Ochrona stacji roboczych i serwerów Poznań

Kto był zalogowany, gdy to się stało

Pierwsze pytanie po wykryciu brzmi zawsze tak samo: co ta osoba robiła. W biurze odpowiedź zajmuje minutę, bo konto jest imienne, a historia zdarzeń pokazuje sesję. W magazynie odpowiedzi nie ma, bo przy stanowisku pakowania pracują w ciągu doby trzy osoby na jednym koncie zmiany.

Skutek jest praktyczny, nie formalny. Bez wskazania osoby nie da się ustalić, czy plik przyszedł ze skanera dokumentów, z pendrive’a przywiezionego przez kierowcę, czy z załącznika otwartego na prywatnej skrzynce. A bez tego nie da się zamknąć drogi wejścia, więc to samo zdarzy się za trzy tygodnie.

Dlatego rozdzielenie kont zbiorowych jest u nas częścią wdrożenia ochrony, a nie osobnym projektem na później.

Trzy profile stanowisk i trzy różne polityki

Stanowisko	Kto na nim pracuje	Co ustawiamy
Komputer w biurze	jedna osoba, konto imienne	pełne blokowanie, reguły ograniczania ataku, kontrola nośników
Stanowisko przy pakowaniu	zmiana, kilka osób	wykluczenia dla systemu magazynowego, blokada instalacji
Terminal i skaner	obsada magazynu	polityka minimalna, kontrola pokrycia, alert przy braku meldunku
Komputer przy wadze i drukarce	technik i kierownik	osobne wykluczenia, brak automatycznego restartu w godzinach wydań
Laptop handlowca	jedna osoba, poza siecią	aktualizacje przez internet, ostrzejsza kontrola nośników
Serwer plików i bazy	administratorzy	skanowanie poza godzinami szczytu, osobna polityka dla katalogów bazy
Stacja w oddziale	kierownik punktu	profil biurowy plus alert o urządzeniu, które zniknęło z konsoli

Największą różnicę robi wiersz przedostatni. Skanowanie katalogu bazy danych w środku dnia to gwarantowany telefon od użytkowników i najczęstsza przyczyna tego, że ktoś w firmie wyłącza ochronę na serwerze i już jej nie włącza.

Co robimy ze sprzętem, którego nie wolno ruszać w dzień

W magazynie są urządzenia, których restart w godzinach wydań kosztuje więcej niż ryzyko, przed którym chroni: komputer sterujący sorterem, stanowisko drukujące etykiety przewoźnika, stacja obsługująca wagę. Producent takiego rozwiązania często zastrzega też, co wolno na nim instalować.

Postępowanie jest wtedy dwustopniowe. Jeżeli agenta da się zainstalować, ustawiamy politykę bez automatycznych restartów i z oknem aktualizacji poza zmianą. Jeżeli nie da się, wpisujemy to do rejestru ryzyka i zamykamy sprawę inaczej: oddzielamy urządzenie regułami sieciowymi, ograniczamy mu wyjście do internetu i obserwujemy jego ruch. Ryzyko przyjęte świadomie jest w porządku, ryzyko przyjęte przez przeoczenie nie.

Laptop handlowca, czyli komputer poza Waszą siecią

Przedstawiciel w trasie nie loguje się do sieci firmowej tygodniami. Pracuje z hotelu, z sali konferencyjnej u klienta i z sieci na terenie targów, gdzie podłączonych jest kilka tysięcy urządzeń naraz. Aktualizacje wgrywa wtedy, gdy mu przypomni komunikat, a często wcale.

Profil dla takiego sprzętu ma trzy różnice wobec biurowego: krótsze okno na wgranie poprawek, ostrzejszą kontrolę nośników wymiennych oraz alert w konsoli, gdy urządzenie nie melduje się dłużej niż tydzień. Ten ostatni punkt wyłapuje najczęstszą sytuację: laptop leżący w szufladzie po odejściu pracownika, wciąż z aktywnymi dostępami i danymi klientów na dysku.

Jak wygląda pierwszy miesiąc pod konsolą

Zaczynamy od policzenia sprzętu, bo lista z księgowości prawie nigdy nie zgadza się z tym, co loguje się do sieci. Potem instalujemy agenta zdalnie i sprawdzamy, gdzie się nie uruchomił. Pierwszy tydzień pracujemy w trybie obserwacji, żeby zebrać fałszywe trafienia z Waszych własnych aplikacji, zwłaszcza z systemu handlowego i magazynowego, które lubią robić rzeczy wyglądające podejrzanie.

Po zakończeniu obserwacji przestawiamy politykę w tryb blokujący i uzupełniamy ją o reguły zawężające powierzchnię ataku. Całość zajmuje zwykle dwa do trzech dni pracy rozłożone na dwa tygodnie kalendarzowe, a w firmie z oddziałami dochodzi objazd na policzenie sprzętu.

Co widać w raporcie i kto go czyta

Raport ma cztery części i mieści się na dwóch stronach: wykrycia z opisem obsługi, stan pokrycia z listą urządzeń bez agenta, aktualność systemów i aplikacji oraz najwyżej trzy rekomendacje na kolejny miesiąc, uszeregowane ryzykiem.

Pisze go człowiek, nie generator. Eksport z konsoli informuje, że zablokowano czterdzieści siedem zdarzeń, i nie mówi nic o tym, czy któreś z nich powinno kogokolwiek zaniepokoić.

Ta warstwa nie zastępuje kopii ani brzegu sieci. Powrót po udanym ataku opisuje ochrona przed ransomware, wiadomości odcina ochrona poczty, a komplet warstw w jednej umowie to bezpieczeństwo IT dla firm.

Treść sprawdzona i zaktualizowana: 31 lipca 2026