Antywirus jest wszędzie, a konsola milczy od miesięcy

Pytanie „czy macie ochronę antywirusową” dostaje odpowiedź twierdzącą zawsze. Pytanie „ile stacji raportowało w tym tygodniu” dostaje odpowiedź rzadko, bo nikt do konsoli nie zagląda, dopóki nic się nie dzieje.

A to jest jedyna liczba, która ma znaczenie. Licencja kupiona na trzydzieści stanowisk nie chroni trzydziestu stacji — chroni tyle, ile faktycznie ma działającego, raportującego agenta.

Dlaczego agenci przestają raportować

Żaden z tych powodów nie jest egzotyczny:

Nowa stacja bez agenta. Ktoś wydał laptopa, uruchomił, przekazał użytkownikowi. Agent miał być doinstalowany później.

Agent zainstalowany, ale niepowiązany z konsolą. Instalacja przeszła, klucz organizacji nie został podany, maszyna chroni się „lokalnie” i nikt o niej nie wie.

Uszkodzona instalacja po aktualizacji systemu. Zdarza się i nie daje żadnego komunikatu widocznego dla użytkownika.

Wyłączony przez użytkownika z prawami administratora, bo „spowalniał”. To domyka się razem z odebraniem uprawnień administratora lokalnego.

Maszyna, która już nie istnieje. Też ważne — bo zawyża liczbę stanowisk i utrudnia policzenie tych realnych.

Jak to sprawdzić w kwadrans

Wejdź do konsoli i odpowiedz na cztery pytania:

1. Ile maszyn raportowało w ciągu ostatnich siedmiu dni?
2. Ile maszyn jest w konsoli, a nie odezwało się od ponad trzydziestu dni?
3. Ile stanowisk pracuje w firmie? Porównaj z punktem pierwszym — różnica to lista do wyjaśnienia.
4. Czy któraś maszyna ma wyłączoną ochronę w czasie rzeczywistym albo nieaktualne sygnatury?

Różnica między punktem trzecim a pierwszym jest zwykle większa, niż ktokolwiek zakłada. To nie jest oskarżenie o niedbalstwo — to naturalny skutek tego, że nikt nie ma obowiązku patrzeć.

Drugi problem: tryb monitorowania

Osobna sprawa, równie częsta. Narzędzie zostało wdrożone w trybie, w którym wykrywa i raportuje, ale nie blokuje — żeby na starcie niczego nie zatrzymać. I tak zostało.

Formalnie ochrona jest. Realnie są powiadomienia, których nikt nie czyta.

Wyjście z tego stanu jest prostsze, niż się wydaje, ale wymaga jednej sesji pracy:

1. Przejrzeć wykrycia z ostatnich tygodni pracy w trybie monitorowania.
2. Ustalić, które z nich dotyczą rzeczy faktycznie używanych w firmie — zwykle jest to kilka pozycji, nie kilkadziesiąt.
3. Dodać dla nich wyjątki, opisane: co, dlaczego, kto zdecydował.
4. Dopiero wtedy przełączyć na blokowanie.

Krok trzeci jest najważniejszy. Wyjątek bez opisu za rok jest wyjątkiem, którego nikt nie odważy się usunąć, bo nie wie, po co powstał.

Alert, który warto włączyć jako jedyny

Konsole potrafią wysyłać powiadomienia o wszystkim i właśnie dlatego nie wysyłają niczego użytecznego — po tygodniu reguła w skrzynce przenosi je do folderu.

Warto włączyć jeden alert: spadek pokrycia. Czyli powiadomienie, gdy liczba raportujących maszyn spadnie poniżej progu albo gdy któraś przestanie się odzywać na dłużej niż kilka dni.

To jedno powiadomienie wyłapuje wszystkie przyczyny z listy powyżej i przychodzi rzadko, więc jest czytane.

Dlaczego to jest ważniejsze niż wybór produktu

Rozmowy o ochronie stacji zwykle dotyczą tego, który produkt wykrywa więcej. Różnice między poważnymi produktami są realne, ale znacznie mniejsze niż różnica między stacją chronioną a stacją, która wypadła z konsoli pół roku temu.

Stacja bez raportującego agenta jest w praktyce stacją bez ochrony — niezależnie od tego, jak dobry produkt widnieje na fakturze.