W małych firmach “antywirus” bywa synonimem bezpieczeństwa. Tymczasem tradycyjny EPP (Endpoint Protection Platform) i nowoczesny EDR (Endpoint Detection and Response) rozwiązują inne problemy. EPP ma przede wszystkim zapobiegać znanym zagrożeniom, bazując na sygnaturach i prostych regułach heurystycznych. EDR ma widzieć i rozumieć aktywne zdarzenia na stacji/serwerze — zbiera telemetrię, koreluje zdarzenia i pozwala szybko zareagować: zabić proces, odizolować host, zebrać artefakty, przywrócić zmiany.

Co umie „zwykły antywirus” (EPP)

• Skuteczna ochrona przed znanym malware (sygnatury).
• Blokowanie niektórych exploitów i podejrzanych zachowań.
• Często w pakiecie: firewall aplikacyjny, filtrowanie stron, skan poczty.

To nadal potrzebne, ale ma ograniczenia: nie rozumie kontekstu łańcucha zdarzeń (np. Word → PowerShell → połączenie C2 → dropper), ma mniejsze możliwości widoczności w pamięci i rejestrze, trudniej też odtworzyć co się dokładnie stało.

Co dodaje EDR

• Telemetria procesów, połączeń sieciowych, zmian w systemie plików, rejestrze, usługach.
• Korelacja i timeline: widzisz pełny „graf ataku” — z czego wystartował, co uruchomił dalej, jak się rozlał.
• Reakcja: izolacja hosta, kill/ban procesu, kwarantanna plików, rollback niektórych zmian.
• Hunting: możliwość szukania wskaźników kompromitacji (IOC) w całym parku maszyn.
• Integracje: SIEM/SOAR, webhooks, powiadomienia, playbooki reakcji.

Przykład z życia

Pracownik dostał wiadomość z fakturą. Word uruchomił makro, które odpaliło PowerShell i połączyło się z domeną C2, pobierając ładunek. EPP może nie zareagować, jeśli ładunek jest świeży. EDR zobaczy kaskadę procesów i anomalię, zablokuje Powershell/połączenie, a administrator dostanie gotowy widok łańcucha zdarzeń.

Czego EDR nie zrobi za Ciebie

• Nie zastąpi kopii zapasowych ani patchowania.
• Nie jest „anty-phishingiem” dla całej firmy — to osobny obszar (bramy pocztowe, DMARC).
• Nie gwarantuje 100% prewencji — skraca czas wykrycia i reakcji.

Jak wygląda alert i reakcja

1. Alert z opisem technicznym i klasyfikacją (np. „T1566 Phishing”, „T1059 PowerShell”).
2. Analiza kontekstu: użytkownik, host, łańcuch procesów, domeny/hashe.
3. Decyzja: izolacja hosta, kill procesu, unieważnienie tokenów, reset haseł.
4. Zabezpieczenie dowodów: zrzuty, logi, artefakty.
5. Remediacja: łatka, reguła blokująca, edukacja użytkownika.
6. Retrospektywa: czy podobny wzorzec jest na innych stacjach? Hunt globalny.

Minimalne wdrożenie w MŚP (10–50 urządzeń)

• Polityka z rozsądnymi wyjątkami (drukarki, CAD, narzędzia admina).
• MFA dla konsoli, separacja ról i dzienniki audytowe.
• Procedura: „co robimy, gdy jest alert P1/P2” (telefon/sMS/e‑mail, czasy reakcji).
• Regularne testy: symulacje ataku, kontrola pokrycia agentami.

Jak Axman może pomóc?

Wdrażamy i prowadzimy EDR (m.in. WithSecure) dla małych firm: polityki, onboarding, monitoring i gotowe playbooki reakcji. Możemy też zintegrować alerty z Twoim helpdeskiem i szkolić zespół, aby skrócić czas reakcji do minut. Skontaktuj się, dobierzemy poziom ochrony do wielkości firmy.

Podsumowanie

EPP to poduszka, EDR to radar i hamulec bezpieczeństwa. Najlepszy efekt daje duet EPP+EDR, spięty z procedurami IR i kopią zapasową, inaczej będziesz „widział” incydent, ale nie wrócisz szybko do pracy.ook.