# Jak wykryć ransomware w sieci

> Sygnały w ruchu sieciowym, które poprzedzają szyfrowanie przez ransomware, zmapowane na MITRE ATT&CK, oraz co wykrywanie sieciowe potrafi, a czego nie.

Source page: https://netsenx.com/pl/detect-ransomware-on-the-network

Ostatnia weryfikacja: 7 listopada 2026

Wykrywanie ransomware w sieci polega na wychwyceniu ataku na etapach, które poprzedzają zaszyfrowanie pierwszego pliku. Napastnik musi najpierw dostać się na maszynę, połączyć się z własnym serwerem, znaleźć serwery plików i kopie zapasowe, przejść na nie, a w większości obecnych ataków także wyprowadzić dane, by mieć drugi środek nacisku. Każdy z tych kroków przechodzi przez sieć i zostawia wzorzec: regularne połączenia z zewnętrznym serwerem, jeden host skanujący wiele innych, nowe sesje administracyjne, duży transfer danych w nocy. Szyfrowanie to ostatni krok i ten, który sieć widzi najsłabiej.

## Fakt, od którego warto zacząć

We wspólnym komunikacie AA24-131A, opublikowanym po raz pierwszy 10 maja 2024 r., CISA, FBI i agencje partnerskie podały, że afilianci grupy Black Basta zaatakowali ponad 500 organizacji na świecie, stosowali model podwójnego wymuszenia, czyli szyfrowali systemy i wyprowadzali dane, a do wyprowadzania danych przed szyfrowaniem używali narzędzia RClone.

Źródło: [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)

## Sygnały w sieci, w kolejności, w jakiej zwykle się pojawiają

Żaden z nich sam nie dowodzi ransomware. Widziane w tej kolejności albo razem zasługują na sprawdzenie jeszcze tego samego dnia.

1. **Nowy zewnętrzny serwer, z którym host łączy się regularnie** Stacja robocza zaczyna łączyć się z celem, którego nikt inny nie używa, co kilka minut, w dzień i w nocy. To często kanał command-and-control napastnika albo narzędzie zdalnego dostępu, którego nikt nie zatwierdził.
2. **Jeden host skanujący sieć wewnętrzną** Przejęta maszyna sprawdza wewnętrzne zakresy adresów pod kątem otwartych portów SMB (445), RDP (3389) i baz danych, szukając serwerów plików, kopii zapasowych i kontrolerów domeny.
3. **Nowe sesje administracyjne do wielu serwerów** Zdalne sesje SMB, RDP lub WinRM ze stacji roboczej do serwerów, z którymi nigdy się nie łączyła, często poza godzinami pracy, pokazują, że napastnik zbliża się do danych.
4. **Duży transfer na zewnątrz, zanim cokolwiek zostanie zaszyfrowane** Kopiowanie danych do chmury, na przykład narzędziem RClone, widać jako nietypowy wolumen danych wychodzących z serwera, który zwykle wysyła niewiele, często w nocy.
5. **Intensywne odczytywanie i nadpisywanie udziałów sieciowych** Gdy zaczyna się szyfrowanie, jeden klient w krótkim czasie odczytuje i nadpisuje duże ilości danych na udziałach sieciowych. Na tym etapie najważniejsze jest odizolowanie.

## Mapowanie na MITRE ATT&CK

Nazwy i identyfikatory technik pochodzą od MITRE. Ostatnia kolumna podaje kategorię detekcji NetSenX, do której należy taki ruch; nie oznacza, że wykrywany jest każdy wariant techniki.

| Technika | Jak to wygląda w sieci | Detekcja NetSenX |
|---|---|---|
| [T1046](https://attack.mitre.org/techniques/T1046/) Network Service Discovery (Discovery) | Jeden host łączący się w krótkim czasie z wieloma adresami wewnętrznymi na portach SMB, RDP lub baz danych. | Skanowanie |
| [T1021.002](https://attack.mitre.org/techniques/T1021/002/) Remote Services: SMB/Windows Admin Shares (Lateral Movement) | Stacja robocza otwierająca sesje SMB z udziałami administracyjnymi na serwerach, z którymi nigdy się nie łączyła. | Ruch boczny |
| [T1071](https://attack.mitre.org/techniques/T1071/) Application Layer Protocol (Command and Control) | Małe, regularne połączenia z jednym zewnętrznym celem przez HTTPS, w dzień i w nocy. | Beaconing C2 |
| [T1567.002](https://attack.mitre.org/techniques/T1567/002/) Exfiltration Over Web Service: Exfiltration to Cloud Storage (Exfiltration) | Serwer wysyłający do usługi przechowywania w chmurze znacznie więcej danych niż zwykle. | Nietypowy wolumen danych wychodzących |
| [T1486](https://attack.mitre.org/techniques/T1486/) Data Encrypted for Impact (Impact) | Szyfrowanie działa na hostach. Gdy obejmuje udziały sieciowe, jeden klient odczytuje i nadpisuje duże ilości danych przez SMB. | Brak dedykowanej detekcji: NetSenX obserwuje kroki, które je poprzedzają |

