Cz\u0119\u015b\u0107 3 z 4 cyklu o tym, jak dzi\u015b wygl\u0105da ochrona firmy.<\/em><\/p>\n W dw\u00f3ch poprzednich wpisach zbudowali\u015bmy dom z kamerami w \u015brodku i pilnowan\u0105 skrzynk\u0105 na listy. Czas przyzna\u0107, \u017ce metafora domu by\u0142a uproszczeniem. <\/p>\n Twoja firma nie jest jednym domem. Jest osiedlem. <\/p>\n Jest budynek biurowy, w kt\u00f3rym siedz\u0105 ludzie. Jest magazyn. Jest serwerownia, w kt\u00f3rej naprawd\u0119 le\u017cy maj\u0105tek. Jest brama wjazdowa z szlabanem, czyli firewall. Jest portiernia, przez kt\u00f3r\u0105 wchodz\u0105 pracownicy zdalni, czyli VPN. S\u0105 skrytki wynaj\u0119te poza osiedlem, czyli chmura. Jest system kart do drzwi, czyli us\u0142uga katalogowa, kt\u00f3ra decyduje, kto gdzie mo\u017ce wej\u015b\u0107. I jest jeszcze podwykonawca, kt\u00f3ry ma w\u0142asny klucz, bo serwisuje Wam klimatyzacj\u0119. <\/p>\n Ka\u017cde z tych miejsc prowadzi w\u0142asny dziennik zdarze\u0144. I w wi\u0119kszo\u015bci firm nikt nigdy tych dziennik\u00f3w nie zestawia ze sob\u0105.<\/strong><\/p>\n<\/div> Wtorek, 2:14 w nocy. W dzienniku portierni pojawiaj\u0105 si\u0119 cztery nieudane pr\u00f3by wej\u015bcia na konto pracownika ksi\u0119gowo\u015bci, wszystkie z adresu w innym kraju. Nikt tego nie widzi, bo nikt o drugiej w nocy nie czyta dziennika portierni. <\/p>\n 2:17. Pi\u0105ta pr\u00f3ba ko\u0144czy si\u0119 powodzeniem. Formalnie wszystko jest w porz\u0105dku: prawid\u0142owy login, prawid\u0142owe has\u0142o. Portier wpuszcza. <\/p>\n 2:31. W systemie kart pojawia si\u0119 nowe konto z uprawnieniami administratora. Kto\u015b je za\u0142o\u017cy\u0142, ale takie rzeczy zdarzaj\u0105 si\u0119 przy pracach serwisowych, wi\u0119c gdyby kto\u015b to zobaczy\u0142 rano, pewnie machn\u0105\u0142by r\u0119k\u0105. <\/p>\n 3:05. Z serwera plik\u00f3w wychodzi 40 gigabajt\u00f3w danych na adres, z kt\u00f3rym nigdy wcze\u015bniej si\u0119 nie \u0142\u0105czyli\u015bcie. <\/p>\n Ka\u017cde z tych czterech zdarze\u0144 z osobna jest niewinne albo przynajmniej wyt\u0142umaczalne. Ka\u017cde zapisano w innym miejscu, w innym formacie, przez inne urz\u0105dzenie. Dopiero zestawione razem, w tej kolejno\u015bci i w tym oknie czasowym<\/strong>, opowiadaj\u0105 jedn\u0105, bardzo konkretn\u0105 histori\u0119. <\/p>\n Zestawianie takich \u015blad\u00f3w to zadanie systemu klasy SIEM.<\/p>\n<\/div><\/div><\/div><\/div><\/div> SIEM to pomieszczenie, w kt\u00f3rym na jednej \u015bcianie zbiegaj\u0105 si\u0119 obrazy ze wszystkich kamer i wszystkie dzienniki ze wszystkich budynk\u00f3w. Nie zast\u0119puje ochrony poszczeg\u00f3lnych obiekt\u00f3w. Daje co\u015b, czego \u017caden pojedynczy budynek nie ma: widok na ca\u0142o\u015b\u0107 i na kolejno\u015b\u0107 zdarze\u0144<\/strong>. <\/p>\n W praktyce robi cztery rzeczy.