Brandvägg, antivirus eller honeypot: vad skyddar mot vad?
Inget enskilt skydd stoppar alla angrepp. Brandväggen, antivirus, tvåstegsinloggning, säkerhetskopior och en honeypot arbetar i olika delar av ett angrepp. Här går vi igenom vad varje skydd gör, vad det missar och i vilken ordning ett litet företag bör skaffa dem.
Ett angrepp har flera steg
Ett typiskt angrepp börjar med att angriparen tar sig in, fortsätter med att kartlägga och sprida sig i nätverket och slutar med datastöld eller kryptering. Varje skydd täcker ett eller två av stegen:
- Ta sig in: tvåstegsinloggning, uppdateringar, brandvägg och utbildning mot nätfiske.
- Köra skadlig kod på en dator: antivirus eller EDR.
- Kartlägga och sprida sig i nätverket: en honeypot upptäcker det, och uppdelade nätverk försvårar det.
- Stjäla data eller kryptera: säkerhetskopior gör att du kan återställa.
Skydden jämförda
| Skydd | Vad det gör | Vad det missar |
|---|---|---|
| Tvåstegsinloggning | Stoppar inloggning med stulna lösenord. Microsoft uppger att det blockerar över 99,9 procent av angreppen mot konton. | Angripare som lurar användaren att godkänna inloggningen eller stjäl en redan inloggad session. |
| Uppdateringar | Täpper till kända säkerhetshål, framför allt i utrustning som syns mot internet. | Sårbarheter som ännu inte är kända eller åtgärdade. |
| Brandvägg | Blockerar oönskad trafik utifrån och kan dela upp nätverket i delar. | Angrepp som kommer in via e-post, webbläsare eller stulna inloggningar, alltså det mesta i dag. |
| Antivirus och EDR | Upptäcker och stoppar skadlig kod på datorer och servrar. | Angripare som använder vanliga administrationsverktyg i stället för skadlig kod, och enheter som saknar skyddet, till exempel skrivare och nätverksutrustning. |
| Säkerhetskopior | Gör att du kan återställa efter en kryptering. | Förhindrar inget, och angripare försöker radera kopiorna. Minst en kopia måste vara frånkopplad eller oföränderlig. |
| Utbildning | Minskar risken att någon klickar på nätfiske. | Alla klickar fel någon gång. |
| Honeypot | Larmar när någon redan inne i nätverket skannar eller försöker logga in. Nästan inga falsklarm. | Stoppar inget själv. Någon måste reagera på larmet. |
Antivirus och honeypot kompletterar varandra
Antivirus tittar på det som händer på en enskild dator och letar efter skadlig kod. En honeypot tittar på nätverket och reagerar på beteende: någon letar efter mål. Angripare använder i allt större utsträckning vanliga verktyg som redan finns i Windows för att undvika att antivirus slår larm. Kartläggningen av nätverket måste de ändå göra, och den syns för en honeypot.
Honeypoten skyddar också där antivirus inte finns: en angripare som tar sig in via en skrivare, en kamera eller en gammal NAS syns inte för antivirusprogrammen på datorerna.
I den här ordningen bör ett litet företag börja
- Tvåstegsinloggning på e-post, molntjänster och fjärråtkomst. Ofta gratis och den åtgärd som gör mest skillnad.
- Automatiska uppdateringar, och byte av utrustning som inte längre får uppdateringar.
- Säkerhetskopior som inte kan raderas, med en testad återställning.
- Antivirus med larm som någon läser. Microsoft Defender ingår i Windows.
- Stängda dörrar i brandväggen: inget fjärrskrivbord direkt mot internet, och separata nätverk för gäster och kameror.
- Upptäckt inne i nätverket med en honeypot eller snubbeltrådar som Canarytokens.
- Utbildning och en incidentplan på en sida.
De tre första stegen kostar ofta nästan ingenting och tar bort de vanligaste vägarna in. Steg sex är det som avgör om du märker ett angrepp som ändå lyckas.
Vanliga frågor
Räcker routerns inbyggda brandvägg?
Den stoppar oönskad trafik utifrån, vilket är bra, men de flesta angrepp kommer i dag in via e-post, webbläsare eller stulna lösenord. Den behöver kompletteras med tvåstegsinloggning, uppdateringar och något som upptäcker angripare som redan är inne.
Behöver vi både antivirus och honeypot?
Ja, de gör olika saker. Antivirus stoppar skadlig kod på datorerna, och honeypoten larmar när någon kartlägger nätverket, även om angriparen inte använder skadlig kod.
Vad är skillnaden mellan antivirus och EDR?
Traditionellt antivirus letar efter känd skadlig kod. EDR (endpoint detection and response) följer också beteendet på datorn över tid och kan isolera en dator vid ett angrepp. För små företag är skillnaden mindre viktig än att någon faktiskt läser larmen.
Vad ska vi göra först om vi inte har något skydd alls?
Slå på tvåstegsinloggning på e-posten i dag. Det är gratis i de flesta tjänster och stoppar den vanligaste vägen in.