Zaposlenik otvori privitak koji izgleda kao račun dobavljača, prijavi se na lažnu stranicu Microsoft 365 usluge ili na računalu pokrene program koji nije dio poslovnog softvera. U tim trenucima pitanje antivirus ili EDR zaštita prestaje biti tehnička stavka u IT budžetu. Postaje pitanje koliko brzo tvrtka može otkriti problem, ograničiti štetu i nastaviti raditi.
Klasični antivirus i EDR nisu ista kategorija proizvoda, iako se često kupuju pod zajedničkim nazivom „zaštita računala”. Antivirus prvenstveno pokušava spriječiti poznate prijetnje. EDR, odnosno Endpoint Detection and Response, prati ponašanje uređaja, prepoznaje sumnjive aktivnosti i daje IT timu mogućnost istrage i odgovora na incident. Za dio tvrtki dovoljan je kvalitetno upravljan antivirus. Za druge je EDR opravdan jer posljedice zastoja, gubitka podataka ili kompromitiranih korisničkih računa mogu biti znatno veće od troška dodatne zaštite.
Što antivirus radi dobro, a gdje su mu granice
Antivirus je temeljna zaštita krajnjih uređaja: radnih stanica, prijenosnih računala i, kada je podržano, poslužitelja. Njegova je osnovna zadaća otkriti i blokirati zlonamjerne datoteke, sumnjive poveznice, poznate obrasce napada te neželjene aplikacije. Moderna poslovna antivirusna rješenja obično uključuju zaštitu u stvarnom vremenu, provjeru datoteka i web prometa, centralno upravljanje pravilima te izvještavanje o stanju uređaja.
To je vrlo korisno za svakodnevne prijetnje. Ako korisnik preuzme poznatu zlonamjernu datoteku ili pokuša pokrenuti alat koji je već prepoznat kao prijetnja, antivirus može zaustaviti izvršavanje prije nego što nastane problem. Centralna konzola također IT administratoru pokazuje jesu li svi uređaji ažurirani i zaštićeni istim pravilima.
Ograničenje nastaje kada napad nije prepoznat samo po datoteci. Napadači često koriste legitimne alate operativnog sustava, ukradene korisničke podatke ili niz naizgled bezazlenih radnji. Primjerice, korisnički račun može se prijaviti iz neuobičajene lokacije, zatim pristupiti većem broju mrežnih mapa i pokušati pokrenuti administrativne naredbe. Pojedinačna radnja možda neće biti dovoljna da antivirus reagira. Njihova kombinacija već može upućivati na ozbiljan incident.
Antivirus zato ne treba promatrati kao potpunu sigurnosnu strategiju. On je obavezna osnovna kontrola, ali ne rješava sam zaštitu identiteta, sigurnosne kopije, segmentaciju mreže, ažuriranje sustava ni postupanje zaposlenika pri sumnjivoj poruci.
Antivirus ili EDR zaštita: ključna razlika
EDR prikuplja telemetriju s krajnjih uređaja i povezuje događaje koji bi inače ostali nepovezani. Bilježi procese koji se pokreću, promjene u datotekama, mrežne veze, pokušaje podizanja ovlasti, radnje nad korisničkim računima i druge pokazatelje ponašanja. Svrha nije samo blokirati prijetnju, nego odgovoriti na pitanja koja su presudna nakon upozorenja: što se dogodilo, na kojem uređaju, kojim korisnikom, koliko dugo traje i je li zahvaćen još neki sustav.
Kada EDR otkrije sumnjivu aktivnost, može automatski izolirati računalo od mreže, zaustaviti proces ili spriječiti daljnje izvršavanje. IT stručnjak tada može istražiti uzrok bez nepotrebnog gašenja cijele infrastrukture. Ta mogućnost posebno je vrijedna u okruženjima gdje prekid rada jednog računala može utjecati na proizvodnju, računovodstvo, prodaju, logistiku ili pristup poslovnim dokumentima.
Važno je razlikovati EDR od proizvoda koji samo prikazuje velik broj upozorenja. EDR donosi vrijednost kada netko upozorenja redovito pregledava, razumije poslovni kontekst i zna koje korake poduzeti. Ako sustav generira upozorenje o sumnjivom procesu na računalu računovodstva u petak navečer, a nitko ga ne pregleda do ponedjeljka, tehnička mogućnost nije pretvorena u stvarnu zaštitu.
Zato EDR nije samo licenca. U poslovnoj praksi on uključuje definirane odgovornosti, nadzor, procedure eskalacije i razumijevanje infrastrukture. Treba znati koji su uređaji kritični, koji su administrativni računi osjetljivi, gdje se nalaze sigurnosne kopije i kako se uređaj može izolirati bez prekida važnih poslovnih procesa.
Kada je antivirus razuman izbor
Kvalitetan poslovni antivirus može biti primjeren manjoj organizaciji s jednostavnijom infrastrukturom, ograničenim brojem radnih stanica i manjim brojem osjetljivih sustava. To vrijedi pod uvjetom da je centralno upravljan, redovito ažuriran i da nije jedina sigurnosna mjera.
