Monitoring w małej firmie

Nie każda. Firma z kilkoma laptopami i wszystkim w chmurze może więcej zyskać na ochronie punktów końcowych i dobrych kopiach zapasowych. NDR ma sens, gdy jest sieć lokalna z serwerami, drukarkami, kamerami lub maszynami, na których nie da się uruchomić agenta, albo gdy NIS2 lub umowa z klientem wymaga wykrywania i zgłaszania incydentów.

Podstawy zatrzymują większość ataków: uwierzytelnianie wieloskładnikowe na poczcie i dostępie zdalnym, szybko instalowane aktualizacje, ochrona każdego komputera, kopie zapasowe offline lub niezmienialne i przetestowane oraz krótka lista, do kogo dzwonić w razie incydentu. Dodaj dwa nawyki, które nic nie kosztują: aktualną listę urządzeń i kont oraz zasadę, że zmiany danych do przelewu zgłoszone e-mailem potwierdza się telefonicznie. Monitoring sieci przychodzi po nich, gdy masz sieć lokalną z serwerami, drukarkami lub maszynami, na których nic nie zainstalujesz, albo gdy NIS2 lub klient wymaga wykrywania i zgłaszania incydentów. NetSenX pasuje do tego kolejnego kroku: podstawowe wykrywanie jest w każdym planie, także Free.

Takiego, który działa sam, obejmuje urządzenia, na których nie zainstalujesz oprogramowania, i tłumaczy alerty generaliście. Zacznij od tego, co już masz: włącz logi i alerty w zaporze, usłudze pocztowej i kontach chmurowych. Potem dodaj wykrywanie w sieci, jeśli masz sieć lokalną z serwerami, drukarkami, kamerami lub maszynami. Szukaj opublikowanych cen, darmowego sposobu na test we własnej sieci, wdrożenia z jednego czujnika na porcie lustrzanym i alertów, które prostymi słowami mówią, co się stało. NetSenX powstał właśnie do tego: podstawowe wykrywanie w każdym planie, także Free, jeden agent na porcie SPAN lub TAP na segment i wyjaśnienie przy każdym alercie. Nie zastępuje ochrony stacji końcowych ani kopii zapasowych.

Mniejszy niż w firmie z siecią lokalną, a czasem żaden: jeśli pracownicy pracują na laptopach z dowolnego miejsca i używają wyłącznie usług chmurowych, w biurze jest niewiele ruchu do obserwowania. Wtedy przeznacz pieniądze na ochronę każdego laptopa, uwierzytelnianie wieloskładnikowe, logi logowań i audytu usług chmurowych oraz kopie danych z chmury. Monitoring sieci znów ma sens, gdy w biurze pojawiają się wspólne urządzenia: drukarki, NAS, telefony, kamery, system budynkowy albo serwer w szafie. Pomaga też, gdy trzeba obserwować bezpośrednio niektóre laptopy: agent NetSenX działa na Linuksie i macOS i widzi połączenia danej maszyny, gdziekolwiek się znajduje.

Najpierw wykorzystaj to, co już masz, a potem dodaj jeden czujnik tam, gdzie zobaczy najwięcej. Większość zapór i routerów potrafi logować zablokowane i dozwolone połączenia oraz alarmować o nowych urządzeniach; włącz to i kieruj na skrzynkę, którą czytasz. Prowadź prostą listę urządzeń i co miesiąc porównuj ją z listą podłączonych urządzeń w routerze. Włącz alerty o logowaniach w poczcie i usługach chmurowych. Potem postaw jeden czujnik sieciowy tam, gdzie zbiega się ruch: na porcie lustrzanym przełącznika, który łączy się z routerem lub serwerami. Plan Free NetSenX obejmuje 3 urządzenia bez limitu czasu, a jeden agent na porcie SPAN lub TAP liczy się jako jedno urządzenie dla całego segmentu, więc małe biuro może zacząć bez kosztów.

To zależy od liczby urządzeń i potrzebnych funkcji. NetSenX publikuje ceny: tabela na tej stronie pochodzi z tego samego katalogu planów, który stosuje produkt, od planu Free do Enterprise.

