Co to jest…? Pojęcia sieci i bezpieczeństwa

Zapora sieciowa to urządzenie lub program, który decyduje, które połączenia sieciowe są dozwolone, a resztę blokuje, według ustalonych reguł. Zwykle stoi między siecią biura a internetem, a czasem między segmentami wewnętrznymi, na przykład między komputerami biurowymi a maszynami produkcyjnymi. Reguła może brzmieć: komputery w biurze mogą łączyć się z internetem na portach WWW, ale nikt z zewnątrz nie może połączyć się z serwerem plików. Zapora jest niezbędna, ale ocenia połączenia tylko według swoich reguł; nie zauważy intruza, który korzysta z dozwolonego połączenia. Wykrywanie w sieci obserwuje to, co dzieje się w tych dozwolonych połączeniach.

Router to urządzenie, które łączy jedną sieć z drugą i przekazuje między nimi ruch, najczęściej sieć biura z internetem. Decyduje, dokąd ma trafić każdy pakiet danych, trochę jak sortownia poczty. W małych biurach router często pełni też rolę zapory, punktu dostępowego Wi-Fi i urządzenia, które przydziela komputerom adresy. Ponieważ przechodzi przez niego wszystko, co opuszcza Twoją sieć, router ma znaczenie dla bezpieczeństwa: aktualizuj jego oprogramowanie, zmień domyślne hasło administratora, wyłącz zdalną administrację z internetu i od czasu do czasu sprawdzaj listę podłączonych urządzeń.

Przełącznik sieciowy to skrzynka z wieloma gniazdami, która łączy ze sobą komputery, drukarki i serwery w jednym biurze i wysyła każdy fragment ruchu tylko do urządzenia, dla którego jest przeznaczony. Przełączniki niezarządzalne po prostu działają po podłączeniu. Zarządzalne można konfigurować: potrafią dzielić sieć na osobne segmenty (VLAN) i kopiować ruch na port monitorujący, co nazywa się mirroringiem portów lub SPAN. Ta kopia pozwala czujnikowi sieciowemu widzieć ruch między urządzeniami, nie stojąc mu na drodze. Jeśli planujesz monitoring sieci, sprawdź, czy Twój główny przełącznik jest zarządzalny.

VLAN (virtual local area network, wirtualna sieć lokalna) to sposób na podział jednej fizycznej sieci na kilka oddzielnych za pomocą ustawień przełącznika, tak by urządzenia z jednego VLAN nie mogły rozmawiać bezpośrednio z urządzeniami z innego. Firma może umieścić komputery biurowe, Wi-Fi dla gości, terminale płatnicze i kamery w różnych VLAN i dopuścić tylko połączenia potrzebne każdej grupie. Ogranicza to zasięg infekcji. VLAN jest tak dobry jak reguły między VLAN, zwykle ustawione na routerze lub zaporze, a te z czasem się rozjeżdżają. Obserwacja ruchu między segmentami pokazuje, czy zaplanowana separacja naprawdę działa.

Adres IP (Internet Protocol) to numer identyfikujący urządzenie w sieci, aby dało się do niego dostarczyć dane, jak adres pocztowy dla komputerów. W biurze urządzenia mają zwykle adresy prywatne, na przykład 192.168.1.20, które nie są bezpośrednio osiągalne z internetu; router ma adres publiczny, który widzi świat zewnętrzny. Adresy mogą się zmieniać, gdy urządzenie łączy się ponownie, dlatego narzędzia bezpieczeństwa zapisują też nazwę urządzenia lub jego adres sprzętowy. Gdy alert podaje adres IP, pierwszym krokiem jest zwykle ustalenie, które urządzenie miało ten adres w danym czasie.

Adres MAC (media access control) to identyfikator sprzętowy wbudowany w każdy interfejs sieciowy, na przykład kartę Wi-Fi lub gniazdo kablowe laptopa, zapisywany jako sześć par znaków, np. 3C:22:FB:1A:4D:90. Urządzenia w tej samej sieci lokalnej używają go, by dostarczać sobie dane. W przeciwieństwie do adresu IP zwykle nie zmienia się przy ponownym połączeniu, więc pomaga rozpoznać urządzenie w czasie, choć nowoczesne telefony i laptopy często używają w Wi-Fi losowych adresów MAC dla prywatności. Inwentarze sieci używają adresów MAC razem z nazwami urządzeń, by je rozróżniać.

