Každý notebook, počítač nebo mobil připojený do firemní sítě představuje potenciální vstupní bod pro útočníky. Stačí tak zaměstnanci otevřít škodlivou přílohu, kliknout na podvodný odkaz nebo z pohodlnosti ignorovat doporučení ze školení bezpečnosti a útočník může získat přístup k firemním datům. Tzv. ochrana koncových bodů pomáhá těmto hrozbám předcházet, odhalovat podezřelé aktivity a omezovat dopady útoků. V následujícím článku se proto podíváme na to, co ochrana koncových zařízení vlastně je, z jakých vrstev se skládá a jak ji můžete zavést ve firmě v praxi.
Koncovým zařízením (anglicky end point) dnes není pouze klasický firemní počítač. Do této kategorie patří prakticky jakékoliv zařízení, které se připojuje k firemní síti, službám nebo datům.
Vedle stolních počítačů a pracovních notebooků tak často jde také o pracovní mobily, tablety, tiskárny, servery, síťová zařízení nebo různá IoT zařízení (například kamery, chytré senzory či další zařízení), která jsou připojená k internetu přes firemní síť. V praxi tak firma podle své velikosti může mít desítky až tisíce různých endpointů, které je potřeba zabezpečit.
Právě tato koncová zařízení totiž představují nejčastější vstupní bod pro kybernetické útoky. Zaměstnanci na nich otevírají e-maily a přílohy, navštěvují webové stránky, instalují aplikace a přihlašují se k firemním službám. Útočník se tak nemusí snažit prolomit zabezpečení celé firemní sítě přímo. Často je pro něj jednodušší zaměřit se právě na konkrétní nezabezpečený počítač nebo tiskárnu a následně přes toto zařízení získat přístup k firemním účtům, datům či systémům.
Pokud se váš počítač chová zvláštně a máte podezření, že k útoku na něj už došlo, přečtěte si, jak poznat a opravit zavirovaný počítač.
Ochrana koncových zařízení (endpoint security či endpoint protection) neoznačuje jednu konkrétní technologii. Naopak jde o celý soubor technologií, pravidel a procesů, jejichž cílem je chránit firemní počítače, notebooky, mobily a další zařízení před kybernetickými hrozbami.
Nejde tedy pouze o klasický antivirus. Moderní endpoint security kombinuje například ochranu před malwarem, detekci podezřelého chování, řízení přístupu, nastavení bezpečnosti zařízení, správu aktualizací a centralizovaný dohled nad celou flotilou zařízení.
Důležitou vlastností této moderní ochrany je také to, že bezpečnost nemůže být závislá na tom, kde se zařízení právě nachází. Notebook zaměstnance sice může být jeden den připojený k firemní Wi-Fi síti, jindy ale i k méně zabezpečené domácí Wi-Fi nebo třeba k nezabezpečené síti v hotelu či na letišti. Stejně tak může zaměstnanec pracovat z osobního telefonu nebo tabletu a přistupovat z něj k firemnímu e-mailu a dalším cloudovým službám.
Právě rozšíření práce na pracovišti o hybridní a vzdálené modely proto změnilo i tradiční představu firemního perimetru. Dříve bylo možné velkou část ochrany soustředit na hranici firemní sítě například pomocí firewallu, VPN a dalších síťových bezpečnostních prvků. Dnes se uživatelé, zařízení, aplikace a firemní data nacházejí na různých místech a často komunikují přímo s cloudovými službami. Bezpečnost proto musí být zajištěna přímo na koncovém zařízení a u identity uživatele, nejen na hranici firemní sítě.
Ochranu koncových zařízení proto potřebuje prakticky každá firma. Rozsah řešení se ale samozřejmě může výrazně lišit. Malá firma s několika desítkami zařízení bude mít jiné požadavky než organizace se stovkami zaměstnanců, množstvím mobilních zařízení a vlastní IT infrastrukturou. Roli mohou hrát také regulatorní požadavky, například směrnice NIS2, DORA či CRA, které se podle typu organizace a její činnosti dotýkají různých oblastí kybernetické bezpečnosti.