Urządzenie to host z zainstalowanym agentem NetSenX. Jeden agent na porcie SPAN lub TAP monitoruje cały segment sieci i liczy się jako jedno urządzenie.

Może wystarczyć, jeśli ktoś ma czas i umiejętności, by go zainstalować, aktualizować i stroić; licencja jest darmowa, praca nie. Narzędzia open source do zapisu ruchu, wykrywania włamań i zbierania logów są dojrzałe i szeroko używane. Dla małej firmy prawdziwym kosztem są ludzie: serwer, na którym działają, regularne aktualizacje, strojenie reguł i ktoś, kto codziennie czyta wyniki i je rozumie. Jeśli masz administratora, który lubi taką pracę, to mocna opcja. Jeśli nie, zestaw zwykle zostaje zainstalowany raz i zapomniany. Zapytaj szczerze, kto będzie go utrzymywał za rok. Narzędzie hostowane z opublikowanymi cenami i alertami w prostym języku oddaje część elastyczności w zamian za mniej utrzymania; plan Free NetSenX pozwala porównać to we własnej sieci.

Więcej, niż spodziewa się większość małych zespołów: instalacja to łatwa część, utrzymanie przydatności to praca ciągła. Zaplanuj osobny serwer z miejscem na logi, regularne aktualizacje oprogramowania i reguł, monitorowanie dysków i wydajności samego zestawu, strojenie ograniczające szum i codzienny czas na czytanie alertów. Gdy coś się zepsuje, na przykład zapełni się dysk albo nie powiedzie aktualizacja, wykrywanie staje po cichu, dopóki ktoś tego nie zauważy. Udokumentuj konfigurację, by przetrwała odejście osoby, która ją zbudowała. Oszacuj godziny uczciwie i wyceń je według stawki wewnętrznej, zanim nazwiesz zestaw darmowym. Jeśli tych godzin nie ma, wybierz narzędzie, które działa bez utrzymania, a zaoszczędzony czas poświęć na analizę alertów.

Najlepiej tak, bo każde widzi to, czego nie widzi drugie, ale mała firma może dodawać je po kolei. Wykrywanie na hostach (HIDS, dziś zwykle EDR) działa na komputerze i widzi pliki, procesy i logowania na tej maszynie. Wykrywanie sieciowe (NIDS albo NDR) obserwuje ruch i widzi, jak urządzenia rozmawiają ze sobą, także te, na których nie da się zainstalować oprogramowania. Narzędzie na hoście nie zobaczy drukarki łączącej się na zewnątrz; narzędzie sieciowe nie zobaczy otwarcia złośliwego pliku. Zacznij od ochrony każdego komputera, bo to potrzeba bardziej podstawowa, a wykrywanie w sieci dodaj, gdy masz sieć lokalną z urządzeniami poza laptopami. NetSenX to strona sieciowa; nie zastępuje ochrony stacji końcowych.

Detection-as-code oznacza pisanie własnych reguł wykrywania jako plików tekstowych, często we wspólnym formacie, takim jak Sigma, trzymanie ich w systemie kontroli wersji i testowanie jak oprogramowania. Pasuje do zespołów bezpieczeństwa, które polują na konkretne zagrożenia i chcą precyzyjnej kontroli. Mała firma rzadko potrzebuje tego na starcie: pisanie i utrzymywanie reguł wymaga umiejętności i czasu, a źle napisana reguła tworzy szum albo martwe pola. Więcej zyskasz z narzędzia, którego wbudowane wykrycia i wyjaśnienia już działają, i z oznaczania fałszywych alarmów na bieżąco. Jeśli później zatrudnisz specjalistę od bezpieczeństwa i pojawią się konkretne potrzeby, własne reguły nabiorą sensu. W NetSenX własne polityki wykrywania są w planie Enterprise; podstawowe wykrycia działają w każdym planie.

Tak, jeśli alerty są pisane dla ogólnych administratorów. Każdy alert NetSenX wyjaśnia prostym językiem, co się stało, i wymienia cechy ruchu stojące za jego oceną, w każdym planie. Zbadanie i opanowanie incydentu nadal wymaga człowieka: administratora, dostawcy IT albo firmy reagującej na incydenty.