DHCP (Dynamic Host Configuration Protocol) to usługa, która automatycznie przydziela każdemu urządzeniu adres IP i podstawowe ustawienia sieci, gdy się podłącza, więc nikt nie musi wpisywać ich ręcznie. W małych biurach zwykle prowadzi ją router, w większych firmach serwer. Serwer DHCP przechowuje listę, które urządzenie dostało który adres i kiedy, czyli dzierżawy. Ta lista przydaje się w bezpieczeństwie: pomaga ustalić, które urządzenie miało adres podany w alercie, i ujawnia urządzenia, o których podłączeniu nie wiedziałeś. Przechowuj te zapisy tak długo, jak może ich potrzebować dochodzenie.

DNS (Domain Name System) to spis internetu: tłumaczy nazwy takie jak netsenx.com na adresy IP, których komputery potrzebują do połączenia. Za każdym razem, gdy ktoś otwiera stronę albo aplikacja łączy się z serwerem, zwykle najpierw odbywa się zapytanie DNS. Dlatego DNS przydaje się w bezpieczeństwie: nazwy, o które pyta urządzenie, pokazują, dokąd próbuje się połączyć, także z serwerem malware lub niezatwierdzoną usługą AI. Napastnicy też nadużywają DNS, na przykład ukrywając dane w zapytaniach, co nazywa się tunelowaniem DNS. Kierowanie DNS przez własne resolwery i przechowywanie ich logów pomaga w dochodzeniach.

NAT (network address translation) to technika, dzięki której router pozwala wielu urządzeniom z adresami prywatnymi korzystać z jednego publicznego adresu internetowego. Gdy komputer w biurze łączy się ze stroną, router zastępuje jego prywatny adres swoim publicznym i pamięta, która odpowiedź należy do którego urządzenia. Dzięki NAT urządzenia w biurze domyślnie nie są bezpośrednio osiągalne z internetu, co pomaga, ale NAT nie jest zaporą: reguły przekierowania portów mogą celowo otworzyć drogę do środka. W dochodzeniach NAT oznacza, że strony zewnętrzne widzą tylko adres routera, więc to Twoje logi muszą pokazać, które urządzenie wewnątrz to było.

Port sieciowy to numer określający, do której usługi na urządzeniu jest skierowane połączenie, dzięki czemu jeden komputer może jednocześnie prowadzić serwer WWW, serwer poczty i dostęp zdalny. Typowe przykłady: port 443 dla bezpiecznych stron, 22 dla zdalnej administracji przez SSH, 3389 dla pulpitu zdalnego i 445 dla udostępniania plików. Port jest otwarty, gdy nasłuchuje na nim usługa. Otwarte porty wystawione do internetu to częsty punkt wejścia dla napastników, dlatego warto wiedzieć, które masz. Skanowanie portów to sprawdzanie przez kogoś wielu portów, by znaleźć otwarte.

Pakiet sieciowy to mała porcja danych przesyłana przez sieć; większe wiadomości, pliki i strony są dzielone na wiele pakietów i składane z powrotem na drugim końcu. Każdy pakiet ma nagłówek, jak koperta listu, z adresami i portami nadawcy i odbiorcy, oraz treść. Szyfrowanie chroni treść, ale duża część nagłówka pozostaje czytelna, by sieć mogła pakiet dostarczyć. Narzędzia bezpieczeństwa przechwytujące pakiety mogą odczytać te nagłówki i kilka nieszyfrowanych pól protokołów; NetSenX robi to tam, gdzie włączono przechwytywanie pakietów, i nigdy nie odszyfrowuje treści.

Protokół sieciowy to uzgodniony zestaw zasad wymiany danych między urządzeniami, dzięki któremu sprzęt różnych producentów się rozumie. Jedne protokoły przenoszą dane (TCP i UDP), inne odnajdują adresy (DHCP, ARP), tłumaczą nazwy (DNS), chronią dane (TLS) albo służą konkretnym celom, jak SSH do zdalnej administracji, SMB do udostępniania plików czy Modbus do maszyn przemysłowych. Narzędzia bezpieczeństwa rozpoznają protokoły, by zrozumieć, co robi połączenie. Nieoczekiwany protokół, na przykład ruch zdalnej administracji z drukarki albo polecenia przemysłowe z laptopa biurowego, często jest sygnałem wartym sprawdzenia.

Podsieć to zakres adresów IP tworzący jedną część sieci, na przykład od 192.168.10.0 do 192.168.10.255 dla biura i inny zakres dla serwerów. Podział sieci na podsieci, zwykle razem z VLAN, grupuje urządzenia i pozwala routerowi lub zaporze kontrolować ruch między grupami. Administratorzy zapisują podsieci w krótkiej formie, np. 192.168.10.0/24, gdzie liczba po ukośniku mówi, jak duży jest zakres. W raportach bezpieczeństwa skanowanie podsieci oznacza, że jedno urządzenie zapukało do wielu adresów w tym zakresie, co często jest znakiem, że ktoś mapuje sieć.

