Zaštita krajnjih uređaja tvrtke: više od antivirusnog programa

Računalo na recepciji, prijenosnik komercijalista, mobitel direktora i uređaj u proizvodnji često imaju jednu zajedničku točku: pristup poslovnim podacima. Dovoljan je jedan kompromitirani uređaj da napadač dođe do e-maila, dokumenata, financijskih podataka ili cijele mreže. Zato zaštita krajnjih uređaja tvrtke nije samo pitanje antivirusnog programa, nego konkretna mjera za očuvanje kontinuiteta poslovanja.

Za male i srednje tvrtke posljedice incidenta rijetko ostaju samo tehnički problem. Ako zaposlenici ne mogu otvoriti dokumente, poslati ponudu, pristupiti računovodstvenom programu ili raditi u Microsoft 365 okruženju, posao staje. Uz prekid rada dolaze trošak oporavka, izgubljeno vrijeme, narušeno povjerenje klijenata i neizvjesnost oko toga jesu li podaci završili u pogrešnim rukama.

Zašto su krajnji uređaji česta meta napadača

Krajnji uređaj je uređaj kojim korisnik pristupa poslovnim podacima i sustavima: stolno računalo, prijenosnik, pametni telefon ili tablet, a u pojedinim okruženjima i specijalizirani uređaji povezani s poslovnom mrežom. Napadači ih ciljaju jer se na njima odvija svakodnevni rad, otvaraju se privici, preuzimaju datoteke, spremaju lozinke i pristupa se poslovnom e-mailu.

Phishing poruka koja izgleda kao račun dobavljača, poveznica za navodnu dostavu paketa ili lažna obavijest iz Microsoft 365 okruženja može biti početak napada. Korisnik ne mora biti nepažljiv niti tehnički neupućen. Poruke su sve uvjerljivije, a napadači često koriste stvarne podatke o tvrtki, partnerima i zaposlenicima kako bi stvorili dojam hitnosti i povjerenja.

Ransomware je posebno opasan zato što ne traži samo pristup jednom računalu. Nakon ulaska pokušava proširiti infekciju na mrežne diskove, servere i povezane uređaje. Ako su korisničke ovlasti preširoke, a zaštita i nadzor nedovoljni, posljedica može biti nedostupnost velikog dijela poslovnog sustava.

Zaštita krajnjih uređaja tvrtke nije samo antivirus

Klasični antivirus i dalje ima svoju ulogu, ali sam po sebi više nije dovoljan. Stariji pristup prvenstveno se oslanja na prepoznavanje već poznatih prijetnji. Suvremeni napadi često mijenjaju oblik, koriste legitimne alate sustava ili iskorištavaju ukradene korisničke podatke. Zbog toga kvalitetna zaštita mora prepoznati sumnjivo ponašanje, a ne samo poznatu zlonamjernu datoteku.

U praksi se zaštita krajnjih uređaja sastoji od više povezanih slojeva:

• zaštite od zlonamjernog softvera, ransomwarea i iskorištavanja sigurnosnih propusta
• nadzora sumnjivih aktivnosti na uređaju, poput neobičnog šifriranja datoteka ili pokušaja širenja mrežom
• redovitog ažuriranja operacijskog sustava i poslovnih aplikacija
• upravljanja korisničkim ovlastima, enkripcijom i sigurnim prijavama
• mogućnosti brze izolacije kompromitiranog uređaja prije nego što ugrozi ostatak mreže

Takav pristup smanjuje prostor za pogrešku i ubrzava reakciju. Ako se na jednom prijenosniku pojavi sumnjiva aktivnost, cilj nije čekati da korisnik primijeti problem. Cilj je zaustaviti prijetnju, odvojiti uređaj od mreže kada je potrebno i provjeriti je li incident zahvatio druge sustave.

Koje uređaje i korisnike treba obuhvatiti

Najčešća pogreška je zaštititi samo računala u uredu. Tvrtke danas rade s više lokacija, od kuće, na terenu i preko mobilnih uređaja. Komercijalist koji putuje s prijenosnikom može imati jednak pristup podacima kao korisnik u sjedištu tvrtke. Ako je uređaj izgubljen, ukraden ili spojen na nesigurnu mrežu, rizik se ne smije zanemariti.

Posebnu pozornost zaslužuju korisnici s većim ovlastima: direktori, računovodstvo, administratori sustava i osobe koje odobravaju plaćanja. Njihovi računi privlačna su meta jer kompromitirana prijava može napadaču omogućiti promjenu podataka za plaćanje, slanje lažnih poruka u ime tvrtke ili pristup povjerljivim dokumentima.

Za dio tvrtki dovoljno je upravljati računalima i prijenosnicima, dok će druge trebati obuhvatiti servere, mobilne uređaje i udaljene radne stanice. Opseg zaštite ovisi o načinu rada, vrstama podataka i postojećoj infrastrukturi. Tvrtka u kojoj nekoliko zaposlenika radi isključivo iz ureda nema isti profil rizika kao organizacija s udaljenim korisnicima, prijenosnicima na terenu i pristupom poslovnim sustavima s više lokacija. U oba slučaja treba jasno znati tko ima pristup kojim podacima i s kojih uređaja.