<\/p>\n Zbiera <\/strong><\/p>\n Przyjmuje zapisy ze wszystkiego, co je generuje: firewalla, VPN, prze\u0142\u0105cznik\u00f3w, serwer\u00f3w, us\u0142ugi katalogowej, poczty, aplikacji chmurowych, system\u00f3w biznesowych, ochrony stacji roboczych. Sprowadza je do wsp\u00f3lnego formatu, bo ka\u017cdy producent zapisuje zdarzenia po swojemu i uk\u0142ada na jednej osi czasu. <\/p>\n Koreluje <\/strong><\/p>\n Szuka wzorc\u00f3w roz\u0142o\u017conych na kilka \u017ar\u00f3de\u0142, takich jak ten z przyk\u0142adu powy\u017cej. To jest ta funkcja, kt\u00f3rej nie da si\u0119 zast\u0105pi\u0107 czytaniem log\u00f3w po kolei, cho\u0107by kto\u015b mia\u0142 na to czas. <\/p>\n Wie, czego szuka\u0107 <\/strong><\/p>\n To najbardziej niedoceniana cz\u0119\u015b\u0107. Sam zbi\u00f3r log\u00f3w jest bezu\u017cyteczny bez regu\u0142, kt\u00f3re m\u00f3wi\u0105, co jest podejrzane, a napisanie i utrzymanie takich regu\u0142 przekracza mo\u017cliwo\u015bci wi\u0119kszo\u015bci firm. <\/p>\n Dlatego w rozwi\u0105zaniu, o kt\u00f3rym m\u00f3wimy, regu\u0142y detekcji przychodz\u0105 gotowe i s\u0105 utrzymywane przez zesp\u00f3\u0142 badawczy dostawcy: oko\u0142o tysi\u0105ca regu\u0142 opisuj\u0105cych konkretne techniki napastnik\u00f3w, powi\u0105zanych z powszechnie stosowanym katalogiem technik ataku MITRE ATT&CK. Gdy w Europie rusza nowa kampania, regu\u0142a j\u0105 wykrywaj\u0105ca pojawia si\u0119 u wszystkich klient\u00f3w, bez Twojego udzia\u0142u. Kupujesz nie tylko oprogramowanie, ale te\u017c czyj\u0105\u015b aktualn\u0105 wiedz\u0119 o tym, jak dzisiaj wygl\u0105da atak. <\/p>\n Reaguje i porz\u0105dkuje <\/strong><\/p>\n Powtarzalne czynno\u015bci mo\u017cna zautomatyzowa\u0107 scenariuszami: zablokuj konto, odetnij urz\u0105dzenie, za\u0142\u00f3\u017c zg\u0142oszenie w systemie obs\u0142ugi, dopisz do alertu kontekst z innych \u017ar\u00f3de\u0142, powiadom w\u0142a\u015bciw\u0105 osob\u0119. Dzi\u0119ki temu cz\u0142owiek dostaje spraw\u0119 ju\u017c wst\u0119pnie opracowan\u0105, zamiast surowego alarmu o trzeciej w nocy.<\/p>\n<\/div><\/div><\/div><\/div><\/div> Za co dok\u0142adnie p\u0142acisz?<\/strong> Klasyczne systemy SIEM rozliczaj\u0105 si\u0119 od ilo\u015bci przes\u0142anych danych. Brzmi uczciwie, dop\u00f3ki nie zauwa\u017cysz, jaki tworzy to bodziec: im wi\u0119cej log\u00f3w wysy\u0142asz, tym wi\u0119cej p\u0142acisz, wi\u0119c firmy zaczynaj\u0105 wy\u0142\u0105cza\u0107 \u017ar\u00f3d\u0142a, \u017ceby zmie\u015bci\u0107 si\u0119 w bud\u017cecie. Ko\u0144czy si\u0119 to centrum monitoringu, do kt\u00f3rego celowo nie pod\u0142\u0105czono po\u0142owy kamer. Model rozliczany od liczby chronionych zasob\u00f3w, a nie od gigabajt\u00f3w, usuwa ten konflikt: pod\u0142\u0105czasz wszystko, co masz, i z g\u00f3ry wiesz, ile to kosztuje. <\/p>\n Gdzie le\u017c\u0105 Twoje dane?<\/strong> Logi bezpiecze\u0144stwa to jeden z najbardziej wra\u017cliwych zbior\u00f3w w firmie, bo opisuj\u0105 jej wn\u0119trze lepiej ni\u017c jakakolwiek dokumentacja. Platforma dzia\u0142aj\u0105ca w europejskiej chmurze, podlegaj\u0105ca europejskim przepisom, jest tu wyborem, kt\u00f3ry znacznie \u0142atwiej obroni\u0107 przed audytorem i przed zarz\u0105dem. <\/p>\n Jak d\u0142ugo trzyma zapisy?