Poslužitelj može biti uredno zaštićen u podatkovnom ormaru, a napad ipak može započeti na prijenosnom računalu zaposlenika koji radi iz ureda, od kuće ili na službenom putu. Zato pitanje firewall ili endpoint zaštita ne bi trebalo svesti na odabir jednog proizvoda. Riječ je o dva različita sloja obrane koji štite različite dijelove poslovnog sustava.
U malim i srednjim poduzećima taj se izbor često otvara kada treba obnoviti mrežnu opremu, zamijeniti osnovni antivirus ili reagirati nakon sumnjive poruke e-pošte. Tada je korisno najprije razumjeti što pojedini sloj stvarno vidi, što može zaustaviti i gdje mu prestaju mogućnosti.
Firewall ili endpoint zaštita: što zapravo štite?
Firewall je zaštita mrežnog prometa. Postavlja se na granicu između poslovne mreže i interneta, a može nadzirati i promet između odvojenih mrežnih segmenata unutar tvrtke. Njegova je uloga kontrolirati tko i što smije komunicirati s poslovnim sustavima, prepoznati sumnjiv promet, blokirati poznate prijetnje i ograničiti neželjene veze.
Poslovni firewall novije generacije može objediniti više funkcija: filtriranje web prometa, zaštitu od pokušaja upada, kontrolu aplikacija, VPN pristup za udaljeni rad i segmentaciju mreže. Međutim, njegova vrijednost ne proizlazi samo iz uređaja. Pravila moraju odgovarati stvarnoj mreži, korisnicima, poslužiteljima i poslovnim aplikacijama. Preširoko otvorena pravila, zastarjeli firmware ili neaktivno praćenje zapisa mogu bitno smanjiti korist takve zaštite.
Endpoint zaštita djeluje na krajnjim uređajima – radnim stanicama, prijenosnim računalima i poslužiteljima. Osim klasičnog antivirusa, suvremena endpoint rješenja prate ponašanje procesa, pokušaje izmjene sustava, neuobičajeno pokretanje skripti, sumnjive prijave i aktivnosti koje mogu upućivati na ucjenjivački softver ili krađu podataka.
Važna razlika je u mjestu nadzora. Firewall vidi mrežnu komunikaciju. Endpoint zaštita vidi što se događa na samom uređaju: koji je proces pokrenut, koju je datoteku otvorio, pokušava li promijeniti sigurnosne postavke ili se širiti na druge sustave. Zato se ova dva sloja nadopunjuju, a ne zamjenjuju.
Kada firewall donosi najveću korist
Firewall je posebno važan kada tvrtka koristi lokalne poslužitelje, mrežne diskove, poslovne aplikacije, više lokacija ili VPN pristup. U takvom okruženju mrežna pravila mogu spriječiti da svaki uređaj ima pristup svemu samo zato što je priključen na internu mrežu.
Primjer iz prakse je računovodstveni program na internom poslužitelju. Nema poslovnog razloga da mu pristupaju svi uređaji u mreži, a još manje da bude dostupan izravno s interneta. Firewall može ograničiti pristup na točno određene korisnike, mrežne segmente ili VPN veze. Time se smanjuje površina napada i olakšava nadzor prometa.
Koristan je i pri kontroli izlaznog prometa. Ako zaraženi uređaj pokušava uspostaviti vezu prema sumnjivom vanjskom poslužitelju, firewall može takvu komunikaciju prepoznati ili blokirati, ovisno o pravilima i uključenim sigurnosnim servisima. Ne treba očekivati da će svaki pokušaj biti zaustavljen, ali kvalitetno postavljen mrežni sloj može ograničiti širenje incidenta.
Firewall ne štiti samo od vanjskih prijetnji. Segmentacija odvaja, primjerice, mrežu gostiju, bežičnu mrežu skladišta, uredske radne stanice, poslužitelje i uređaje poput pisača. Ako jedan segment bude kompromitiran, napadač ne bi smio automatski dobiti slobodan put prema cijeloj infrastrukturi.
Gdje endpoint zaštita ima prednost
Zaposlenik može otvoriti privitak iz poruke e-pošte, preuzeti datoteku putem legitimne cloud usluge ili spojiti uređaj na mrežu izvan ureda. U tim slučajevima endpoint zaštita ima kontekst koji firewall često nema. Ona može otkriti da nepoznati proces pokušava pokrenuti naredbe, šifrirati datoteke ili dohvatiti dodatni zlonamjerni sadržaj.
To je osobito važno za prijenosna računala koja nisu stalno u poslovnoj mreži. Firewall u uredu neće vidjeti promet uređaja koji radi s kućne mreže ili na drugoj lokaciji. Endpoint agent ostaje na uređaju i nastavlja ga nadzirati neovisno o mjestu rada, pod uvjetom da je pravilno instaliran, ažuran i da ima vezu s upravljačkom konzolom.
Naprednija endpoint rješenja, često označena kao EDR, daju IT timu više od samog upozorenja. Mogu prikazati slijed događaja na uređaju, izdvojiti kompromitirano računalo iz mreže i pomoći pri analizi opsega incidenta. To ne znači da svaka tvrtka treba istu razinu funkcionalnosti. Broj uređaja, vrijednost podataka, dostupnost internog IT tima i potreba za nadzorom izravno utječu na odabir.