Ažuriranja, ovlasti i prijava: detalji koji odlučuju

Mnogi sigurnosni incidenti ne događaju se zbog složenog hakerskog napada, nego zbog poznatog propusta koji mjesecima nije ažuriran. Operacijski sustav, preglednik, Office aplikacije, računovodstveni programi i mrežna oprema trebaju imati definiran proces ažuriranja. To ne znači da se svaka promjena mora odmah instalirati bez provjere, osobito na kritičnim poslovnim sustavima. Znači da netko mora pratiti stanje, procijeniti rizik i provesti ažuriranje u kontroliranom roku.

Jednako vrijedi za korisničke ovlasti. Zaposlenik koji svakodnevno radi s dokumentima ne treba nužno administratorska prava na računalu. Ograničavanje privilegija može spriječiti da zlonamjerni program bez prepreka promijeni postavke sustava ili instalira dodatni sadržaj.

Višefaktorska autentifikacija dodatno štiti prijave u Microsoft 365 i druge poslovne servise. Ukradena lozinka tada više nije dovoljna za pristup računu. Ipak, ni ona nije apsolutna zaštita: korisnike treba upozoriti na lažne stranice za prijavu i neočekivane zahtjeve za potvrdu prijave. Tehnologija i kratka, redovita edukacija zaposlenika rade najbolje zajedno.

Endpoint zaštita mora biti povezana s ostatkom sustava

Krajnji uređaj nije izoliran. On prima e-mail, pristupa internetu, povezuje se na mrežne resurse, sinkronizira datoteke i komunicira s cloud servisima. Zbog toga najbolji rezultat daje povezan sustav zaštite, a ne niz nepovezanih alata.

Sigurnost poslovnog e-maila može zaustaviti dio phishing poruka prije dolaska do korisnika. Firewall kontrolira mrežni promet i prepoznaje pokušaje povezivanja s opasnim odredištima. Endpoint zaštita prati što se događa na samom uređaju. Backup omogućuje oporavak podataka kada preventivne mjere nisu dovoljne. Svaki sloj ima ograničenja, ali zajedno znatno smanjuju vjerojatnost ozbiljnog prekida rada.

Važno je i da se sigurnosni događaji mogu pregledati na jednom mjestu. Kada postoji sumnja na incident, tvrtka ne bi smjela gubiti sate na utvrđivanje je li problem u e-mailu, računalu, mreži ili korisničkom računu. Centralizirani nadzor i jasna odgovornost za reakciju omogućuju brže odluke i manje štete.

Što napraviti kada se sumnja na kompromitiran uređaj

Kod sumnje na kompromitiran uređaj najvažnije je reagirati brzo, ali kontrolirano. Neočekivano zaključavanje datoteka, poruke o otkupnini, neuobičajeno sporo računalo, nepoznata prijava na račun ili poslane poruke koje korisnik nije napisao razlozi su za hitnu provjeru.

Uređaj se po potrebi odvaja od mreže kako se potencijalna prijetnja ne bi širila. Ne treba samostalno brisati datoteke, ponovno instalirati sustav ili nasumično mijenjati postavke prije procjene, jer se time mogu ukloniti tragovi važni za analizu i oporavak. Zatim treba provjeriti korisničke račune, aktivne prijave, povezane uređaje, sigurnosne zapise i stanje backupa.

Kvalitetan plan odgovora određuje tko donosi odluku, tko obavještava zaposlenike i kako se poslovanje nastavlja ako dio sustava privremeno nije dostupan. Tvrtke koje unaprijed dogovore taj postupak reagiraju brže i s manje pritiska.

Kako odabrati rješenje koje odgovara vašoj tvrtki

Odabir ne bi trebao početi pitanjem koji je alat najjeftiniji, nego koji su uređaji, podaci i poslovni procesi najvažniji. Rješenje koje dobro pokriva nekoliko uredskih računala možda neće biti dovoljno za tvrtku s udaljenim korisnicima, serverima, terenskim zaposlenicima i osjetljivom dokumentacijom.

Vrijedi provjeriti pruža li rješenje zaštitu od ransomwarea, centralno upravljanje, nadzor, izvještavanje i podršku pri incidentu. Jednako je važno znati tko prati upozorenja, kako se incident prijavljuje i tko je odgovoran za reakciju. Licenca bez upravljanja može biti dobar početak, ali ne zamjenjuje odgovornost za svakodnevno sigurnosno stanje.

Imnet za poslovne korisnike planira zaštitu krajnjih uređaja kao dio šireg sigurnosnog i IT sustava. Sophos endpoint zaštita može se povezati s centralnim nadzorom, sigurnošću mreže, održavanjem, backupom i jasno definiranim postupkom reakcije na incident. Cilj nije opteretiti zaposlenike tehničkim detaljima, nego smanjiti rizik od prekida rada i zaštititi poslovne podatke.

Najkorisniji sljedeći korak nije čekati prvi incident, nego provjeriti koliko uređaja ima pristup poslovnim podacima, jesu li ažurirani, tko ima administratorske ovlasti i može li se tvrtka oporaviti ako jedno računalo postane ulazna točka za napad. Nekoliko jasnih odgovora danas može sutra sačuvati dane rada, podatke i povjerenje klijenata.