Jak jsme si již řekli, zabezpečení koncových zařízení dokáže významně snížit riziko celé řady útoků. Nyní si představíme ty situace, ve kterých nám může pomoci.
Zabezpečení zařízení není však samostatným a samospásným řešením kompletní kybernetické bezpečnosti. Některé hrozby řeší přímo, jiné pouze částečně a u dalších je potřeba použít další bezpečnostní vrstvy. Nyní se proto podíváme na ty hlavní mezery v zabezpečení.
Phishing a sociální inženýrství
Endpoint security sice může zablokovat škodlivý soubor nebo známou podvodnou stránku, ale nedokáže spolehlivě rozhodnout za uživatele, zda je například e-mail od „ředitele“ skutečný, nebo podvodný. S rozvojem generativní AI navíc mohou útočníci využívat také deep fake, face swap či voice cloning k vytváření přesvědčivějších falešných zpráv, hlasů nebo videí. Metody sociálního inženýrství proto zůstávají stále velkou hrozbou a ochrana musí být doplněna zabezpečením e-mailu, vícefaktorovým ověřováním, a především informovaností zaměstnanců, kteří musí sami umět phishingový e-mail včas rozpoznat.
Krádež identity či přihlašovací relace
Pokud útočník získá heslo, token nebo aktivní přihlašovací relaci uživatele, může se pokusit přistupovat ke cloudovým službám z vlastního zařízení. Endpoint security na zařízení oběti tak nemusí mít možnost takový útok zastavit. Zde je důležitá ochrana identity, MFA, řízení přístupu a monitoring přihlašování.
Slabiny a chyby síťové infrastruktury
Ochrana zařízení sama o sobě nikdy nenahradí správně nakonfigurovaný firewall, zabezpečení sítě, segmentaci sítě nebo ochranu síťových zařízení. Pokud je problém přímo v síťové infrastruktuře, je potřeba řešit jej na této vrstvě. Při návrhu firemní sítě proto hraje významnou roli také správně zvolený a zabezpečený síťový hardware - například bezpečný Wi-Fi router.
Útoky na dodavatelský řetězec
Pokud je škodlivý kód nebo kompromitovaná aktualizace distribuována prostřednictvím důvěryhodného dodavatele, ochrana zařízení může útok zachytit až ve chvíli, kdy se projeví podezřelým chováním. Sama o sobě ale nedokáže zaručit, že každý používaný software nebo dodavatel je bezpečný.
Z toho plyne i důležitý závěr - ochrana koncových zařízení sice je jednou z klíčových vrstev firemního zabezpečení, nikoliv však jeho kompletní náhradou. Jejím úkolem je především chránit samotná zařízení a včas odhalit nebo zastavit útok, který na ně směřuje. Ochranu identity, sítě, e-mailu, cloudu, dat a záloh je však potřeba řešit dalšími vrstvami bezpečnostní architektury.
Moderní ochrana zařízení není jeden program, který se nainstaluje do počítače a tím je vše vyřešeno. Jde o několik vzájemně propojených vrstev ochrany, které pokrývají různé fáze útoku, a to od snahy útoku předejít až po jeho detekci, reakci a následnou správu zařízení.
V praxi proto můžeme moderní ochranu koncových zařízení rozdělit do 4 základních oblastí:
Jednotlivé vrstvy se tedy navzájem doplňují. Cílem proto není vybrat jednu z nich, ale vytvořit s nimi funkční celek, který ideálně dokáže útoku zabránit, případně ho včas odhalit, omezit jeho dopad a umožnit rychlou reakci.
Attack Surface Reduction (ASR) znamená zmenšování plochy útoku - tedy množství míst, funkcí a cest, které může útočník využít k napadení zařízení nebo získání přístupu k firemním systémům.
