Część 3 z 4 cyklu o tym, jak dziś wygląda ochrona firmy.

W dwóch poprzednich wpisach zbudowaliśmy dom z kamerami w środku i pilnowaną skrzynką na listy. Czas przyznać, że metafora domu była uproszczeniem.

Twoja firma nie jest jednym domem. Jest osiedlem.

Jest budynek biurowy, w którym siedzą ludzie. Jest magazyn. Jest serwerownia, w której naprawdę leży majątek. Jest brama wjazdowa z szlabanem, czyli firewall. Jest portiernia, przez którą wchodzą pracownicy zdalni, czyli VPN. Są skrytki wynajęte poza osiedlem, czyli chmura. Jest system kart do drzwi, czyli usługa katalogowa, która decyduje, kto gdzie może wejść. I jest jeszcze podwykonawca, który ma własny klucz, bo serwisuje Wam klimatyzację.

Każde z tych miejsc prowadzi własny dziennik zdarzeń. I w większości firm nikt nigdy tych dzienników nie zestawia ze sobą.

Wtorek, 2:14 w nocy. W dzienniku portierni pojawiają się cztery nieudane próby wejścia na konto pracownika księgowości, wszystkie z adresu w innym kraju. Nikt tego nie widzi, bo nikt o drugiej w nocy nie czyta dziennika portierni.

2:17. Piąta próba kończy się powodzeniem. Formalnie wszystko jest w porządku: prawidłowy login, prawidłowe hasło. Portier wpuszcza.

2:31. W systemie kart pojawia się nowe konto z uprawnieniami administratora. Ktoś je założył, ale takie rzeczy zdarzają się przy pracach serwisowych, więc gdyby ktoś to zobaczył rano, pewnie machnąłby ręką.

3:05. Z serwera plików wychodzi 40 gigabajtów danych na adres, z którym nigdy wcześniej się nie łączyliście.

Każde z tych czterech zdarzeń z osobna jest niewinne albo przynajmniej wytłumaczalne. Każde zapisano w innym miejscu, w innym formacie, przez inne urządzenie. Dopiero zestawione razem, w tej kolejności i w tym oknie czasowym, opowiadają jedną, bardzo konkretną historię.

Zestawianie takich śladów to zadanie systemu klasy SIEM.

SIEM to pomieszczenie, w którym na jednej ścianie zbiegają się obrazy ze wszystkich kamer i wszystkie dzienniki ze wszystkich budynków. Nie zastępuje ochrony poszczególnych obiektów. Daje coś, czego żaden pojedynczy budynek nie ma: widok na całość i na kolejność zdarzeń.

W praktyce robi cztery rzeczy.

Zbiera

Przyjmuje zapisy ze wszystkiego, co je generuje: firewalla, VPN, przełączników, serwerów, usługi katalogowej, poczty, aplikacji chmurowych, systemów biznesowych, ochrony stacji roboczych. Sprowadza je do wspólnego formatu, bo każdy producent zapisuje zdarzenia po swojemu i układa na jednej osi czasu.

Koreluje

Szuka wzorców rozłożonych na kilka źródeł, takich jak ten z przykładu powyżej. To jest ta funkcja, której nie da się zastąpić czytaniem logów po kolei, choćby ktoś miał na to czas.

Wie, czego szukać

To najbardziej niedoceniana część. Sam zbiór logów jest bezużyteczny bez reguł, które mówią, co jest podejrzane, a napisanie i utrzymanie takich reguł przekracza możliwości większości firm.

Dlatego w rozwiązaniu, o którym mówimy, reguły detekcji przychodzą gotowe i są utrzymywane przez zespół badawczy dostawcy: około tysiąca reguł opisujących konkretne techniki napastników, powiązanych z powszechnie stosowanym katalogiem technik ataku MITRE ATT&CK. Gdy w Europie rusza nowa kampania, reguła ją wykrywająca pojawia się u wszystkich klientów, bez Twojego udziału. Kupujesz nie tylko oprogramowanie, ale też czyjąś aktualną wiedzę o tym, jak dzisiaj wygląda atak.

Reaguje i porządkuje

Powtarzalne czynności można zautomatyzować scenariuszami: zablokuj konto, odetnij urządzenie, załóż zgłoszenie w systemie obsługi, dopisz do alertu kontekst z innych źródeł, powiadom właściwą osobę. Dzięki temu człowiek dostaje sprawę już wstępnie opracowaną, zamiast surowego alarmu o trzeciej w nocy.

Za co dokładnie płacisz? Klasyczne systemy SIEM rozliczają się od ilości przesłanych danych. Brzmi uczciwie, dopóki nie zauważysz, jaki tworzy to bodziec: im więcej logów wysyłasz, tym więcej płacisz, więc firmy zaczynają wyłączać źródła, żeby zmieścić się w budżecie. Kończy się to centrum monitoringu, do którego celowo nie podłączono połowy kamer. Model rozliczany od liczby chronionych zasobów, a nie od gigabajtów, usuwa ten konflikt: podłączasz wszystko, co masz, i z góry wiesz, ile to kosztuje.

Gdzie leżą Twoje dane? Logi bezpieczeństwa to jeden z najbardziej wrażliwych zbiorów w firmie, bo opisują jej wnętrze lepiej niż jakakolwiek dokumentacja. Platforma działająca w europejskiej chmurze, podlegająca europejskim przepisom, jest tu wyborem, który znacznie łatwiej obronić przed audytorem i przed zarządem.

Jak długo trzyma zapisy? Włamania wychodzą na jaw z opóźnieniem. Jeśli logi z ostatniego kwartału już nie istnieją, dochodzenie kończy się, zanim się zacznie. To także wymóg formalny, o czym w następnym wpisie.

Najczęstsze pytanie, jakie dostajemy w tym miejscu: skoro mam już XDR, po co mi jeszcze SIEM?

To nie są konkurenci, tylko dwa różne wymiary.

Ochrona stacji roboczych daje głębię. Wie o komputerze wszystko: każdy proces, każdy plik, każde połączenie. Ale wie tylko o urządzeniach, na których jest zainstalowana.

SIEM daje szerokość. Nie zna takich szczegółów, ale widzi wszystko: firewall, VPN, drukarkę sieciową, serwer bez agenta, konto w chmurze, sterownik na produkcji.

Napastnik porusza się między tymi światami, bo to jego naturalna droga: przejęte hasło, potem VPN, potem serwer plików. Widząc tylko jeden z nich, widzisz fragment. Dopiero razem dają obraz, na podstawie którego można podjąć decyzję.

SIEM nie jest urządzeniem, które się włącza. Trzeba do niego podłączyć źródła, ustalić, co jest normalne w Waszej firmie, i przez pierwsze tygodnie wyciszać fałszywe alarmy. Bez tego etapu dostajecie kosztowny magazyn logów i zmęczenie zespołu.

SIEM tym bardziej nie jest ochroniarzem. Zbiera i pokazuje, ale ktoś musi patrzeć i decydować. Jeśli w firmie nie ma osoby, która to weźmie, sensowniej od razu rozmawiać o wariancie z obsługą po naszej stronie niż kupować platformę, w którą nikt nie będzie zaglądał. Powiemy to wprost także wtedy, gdy będzie oznaczać mniejszą sprzedaż, bo alternatywą jest niezadowolony klient po pierwszym poważnym incydencie.

Do tej pory pisaliśmy o tym, co warto mieć. W ostatnim wpisie cyklu zajmiemy się tym, co trzeba mieć, bo od kwietnia 2026 część z tych elementów przestała być kwestią rozsądku, a stała się obowiązkiem prawnym z konkretnymi terminami i karami.