Twoja sieć odkryta,
udokumentowana, chroniona

Na obiekcie biurowym przez kilka nocy dochodziło do dziwnych incydentów: kamery traciły konfigurację, switche wymagały ponownego wgrania ustawień, część urządzeń BMS wracała do wartości fabrycznych. Usterki wyglądały jak losowe — nikt ich nie łączył ze sobą. Każda zgłaszana oddzielnie, każda leczona objawowo.

Monitoring pokazał wzorzec który gołym okiem był niewidoczny: dziesiątki urządzeń znikały z sieci i wracały w tej samej chwili — o 2:15, 3:42, 4:08 w nocy. Nie jedno urządzenie z błędem, nie awaria switcha — cały segment sieci gasł i wstawał jednocześnie. To nie był problem IT. Analiza historii alarmów wskazała na układ przełączania źródeł zasilania, który w godzinach nocnych (mniejsze obciążenie budynku) generował serie krótkich zaników. Finalnie wymiana uszkodzonej aparatury elektrycznej zakończyła tygodnie "tajemniczych awarii".

Switch zarządzalny z domyślnym hasłem admin/admin lub router z cisco/cisco to nie tylko „słabe zabezpieczenie" — to pełna kontrola nad siecią. Osoba z dostępem do przełącznika może: włączyć port mirroring i podsłuchiwać cały ruch w sieci, zmienić tablice routingu i przekierować ruch przez własną maszynę, wyłączyć porty kluczowych urządzeń, otworzyć backdoor VPN lub po prostu wyeksportować konfigurację z hasłami innych urządzeń.

W realnych przypadkach do naruszenia bezpieczeństwa wystarczył dostęp do jednego urządzenia z domyślnym hasłem — pracownik, podwykonawca z dostępem do sieci WiFi, a nawet fizyczny dostęp do gniazda sieciowego. Kamery z admin/admin to nie tylko podgląd obrazu — często mają dostęp do dalszej części sieci i serwują jako punkt wejścia.

Pracownik podłącza do sieci firmowej własny router WiFi (np. TP-Link w trybie routera, nie AP) — albo technik chwilowo zostawia urządzenie testowe z aktywnym DHCP. Router zaczyna rozgłaszać własne oferty DHCP w całej sieci LAN. Część urządzeń odbiera ofertę od obcego serwera i dostaje adresację z zupełnie innego zakresu — np. 192.168.0.x zamiast firmowego 10.1.0.x. Komputery tracą połączenie z serwerami plików, drukarkami, systemem ERP. Inne urządzenia — szczególnie IoT i kamery — nie mogą się dogadać z nową podsiecią i praktycznie wypadają z sieci.

Diagnoza bez narzędzi zajmuje długo — problem jest niewidoczny, losowy i wygląda jak „coś się samo zepsuło". Sprawdzasz kable, restartujesz switche, dzwonisz do dostawcy internetu.

Sobotni poranek. Ekipa sprzątająca podłącza odkurzacz do gniazdka w korytarzu przy serwerowni. Przeciążenie wyrzuca różnicówkę — i cała szafa: serwer, router, switch, NAS, wyłącza się. Biuro martwe. Nikt nie wie. Sprzątaczki kończą pracę i wychodzą.

Bez monitoringu ten scenariusz kończy się w poniedziałek rano: 8:00, pracownicy przychodzą, nic nie działa — serwer plików, poczta, ERP, VPN. Panika, telefony do IT, technik jedzie w trybie awaryjnym. Przestój całego biura od rana. Z monitoringiem alert przychodzi w sobotę o 9:23 — jest jeszcze cały weekend na spokojną reakcję.

Problem między operatorami internetowymi — routing BGP, awaria peering, awaria łącza tranzytowego. Niezależnie od przyczyny efekt jest ten sam: kilkanaście minut przerwy, podczas których ~300 firm traci dostęp do usługi. Serwery działają, datacenter działa, wina leży poza infrastrukturą operatora — ale klienci tego nie wiedzą. Widzą tylko: "nie działa".

Bez monitoringu przez pierwsze kilkanaście minut nikt po stronie operatora nic nie wie. Klienci dzwonią jeden po drugim. Helpdesk jest zaskoczony, nie ma informacji, nie może potwierdzić ani zaprzeczyć. Frustracja rośnie. Pierwsze "dlaczego was nie stać na porządne łącze" pojawia się po 3 minutach. Z monitoringiem cały łańcuch komunikacji uruchamia się automatycznie — zanim którykolwiek klient zdąży podnieść słuchawkę.

Latem, w piątek po południu, w serwerowni uszkodził się agregat klimatyzacyjny. Temperatura w pomieszczeniu zaczęła rosnąć. Serwery, switche i zasilacze UPS pracują dalej — nie sygnalizują żadnego problemu w sieci. Nikt nic nie wie. Budynek pustoszeje na weekend.

Bez monitoringu temperatury scenariusz jest przewidywalny: w sobotę rano temperatura przekracza próg bezpiecznej pracy, procesory zaczynają throttling, dyski zwalniają, serwery wyłączają się awaryjnie lub — co gorsza — pracują w przeciążeniu termicznym aż do uszkodzenia. Wymiana spalonego sprzętu to tysiące złotych i dni przestoju. Z czujnikiem temperatury i monitoringiem alert wychodzi już przy pierwszym wzroście — wskazane osoby reagują zanim temperatura osiągnie poziom krytyczny.

Operator internetu radiowego obsługuje kilkadziesiąt lokalizacji — maszty, nadajniki na dachach, szafy teletechniczne. W jednej z lokalizacji monitoring traci kontakt z całym sprzętem naraz: routerem, switchem, access pointami. Wszystko jednocześnie — klasyczny objaw braku zasilania. Kilkudziesięciu abonentów w promieniu nadajnika właśnie straciło internet.

Bez automatyzacji scenariusz jest zawsze taki sam: klienci próbują połączenia, nie ma internetu, dzwonią do BOK jeden po drugim. Konsultant nie wie co się stało, odsyła do technika, technik jedzie bez kontekstu. Przez pierwsze 30 minut firma wygląda jak ktoś kto sam nie wie co się dzieje we własnej sieci. Z monitoringiem i automatyczną notyfikacją — zanim którykolwiek klient zdąży wybrać numer, ma już e-mail z informacją że operator wie o problemie i technicy są w drodze.