# Jak wykryć ruch lateralny i beaconing C2

> Jak ruch lateralny i beaconing command-and-control wyglądają w sieci, mapowanie na techniki MITRE ATT&CK i jak je wykrywać w praktyce.

Source page: https://netsenx.com/pl/detect-lateral-movement-c2-beaconing

Ostatnia weryfikacja: 6 listopada 2026

Ruch lateralny to przechodzenie atakującego z pierwszej przejętej maszyny na kolejne, zwykle przez logowanie skradzionymi poświadczeniami do usług zdalnych. Beaconing C2 (command-and-control) to przejęte oprogramowanie, które w regularnych odstępach melduje się na serwerze atakującego po instrukcje. Jedno i drugie musi przejść przez sieć, więc oba da się wykryć w ruchu sieciowym, nawet szyfrowanym: ruch lateralny jako nietypowe sesje między hostami w protokołach administracyjnych, beaconing jako stały rytm małych połączeń z jednym celem.

## Fakt, od którego warto zacząć

We wspólnych wytycznych z 7 lutego 2024 r. CISA, NSA, FBI i agencje partnerskie ostrzegły, że atakujący „żyjący z zasobów ofiary” (living off the land) używają tych samych legalnych narzędzi co administratorzy, przez co ich działania wtapiają się w normalną pracę, i zaleciły utrzymywanie linii bazowych normalnej aktywności sieci, użytkowników i administratorów, by wychwytywać odstępstwa.

Źródło: [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)

## Jak je wykrywać

Cztery praktyki, które działają z każdym narzędziem i które NetSenX automatyzuje.

1. **Utrzymuj linię bazową tego, kto z kim się komunikuje** Ruch lateralny widać tylko na tle normy. Zapisz, które hosty zwykle łączą się z którymi serwerami i na jakich portach: stacja robocza, która nagle otwiera sesje SMB lub RDP do dziesięciu serwerów, wyraźnie odstaje od tej linii.
2. **Obserwuj ruch wschód–zachód, nie tylko brzeg sieci** Ruch między hostami w sieci LAN nigdy nie przechodzi przez firewall brzegowy. Umieść port SPAN lub TAP albo sensor w każdym segmencie, który musisz widzieć.
3. **Szukaj rytmu, nie treści** Beaconing widać jako połączenia z jednym celem w niemal stałych odstępach, często z małymi wiadomościami podobnej wielkości i niewielkim losowym jitterem. Czas i wolumen pozostają widoczne, gdy sesja jest szyfrowana.
4. **Koreluj zdarzenia między hostami** Kilka hostów wysyłających beacony do tej samej nowej domeny albo jeden host, który najpierw skanuje, a potem loguje się na przeskanowane maszyny, to silniejszy sygnał niż pojedyncze połączenie.

## Mapowanie na MITRE ATT&CK

Nazwy i identyfikatory technik pochodzą od MITRE. Ostatnia kolumna podaje kategorię detekcji NetSenX, do której należy taki ruch; nie oznacza, że wykrywany jest każdy wariant techniki.

| Technika | Jak to wygląda w sieci | Detekcja NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Jeden host łączy się w krótkim czasie z wieloma adresami lub portami wewnętrznymi. | Skanowanie |
| [T1021](https://attack.mitre.org/techniques/T1021/) Remote Services (Lateral Movement) | Stacja robocza otwiera sesje SMB, RDP, SSH lub WinRM do serwerów albo innych stacji, z których nigdy wcześniej nie korzystała. | Ruch lateralny |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Małe, regularne połączenia z tym samym celem zewnętrznym przez HTTPS, dniem i nocą. | Beaconing C2 |
| [T1573](https://attack.mitre.org/techniques/T1573/) Encrypted Channel (Command and Control) | Ten sam rytm wewnątrz TLS: czas, wolumen, cel i handshake są widoczne bez odszyfrowania. | Beaconing C2, z metadanych |
| [T1041](https://attack.mitre.org/techniques/T1041/) Exfiltration Over C2 Channel (Exfiltration) | Host wysyłający beacony nagle przesyła tym samym kanałem dużo więcej danych na zewnątrz. | Nietypowy wolumen danych wychodzących |
| [T1048](https://attack.mitre.org/techniques/T1048/) Exfiltration Over Alternative Protocol (Exfiltration) | Duże transfery wychodzące protokołem, którego host normalnie do tego nie używa. | Nietypowy wolumen danych wychodzących |

