Jak firewall NGFW chroni firmę przed ransomware

W 2024 roku CERT Polska zarejestrował 147 incydentów ransomware przy łącznej liczbie ponad 100 000 obsłużonych incydentów bezpieczeństwa (+29% rok do roku). Globalnie, według Verizon Data Breach Investigations Report 2025, ransomware pojawia się w 88% naruszeń w sektorze MŚP – ponad dwukrotnie częściej niż w dużych organizacjach. Koszty: średnio 2,73 mln dolarów na samo odtworzenie infrastruktury i 24 dni przestoju (Sophos State of Ransomware 2024).

Na tym tle pytanie „jak firewall chroni przed ransomware?" jest bardzo konkretne. Ten artykuł odpowiada na nie technicznie: które mechanizmy NGFW blokują który etap ataku, skąd firewall czerpie wiedzę o zagrożeniach i gdzie jego ochrona się kończy.

Ransomware w Polsce – skala zagrożenia w liczbach

Dane z czterech niezależnych źródeł rysują spójny obraz:

ENISA Threat Landscape 2024 klasyfikuje ransomware jako drugie największe zagrożenie cybernetyczne w UE (po DDoS), z 18% udziałem w incydentach wymierzonych w sektor usług biznesowych i 17% w produkcję. W Polsce CERT Polska odnotował w 2024 roku ponad 600 000 zgłoszeń (+62% rok do roku) i ponad 100 000 obsłużonych incydentów (+29%).

Sophos State of Ransomware 2024 (n=5000 organizacji, 14 krajów) pokazuje koszty ataku:

• Koszt odtworzenia infrastruktury: średnio 2,73 mln USD – wzrost o 50% rok do roku
• Mediana zapłaconego okupu: 2 mln USD – wzrost 5-krotny wobec 400 000 USD rok wcześniej
• Czas przestoju operacyjnego: średnio 24 dni
• 59% organizacji zostało zaatakowanych ransomware w 2023 roku; 56% zapłaciło okup

Dla firmy z kilkudziesięcioma pracownikami miesiąc przestoju to często więcej niż roczny zysk. Koszt prewencji – sprawnego firewalla NGFW z aktywnymi licencjami – jest wielokrotnie niższy.

Etapy ataku ransomware i gdzie firewall wchodzi do gry

Ransomware nie pojawia się nagle. Każdy skuteczny atak przechodzi przez sekwencję etapów (Cyber Kill Chain), a na każdym z nich obrona może go zatrzymać lub przepuścić dalej.

Firewall NGFW z aktywnymi licencjami blokuje etapy 1–5. Etap 6 – szyfrowanie plików na konkretnym komputerze – to domena EDR (Endpoint Detection and Response), nie firewalla sieciowego. Wrócimy do tego w sekcji o granicach ochrony.

URL Filtering i IPS – jak firewall blokuje dostarczenie ransomware

Phishing jest wektorem inicjującym zdecydowaną większość ataków ransomware. IBM X-Force Threat Intelligence Index 2025 wskazuje phishing jako wiodący wektor dostarczania złośliwego oprogramowania, z 84-procentowym wzrostem dostarczania infostealerów przez phishing rok do roku. Blokada na etapie Delivery to pierwsza i najefektywniejsza linia obrony.

URL Filtering

Cisco Secure Firewall z aktywną licencją TC lub TMC sprawdza każde żądanie HTTP i HTTPS względem bazy Cisco Talos zawierającej ponad 280 milionów ocenionych adresów URL w ponad 80 kategoriach. Zanim przeglądarka pracownika wyśle żądanie do złośliwej domeny, firewall porównuje ją z bazą reputacyjną:

• domeny z kategorii Malware, Phishing, Command and Control — blokowane natychmiast,
• domeny nowo zarejestrowane, bez historii reputacji — traktowane podejrzanie, możliwe blokowanie lub ostrzeżenie,
• domeny o niskim ryzyku z dozwolonych kategorii — przepuszczane.