Každý nepotřebný program, otevřený port, neaktualizovaná aplikace, příliš široké oprávnění nebo povolená funkce operačního systému může představovat další potenciální cestu k útoku. ASR proto v praxi doplňuje detekční technologie, jako jsou NGAV a EDR. Nespoléhá pouze na to, že útok rozpoznáme, ale snaží se předem omezit podmínky, ve kterých vůbec může uspět.
Princip je zde jednoduchý. Co firma nepotřebuje, to by ideálně nemělo být aktivní a dostupné. Útočník tak má méně možností, které může zneužít.
Hardening znamená bezpečné nastavení operačního systému, aplikací a samotného zařízení. Patří sem například omezení zbytečných funkcí, správné nastavení bezpečnostních politik nebo odstranění výchozích konfigurací, které nejsou pro konkrétní použití potřeba.
Každá aktivní služba může představovat potenciální vstupní bod. Pokud firma určitou službu nebo síťový port nepotřebuje, je vhodné jej deaktivovat nebo omezit jeho dostupnost. Tím se snižuje počet komponent, které může útočník zkoušet zneužít.
Application control určuje, jaké aplikace a případně i skripty mohou být na zařízení spuštěny. Allow listing jde ještě dál. Namísto blokování známých škodlivých programů povoluje pouze předem schválený software. To může výrazně omezit riziko spuštění neznámých nebo neoprávněných aplikací na firemních zařízeních.
USB flash disky a další vyměnitelná média mohou být zdrojem malwaru či cestou k úniku dat. Firma proto může jejich používání omezit, například povolit pouze schválená zařízení nebo zablokovat určité typy přenosů. Úroveň omezení by však vždy měla odpovídat potřebám zaměstnanců, aby bezpečnostní pravidla zbytečně nebránila práci.
Pokud firma používání externích médií povoluje, může u citlivých dat dávat smysl také jejich dodatečná ochrana, například zaheslováním externího disku.
Microsoft Defender obsahuje sadu pravidel attack surface reduction, která dokáží blokovat konkrétní rizikové chování - například spouštění některých procesů prostřednictvím kancelářských aplikací nebo pokusy o zneužití určitých funkcí systému. Jde o praktický způsob, jak omezit běžné techniky využívané útočníky přímo na koncových zařízeních.
Makra v kancelářských dokumentech, PowerShell, JavaScript a další skriptovací mechanismy mohou být legitimní součástí práce, ale zároveň je mohou zneužívat útočníci. Vhodné nastavení proto omezuje jejich spouštění tam, kde nejsou potřeba, případně vyžaduje důvěryhodný zdroj nebo konkrétní podmínky.
Neaktualizovaný operační systém, aplikace, ovladač nebo firmware mohou obsahovat známou zranitelnost, pro kterou už existuje oprava. Součástí ASR proto musí být také systematické aktualizování operačních systémů, aplikací, ovladačů i aktualizace samotného BIOSu. Nestačí přitom pouze aktualizace jednou za čas - firma by měla mít trvalý přehled o zařízeních, jejich verzích a stavu aktualizací.
Šifrování disku sice nebrání samotnému útoku, ale výrazně omezuje jeho dopad například při ztrátě nebo krádeži notebooku. Bez znalosti šifrovacího klíče se útočník k datům uloženým na zařízení nemůže jednoduše dostat. U firemních notebooků a mobilních zařízení by proto mělo být šifrování standardem.
U konkrétních citlivých dat pak může firma podle použitých nástrojů řešit také jejich dodatečnou ochranu, například zabezpečením složky nebo zaheslováním souboru ve Windows.
Firewall na zařízení může omezit, které příchozí a odchozí komunikace jsou povolené. Pravidla lze doplnit například o blokování známých škodlivých IP adres nebo domén. Cílem je omezit možnost, aby napadené zařízení komunikovalo s infrastrukturou útočníka nebo aby se útočník dostal k zařízení prostřednictvím zbytečně dostupné síťové služby.