Tak, jeśli narzędzie jest do tego stworzone. W NetSenX administrator instaluje jednego agenta na hoście podłączonym do portu SPAN lub TAP albo na wybranych hostach, a każdy alert jest wyjaśniony prostym językiem: co się stało, na którym urządzeniu i dlaczego wygląda to nietypowo. Nadal potrzebujesz osoby, która czyta alerty, najlepiej każdego ranka, i decyduje, co robić, a do tego zastępcy na urlopy i numeru do firmy od reagowania na incydenty na poważne przypadki. NetSenX nie świadczy usługi zarządzanej, więc zaplanuj, kto dostaje alerty poza godzinami pracy: druga skrzynka, dostawca IT lub dyżur.

Kilka dobrze dobranych narzędzi, które działają same, z alertami na tyle krótkimi, by przeczytać je każdego ranka w kilka minut. Realne dla jednej osoby: ochrona stacji z centralną konsolą, uwierzytelnianie wieloskładnikowe z alertami o logowaniach, logi zapory i VPN przechowywane na potrzeby analizy, przetestowana kopia zapasowa z comiesięcznym sprawdzeniem odtwarzania i jeden czujnik sieciowy na porcie lustrzanym. Nierealne dla jednej osoby: SIEM wymagający pisania i strojenia wyszukiwań, kilka dublujących się konsol albo cokolwiek, co wymaga śledzenia paneli przez cały dzień. Ustal na piśmie, kto zastępuje na urlopie i kto decyduje w nagłej sytuacji. NetSenX jest zaprojektowany na taką sytuację: jeden agent na porcie SPAN lub TAP na segment, alerty w prostym języku wysyłane e-mailem w każdym planie i żadnego strojenia na start.

W przypadku większości czujników open source tak; w przypadku NetSenX tylko podstawowej. Samodzielny czujnik zwykle oznacza instalację i aktualizowanie serwera linuksowego, zarządzanie miejscem na dysku i usługami oraz czytanie plików konfiguracyjnych. W NetSenX instalacja agenta na Linuksie to jedno polecenie skopiowane z panelu, wklejone do terminala i uruchomione z uprawnieniami administratora; instalator sprawdza podpis pakietu i konfiguruje usługę. Na Macu instalujesz podpisany pakiet. Potem praca odbywa się w panelu WWW: czytanie alertów, oznaczanie fałszywych alarmów, przeglądanie mapy sieci. Jeśli nawet ten krok w terminalu jest obcy, dostawca IT wykona go w kilka minut, a pomoc techniczna NetSenX pomaga przy agentach na macOS. Czytanie alertów nie wymaga żadnej znajomości Linuksa.

Często tak, jeśli w firmie nikt nie ma czasu ani umiejętności, ale ustal dokładnie, co robi MSP, a co zostaje po Twojej stronie. Dostawca usług zarządzanych (MSP) może obsługiwać aktualizacje, ochronę stacji, kopie zapasowe i monitoring dla wielu klientów za cenę, której mała firma sama by nie osiągnęła. Zapytaj na piśmie: jakich narzędzi używa, kto i kiedy czyta alerty, co dzieje się w nocy i w weekendy, jak szybko reaguje i jakie dowody dostajesz co miesiąc lub kwartał. Sprawdź, jak chroni własne narzędzia dostępu zdalnego, bo sięgają one do Twojej sieci. Zachowaj własność swoich kont i danych. Wykrywanie w sieci może być częścią umowy: MSP może prowadzić dla Ciebie NetSenX, a każdy klient jest w osobnym tenancie.

Port SPAN (switch port analyser, zwany też mirroringiem portów) to ustawienie przełącznika, które kopiuje ruch z innych portów na jeden port, gdzie może go obserwować czujnik. Obsługuje go większość zarządzalnych przełączników, zwykle w interfejsie WWW pod nazwą w rodzaju mirroring lub monitor session; niezarządzalne go nie mają. Network TAP to małe urządzenie, które robi to samo na kablu, przydatne tam, gdzie nie ma zarządzalnego przełącznika, albo gdy chcesz kopii, która nie gubi pakietów pod obciążeniem. Kopiuj łącze do routera lub porty serwerów, by zobaczyć najwięcej. W NetSenX jeden agent na porcie SPAN lub TAP obserwuje cały segment i liczy się jako jedno urządzenie.