IPS – Intrusion Prevention System

IPS w Cisco Secure Firewall oparty jest na silniku Snort 3 z bazą sygnatur Cisco Talos. Analizuje ruch sieciowy w czasie rzeczywistym pod kątem znanych wzorców exploitów: prób RCE (Remote Code Execution) przez podatności w przeglądarkach i wtyczkach, exploitów protokołów sieciowych (SMB, RDP), skanowania portów poprzedzającego atak. Talos aktualizuje sygnatury kilkukrotnie dziennie.

AMP i DNS Security – blokada ładunku i komunikacji C2

Advanced Malware Protection (AMP)

Jeśli phishing przeszedł URL Filtering – na przykład przez skrócony link lub kompromitację legalnej domeny – kolejna bariera to analiza pliku przed jego uruchomieniem. AMP w Cisco Secure Firewall wykonuje:

• Analizę reputacji: każdy pobrany plik jest identyfikowany przez hash (SHA-256) i porównywany z bazą miliardów próbek malware. Znane zagrożenia są blokowane natychmiast.
• Sandboxing dla nieznanych plików: plik o nieznanej reputacji jest uruchamiany w izolowanym środowisku wirtualnym i obserwowany – próby szyfrowania, modyfikacje rejestru, wywołania systemowe, komunikacja wychodzące. Decyzja o przepuszczeniu lub zablokowaniu zapada po analizie behawioralnej.
• Retrospektywne wykrywanie: jeśli plik uznany wcześniej za bezpieczny zostanie później zidentyfikowany jako złośliwy, AMP śledzi, gdzie plik trafił, i alarmuje o potencjalnej kompromitacji.

DNS Security – blokada C2

Ransomware zainstalowane na komputerze często musi skontaktować się z serwerem Command & Control (C2), by pobrać klucz szyfrujący, konfigurację lub kolejne etapy ataku. Blokada komunikacji z C2 może znacząco ograniczyć skuteczność ataku lub go uniemożliwić – nawet po tym, jak ransomware trafiło już na endpoint. Część wariantów ransomware posiada jednak wbudowane klucze i nie wymaga aktywnego kontaktu z C2 w momencie szyfrowania, dlatego DNS Security jest ważną warstwą ochrony, nie gwarancją zatrzymania każdego wariantu.

DNS Security w Cisco Secure Firewall blokuje rozwiązywanie nazw domenowych znanych serwerów C2. Cisco Talos utrzymuje bieżącą czarną listę domen C2 aktualizowaną w czasie rzeczywistym.

Segmentacja sieci – jak firewall ogranicza zasięg ransomware

Zakładając najgorszy scenariusz: ransomware trafia do jednego komputera w sieci. Prawidłowo skonfigurowany NGFW z segmentacją ogranicza skalę szkód.

Cisco Secure Firewall egzekwuje polityki między strefami sieci (VLAN). Typowa segmentacja dla firmy MŚP:

Ransomware, który zaszyfrował stację roboczą w sieci pracowniczej, napotyka barierę firewalla przy próbie przejścia do strefy serwerów. Lateral movement jest blokowany na poziomie sieci – o ile polityki segmentacji są prawidłowo zaprojektowane i restrykcyjnie egzekwowane. Zbyt szerokie reguły między VLAN-ami lub otwarte porty administracyjne między strefami mogą ten efekt osłabić.

Polityki segmentacji konfiguruje się w Cisco Firewall Management Center (FMC) dla środowisk wielolokalizacyjnych lub w lokalnym Firewall Device Manager (FDM) dla mniejszych instalacji. Segmentacja jest dostępna od najmniejszego modelu Cisco Secure Firewall – nie wymaga dodatkowych licencji poza bazowym oprogramowaniem urządzenia.

Cisco Talos – skąd pochodzi intelligence chroniące sieć

Wszystkie mechanizmy opisane powyżej – sygnatury IPS, kategorie URL, reputacja domen, listy C2, modele DGA – zasilane są przez Cisco Talos Intelligence Group, jeden z największych komercyjnych zespołów analizy zagrożeń cybernetycznych na świecie.