## Co NetSenX robi już dziś

- Wykrywa skanowanie, ruch boczny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także w Free.
- Wyjaśnia każdy alert prostym językiem, wymieniając cechy ruchu, które wpłynęły na jego ocenę, więc mały zespół odróżni włamanie od nowego zadania kopii zapasowej.
- Podaje w alercie technikę MITRE ATT&CK, jeśli detekcja jej odpowiada, i pokazuje w widoku pokrycia, które techniki obejmują włączone detekcje.
- Śledzi terminy z art. 23 NIS2, jeśli incydent okaże się poważny, i przygotowuje dla Twojego IOD zgłoszenie naruszenia z art. 33 RODO.

## Czego NetSenX nie robi

NetSenX nie zatrzymuje szyfrowania na hoście, nie przywraca plików i nie ma dedykowanej detekcji samego szyfrowania: to obszar ochrony punktów końcowych (EDR) i kopii zapasowych offline. Widzi tylko monitorowane segmenty i nigdy nie deszyfruje ruchu. Atak, który zaczyna się i kończy na jednej maszynie, daje sieci niewiele do zobaczenia, a alert to powód do sprawdzenia, a nie dowód ransomware.

## Pytania kupujących

### Jakie są wczesne sygnały ransomware w sieci?

Regularne połączenia stacji roboczej z nowym zewnętrznym serwerem, jeden host skanujący wewnętrzne zakresy pod kątem portów SMB, RDP lub baz danych, nowe sesje administracyjne do wielu serwerów i duży transfer do chmury z serwera, który zwykle wysyła niewiele. Zwykle pojawiają się w tej kolejności, zanim jakikolwiek plik zostanie zaszyfrowany.

### Czy monitoring sieci wykryje ransomware przed szyfrowaniem?

Często tak, bo kroki przed szyfrowaniem przechodzą przez sieć: połączenia command-and-control, skanowanie, ruch boczny i kradzież danych. To okno, w którym atak da się jeszcze zatrzymać. Nie każdy atak pokazuje wszystkie te kroki, a atak zamknięty na jednej maszynie daje sieci niewiele do zobaczenia.

### Czy NetSenX zatrzymuje ransomware?

Nie. NetSenX zgłasza zachowanie w sieci, które zwykle poprzedza ransomware, więc zespół może działać, póki jest czas. Izolowanie hostów, usunięcie napastnika i odtworzenie danych pozostają po stronie Twojego zespołu, ochrony punktów końcowych i kopii zapasowych.

### Co zrobić najpierw, gdy widzimy te sygnały?

Odłączyć dotknięte hosty od sieci, zachować ich logi, zresetować dane logowania używane na nich i zadzwonić do firmy reagującej na incydenty. Jeśli organizacja podlega NIS2, termin 24 godzin na wczesne ostrzeżenie biegnie od chwili, gdy dowiesz się o poważnym incydencie.

## Źródła

- [CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a)
- [MITRE ATT&CK — Data Encrypted for Impact (T1486)](https://attack.mitre.org/techniques/T1486/)
- [Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

## Powiązane strony

- [Jak wykryć ruch lateralny i beaconing C2](https://netsenx.com/pl/detect-lateral-movement-c2-beaconing)
- [Jak sprawdzić, czy ktoś jest w Twojej sieci](https://netsenx.com/pl/is-someone-inside-your-network)
- [Monitoring sieci pod NIS2](https://netsenx.com/pl/nis2-network-monitoring)
- [Czym jest NDR?](https://netsenx.com/pl/what-is-ndr)
- [Cennik i plan Free](https://netsenx.com/pl/pricing)