Do obserwowania całego segmentu tak, jednego z nich; do obserwowania konkretnych serwerów nie, bo agent na każdym serwerze widzi jego własny ruch. Port SPAN to ustawienie lustrzane w zarządzalnym przełączniku i nic nie kosztuje, jeśli przełącznik je obsługuje. TAP to małe urządzenie sprzętowe na kablu, przydatne, gdy przełącznik jest niezarządzalny albo gdy chcesz kopii, która nigdy nie gubi pakietów. Umieść go tam, gdzie zbiega się ruch, na przykład na łączu między głównym przełącznikiem a routerem albo na portach serwerów. W NetSenX jeden agent na hoście podłączonym do portu SPAN lub TAP liczy się jako jedno urządzenie dla całego segmentu i to także sposób na przechwytywanie pakietów potrzebne do odcisku TLS i inwentarza kryptografii.

Instalacja jednego agenta zajmuje kilka minut; dłuższym krokiem jest zwykle konfiguracja portu lustrzanego w przełączniku, jeśli nigdy tego nie robiłeś. Na Linuksie kopiujesz jedno polecenie z panelu, uruchamiasz je na hoście, a urządzenie pojawia się na liście w ciągu kilku minut. Na Macu uruchamiasz podpisany instalator; agenty na macOS konfiguruje się razem z pomocą techniczną NetSenX. Aby obserwować cały segment, skonfiguruj port SPAN w ustawieniach przełącznika i podłącz do niego host z agentem albo wstaw TAP na kabel łącza. Urządzenia zaczynają wtedy pojawiać się na mapie sieci, gdy wysyłają ruch, a alerty ruszają, gdy tylko popłynie ruch. Zaplanuj potem kilka tygodni uwagi, w czasie których oznaczasz, co jest normalne.

Tak. Czujnik na porcie lustrzanym widzi ruch każdego urządzenia w segmencie, niezależnie od jego systemu operacyjnego, bo obserwuje sieć, a nie komputer. W jednym miejscu obejmuje to komputery biurowe, Maki, serwery linuksowe, telefony, drukarki i maszyny. System operacyjny ma znaczenie tylko dla urządzenia, na którym zainstalowano sam czujnik. W przypadku NetSenX agent działa na Linuksie i macOS, więc host czujnika powinien mieć jeden z tych systemów; obserwowane urządzenia mogą być dowolne. Jeśli zamiast przez port lustrzany chcesz obserwować konkretne maszyny bezpośrednio, muszą one działać na Linuksie lub macOS. Ochrona każdego komputera pozostaje osobną potrzebą, zależną od jego systemu.

Pasywny monitoring na porcie lustrzanym nie spowalnia sieci, bo czujnik dostaje tylko kopię ruchu i nie stoi na jego ścieżce. Kopię robi sam przełącznik. Sprawdź dwie rzeczy: czy przełącznik może kopiować wybrane porty bez przeciążenia portu monitorującego oraz czy host z czujnikiem ma dość mocy na dany wolumen ruchu. Produkty działające w linii, na ścieżce ruchu, takie jak niektóre systemy zapobiegania włamaniom, mogą dodawać opóźnienie albo stać się pojedynczym punktem awarii; NetSenX do nich nie należy. Jeśli zamiast tego instalujesz agenta NetSenX bezpośrednio na obciążonym serwerze, obserwuj zużycie zasobów przez pierwsze dni i zacznij od mniej krytycznego hosta.

