Ochrona stacji roboczych i serwerów

Co się dzieje z alertem o drugiej w nocy

W większości firm, do których wchodzimy, konsola ochrony istnieje i działa poprawnie. Wysyła też powiadomienia, zwykle na skrzynkę osoby, która odeszła dwa lata temu, albo na adres ogólny, gdzie giną między fakturami. Wykrycie sprzed trzech tygodni czeka nieobsłużone, bo nikt nie wiedział, że ma z nim coś zrobić.

To jest realna różnica między licencją a ochroną. Licencja kosztuje kilkanaście złotych od stanowiska i można ją kupić w pięć minut. Reakcja na to, co licencja wykryje, wymaga kogoś, kto zna środowisko, potrafi odróżnić fałszywe trafienie od prawdziwego i ma prawo odciąć maszynę od sieci bez pytania o zgodę na zebraniu zarządu.

Kto właściwie ogląda te wykrycia

Kto	Co widzi	Czym się to kończy
Nikt	wszystko czeka w konsoli	wykrycia sprzed miesięcy, zero reakcji
Pracownik biura	powiadomienie na skrzynce	zamyka okno, żeby nie przeszkadzało
Informatyk na etacie	konsolę, gdy ma czas	reaguje na krytyczne, reszta czeka
My w godzinach pracy	każdy alert w dniu roboczym	ocena i decyzja tego samego dnia
My na dyżurze całodobowym	alert w nocy i w weekend	izolacja maszyny natychmiast

Wybór wiersza z tej tabeli to decyzja biznesowa, nie techniczna. Firma, która produkuje na jedną zmianę, nie potrzebuje dyżuru w nocy. Firma, w której magazyn pracuje w soboty, potrzebuje, bo szyfrowanie uruchamiane jest zwykle wtedy, gdy nikogo nie ma przy komputerach.

Jak wygląda wdrożenie na piętnastu stacjach

Zaczynamy od inwentaryzacji, bo lista sprzętu z księgowości prawie nigdy nie zgadza się z tym, co faktycznie loguje się do sieci. Potem instalujemy agenta, zdalnie i bez chodzenia po biurkach, i sprawdzamy, czy wszędzie się uruchomił. Kolejny krok to polityki: inne dla serwera plików, inne dla stacji w księgowości, inne dla laptopa, który regularnie pracuje poza siecią firmy.

Pierwszy tydzień pracujemy w trybie obserwacji, żeby zebrać fałszywe trafienia z Waszych własnych aplikacji, zwłaszcza z systemów magazynowych i księgowych, które lubią robić rzeczy wyglądające podejrzanie. Po tym tygodniu włączamy blokowanie i dokładamy reguły ograniczania powierzchni ataku. Całość zajmuje zwykle dwa do trzech dni pracy rozłożone na dwa tygodnie kalendarzowe.

Co widać w raporcie miesięcznym

Raport ma cztery części i mieści się na dwóch stronach. Pierwsza to wykrycia: co, gdzie, kiedy, jak obsłużone. Druga to stan pokrycia: ile urządzeń ma agenta, ile ma go wyłączonego, ile nie meldowało się dłużej niż tydzień. Trzecia to aktualizacje systemów i aplikacji, bo nieaktualna przeglądarka jest częstszym punktem wejścia niż brak ochrony. Czwarta to rekomendacje na kolejny miesiąc, maksymalnie trzy, uszeregowane według ryzyka.

Raport pisze człowiek, nie generator. Eksport z konsoli mówi, że zablokowano czterdzieści siedem zdarzeń, i nie mówi nic o tym, czy któreś z nich powinno Was niepokoić.

Jak liczyć koszt tej ochrony

Firmy porównują zwykle cenę licencji, bo tylko ona jest widoczna w cenniku producenta. Rachunek wygląda inaczej, gdy doliczyć do niej pracę, której licencja wymaga, żeby cokolwiek znaczyła.

Pozycja	Kto ponosi	Co się dzieje przy pominięciu
Licencja producenta	zawsze firma	brak ochrony na części urządzeń
Wdrożenie polityk	jednorazowo	ustawienia domyślne, hałas i fałszywe trafienia
Codzienna obsługa wykryć	co miesiąc	alert leży, dopóki nie stanie się incydentem
Utrzymanie pokrycia	co miesiąc	nowe komputery bez agenta, stare bez aktualizacji
Reakcja poza godzinami	opcjonalnie	weekend przewagi po stronie atakującego

Trzy środkowe wiersze to praca, którą można wykonać samemu, zlecić nam albo pominąć. Pominięcie jest wyborem najczęstszym i najdroższym, bo jego koszt pojawia się jednorazowo, w postaci przestoju, zamiast rozkładać się na miesiące.

Czego ta usługa nie obejmuje

Nie zastępuje kopii zapasowych ani brzegu sieci. Ochrona urządzenia końcowego jest jedną warstwą i pracuje najlepiej, gdy pozostałe też istnieją: filtrowanie poczty odcina wiadomość zanim dotrze, kopie ratują, gdy wszystko inne zawiedzie. Nie prowadzimy też analizy śledczej po włamaniu na potrzeby postępowania sądowego, bo to osobna specjalność z własnymi wymaganiami dowodowymi.

Warstwę odtworzenia opisuje ochrona przed ransomware, drogę wejścia przez skrzynkę zamyka ochrona poczty, a całość zabezpieczeń w jednym pakiecie to bezpieczeństwo IT dla firm.

Treść sprawdzona i zaktualizowana: 30 lipca 2026