Antywirus to za mało: EDR w MŚP — co kupić i jak nie przepłacić

Klasyczny antywirus to dobre rozwiązanie z 2010 roku. Ransomware, lateral movement i ataki przez PowerShell wcale nie są nowe — ale typowy antywirus ich nie widzi. To, co robi różnicę, nazywa się EDR. I dzisiaj nie kosztuje już majątku.

Powtarzający się scenariusz wygląda tak. Mała firma kupuje wieloletnią licencję na popularny antywirus, instaluje go na komputerach i zamyka temat „bezpieczeństwa stacji końcowych". Trzy lata później przychodzi incydent — ransomware, kradzież danych albo po prostu spowolnienie serwerów. Antywirus „nic nie pokazał". Bo on patrzy tylko na pliki: porównuje hash z bazą sygnatur i sprawdza, czy figuruje w katalogu znanych zagrożeń. Współczesne ataki nie używają plików w taki sposób — używają legalnych narzędzi Windows (PowerShell, WMI, scheduled tasks) w nielegalny sposób. Antywirus widzi „PowerShell wykonuje skrypt" i wzrusza ramionami.

Czym EDR różni się od antywirusa

EDR to Endpoint Detection and Response. W skrócie: zamiast porównywać pliki do listy zagrożeń, EDR obserwuje w czasie rzeczywistym, co dzieje się na stacji, i wyłapuje wzorce zachowań. Coinminer ukryty pod nazwą svchost.exe wykryje po zużyciu CPU i wzorcu sieciowym. PowerShell uruchamiany przez Office'a — wykryje, bo to anomalia. Próbę zaszyfrowania 5 000 plików w ciągu minuty — wykryje, bo to ransomware niezależnie od tego, jakim plikiem wykonawczym był uruchomiony.

Druga rzecz: response. EDR potrafi sam odciąć stację od sieci, zamrozić proces, cofnąć zmiany. Antywirus w najlepszym razie usunie wykryty plik. To jest mniej więcej tak, jakby porównywać alarm pożarowy z lokalizacją źródła pożaru i automatycznym zamknięciem drzwi przeciwpożarowych.

Dla MŚP nie chodzi o to, żeby mieć „enterprise-grade SOC". Chodzi o to, żeby ktoś (albo coś) widział, że właśnie coś jest nie tak — zanim klient zadzwoni z pytaniem, dlaczego strona nie działa.

Co EDR wykrywa, a antywirus nie

• Ataki fileless. Skrypt wykonywany w pamięci, bez zapisu na dysk. Antywirus go nie zobaczy, EDR — tak.
• Lateral movement. Komputer A loguje się do komputera B, potem do C, potem skacze na serwer. Każdy krok jest „legalny", ale wzór jest podejrzany.
• Living-off-the-land. Atakujący używa wbudowanych narzędzi Windows (PowerShell, certutil, bitsadmin). Antywirus ich nie blokuje, bo to normalne programy systemowe.
• Ransomware w trakcie szyfrowania. EDR zauważa masowe operacje plikowe i potrafi je przerwać po pierwszych kilkuset plikach. Antywirus widzi to dopiero po fakcie — czyli za późno.
• Kompromitację konta. Logowanie do tej samej stacji z dwóch geolokalizacji w 5 minut. EDR podniesie alarm.

Co kupić — bez przerostu narzędzi

Dla firmy 10–50 osobowej NIE potrzebujesz enterprise'owego SOC ani drogiej platformy SIEM. Potrzebujesz EDR z konsolą, na którą może popatrzeć jedna kompetentna osoba — wewnętrzna lub zewnętrzna.

Praktyczne opcje, które najczęściej widzimy u klientów MŚP:

• Microsoft Defender for Business — jeśli masz Microsoft 365 Business Premium, masz go w pakiecie. Integruje się z resztą stacku M365 i zwykle wystarcza dla typowej, biurowej MŚP.
• Bitdefender GravityZone Business Security Premium — sprawdza się tam, gdzie M365 nie jest „źródłem prawdy", a firma ma mieszany park sprzętu (Windows + macOS + serwery Linux).
• ESET PROTECT Entry / Advanced — naturalna kontynuacja dla firm, które od lat używały ESET-a, już z funkcjami EDR w wyższych pakietach.
• SentinelOne lub CrowdStrike Falcon Go — bardziej premium, ma sens, gdy firma ma własnego informatyka i chce silniejszej automatyki.