Zależy od produktu i warto o to zapytać. Niektóre czujniki nagrywają pełny ruch do późniejszej analizy, inne przechowują tylko rekordy połączeń. NetSenX analizuje metadane połączeń i kilka pól protokołów: czas, wolumen, źródło i cel, porty, odpowiedzi DNS oraz, tam gdzie agent przechwytuje pakiety, nieszyfrowane części uzgadniania TLS. Nigdy nie odszyfrowuje ruchu, więc treść szyfrowanych sesji, takich jak e-maile, pliki czy to, co ktoś wpisał na stronie, pozostaje nieczytelna. To wystarcza, by widzieć zachowania takie jak beaconing, skanowanie, ruch lateralny i nietypowe wysyłanie danych, i ogranicza ilość danych osobowych, z którymi narzędzie ma do czynienia. Metadane sieciowe mogą jednak dotyczyć ludzi, więc skonsultuj to z inspektorem ochrony danych i przeczytaj umowę powierzenia przetwarzania dostawcy.

Tak, to rozsądny początek, pod warunkiem że zapiszesz, czego jeszcze nie obejmujesz. Wybierz systemy, których przejęcie najbardziej by zabolało: serwer plików, serwery finansowe i ERP, system kopii zapasowych, kontroler domeny i łącze do internetu. Skopiuj porty przełącznika, których używają, albo zainstaluj agenta bezpośrednio na nich. Zobaczysz, kto się z nimi łączy, a to często tam włamanie widać najpierw. Potem rozszerzaj zakres segment po segmencie. Bądź uczciwy w każdym raporcie dla zarządu, ubezpieczyciela lub klienta: monitorowanie serwerów to nie monitorowanie całej sieci. Plan Free NetSenX obejmuje 3 urządzenia, co wystarczy na start z najważniejszymi systemami.

Ustalanie linii bazowej to nauka, jak wygląda normalność dla każdego urządzenia: z kim rozmawia, na jakich portach, ile danych i o jakich porach, tak by odchylenie się wyróżniało. Trwa tyle, ile Twoja firma potrzebuje, by pokazać swój normalny rytm: wzorce dzienne widać po kilku dniach, tygodniowe po kilku tygodniach, a zadania miesięczne, takie jak płace czy raporty, dopiero po miesiącu lub dłużej. W tym czasie spodziewaj się więcej alertów i potwierdzaj, co jest normalne; Twoje decyzje to przyspieszają. Linia bazowa nigdy nie jest skończona, bo sieci się zmieniają: nowe serwery, nowe oprogramowanie, nowi dostawcy. NetSenX zgłasza alerty o wyraźnych wzorcach od początku i ulepsza porównania z historią każdego hosta w miarę poznawania sieci.

Przeczytać go, porównać z tym, co wiesz, i w ciągu godziny zdecydować, czy jest nieszkodliwy, wymaga obserwacji, czy działania. Po pierwsze, ustal urządzenie i jego właściciela. Po drugie, zapytaj, czy jest niewinne wyjaśnienie: kopia zapasowa, aktualizacja, nowy dostawca, zaplanowana praca kolegi. Po trzecie, jeśli nie ma, najpierw ogranicz, potem badaj: odłącz urządzenie od sieci, ale go nie wyłączaj, bo pamięć i logi pomagają analitykom. Zmień hasła, których urządzenie mogło używać, z innego komputera. Zadzwoń do dostawcy IT lub firmy od reagowania na incydenty, jeśli nie masz pewności. Zapisz, co zrobiłeś i kiedy. Alerty NetSenX mówią, co się stało, na którym hoście i dlaczego, a dziennik audytu zapisuje Twoje decyzje.

Ten, kogo wyznaczysz: oprogramowanie wykrywa w nocy, ale o działaniu musi zdecydować człowiek. Większość małych firm wybiera jedną z trzech opcji. Alerty trafiają do dwóch osób e-mailem i powiadomieniami w telefonie, z prostą zasadą, co jest na tyle pilne, by działać w nocy. Dostawca IT lub MSP odbiera alerty poza godzinami pracy na podstawie pisemnej umowy. Albo usługa MDR (managed detection and response) czuwa całą dobę za opłatą. Cokolwiek wybierzesz, zapisz, kto może odłączyć urządzenie lub łącze internetowe, i raz przetestuj ten układ. NetSenX wykrywa o każdej porze i wysyła alerty e-mailem w każdym planie, a przez webhook od planu Pro, ale nikt w NetSenX nie śledzi ich za Ciebie.