LAN (local area network, sieć lokalna) to sieć wewnątrz jednego budynku lub lokalizacji, łącząca jej komputery, drukarki i serwery. WAN (wide area network, sieć rozległa) łączy sieci na odległość, na przykład kilka biur tej samej firmy albo lokalizację z internetem. Ruch wewnątrz LAN często nigdy nie przechodzi przez zaporę na brzegu internetu, więc sama zapora nie widzi przejętego komputera atakującego stojący obok serwer plików. Ten ruch wewnętrzny, nazywany czasem ruchem wschód-zachód, obserwuje wykrywanie w sieci na porcie lustrzanym. Łącza między lokalizacjami, często VPN, zasługują na tę samą uwagę.

Serwer proxy to pośrednik, który nawiązuje połączenia w imieniu innych urządzeń: komputer prosi proxy o stronę, a proxy ją pobiera. Firmy używają proxy do filtrowania stron, prowadzenia logów dostępu do sieci WWW lub buforowania treści. Niektóre proxy sprawdzają ruch szyfrowany, odszyfrowując go i szyfrując ponownie, co wymaga zainstalowania firmowego certyfikatu na każdym urządzeniu i rodzi pytania o prywatność. Napastnicy też używają proxy, by ukryć, skąd pochodzi ich ruch. Czujnik sieciowy, który widzi połączenia gromadzące się w stronę jednego nieoczekiwanego proxy lub usługi anonimizującej, znalazł coś wartego sprawdzenia. NetSenX nigdy nie odszyfrowuje ruchu i nie działa jako proxy.

Network TAP (test access point) to małe urządzenie sprzętowe wpinane w kabel sieciowy, które kopiuje cały przechodzący ruch na port monitorujący, nie zmieniając ani nie opóźniając oryginalnego ruchu. Robi to samo co port lustrzany w zarządzalnym przełączniku, ale działa na dowolnym kablu i nie gubi pakietów, gdy przełącznik jest obciążony. TAP-y są popularne tam, gdzie przełączniki są niezarządzalne, w sieciach przemysłowych albo gdy audytor chce niezależnej kopii. W NetSenX agent na hoście podłączonym do TAP-a obserwuje cały segment i liczy się jako jedno urządzenie.

NetFlow i podobne formaty, takie jak IPFIX i sFlow, to podsumowania połączeń sieciowych, które mogą eksportować routery i przełączniki: kto z kim rozmawiał, na jakich portach, kiedy oraz ile bajtów i pakietów przesłano. Rekord przepływu jest jak billing telefoniczny: wymienia rozmowy, ale nie to, co powiedziano. Dane o przepływach pomagają w planowaniu przepustowości i wychwytywaniu nietypowych wolumenów lub celów, a ich przechowywanie jest tańsze niż pełnego ruchu. Pomijają szczegóły, takie jak odpowiedzi DNS czy uzgadnianie TLS. NetSenX czyta własną kopię ruchu z agenta lub portu lustrzanego, zamiast polegać wyłącznie na eksportowanych rekordach przepływów.

ARP (Address Resolution Protocol) to sposób, w jaki urządzenia w sieci lokalnej odnajdują adres sprzętowy należący do adresu IP, na przykład by dostarczyć ruch do routera. Ponieważ ARP ufa każdej odpowiedzi, która nadejdzie, napastnik w tej samej sieci może wysyłać fałszywe odpowiedzi i podszywać się pod router lub inne urządzenie. To ARP spoofing, który pozwala napastnikowi czytać lub zmieniać przechodzący ruch, czyli jedna z form ataku man-in-the-middle. Zarządzalne przełączniki mają przed tym zabezpieczenia. NetSenX zgłasza alerty o ARP spoofingu od planu Pro, w monitorowanych segmentach.

TCP (Transmission Control Protocol) i UDP (User Datagram Protocol) to dwa główne sposoby przesyłania danych przez sieci. TCP zestawia połączenie, numeruje pakiety i wysyła ponownie zagubione, więc wszystko dociera w całości i we właściwej kolejności; korzystają z niego strony WWW, poczta i transfery plików. UDP po prostu wysyła pakiety bez sprawdzania, co jest szybsze i pasuje do rozmów głosowych, wideo, zapytań DNS i części nowszego ruchu WWW. Dla narzędzi bezpieczeństwa różnica ma znaczenie: połączenie TCP ma wyraźny początek i koniec, a ruch UDP narzędzie musi samo pogrupować. Skanowania i zalewy mogą używać obu.

