Ochrona stacji roboczych i serwerów Warszawa

Czyj właściwie jest ten komputer

Pytanie brzmi banalnie, dopóki nie zada się go w warszawskim biurze kilkudziesięcioosobowej spółki. Odpowiedzi bywają cztery i każda oznacza inną odpowiedzialność.

Część sprzętu kupiła spółka i zarządza nim lokalnie. Część przyszła z polityką grupy, jest wpięta do konsoli centrali i lokalny zespół nie ma do niej dostępu. Część należy do osób współpracujących na kontrakcie, które przychodzą z własnym laptopem. Reszta to urządzenia, których nikt nie potrafi przypisać: sprzęt po byłych pracownikach, komputer w sali konferencyjnej, stacja obsługująca recepcję.

Ostatnia grupa jest najgroźniejsza i najczęściej pomijana, bo nie generuje zgłoszeń. Urządzenie bez właściciela nie ma nikogo, kto zauważy, że przestało się aktualizować.

Kto zarządza czym i co z tego wynika

Sprzęt	Kto go konfiguruje	Co robimy
Laptop kupiony przez spółkę	my, przez system zarządzania urządzeniami	pełna polityka, agent, szyfrowanie dysku
Sprzęt objęty konsolą grupy	centrala	spis i pilnowanie, żeby nie wypadł z obu list
Komputer kontraktora	jego właściciel	brak agenta, ograniczony dostęp do danych
Sprzęt osoby z agencji	agencja albo nikt	konto czasowe, praca w przeglądarce
Serwer u dostawcy	my, w zakresie systemu	osobna polityka, okna skanowania poza szczytem
Urządzenie w sali i na recepcji	zwykle nikt	przypisanie właściciela i wpięcie do konsoli
Sprzęt po odejściu pracownika	nikt	odcięcie z konsoli, wycofanie albo ponowne wdrożenie

Wiersz drugi wymaga jednego ustalenia na piśmie, bez którego cała reszta traci sens. Trzeba wiedzieć, kto reaguje na wykrycie na sprzęcie zarządzanym przez centralę i w jakim czasie. Bez tego zdarzenie ląduje w kolejce zespołu w innej strefie czasowej, a lokalny zespół dowiaduje się o nim po fakcie.

Dlaczego dwa produkty ochronne działają gorzej niż jeden

Przy przejmowaniu środowiska w co drugiej firmie zastajemy dwa agenty zainstalowane naraz. Powód jest zwykle historyczny: poprzedni dostawca wdrożył jeden produkt, potem firma kupiła plan zawierający drugi, a starego nikt nie odinstalował, bo licencja i tak była opłacona do końca roku.

Skutek jest podwójny. Wydajność spada, bo oba produkty sprawdzają ten sam plik i czekają na siebie nawzajem, co użytkownicy zgłaszają jako wolny komputer. Skuteczność też spada, bo produkty wzajemnie blokują sobie dostęp do zdarzeń i każdy widzi część obrazu. Przy takim układzie zielony stan w obu konsolach nie znaczy nic.

Porządkowanie polega na wyborze jednego produktu, usunięciu drugiego wraz z jego usługami i sterownikami oraz sprawdzeniu wydajności po tygodniu na kilku stanowiskach. Wybieramy zwykle to, co jest już w licencjach, żeby nie płacić dwa razy za tę samą warstwę.

Co ustawiamy na sprzęcie, którego nie kontrolujemy

Komputer kontraktora, agencji albo współpracownika prowadzącego własną działalność nie należy do Was i nie ma powodu, żeby instalować na nim cokolwiek. Ryzyko zamykamy więc od strony dostępu, a nie od strony urządzenia.

W praktyce oznacza to trzy ustawienia. Praca przez przeglądarkę zamiast pełnej synchronizacji plików, więc dokumenty nie lądują na dysku, którego nikt nie sprawdza. Osobne konto z uprawnieniami wyłącznie do materiałów projektu, z datą wygaśnięcia. Zasada dostępu wymagająca drugiego składnika przy każdym logowaniu z nieznanego urządzenia, bez wyjątków dla wygody.

To rozwiązanie jest słabsze niż zarządzany sprzęt firmowy i mówimy o tym wprost. Jest natomiast wykonalne, a wersja polegająca na tym, że wszyscy obiecują dbać o swoje komputery, wykonalna nie jest.

Jak wygląda pierwszy miesiąc pod naszą opieką

Zaczynamy od policzenia sprzętu, bo lista z księgowości prawie nigdy nie zgadza się z tym, co loguje się do sieci, a w firmie hybrydowej różnica bywa kilkunastoprocentowa. Przy każdym urządzeniu zapisujemy właściciela i osobę zarządzającą. Agenta rozsyłamy zdalnie, a potem szukamy maszyn, na których nie wystartował.

Pierwszy tydzień pracujemy w trybie obserwacji, żeby zebrać fałszywe trafienia z Waszych własnych aplikacji. Po nim przestawiamy politykę w tryb blokujący i dokładamy reguły zawężające powierzchnię ataku: blokadę makr z internetu, uruchamiania z katalogów tymczasowych i skryptów, których w firmie nikt nie używa. Całość zajmuje zwykle dwa do trzech dni pracy rozłożone na dwa tygodnie kalendarzowe.

Zestawienie miesięczne ma cztery części na dwóch stronach: wykrycia z opisem obsługi, pokrycie z listą urządzeń bez agenta i bez kontaktu z konsolą, aktualność systemów oraz najwyżej trzy propozycje na kolejny miesiąc. Pisze je człowiek, bo eksport z konsoli podaje liczbę zablokowanych zdarzeń i nie mówi nic o tym, czy któreś z nich powinno kogokolwiek zaniepokoić.

Czego ta warstwa nie zastępuje

Nie zastępuje kopii zapasowych ani filtrowania poczty, bo działa dopiero na urządzeniu. Nie jest testem penetracyjnym. Nie prowadzimy też badania śledczego przygotowywanego pod wymagania dowodowe sądu.

Powrót po udanym ataku opisuje ochrona przed ransomware, wiadomości odcina ochrona poczty, szyfrowanie dysków i certyfikaty prowadzi certyfikaty SSL i szyfrowanie, a komplet warstw w jednej umowie to bezpieczeństwo IT dla firm. Przejęcie konsoli ustalimy przez kontakt.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026