## Co NetSenX robi już dziś

- Wykrywa skanowanie, ruch lateralny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także Free.
- Od planu Pro łączy hosty w graf tego, kto z kim się komunikuje, więc skanowanie, po którym pojawiają się nowe sesje zdalne, albo kilka hostów wysyłających beacony do jednego celu układają się w jedną historię zamiast w rozproszone alerty.
- Podaje w alercie technikę MITRE ATT&CK, jeśli detekcja jej odpowiada, i pokazuje w widoku pokrycia, których technik dotyczą włączone detekcje.
- Analizuje ruch szyfrowany na podstawie czasu, wolumenu i celów, a od planu Starter także handshake'u TLS, nigdy go nie odszyfrowując. Handshake jest widoczny tylko tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik na porcie SPAN albo TAP, nie w trybie podstawowym używanym na macOS.

## Czego NetSenX nie robi

NetSenX widzi ruch lateralny tylko tam, gdzie przechodzi on przez monitorowany segment: sesja między dwoma hostami w niemonitorowanym segmencie albo działanie, które nie opuszcza jednej maszyny, są poza jego zasięgiem. Nie odczytuje treści szyfrowanych sesji, nie zastępuje reagowania na incydenty i nie twierdzi, że wychwytuje każdy wariant każdej techniki ATT&CK wymienionej na tej stronie.

## Pytania kupujących

### Czym jest ruch lateralny w cyberbezpieczeństwie?

Ruch lateralny to sposób, w jaki atakujący przechodzi z pierwszej przejętej maszyny na kolejne, zwykle ze skradzionymi poświadczeniami przez usługi zdalne, takie jak SMB, RDP, SSH czy WinRM. MITRE ATT&CK opisuje go jako taktykę TA0008; usługi zdalne to technika T1021.

### Jak wykryć beaconing C2?

Szukaj hosta, który łączy się z tym samym celem zewnętrznym w niemal regularnych odstępach, przez całą dobę, wysyłając małe wiadomości podobnej wielkości. Ten wzorzec widać w danych o przepływach i logach firewalla, a także w ruchu szyfrowanym, bo czas, wolumen i cel nie są szyfrowane.

### Czy ruch lateralny da się wykryć w ruchu szyfrowanym?

W dużej mierze tak: kto łączy się z kim, na jakim porcie, kiedy i ile danych przesyła, widać bez odszyfrowania. Ukryta pozostaje treść sesji, np. polecenia wysyłane w szyfrowanej sesji zdalnej.

### Które techniki MITRE ATT&CK widzi detekcja sieciowa?

Te, które wytwarzają ruch między maszynami, np. Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) i Exfiltration Over C2 Channel (T1041). Techniki, które nie wychodzą poza jeden host, to zadanie narzędzi na urządzeniach końcowych.

## Źródła

- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)
- [MITRE ATT&CK — Command and Control (TA0011)](https://attack.mitre.org/tactics/TA0011/)

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

## Powiązane strony

- [Jak sprawdzić, czy ktoś jest w Twojej sieci](https://netsenx.com/pl/is-someone-inside-your-network)
- [Jak wykryć ransomware w sieci](https://netsenx.com/pl/detect-ransomware-on-the-network)
- [Analiza zaszyfrowanego ruchu](https://netsenx.com/pl/encrypted-traffic-analysis)
- [NDR, EDR czy SIEM](https://netsenx.com/pl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Funkcje](https://netsenx.com/pl/features)
- [Monitoring sieci pod NIS2](https://netsenx.com/pl/nis2-network-monitoring)