Ochrona stacji roboczych i serwerów Zielona Góra

Dlaczego w firmie technicznej konsola krzyczy głośniej niż w biurze

W księgowości agent ochrony milczy tygodniami, bo praca polega tam na otwieraniu dokumentów i logowaniu się do dwóch systemów. W firmie, która projektuje, programuje albo produkuje elektronikę, ten sam agent zgłasza coś prawie codziennie i najczęściej nie ma racji.

Powód jest prozaiczny. Programator wgrywający oprogramowanie do układu zapisuje bezpośrednio do urządzenia i sięga do sterownika niskiego poziomu. Kompilator tworzy w minutę setki nowych plików wykonywalnych bez podpisu. Skrypt administratora uruchamia polecenia zdalnie na kilku maszynach naraz. Każda z tych czynności wygląda w konsoli dokładnie tak, jak wygląda pierwszy etap włamania.

Kończy się to zawsze w ten sam sposób, jeżeli nikt nie zajmuje się strojeniem. Ktoś dodaje wykluczenie na cały dysk, ktoś inny wyłącza ochronę na czas jednego zadania i już jej nie włącza, a po roku firma ma licencje na wszystkich komputerach i ochronę na połowie.

Co robimy z fałszywym trafieniem zamiast wyłączać ochronę

Rodzaj pracy	Co widzi konsola	Co ustawiamy
Wgrywanie oprogramowania do układów	zapis do urządzenia, sterownik bez podpisu	reguła na konkretne narzędzie i jego katalog
Kompilacja i budowanie obrazów	lawina nowych plików wykonywalnych	wyjątek na katalog roboczy i proces budujący
Skrypty administracyjne	zdalne polecenia na kilku maszynach	lista dozwolonych zadań i podpisywanie skryptów
Stanowisko testera z aplikacją producenta	stary sterownik i program bez podpisu	polityka obserwacyjna, bez automatycznej blokady
Laptop w terenie, tydzień poza siecią	brak kontaktu z konsolą	ocena stanu przy pierwszym powrocie do sieci
Serwer bazy danych	skanowanie plików bazy w godzinach pracy	wykluczenia i przegląd przesunięty poza zmianę

Reguła, którą stosujemy przy każdym wierszu, brzmi tak samo: wyjątek ma być możliwie wąski i ma mieć zapisany powód. Wykluczenie obejmujące pojedynczy podpisany plik w jednej lokalizacji da się obronić przy audycie. Wykluczenie całego katalogu użytkownika nie da się obronić przed nikim, łącznie z osobą, która je wpisała pół roku wcześniej.

Kto podejmuje decyzję o odcięciu maszyny i o której godzinie

Rozpoznane zagrożenie konsola zatrzymuje sama, natychmiast i niezależnie od pory dnia. Ta część nie wymaga człowieka i działa też w nocy.

Człowiek jest potrzebny tam, gdzie automat nie ma pewności: przy nietypowym procesie na serwerze plików, przy tym samym zdarzeniu na trzech stacjach jednego zespołu, przy programie uruchomionym z załącznika przez osobę, która nigdy niczego nie uruchamiała. Takie zgłoszenia czyta inżynier w dni robocze między 8:00 a 18:00 i wtedy zapada decyzja: odciąć, wyczyścić, czy zamknąć jako fałszywy alarm.

Poza tymi godzinami zostaje automatyczna blokada i monitoring. Gotowość człowieka nocą i w weekend jest osobno płatna, ustalana przed pierwszym użyciem, i nie ma jej w abonamencie za tę usługę. Piszemy to wprost, bo obietnica całodobowej reakcji w cenie miesięcznej kończy się rozczarowaniem dokładnie w tym dniu, w którym jest potrzebna.

Jak przejmujemy konsolę, która już u Was stoi

Zaczynamy od przeglądu, nie od instalacji. Sprawdzamy, ile urządzeń melduje się naprawdę, które mają ochronę wyłączoną, jakie wykluczenia ktoś dopisał przez lata i czy polityki różnią się między stanowiskami, czy wszystkie są kopią tej samej. Ostatnie pytanie rozstrzyga zwykle najwięcej.

Potem idzie tydzień obserwacji. Zbieramy zgłoszenia z normalnej pracy, rozmawiamy z osobami, które je wywołały, i dopiero z tego materiału powstają reguły. Po tym tygodniu włączamy blokowanie i dokładamy ograniczenia powierzchni ataku: makra z internetu, uruchamianie z katalogów tymczasowych, skrypty, których w firmie nikt nie używa.

Całość zajmuje kilka dni pracy rozłożonych na dwa tygodnie i odbywa się zdalnie. Użytkownik zauważa jedną zmianę, czyli nową ikonę w pasku, i to jest miara udanego wdrożenia.

Co robimy, gdy komputer trzeba dotknąć ręką

Zdarza się to rzadko, ale nie nigdy. Stacja przestaje się meldować w konsoli po serwisie, na którym ktoś zdjął agenta. Komputer nie wstaje po aktualizacji. Laptop wraca z terenu z uszkodzonym dyskiem.

W takiej sytuacji mówimy uczciwie, co obejmuje ta usługa. Jest ona z założenia zdalna i nie ma w niej pozycji za trzymanie kogoś w gotowości do wyjazdu, więc nie obiecujemy przyjazdu tego samego dnia. Umawiamy termin albo prowadzimy Waszego dostawcę sprzętu zdalnie, krok po kroku, żeby maszyna wróciła pod nadzór konsoli.

To jest ograniczenie, o którym warto wiedzieć przed podpisaniem umowy, a nie po. Reszta usługi na tym nie traci, bo dzieje się w konsoli i kosztuje tyle samo, co w każdym innym mieście.

Czego ta usługa nie zastępuje

Nie zastępuje kopii zapasowych ani ochrony brzegu sieci. Agent na komputerze jest jedną warstwą i ma sens wtedy, gdy pozostałe też stoją. Nie zastępuje filtrowania poczty, bo wiadomość lepiej zatrzymać przed dostarczeniem niż po otwarciu załącznika. Nie prowadzimy analizy śledczej na potrzeby postępowania sądowego, bo to osobna specjalność z własnymi wymaganiami dowodowymi.

Powrót po udanym ataku opisuje ochrona przed ransomware, porządek w kontach zamyka logowanie wieloskładnikowe, a wszystkie warstwy w jednej umowie prowadzi bezpieczeństwo IT dla firm. Od czego zacząć, podpowie audyt bezpieczeństwa IT.

Treść sprawdzona i zaktualizowana: 7 września 2026