Nikt, chyba że zorganizujesz to przed urlopem. Zdecyduj, kto dostaje alerty, gdy administratora nie ma: kolega, prezes lub dostawca IT. Daj tej osobie jednostronicową notatkę: jak czytać alert, które eskalować, jak odłączyć komputer i do kogo dzwonić. Upewnij się, że ma dostęp do potrzebnych kont, z uwierzytelnianiem wieloskładnikowym, i że dostęp administratora nie jest współdzielony. Przed wyjazdem sprawdź, czy kopie zapasowe działają, a aktualizacje są zainstalowane. Samo wykrywanie nie bierze urlopu: NetSenX dalej obserwuje i wysyła alerty e-mailem w każdym planie, więc dodanie zastępcy jako odbiorcy często jest jedyną potrzebną zmianą.

Ten, kto jest na liście odbiorców, więc sprawdź ją przed zamknięciem biura. Dodaj drugiego odbiorcę, który naprawdę będzie czytał e-maile w czasie przerwy, i ustalcie, co jest pilne: na przykład alert na serwerze plików lub systemie kopii, a nie drukarka łącząca się z serwerem aktualizacji. Na tej samej notatce zapisz numer dostawcy IT lub firmy od reagowania na incydenty i sprawdź, czy są osiągalni w dniach, gdy firma jest zamknięta. Tydzień wcześniej potwierdź kopie zapasowe i trzymaj jedną kopię offline. Długie przerwy to znane ryzyko, bo mniej osób zauważa problemy. NetSenX wykrywa dalej pod Twoją nieobecność, z alertami e-mailem w każdym planie i przez webhook od planu Pro.

Bo mniej osób pilnuje, więc napastnicy mają więcej czasu, zanim ktoś zareaguje. W święta i długie weekendy biura są puste, pracownicy IT na urlopie, a reakcje wolniejsze, co daje intruzowi godziny lub dni na rozprzestrzenienie się i zaszyfrowanie danych przed wykryciem. CISA i FBI ostrzegały przed tym wzorcem we wspólnym komunikacie o ransomware w okresie świąt i weekendów, opublikowanym w sierpniu 2021 roku. Obroną jest przygotowanie, a nie siedzenie w pracy: alerty, które trafiają do osoby na dyżurze, spisana lista, kto może co odłączyć, świeże kopie zapasowe z kopią offline i uwierzytelnianie wieloskładnikowe na dostępie zdalnym. Wykrywanie w sieci pomaga, bo czuwa: NetSenX alarmuje o każdej porze, ale ktoś nadal musi te alerty przeczytać.

Zaplanuj je jak każdy krytyczny okres: zamroź ryzykowne zmiany, sprawdź kopie zapasowe, zaostrz kontrolę płatności i upewnij się, że ktoś pilnuje systemów finansowych. W tygodniach poprzedzających zainstaluj zaległe aktualizacje, a potem unikaj dużych zmian. Przetestuj odtwarzanie danych księgowych i ERP. Przypomnij działowi finansów, że każdą zmianę numeru konta, nawet od znanego dostawcy lub prezesa, potwierdza się telefonicznie pod znanym numerem. Ogranicz zdalny dostęp do serwerów finansowych do osób, które go potrzebują. Ustal, kto odbiera alerty w czasie zamknięcia, także wieczorami. Po stronie sieci NetSenX w każdym planie pokazuje nietypowe połączenia do i z serwerów finansowych, takie jak nowe sesje z innych stacji roboczych czy duże wysyłki w nocy.

Postaw czujnik w każdym biurze i kieruj wszystkie alerty do tych samych osób i tego samego panelu. Drugi oddział ma zwykle własny przełącznik i łącze internetowe, więc jego ruch nigdy nie przechodzi przez czujnik pierwszego biura. Jeden agent na porcie lustrzanym w nowej lokalizacji obejmuje jej segment lokalny; pracownicy w centrali czytają jego alerty razem z pozostałymi. Pilnuj też łącza między lokalizacjami, często VPN, bo tędy infekcja przechodzi z jednego miejsca do drugiego. Zapisz, kto jest lokalnym kontaktem w drugiej lokalizacji do zadań fizycznych, takich jak odłączenie urządzenia. W NetSenX jeden agent na porcie SPAN lub TAP w każdej lokalizacji liczy się jako jedno urządzenie, a wszystkie lokalizacje widać na jednym koncie.