Kod endpoint zaštite česta je pogreška ostaviti dio uređaja izvan upravljanja. Dovoljno je nekoliko nezaštićenih prijenosnika, poslužitelj bez aktivnog agenta ili korisnik s lokalnim administratorskim ovlastima da se stvori ozbiljna praznina. Pregled pokrivenosti uređaja stoga je jednako važan kao i izbor samog rješenja.
Zašto odgovor najčešće nije “ili-ili”
Firewall može zaustaviti velik dio neželjenog prometa, ali ne može pouzdano procijeniti svaku radnju unutar operacijskog sustava. Endpoint zaštita može otkriti sumnjiv proces, ali neće sama pravilno odvojiti mrežu gostiju od poslužiteljskog segmenta niti zamijeniti kontrolu VPN pristupa.
Najrazumniji pristup za poslovne sustave je slojevita zaštita. Ona ne znači kupnju što više alata, nego smislen raspored kontrola bez preklapanja koje nitko ne prati. U praksi se zaštita obično sastoji od sljedećih povezanih elemenata:
- pravilno konfiguriranog firewalla i odvojenih mrežnih segmenata
- upravljane endpoint zaštite na radnim stanicama i poslužiteljima
- redovitog ažuriranja operacijskih sustava, aplikacija i mrežne opreme
- višefaktorske autentifikacije za administrativne, cloud i udaljene pristupe
- provjerenog sigurnosnog kopiranja te postupka oporavka podataka.
Ni jedan od tih elemenata nije zamjena za ostale. Sigurnosna kopija ne sprječava napad, ali može smanjiti prekid poslovanja. Višefaktorska autentifikacija ne zaustavlja svaku zaraženu datoteku, ali znatno otežava zlouporabu ukradenih lozinki. Endpoint zaštita ne uklanja potrebu za edukacijom korisnika, no može pružiti dodatnu zaštitu kad ljudska procjena zakaže.
Odabir prema stvarnom poslovnom okruženju
Tvrtka s nekoliko uredskih računala, Microsoft 365 okruženjem i bez lokalnih poslužitelja možda neće trebati složenu mrežnu arhitekturu kao proizvodno poduzeće s više lokacija, lokalnim aplikacijama i stalnim VPN vezama. Ipak, i jednostavnije okruženje treba uredno upravljanu mrežnu zaštitu i endpoint rješenje koje IT osoba može nadzirati s jednog mjesta.
Ako se pristupa lokalnim poslužiteljima izvana, prioritet je provjeriti postoje li nepotrebno otvoreni portovi, koristi li se siguran udaljeni pristup i jesu li administrativni računi dodatno zaštićeni. Ako zaposlenici pretežno rade na prijenosnicima i koriste cloud servise, veći naglasak treba staviti na endpoint zaštitu, upravljanje identitetima i sigurnosne postavke korisničkih računa.
Treba uzeti u obzir i operativni teret. Napredno rješenje koje generira upozorenja bez osobe koja ih može procijeniti ne donosi punu korist. Dio organizacija ima interni IT tim koji može pratiti događaje i reagirati, dok drugima treba vanjski partner koji će održavati sustave, provjeravati upozorenja i koordinirati odgovor na incident. CarPen Rebuild u takvim okruženjima ne promatra firewall i endpoint kao odvojene stavke, nego kao dio održivog plana zaštite infrastrukture.
Što provjeriti prije ulaganja
Prije zamjene opreme ili licencija korisno je napraviti kratak pregled postojećeg stanja. Treba utvrditi koji su uređaji povezani na mrežu, jesu li svi poslužitelji i radne stanice pokriveni endpoint zaštitom te tko ima administratorske ovlasti. Jednako je važno provjeriti pravila na firewallu, način udaljenog pristupa i postoje li odvojene mreže za goste, poslovne uređaje i kritične sustave.
Posebnu pozornost zaslužuje nadzor. Sigurnosni zapis koji se čuva, ali se nikada ne pregleda, rijetko pomaže pri ranom otkrivanju problema. Potrebno je unaprijed odrediti tko prima upozorenja, koji se događaji smatraju prioritetnima i tko odlučuje o izolaciji uređaja, promjeni lozinki ili obnovi podataka.
Postoji i nekoliko stvarnih kompromisa. Detaljnija inspekcija prometa na firewallu može povećati opterećenje uređaja i zahtijevati pažljivo podešavanje. Endpoint zaštita može povremeno ometati specifičnu poslovnu aplikaciju ako se iznimke postavljaju bez testiranja. Rješenje nije trajno isključiti zaštitu, nego analizirati uzrok, provjeriti vjerodostojnost aplikacije i postaviti ograničenu, dokumentiranu iznimku.
Dobra sigurnosna odluka počinje pregledom poslovnih procesa, uređaja i pristupa podacima. Kada su firewall, endpoint zaštita, sigurnosne kopije i upravljanje korisničkim računima usklađeni, IT sustav je lakše održavati, a prekid rada lakše ograničiti kad se pojavi problem.