Rachunek za przestój po ataku ransomware zwykle nie zaczyna się od okupu. Zaczyna się od nieodebranych telefonów, niedostępnego systemu sprzedaży, pracy na prywatnych skrzynkach i gorączkowego pytania: „Czy mamy kopię danych?”. W tym miejscu pytanie antywirus czy EDR firmowy przestaje być technicznym detalem. Staje się decyzją o tym, jak szybko firma zauważy incydent i czy będzie umiała ograniczyć jego skutki.
Klasyczny antywirus nadal ma swoje miejsce. Nie każda firma potrzebuje od razu najbardziej rozbudowanej platformy bezpieczeństwa. Problem pojawia się wtedy, gdy wybór jest oparty wyłącznie na cenie licencji albo przekonaniu, że „do tej pory nic się nie wydarzyło”. Cyberprzestępcy nie wybierają ofiar wyłącznie według wielkości firmy. Szukają łatwego dostępu, wartościowych danych i środowisk, w których nikt nie zauważy podejrzanej aktywności wystarczająco szybko.
Antywirus czy EDR firmowy – czym różnią się w praktyce?
Antywirus koncentruje się przede wszystkim na rozpoznawaniu i blokowaniu znanych zagrożeń. Analizuje pliki, załączniki, pobierane programy i procesy uruchamiane na komputerze. Jeśli wykryje złośliwy kod lub zachowanie odpowiadające znanemu wzorcowi, może zablokować plik, usunąć go albo poddać kwarantannie.
To podstawowa i potrzebna warstwa ochrony. Dobrze skonfigurowany antywirus zmniejsza ryzyko infekcji po otwarciu podejrzanego załącznika, podłączeniu zainfekowanego nośnika czy pobraniu fałszywego programu. Nie jest jednak narzędziem, które automatycznie wyjaśni administratorowi pełny przebieg incydentu.
EDR, czyli Endpoint Detection and Response, idzie dalej. Nie ogranicza się do pytania, czy plik wygląda jak wirus. Monitoruje zdarzenia na urządzeniach końcowych: uruchamiane procesy, nietypowe logowania, próby zmiany uprawnień, ruch między komputerami czy aktywność mogącą wskazywać na szyfrowanie danych. Zbiera kontekst i pozwala reagować na zagrożenie, zanim rozleje się ono na całą sieć.
W skrócie: antywirus ma przede wszystkim powstrzymać zagrożenie na wejściu. EDR pomaga wykryć, że napastnik już znalazł drogę do środka, ustalić skalę problemu i odciąć zainfekowane urządzenie. Granica nie zawsze jest całkowicie ostra, ponieważ wiele nowoczesnych pakietów antywirusowych oferuje funkcje zbliżone do EDR. Warto więc porównywać faktyczny zakres ochrony, a nie wyłącznie nazwę produktu na ofercie.
Dlaczego zwykły antywirus może nie wystarczyć?
Współczesny atak rzadko wygląda jak filmowy „wirus”, który od razu wyświetla komunikat na ekranie. Często zaczyna się od wiadomości podszywającej się pod księgowość, kuriera lub kontrahenta. Pracownik wpisuje hasło na fałszywej stronie Microsoft 365, a atakujący loguje się poprawnymi danymi. Dla części zabezpieczeń takie logowanie może wyglądać zwyczajnie.
Inny scenariusz to wykorzystanie legalnych narzędzi systemowych. Napastnik nie musi instalować oczywiście złośliwego programu. Może używać poleceń administracyjnych, przejmować konta, sprawdzać zasoby sieciowe i przygotowywać atak ransomware przez kilka dni. Klasyczny antywirus może nie zobaczyć tu pojedynczego pliku, który jednoznacznie uzna za zagrożenie. EDR ma większą szansę wykryć niepokojący ciąg zdarzeń.
To szczególnie istotne w firmach korzystających z pracy zdalnej, usług chmurowych, zdalnego pulpitu albo wielu laptopów poza biurem. Każde urządzenie i każde konto użytkownika staje się wtedy punktem, który wymaga kontroli. Ochrona nie kończy się na serwerze stojącym w siedzibie firmy.
Co daje EDR zespołowi, który nie ma własnego działu bezpieczeństwa?
EDR nie zastępuje człowieka, procedur ani kopii zapasowych. Dostarcza jednak informacji, których brakuje po samym wykryciu alertu. Administrator lub zewnętrzny partner IT może sprawdzić, jaki proces uruchomił podejrzaną aktywność, na których urządzeniach wystąpiła, jakie konto zostało użyte i czy istnieje ryzyko rozprzestrzeniania się ataku.
W wielu rozwiązaniach możliwe jest także szybkie odizolowanie komputera od sieci. Użytkownik nadal może przekazać ważne informacje telefonicznie, ale zainfekowany laptop nie ma już swobodnego dostępu do serwera plików, systemu księgowego czy innych stacji roboczych. Przy podejrzeniu ransomware różnica kilku minut może zdecydować, czy odtwarzamy jeden komputer, czy znaczną część firmy.
Dla małej i średniej organizacji największą wartością EDR nie jest więc sam panel pełen wykresów. Jest nią krótszy czas od wykrycia do reakcji. Oczywiście pod warunkiem, że ktoś te alerty rzeczywiście analizuje. System, który wysyła powiadomienia na nieobsługiwaną skrzynkę, daje poczucie kontroli, ale nie zapewnia realnej ochrony.