Takva tvrtka i dalje treba imati višefaktorsku autentifikaciju za poslovne račune, kontrolirano upravljanje administratorskim ovlastima, redovito ažuriranje operativnih sustava i aplikacija te provjerene sigurnosne kopije. Backup koji postoji, ali se ne može vratiti u prihvatljivom roku, nije dovoljan za kontinuitet poslovanja.
Antivirus ima smisla i kada je prioritet brzo podići osnovnu razinu zaštite na uređajima koji trenutačno nisu standardizirani. U tom slučaju prvi korak nije kupnja najšireg paketa funkcionalnosti, nego popis uređaja, uklanjanje zastarjelog softvera, postavljanje centralnih pravila i provjera pokrivenosti. Tvrtka mora znati jesu li zaštićena sva računala, poslužitelji i uređaji zaposlenika koji rade udaljeno.
Kada EDR opravdava ulaganje
EDR treba ozbiljno razmotriti ako tvrtka obrađuje osjetljive poslovne ili osobne podatke, koristi više poslužitelja, ima udaljene zaposlenike, pristup mreži za vanjske suradnike ili ovisi o stalnoj dostupnosti informacijskih sustava. Isto vrijedi za organizacije koje nemaju luksuz višednevnog oporavka nakon sigurnosnog incidenta.
Potreba je izraženija i kada interni IT tim nema dovoljno vremena za detaljnu analizu sigurnosnih događaja. U takvim okolnostima EDR bez ugovorenog nadzora može stvoriti lažni osjećaj kontrole. Dobra implementacija treba obuhvatiti konfiguraciju pravila, određivanje prioriteta upozorenja, postupak izolacije uređaja i jasnu komunikaciju prema odgovornim osobama.
Praktičan primjer je kompromitiran korisnički račun. Antivirus možda neće reagirati jer na uređaju nije pokrenuta prepoznata zlonamjerna datoteka. EDR može otkriti neuobičajeno ponašanje na krajnjem uređaju, pokušaj pokretanja neuobičajenih naredbi ili pristup resursima koji ne odgovara uobičajenom radu korisnika. Međutim, zaštita računa mora uključiti i Microsoft 365 sigurnosne postavke, višefaktorsku autentifikaciju te kontrolu prijava. Nijedna endpoint zaštita ne može sama riješiti kompromitirani identitet.
Odabir zaštite počinje procjenom rizika
Najčešća pogreška nije odabir pogrešnog proizvoda, nego kupnja zaštite bez pregleda stvarnog stanja. Prije odluke potrebno je utvrditi koliko uređaja tvrtka ima, tko ih koristi, jesu li svi pod centralnim upravljanjem, koji sustavi nose kritične podatke i kako se radi oporavak nakon incidenta.
Posebnu pozornost treba posvetiti poslužiteljima. Pravila koja vrijede za korisničko računalo ne smiju se automatski prenijeti na server koji podržava poslovnu aplikaciju, bazu podataka ili dijeljene mrežne mape. Preagresivno blokiranje može prekinuti rad legitimne aplikacije, dok previše iznimaka može oslabiti zaštitu. Zato se implementacija mora testirati i uskladiti s poslovnim procesima.
Kod usporedbe rješenja uprava ne mora procjenjivati tehničke detalje svakog modula. Dovoljno je postaviti nekoliko operativnih pitanja: tko prati upozorenja, koliko brzo netko reagira, može li se uređaj izolirati, jesu li izvještaji razumljivi te postoji li plan postupanja kada se incident potvrdi. Odgovori na ta pitanja često su važniji od dugog popisa funkcionalnosti u ponudi.
Zaštita uređaja mora biti dio šireg sustava
Antivirus i EDR štite krajnje točke, ali poslovna sigurnost ne završava na radnoj stanici. Sigurnosne kopije trebaju biti odvojene i redovito provjeravane. Administratorski računi trebaju se koristiti samo kada je potrebno. Mreža mora biti postavljena tako da problem na jednom uređaju ne omogući jednostavan pristup svim resursima. Ažuriranja operativnih sustava, aplikacija i mrežne opreme trebaju se provoditi planski, uz kontrolu utjecaja na rad.
Jednako je važna evidencija uređaja i korisnika. Tvrtka koja ne zna koji se uređaji spajaju na mrežu teško može potvrditi da su svi zaštićeni. U praksi se često pronađu stara prijenosna računala, računala bivših zaposlenika, lokalni administratorski računi ili poslužitelji bez jasnog vlasnika. Takve stavke povećavaju rizik bez obzira na to koristi li se antivirus ili EDR.
CarPen Rebuild pristupa endpoint zaštiti kroz pregled cijelog poslovnog okruženja: uređaja, mreže, korisničkih računa, poslužitelja, sigurnosnih kopija i postupaka podrške. To omogućuje da zaštita bude prilagođena stvarnom načinu rada, a ne samo instalirana na popis računala.
Prava odluka nije univerzalna. Antivirus je nužan temelj, a EDR je logičan sljedeći korak kada tvrtka treba bolju vidljivost i brži odgovor na sumnjive aktivnosti. Najkorisnije je početi od pitanja koliko dugo poslovanje može funkcionirati bez pojedinog sustava i tko će reagirati kada zaštita pošalje upozorenje.