Dane operacyjne Talos z 2024 roku (Cisco Talos Incident Response):

• Identity-based attacks stanowiły 60% wszystkich przypadków IR w 2024 roku
• Aktorzy ransomware wyłączali narzędzia bezpieczeństwa na endpointach w 48% ataków – co podkreśla wagę ochrony sieciowej, której ransomware z poziomu stacji roboczej nie może wyłączyć
• RansomHub stał się w 2024 roku jednym z najaktywniejszych operatorów ransomware-as-a-service po upadku LockBit

Skala telemetrii Talos przekłada się bezpośrednio na jakość ochrony: nowy wariant ransomware widziany po raz pierwszy przez jedno z 46 milionów urządzeń trafia do bazy sygnatur, chroniąc pozostałe instalacje na długo przed tym, zanim zagrożenie stanie się powszechne.

Czego firewall nie zatrzyma – granice ochrony sieciowej

Uczciwa ocena skuteczności NGFW wymaga wskazania jego granic. Dane Cisco Talos z 2024 roku są jednoznaczne:

Atakujący loguje się przez VPN lub RDP, używając wykradzionych credentials. Firewall widzi poprawne uwierzytelnienie z dozwolonego adresu IP i przepuszcza połączenie. URL Filtering, IPS i AMP nic tu nie zrobią – legalne połączenie VPN nie jest malware.

Co jeszcze nie leży w zakresie firewalla sieciowego:

• Szyfrowanie plików na endpointach – firewall nie widzi procesów na konkretnym komputerze; to domena EDR/XDR
• Ransomware przyniesiony na nośniku fizycznym – pendrive, zewnętrzny dysk
• Kompromitacja łańcucha dostaw oprogramowania – złośliwy update legalnego narzędzia
• Insider threat – administrator z dostępem do systemów i złymi intencjami

Firewall NGFW to kluczowa, ale nie jedyna warstwa ochrony przed ransomware. Minimalna skuteczna architektura dla firmy MŚP:

NIS2 a firewall dla firmy

Ustawa implementująca dyrektywę NIS2 (Ustawa o Krajowym Systemie Cyberbezpieczeństwa) weszła w życie w Polsce 3 kwietnia 2026 roku. Objęte nią podmioty – m.in. produkcja, usługi ICT, e-commerce, ochrona zdrowia, dostawcy energii – mają 12 miesięcy na pełne wdrożenie wymagań. Kary za naruszenia sięgają 100 mln PLN dla podmiotów kluczowych i 70 mln PLN dla ważnych.

Artykuł 21 dyrektywy NIS2 wymaga stosowania środków technicznych proporcjonalnych do ryzyka. Wprost odnoszące się do firewalla zapisy obejmują:

• Polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych (art. 21 ust. 2 lit. a) – NGFW jako udokumentowany środek zarządzania ryzykiem sieciowym
• Bezpieczeństwo sieci i systemów informacyjnych (lit. e) – sprzętowy NGFW z segmentacją i logowaniem zdarzeń
• Kontrola dostępu i zarządzanie zasobami (lit. i) – segmentacja VLAN egzekwowana przez firewall
• Stosowanie MFA i bezpiecznych kanałów komunikacji (lit. j) – firewall jako punkt egzekwowania polityk VPN i dostępu zdalnego

Udokumentowane wdrożenie NGFW z aktywnymi licencjami, segmentacją sieci i logowaniem zdarzeń bezpieczeństwa jest jednym z elementów potwierdzających zgodność z NIS2 podczas ocen prowadzonych przez organy właściwe ds. cyberbezpieczeństwa i nadzoru sektorowego (wskazane w ustawie o KSC dla poszczególnych branż).

Podsumowanie – jak firewall chroni przed ransomware i co wdrożyć

Firewall NGFW blokuje ransomware na pięciu z sześciu etapów Kill Chain: uniemożliwia dotarcie złośliwego linku do przeglądarki (URL Filtering), blokuje exploit sieciowy (IPS), zatrzymuje pobranie złośliwego pliku (AMP), odcina komunikację z serwerem C2 (DNS Security) i ogranicza rozprzestrzenianie przez sieć (segmentacja stref). To znacząca warstwa ochrony, zasilana przez Cisco Talos analizujący 886 miliardów zdarzeń dziennie.

Jednocześnie 70% ataków ransomware w 2024 roku weszło przez skradzione dane logowania – wektor, który firewall bez MFA po stronie użytkownika nie zatrzyma. Skuteczna ochrona to zawsze architektura warstwowa: NGFW + MFA + EDR + backup.