<\/strong> W\u0142amania wychodz\u0105 na jaw z op\u00f3\u017anieniem. Je\u015bli logi z ostatniego kwarta\u0142u ju\u017c nie istniej\u0105, dochodzenie ko\u0144czy si\u0119, zanim si\u0119 zacznie. To tak\u017ce wym\u00f3g formalny, o czym w nast\u0119pnym wpisie.<\/p>\n<\/div><\/div><\/div><\/div><\/div> Najcz\u0119stsze pytanie, jakie dostajemy w tym miejscu: skoro mam ju\u017c XDR, po co mi jeszcze SIEM? <\/p>\n To nie s\u0105 konkurenci, tylko dwa r\u00f3\u017cne wymiary. <\/p>\n Ochrona stacji roboczych daje g\u0142\u0119bi\u0119<\/strong>. Wie o komputerze wszystko: ka\u017cdy proces, ka\u017cdy plik, ka\u017cde po\u0142\u0105czenie. Ale wie tylko o urz\u0105dzeniach, na kt\u00f3rych jest zainstalowana. <\/p>\n SIEM daje szeroko\u015b\u0107<\/strong>. Nie zna takich szczeg\u00f3\u0142\u00f3w, ale widzi wszystko: firewall, VPN, drukark\u0119 sieciow\u0105, serwer bez agenta, konto w chmurze, sterownik na produkcji. <\/p>\n Napastnik porusza si\u0119 mi\u0119dzy tymi \u015bwiatami, bo to jego naturalna droga: przej\u0119te has\u0142o, potem VPN, potem serwer plik\u00f3w. Widz\u0105c tylko jeden z nich, widzisz fragment. Dopiero razem daj\u0105 obraz, na podstawie kt\u00f3rego mo\u017cna podj\u0105\u0107 decyzj\u0119.<\/p>\n<\/div><\/div><\/div><\/div><\/div> SIEM nie jest urz\u0105dzeniem, kt\u00f3re si\u0119 w\u0142\u0105cza<\/strong>. Trzeba do niego pod\u0142\u0105czy\u0107 \u017ar\u00f3d\u0142a, ustali\u0107, co jest normalne w Waszej firmie, i przez pierwsze tygodnie wycisza\u0107 fa\u0142szywe alarmy. Bez tego etapu dostajecie kosztowny magazyn log\u00f3w i zm\u0119czenie zespo\u0142u. <\/p>\n SIEM tym bardziej nie jest ochroniarzem<\/strong>. Zbiera i pokazuje, ale kto\u015b musi patrze\u0107 i decydowa\u0107. Je\u015bli w firmie nie ma osoby, kt\u00f3ra to we\u017amie, sensowniej od razu rozmawia\u0107 o wariancie z obs\u0142ug\u0105 po naszej stronie ni\u017c kupowa\u0107 platform\u0119, w kt\u00f3r\u0105 nikt nie b\u0119dzie zagl\u0105da\u0142. Powiemy to wprost tak\u017ce wtedy, gdy b\u0119dzie oznacza\u0107 mniejsz\u0105 sprzeda\u017c, bo alternatyw\u0105 jest niezadowolony klient po pierwszym powa\u017cnym incydencie.<\/p>\n<\/div><\/div><\/div><\/div><\/div> Do tej pory pisali\u015bmy o tym, co warto mie\u0107. W ostatnim wpisie cyklu zajmiemy si\u0119 tym, co trzeba <\/strong>mie\u0107, bo od kwietnia 2026 cz\u0119\u015b\u0107 z tych element\u00f3w przesta\u0142a by\u0107 kwesti\u0105 rozs\u0105dku, a sta\u0142a si\u0119 obowi\u0105zkiem prawnym z konkretnymi terminami i karami.<\/p>\n<\/div><\/div><\/div><\/div><\/div> _____________________________________<\/p>\nDlaczego pojedynczy zapis niczego nie m\u00f3wi?<\/h3><\/div>
Centrum monitoringu dla ca\u0142ego osiedla<\/h3><\/div>
Trzy rzeczy, o kt\u00f3re warto zapyta\u0107 przy wyborze<\/h3><\/div>
Czym to si\u0119 r\u00f3\u017cni od ochrony stacji roboczych?<\/h3><\/div>
B\u0105d\u017amy uczciwi w dw\u00f3ch sprawach<\/h3><\/div>
W nast\u0119pnej cz\u0119\u015bci<\/span><\/span>\u00a0<\/span><\/h3><\/div>
Zaobserwuj nas po wi\u0119cej<\/strong><\/h1>\n