Cena? Realistycznie 25–80 PLN miesięcznie za stację. Czyli dla 30 stacji 1 000–2 500 PLN miesięcznie. Mniej niż jeden dzień przestoju po ransomware.

Konkretny przykład z naszej praktyki

Jeden z naszych klientów — 32-osobowa firma dystrybucyjna z branży części przemysłowych, z 35 stacjami końcowymi i serwerem ERP Comarch Optima w biurze — przed wdrożeniem miała klasyczny antywirus sygnaturowy w cenie 89 PLN za stację rocznie. Wszystko „działało", panel administracyjny pokazywał same zielone ikonki.

W ramach audytu IT zaproponowaliśmy migrację na Microsoft Defender for Business (mieli już M365 Business Standard; przejście na Business Premium kosztowało dodatkowo ~22 PLN/użytkownik/miesiąc). Łączny dodatkowy koszt: ~700 PLN miesięcznie ponad to, co płacili wcześniej.

Co wydarzyło się w pierwszych 4 miesiącach po wdrożeniu:

• Dwa razy wykryto i automatycznie zablokowano skrypty PowerShell uruchamiane przez makra w załącznikach Excel (klasyczny początek ataku phishingowego). Stary antywirus przepuścił je, bo sam plik .xlsm był „czysty".
• Raz wykryto próbę instalacji coinminera na laptopie handlowca, który zainstalował „darmowy konwerter PDF". Wcześniej zauważyłby on spowolnienie laptopa po dwóch tygodniach — albo i wcale.
• Pięć razy zgłoszono logowania z nietypowych lokalizacji (głównie pracownicy w podróży — false positive, ale wymagało potwierdzenia w 2 minuty).

Wartość, którą trudno wycenić wprost: gdyby pierwszy z incydentów się powiódł, ransomware mógłby zaszyfrować dane Comarch Optima i magazyn dokumentów handlowych. Szacunkowy koszt 5-dniowego przestoju + odzyskiwania danych dla tej firmy: 80–150 tys. PLN. Roczny koszt EDR: 8 400 PLN.

Czego nie robić

• Nie kupuj EDR i nie zostawiaj go bez nadzoru. EDR generuje alerty. Jeśli nikt ich nie czyta, są bezużyteczne. Albo wewnętrzny informatyk poświęca 20–30 minut dziennie na konsolę, albo dokupujesz MDR (Managed Detection and Response) — typowo +50–70% do ceny licencji.
• Nie ufaj sloganom „self-healing AI" ze slajdów. Tak, EDR rozpoznaje wzorce. Nie, nie zatrzyma 100% ataków. Realny rate detekcji to 90–98% — to dużo lepiej niż antywirus, ale nie zwalnia z innych warstw obrony (backup, MFA, segmentacja sieci).
• Nie kupuj „darmowych" rozwiązań z dziwnymi licencjami. Jeśli firma sprzedaje EDR za 50 PLN rocznie za stację, zarabia na czymś innym — najczęściej na telemetrii Twoich pracowników.
• Nie zostawiaj starego antywirusa „obok" EDR. Dwa rozwiązania na jednym komputerze konfliktują ze sobą, spowalniają system i nawzajem ślepią sobie telemetrię.

Jak zacząć

1. Sprawdź, co dziś masz — jeśli to klasyczny antywirus sygnaturowy, nie jest gotowy na 2026.
2. Sprawdź, co masz już w Microsoft 365 — Defender for Business w Business Premium często wystarcza, a płacisz za niego od dawna.
3. Zrób krótką inwentaryzację stacji końcowych — ile masz komputerów, czyje, co na nich jest.
4. Zdecyduj, kto będzie czytać alerty. Bez tego punkty 1–3 są stratą czasu.

Jeśli nie wiesz, od czego zacząć, albo masz wrażenie, że Twój obecny antywirus jest podejrzanie tani — pogadajmy. Pierwsza rozmowa jest bezpłatna i trwa pół godziny.

EDR nie jest „antywirusem nowej generacji". To inne narzędzie — i jeśli boisz się ransomware, dziś jest minimum, nie luksusem.

← Wróć na blog