ASR tedy není jeden produkt ani nastavení, které stačí jednou zapnout. Jde o průběžné řízení toho, co může zařízení dělat, s čím může komunikovat a jaký software či funkce na něm mohou být používány. Čím méně zbytečných funkcí a oprávnění firma na zařízeních ponechá, tím menší prostor poskytuje útočníkovi pro zahájení nebo rozšíření útoku.
Ani dobře zabezpečené koncové zařízení nemusí být vůči útoku imunní. Pokud se útočníkovi podaří obejít preventivní opatření, přichází na řadu další vrstva ochrany, kterou je detekce a blokování hrozeb.
Moderní ochrana zde kombinuje technologie, které se snaží škodlivou aktivitu zastavit ještě před jejím spuštěním, a nástroje, které sledují chování zařízení a pomáhají odhalit probíhající nebo již uskutečněný útok.
NGAV je označení pro moderní ochranu zařízení, která se nespoléhá pouze na klasické antivirové signatury. Tradiční antivirus typicky porovnává soubory se známými vzory škodlivého kódu. NGAV tento přístup doplňuje o další metody, díky kterým dokáže reagovat také na nové nebo dosud neznámé hrozby:
EDR jde oproti klasickému antiviru a NGAV ještě dál. Jeho úkolem není pouze zabránit spuštění známého škodlivého programu, ale průběžně sledovat dění na koncovém zařízení, hledat podezřelé souvislosti a umožnit bezpečnostnímu týmu na případný incident reagovat.
Zjednodušeně EDR funguje tak, že na zařízení sbírá bezpečnostní telemetrii (např. informace o spuštěných procesech, souborech, síťové komunikaci nebo změnách v systému). Tyto údaje následně vyhodnocuje a hledá v nich známky podezřelého chování nebo anomálií.
Mezi hlavní schopnosti EDR patří:
Praktický rozdíl lze ukázat na jednoduchém příkladu. Zatímco antivirus může zablokovat škodlivý soubor,EDR může odhalit celý podezřelý řetězec událostí, který vedl k jeho spuštění, zjistit, co útočník na zařízení provedl, a umožnit zařízení okamžitě izolovat.
Zatímco NGAV a EDR jsou základem, pojem XDR představuje rozšíření tohoto principu. XDR rozšiřuje EDR mimo samotná koncová zařízení. Namísto izolovaného pohledu na jeden konkrétní notebook nebo počítač propojuje bezpečnostní události z více oblastí, například z endpointů, e-mailu, identity, cloudových služeb nebo síťové infrastruktury.
Jeho výhodou je proto především širší kontext. Pokud například útok začne phishingovým e-mailem, pokračuje krádeží přihlašovacích údajů a následně se projeví podezřelou aktivitou na notebooku, XDR může tyto události spojit do jednoho bezpečnostního incidentu.
MDR pak není dalším typem softwaru pro zabezpečení endpointů. Jedná se o službu, v jejímž rámci monitoring, vyhodnocování bezpečnostních událostí a reakci na incidenty zajišťuje externí bezpečnostní tým.
Pro firmu bez vlastního bezpečnostního týmu proto může MDR znamenat způsob, jak využít schopnosti EDR či XDR bez nutnosti nepřetržitě zaměstnávat vlastní specialisty. Rozsah služby se ale liší podle poskytovatele - někde jde především o monitoring a upozornění, jinde může externí tým provádět také aktivní reakci a izolaci zařízení.
Ani důkladná ochrana koncového zařízení sama o sobě stačit nemusí. Bezpečnost firmy závisí také na tom, kdo se k zařízení a firemním službám přihlašuje, z jakého zařízení a s jakými oprávněními. Moderní Endpoint Security proto úzce spolupracuje se správou identit a řízením přístupu.
