poza firmą na wypadek dnia, w którym nie ma do czego wracać. Szerzej opisuje ten model backup i disaster recovery.

Jak chronimy dostęp, którym sami wchodzimy do Waszej firmy?

To pytanie zadajemy sobie pierwsi, bo przy obsłudze zdalnej nasze konta są najkrótszą drogą do wszystkiego, co macie. Zasady są cztery i stosujemy je u każdego klienta z Podlasia.

Konta administracyjne są imienne i chronione kluczem sprzętowym, bez wyjątków dla nikogo, także dla osób prowadzących firmę. Uprawnienia podnosimy na czas zadania, a nie trzymamy włączonych na stałe. Poświadczenia do systemu kopii są zupełnie osobne od kont domenowych i nie logują się nimi ani ludzie, ani usługi. Każda sesja administracyjna zostawia zapis, do którego macie wgląd.

Ostatnia zasada bywa niewygodna dla nas, i to jest jej zaletą. Jeżeli po incydencie okaże się, że wejście nastąpiło naszym kontem, będzie to widoczne w raporcie, którego nie kontrolujemy sami. Szczegóły tej warstwy opisuje logowanie wieloskładnikowe.

Jak wygląda ćwiczenie powrotu prowadzone przez sieć?

Zaczynamy od wskazania celu, na przykład bazy programu handlowego. Uruchamiamy ją w osobnym środowisku, odciętym od Waszej sieci, i mierzymy czas od decyzji do momentu, w którym można się do niej zalogować. Potem prosimy kogoś z Waszej strony o sprawdzenie danych, bo tylko osoba pracująca w tym programie pozna, czy wróciło wszystko.

Wynik zapisujemy w protokole razem z rzeczami, które trzeba poprawić. Za pierwszym razem lista jest zawsze długa i to jest normalne: brakująca licencja, hasło do bazy zapisane tylko na kartce, nieuwzględniony katalog z szablonami dokumentów, drukarka etykiet skonfigurowana ręcznie lata temu. Każda z tych drobnych rzeczy w prawdziwym zdarzeniu kosztowałaby godziny.

Po dwóch, trzech ćwiczeniach czas powrotu przestaje się zmieniać i wtedy staje się liczbą, którą można wpisać do planu ciągłości działania oraz podać kontrahentowi pytającemu o odporność. Ta sama liczba jest potrzebna przy NIS 2.

Na co ta warstwa nie ma wpływu?

Nie ma wpływu na to, czy ktoś kliknie w załącznik, bo od tego są szkolenia i testy phishingowe. Nie zastępuje ochrony urządzeń końcowych, która wykrywa i zatrzymuje szyfrowanie w chwili startu. Nie chroni przed ujawnieniem danych, bo kopia przywraca pliki, ale nie cofa ich skopiowania przez napastnika.

Nie obiecujemy też zerowej straty. Między ostatnią kopią a zdarzeniem zawsze jest jakiś odstęp i to jest wielkość, którą się wybiera i za którą się płaci. Ustalamy ją z Wami na starcie, zamiast zostawiać ją domyślnym ustawieniom. Warunki i zakres omawiamy przez kontakt.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026