Zwykle co najmniej dwóch: jednego agenta na porcie SPAN lub TAP w każdej lokalizacji, bo każda ma własny ruch lokalny. Urządzenie to host z agentem NetSenX, a jeden agent na porcie lustrzanym liczy się jako jedno urządzenie dla całego obserwowanego segmentu. Jeśli w lokalizacji jest kilka oddzielonych segmentów, na przykład biuro, Wi-Fi dla gości i produkcja, każdy segment, który chcesz obserwować, potrzebuje własnego punktu lustrzanego lub agenta. Doliczyć trzeba serwery, które chcesz obserwować bezpośrednio, z własnym agentem. Typowa firma z dwiema lokalizacjami potrzebuje więc kilku urządzeń, co może zmieścić się w 3 urządzeniach planu Free albo w 10 urządzeniach planu Starter za 49 € miesięcznie.

Tak, jeśli VPN między lokalizacjami pozwala każdemu urządzeniu w oddziale dotrzeć do każdego serwera w centrali, co jest częste. Stały VPN między biurami łączy je w jedną sieć, więc zainfekowany komputer w oddziale może skanować serwery centrali i logować się do nich, jakby stał na tym samym piętrze. Ogranicz to, co przechodzi przez VPN: dopuść tylko usługi potrzebne oddziałowi, na przykład serwer plików czy ERP, i tylko z urządzeń, które ich potrzebują. Używaj osobnych kont administratora dla każdej lokalizacji. Obserwuj ruch przechodzący przez łącze. NetSenX oznacza skanowanie i ruch lateralny w każdym planie; z czujnikiem w każdej lokalizacji widzisz infekcję przenoszącą się z jednej do drugiej.

Tak. Terminale płatnicze i kasy powinny być w osobnym segmencie sieci, z dopuszczonymi tylko potrzebnymi połączeniami, by zainfekowany komputer biurowy nie mógł do nich dotrzeć. Separacja ogranicza szkody po przejęciu jednego komputera i jest też sposobem, w jaki standard płatności kartowych (PCI DSS) pozwala firmie zmniejszyć część sieci objętą jego wymaganiami. W praktyce użyj osobnego VLAN lub osobnego portu routera dla urządzeń płatniczych, zablokuj ruch z sieci biurowej do tego segmentu i dopuść tylko połączenia z operatorem płatności. Zapytaj operatora płatności i instalatora, jak zalecają to zrobić. Potem sprawdzaj, czy separacja działa, bo konfiguracje z czasem się rozjeżdżają.

Przetestuj to z komputera biurowego, a potem obserwuj ruch, by sprawdzić, czy coś przechodzi tam, gdzie nie powinno. Prosty test: z komputera biurowego spróbuj dotrzeć do adresu kasy, na przykład pingiem lub połączeniem z jej portem zarządzania, i potwierdź, że się nie udaje. Powtarzaj po każdej zmianie w sieci lub routerze. Test pokazuje, że reguła działa w danej chwili; obserwacja pokazuje, czy coś korzysta ze ścieżki, o której nie wiedziałeś. Czujnik sieciowy na porcie lustrzanym, który widzi oba segmenty, pokazuje każde połączenie między nimi. NetSenX w każdym planie pokazuje na mapie sieci, kto z kim rozmawia, i zgłasza jako alerty skanowanie lub nowe sesje w stronę kas.

Złośliwe oprogramowanie może próbować przenieść się na kasy, kraść dane kart lub je zablokować, a sklep może przestać przyjmować płatności. Napastnicy, którzy dostaną się do komputera biurowego przez phishing, zwykle rozglądają się potem po sieci. Jeśli kasy i urządzenia płatnicze są w tej samej płaskiej sieci, są w zasięgu, często ze starszym oprogramowaniem i słabymi hasłami. Skutki sięgają od utraconej sprzedaży, gdy kasy nie działają, po wyciek danych kart z powiadomieniami do operatora płatności, a być może i klientów. Zapobiegaj, oddzielając sieć płatniczą, aktualizując kasy i zmieniając domyślne hasła. NetSenX pomaga zauważyć to na czas: skanowanie i ruch lateralny z komputera biurowego w stronę kas wywołują alerty w każdym planie.