Cílem tohoto přístupu je dodržení jednoduchého pravidla - uživatel by měl získat pouze takový přístup, který skutečně potřebuje, a firma by měla před povolením přístupu ověřit nejen jeho identitu, ale podle možností také stav zařízení.
Pro moderní cloudové a hybridní prostředí tak může být ZTNA vhodnějším modelem než tradiční VPN, zejména pokud firma nepotřebuje vzdáleným uživatelům zpřístupňovat celou interní síť.
Centralizovaná správa není jen otázkou pohodlí, ale celkové funkčnosti a efektivity ochrany. Bez centralizované správy je totiž velmi obtížné udržet desítky nebo stovky firemních zařízení ve stejném bezpečnostním stavu. IT správce potřebuje vědět, jaká zařízení firma používá, kdo je používá, zda splňují bezpečnostní požadavky a co se s nimi děje. Právě k tomu slouží 2 hlavní nástroje pro centralizovanou správu - MDM a UEM.
MDM je technologie určená především pro správu mobilních zařízení, jako jsou telefony a tablety. Umožňuje například nastavovat bezpečnostní politiky, spravovat firemní aplikace a v případě ztráty zařízení jej vzdáleně uzamknout nebo vymazat.
UEM tento přístup rozšiřuje. Z jednoho systému může firma spravovat nejen mobilní zařízení, ale podle konkrétního řešení také notebooky, stolní počítače a další typy endpointů. UEM tak poskytuje jednotný způsob, jak nastavovat a kontrolovat bezpečnostní pravidla napříč různými platformami.
V praxi by pak centralizovaná správa vždy měla pokrývat minimálně následující 3 základní funkce:
Na trhu existuje řada platforem, které kombinují antivirovou ochranu, NGAV, EDR, správu zařízení a další bezpečnostní funkce. Při výběru není nejdůležitější počet funkcí v produktovém katalogu, ale především to, jak dobře řešení odpovídá velikosti firmy, používaným technologiím, schopnostem IT týmu a rozpočtu. Mezi nejznámější řešení patří ta následující.
Microsoft Defender for Endpoint kombinuje ochranu koncových zařízení s EDR, správou zranitelností a dalšími funkcemi pro detekci a reakci. Je součástí širšího ekosystému Microsoft Defender XDR, který propojuje signály z endpointů, identit, e-mailu, cloudových služeb a dalších zdrojů.
Pro firmy postavené převážně na Microsoft 365, Windows a Entra ID může být zajímavý především díky integraci jednotlivých bezpečnostních vrstev. Microsoft pro ně nabízí balík Defender pro firmy zaměřený přímo na malé a středně velké firmy.
HP Wolf Security staví vedle klasické ochrany zařízení také na hardwarově podporovaném zabezpečení a izolaci hrozeb. Řešení je proto úzce propojené s firemními počítači a dalšími zařízeními značky HP a může být zajímavé pro firmy, které chtějí kombinovat ochranu na úrovni hardwaru, operačního systému a cloudu.
Díky tomuto přístupu mohou podporované HP počítače disponovat hned několika integrovanými funkcemi zabezpečení (například HP Sure Click, HP Sure Sense či HP Sure View). Nabídka je přitom určena jak pro menší firmy s omezenými IT zdroji, tak pro větší organizace.
ESET PROTECT je centralizovaná platforma, která umožňuje z jedné konzole spravovat ochranu koncových zařízení, serverů a mobilních zařízení a podle zvolené úrovně také další bezpečnostní funkce, například šifrování, ochranu před pokročilými hrozbami nebo správu zranitelností a záplat.
Hodí se proto pro firmy, které hledají samostatnou bezpečnostní platformu nezávislou na konkrétním cloudovém ekosystému. ESET nabízí různé úrovně řešení pro různé velikosti a potřeby organizací včetně MDR služby.