Kiedy antywirus będzie rozsądnym wyborem?
Podstawowy, centralnie zarządzany antywirus może wystarczyć firmie o prostym środowisku: kilku lub kilkunastu komputerach, bez dostępu do szczególnie wrażliwych danych, bez rozbudowanej pracy zdalnej i bez infrastruktury, której awaria natychmiast zatrzymuje działalność. Nie znaczy to, że można wybrać dowolny produkt i o nim zapomnieć.
Nawet w takim przypadku warto zadbać o aktualizacje systemów i programów, kontrolę lokalnych uprawnień administratora, filtrowanie poczty, uwierzytelnianie wieloskładnikowe oraz sprawdzone kopie zapasowe. Antywirus jest jedną warstwą ochrony, a nie polisą od wszystkich błędów użytkowników i dostawców.
Warto też zadać proste pytanie biznesowe: ile kosztuje jeden dzień niedostępności danych, poczty, dokumentów handlowych lub systemu obsługi klientów? Jeżeli odpowiedź jest wyższa niż oszczędność na bardziej zaawansowanej ochronie, sam antywirus może być pozornie tańszą decyzją.
Kiedy warto wdrożyć firmowy EDR?
EDR najczęściej uzasadnia się tam, gdzie firma przetwarza dane osobowe, dane finansowe, dokumentację klientów lub informacje objęte tajemnicą handlową. Jest także dobrym kierunkiem dla organizacji, które utrzymują serwery, korzystają z wielu stanowisk zdalnych albo zależą od ciągłej dostępności systemów.
Szczególną uwagę powinny zwrócić firmy, które doświadczyły już phishingu, prób przejęcia skrzynki e-mail, nietypowych logowań lub infekcji na komputerze pracownika. Taki incydent nie zawsze oznacza konieczność kupowania najdroższej platformy na rynku. Oznacza natomiast, że warto sprawdzić, czy obecne narzędzia pozwalają wykryć podobne zdarzenie wcześniej i skuteczniej.
Przy podejmowaniu decyzji pomocne są cztery sygnały:
- firma nie wie, kto i kiedy reaguje na alarm bezpieczeństwa poza godzinami pracy;
- pracownicy korzystają z laptopów i poczty firmowej z różnych lokalizacji;
- jeden serwer plików lub system branżowy jest krytyczny dla codziennej pracy;
- organizacja nie potrafi szybko wskazać, które urządzenia mają aktualne zabezpieczenia.
Jeżeli kilka z tych punktów opisuje Państwa środowisko, warto rozważyć EDR wraz z usługą monitorowania i obsługi incydentów.
Koszt licencji to nie cały koszt ochrony
Porównując antywirus i EDR, łatwo skupić się na cenie za jedno urządzenie miesięcznie. To zrozumiałe, ale niepełne podejście. EDR wymaga wdrożenia, odpowiedniej konfiguracji, ustalenia zasad reakcji i bieżącej opieki. Może generować alerty, które trzeba odróżnić od zwykłych działań użytkownika. Bez tego narzędzie staje się drogim rejestratorem zdarzeń.
Z drugiej strony koszt incydentu obejmuje znacznie więcej niż pracę informatyka. Dochodzą przestoje, utracone zamówienia, odtwarzanie danych, obowiązki związane z naruszeniem ochrony danych osobowych, komunikacja z klientami i obciążenie zespołu. Właśnie dlatego dobór rozwiązania powinien wynikać z analizy ryzyka, a nie z rankingu najtańszych licencji.
W Ceprobi takie decyzje warto poprzedzić przeglądem urządzeń, kont, kopii zapasowych oraz sposobu pracy firmy. Dopiero wtedy można ustalić, czy priorytetem jest lepsza ochrona stacji, kontrola dostępu zdalnego, porządek w aktualizacjach czy pełniejsze monitorowanie zagrożeń.
EDR nie zwalnia z podstawowych zasad
Najbardziej zaawansowany system nie pomoże, jeśli firma używa wspólnego hasła do kilku usług, pracownicy nie rozpoznają fałszywych wiadomości, a kopie zapasowe są przechowywane wyłącznie na tym samym serwerze co dane produkcyjne. EDR ma wspierać rozsądną politykę bezpieczeństwa, nie przykrywać jej braków.
W praktyce warto połączyć narzędzie ochronne z krótkimi szkoleniami użytkowników, MFA dla poczty i systemów zdalnych, regularnym aktualizowaniem oprogramowania oraz testowaniem odtwarzania kopii zapasowych. Testowanie jest kluczowe: backup, którego nie da się szybko odtworzyć, nie daje firmie bezpieczeństwa, lecz jedynie nadzieję.
Najlepsza decyzja nie zawsze brzmi „wdrażamy EDR na wszystkim natychmiast”. Czasem rozsądniej jest zacząć od uporządkowania podstaw, objąć EDR-em urządzenia krytyczne i stopniowo rozszerzać ochronę. Ważne, aby po ewentualnym alercie nikt w firmie nie musiał zgadywać, co zrobić dalej, kto podejmie decyzję i jak ochronić dane klientów.