Może być: domowe routery często nie dostają regularnych aktualizacji, nie obsługują oddzielnych sieci ani użytecznych logów, a niektóre mają nadal domyślne hasła. W małym biurze sprawdź cztery rzeczy. Czy producent nadal aktualizuje oprogramowanie i czy jest ono aktualne? Czy hasło administratora jest zmienione, a zdalna administracja z internetu wyłączona? Czy router obsługuje oddzielne sieci, by goście, urządzenia płatnicze i komputery biurowe były rozdzielone? Czy prowadzi logi, które da się przeczytać? Jeśli na dwa lub więcej pytań odpowiedź brzmi nie, router lub zapora dla firm to tani upgrade. Poszukaj też zapomnianego sprzętu, na przykład routera 4G zostawionego przez dostawcę w szafie. Mapa sieci NetSenX pokazuje urządzenia pojawiające się w LAN, w każdym planie.

Znaleźć je, zdecydować, czy każde jest potrzebne, i albo je zaktualizować i opisać, albo wyłączyć i wyczyścić. Stare serwery, zapomniane NAS-y, laptopy byłych pracowników i maszyny testowe to częste punkty wejścia, bo nikt ich nie aktualizuje, a ich hasła są stare. Przejdź po biurze i porównaj to, co znajdziesz, z listą urządzeń i listą podłączonych urządzeń w routerze. Każdemu urządzeniu przypisz właściciela. Jeśli nikt się nie zgłosi, odłącz je na kilka tygodni i zobacz, czy ktoś zaprotestuje, a potem bezpiecznie je wyczyść. Usuń też jego konta i reguły zapory. Mapa sieci NetSenX w każdym planie pokazuje urządzenia wysyłające ruch, z pierwszym i ostatnim wystąpieniem, co pomaga znaleźć te, o których nikt nie pamięta.

Spodziewaj się pytań o kontrolę dostępu, aktualizacje, kopie zapasowe, obsługę incydentów i dowody, zwłaszcza od klientów objętych NIS2, która wymaga od nich zarządzania bezpieczeństwem w łańcuchu dostaw. Typowe pytania: czy używacie uwierzytelniania wieloskładnikowego, jak szybko instalujecie aktualizacje, czy testujecie kopie zapasowe, kto obsługuje incydenty i jak szybko nas poinformujecie, czy monitorujecie sieć, gdzie są przechowywane nasze dane i czy możecie pokazać dowody. Odpowiadaj zgodnie z prawdą: jasne nie z planem jest lepsze niż tak, którego nie udowodnisz. Miej gotowy krótki opis bezpieczeństwa i stojące za nim dowody. NetSenX może dostarczyć część tych dowodów: zapisy wykryć, dziennik audytu oraz, od planu Starter, raporty PDF.

Prowadź konsekwentnie kilka zapisów zamiast wielu od czasu do czasu: co masz, co zmieniłeś, co się stało i co zrobiłeś. Listę urządzeń i kont z właścicielami. Dziennik zmian dla ważnych systemów. Daty kopii zapasowych i testów odtwarzania. Prosty rejestr incydentów z datą, tym, co zaobserwowano, decyzjami i tym, kto je podjął. Przechowuj je tam, gdzie napastnik, który dostanie się do jednego komputera, nie zdoła ich usunąć, i dopilnuj poprawnego czasu na każdym urządzeniu, bo od tego zależą osie czasu. Te zapisy odpowiadają na pytania ubezpieczycieli, audytorów, klientów i, według NIS2, organów. NetSenX prowadzi część z nich za Ciebie: alerty ze znacznikami czasu i wyjaśnieniami, historię alertów zależną od planu oraz dziennik audytu decyzji i zmian w każdym planie.