Cisco Secure Endpoint kombinuje ochranu endpointů s pokročilými funkcemi EDR, “threat huntingem” a možnostmi řízení USB zařízení. Může být zároveň integrován s platformou Cisco XDR, takže může propojit informace z endpointů s dalšími bezpečnostními zdroji. Dává smysl především organizacím, které už využívají bezpečnostní infrastrukturu Cisco nebo potřebují pokročilé možnosti detekce a reakce ve větším prostředí.
Při výběru konkrétního produktu je proto vhodné sledovat zejména jaké platformy firma používá, zda potřebuje pouze ochranu endpointů nebo širší XDR, jaké možnosti centrální správy řešení nabízí, kdo bude reagovat na bezpečnostní incidenty a jaké jsou skutečné licenční náklady.
Zatímco pro malou firmu může být vhodnější jednodušší platforma s automatizovanou správou a minimálními nároky na vlastní IT tým, větší organizace může využít pokročilejší XDR funkce a vlastní bezpečnostní tým.
Nakonec je důležité také ověřit, co přesně obsahuje konkrétní licence. U některých výrobců jsou EDR, XDR, správa zranitelností, mobilní ochrana nebo MDR samostatnými moduly či vyššími úrovněmi předplatného. Porovnávat proto pouze názvy produktů by mohlo být zavádějící.
Zavedení ochrany koncových zařízení nemusí znamenat velký jednorázový projekt ani nákup desítek bezpečnostních nástrojů. Pro malou či střední firmu je zpravidla praktičtější postupovat po jednotlivých krocích, nejprve odstranit základní nedostatky a teprve potom přidávat pokročilejší ochranu.
Ochrana koncových zařízení dnes není jen o antiviru, ale o kombinaci prevence, detekce, řízení přístupu, centralizované správy a schopnosti rychle reagovat na incidenty. Každá firma by měla začít přehledem svých zařízení a základním bezpečnostním nastavením a postupně přidávat pokročilejší ochranu podle svých rizik, velikosti a rozpočtu. Cílem není nasadit co nejvíce nástrojů, ale vytvořit funkční celek, který dokáže útokům předcházet, včas je odhalit a omezit jejich dopad.
Každé zařízení připojené do firemní sítě představuje potenciální vstupní bod pro útočníky. Tzv. ochrana koncových bodů pomáhá těmto hrozbám předcházet, odhalovat podezřelé aktivity a omezovat dopady. V článku si vysvětlíme, jak taková ochrana vypadá. Číst celý článek
HP ProDesk představuje řadu stolních počítačů určených pro běžné kancelářské a firemní použití. V nabídce najdete různé velikosti skříní, konfigurace i úrovně výbavy, což může stěžovat výběr. V článku proto vysvětlíme, jak se v řadě HP ProDesk orientovat. Číst celý článek
HP Z představují řadu pracovních stanic určených pro 3D modelování, grafiku, CAD nebo zpracování videa. Nabídka zahrnuje různé typy skříní, konfigurace i úrovně výkonu, což může stěžovat výběr. V článku proto vysvětlíme, jak se v řadě HP Z orientovat. Číst celý článek
HP EliteDesk patří mezi řady stolních počítačů určených pro profesionální firemní použití. Nabídka ale zahrnuje různé velikosti, výbavu i úrovně výkonu, takže volba vhodného modelu nemusí být jednoduchá. V článku proto vysvětlíme, jak se v této řadě zorientovat. Číst celý článek
Řada notebooků HP ProBook výkonnostně představuje základní kategorii firemních notebooků od HP. I v rámci této řady ale narazíte na desítky různých modelů, což výběr komplikuje. Následující článek se vám orientaci v rámci nabídky HP ProBook pokusí usnadnit. Číst celý článek
HP si v rámci svého Wolf Security dává za cíl chránit zařízení před malwarem, phishingem i dalšími hrozbami. Jednotlivé verze se však liší svými funkcemi, úrovní ochrany i způsobem nasazení. Co přesně vlastně HP Wolf Security nabízí a jaké existují varianty? Číst celý článek