ICMP (Internet Control Message Protocol) przenosi komunikaty kontrolne i o błędach między urządzeniami, takie jak host nieosiągalny. Ping to najprostsze narzędzie, które go używa: wysyła krótką wiadomość pod adres i czeka na odpowiedź, by sprawdzić, czy urządzenie jest osiągalne i jak szybko. Administratorzy używają pinga codziennie. Napastnicy też, by odkryć, które adresy są aktywne, zanim je przeskanują, a zalewy komunikatów ICMP mogą przeciążyć łącze lub urządzenie. Wiele zapór ogranicza ICMP z internetu. NetSenX zgłasza alert o zalewie ICMP w każdym planie.

SMB (Server Message Block) to protokół, którego większość sieci biurowych używa do udostępniania plików i drukarek, na przykład gdy otwierasz dokument na dysku sieciowym. Ponieważ daje dostęp do danych firmy i służy też do zdalnej administracji, napastnicy mocno na nim polegają, gdy są już w środku: do kopiowania danych, przenoszenia się na inne maszyny i, w atakach ransomware, szyfrowania plików na udziałach. SMB nigdy nie powinien być osiągalny z internetu. Wewnątrz sieci stacja robocza, która nagle otwiera sesje SMB do wielu serwerów, to klasyczny znak ruchu lateralnego, który NetSenX oznacza w każdym planie.

Kontroler domeny to serwer, który sprawdza logowania i przechowuje centralną listę użytkowników, komputerów i uprawnień w wielu sieciach firmowych, zwykle w oparciu o Active Directory firmy Microsoft. Gdy ktoś loguje się do firmowego komputera, kontroler domeny potwierdza, kim jest i do czego ma dostęp. To czyni go najcenniejszym celem napastnika: kto go kontroluje, kontroluje konta firmy. Chroń go osobnymi kontami administratorów, uwierzytelnianiem wieloskładnikowym tam, gdzie to możliwe, i ścisłym dostępem sieciowym. Stacja robocza, która nagle w nietypowy sposób rozmawia z kontrolerem domeny, jest warta sprawdzenia.

NTP (Network Time Protocol) synchronizuje zegary komputerów i urządzeń sieciowych z dokładnym źródłem czasu. Brzmi to błaho, ale od tego zależy każdy log, alert i oś czasu incydentu. Jeśli zapora spieszy się o pięć minut, serwer o dwie godziny, a rejestrator kamer ma ustawiony zły rok, nikt nie odtworzy, co wydarzyło się w jakiej kolejności, a dowody dla ubezpieczycieli, audytorów czy organów stają się słabe. Skieruj wszystkie urządzenia na to samo wiarygodne źródło czasu, od czasu do czasu sprawdzaj, czy są zgodne, i zapisz strefę czasową logów. To jedno z najtańszych zabezpieczeń, jakie istnieją.

Syslog to od dawna stosowany standard wysyłania komunikatów logów z urządzeń takich jak zapory, przełączniki, routery i serwery do jednego centralnego miejsca. Zamiast tego, by każde urządzenie trzymało własny mały log nadpisywany po kilku dniach, wszystkie wysyłają komunikaty do serwera logów lub SIEM (security information and event management). Centralne logi trudniej usunąć napastnikowi i łatwiej je przeszukać, gdy trzeba ustalić, co się stało. Sprawdź, czy ważne urządzenia wysyłają gdzieś syslog, czy zegary są poprawne i czy magazyn przechowuje wystarczającą historię na potrzeby dochodzenia.

SNMP (Simple Network Management Protocol) pozwala administratorom monitorować, a czasem konfigurować urządzenia sieciowe, takie jak przełączniki, drukarki i routery: ich stan, liczniki ruchu i ustawienia. Jest bardzo popularny i bardzo stary. Starsze wersje chronią dostęp tylko wspólnym słowem, tzw. community string, często pozostawionym domyślnie jako public lub private, co pozwala każdemu w sieci odczytać, a nawet zmienić ustawienia urządzeń. Tam, gdzie to możliwe, używaj SNMP w wersji 3 z właściwymi danymi uwierzytelniającymi, zmieniaj ustawienia domyślne i ograniczaj, które hosty mogą odpytywać urządzenia. Ruch SNMP z nieoczekiwanego hosta może oznaczać, że ktoś mapuje sieć.

Stacja końcowa, czyli endpoint, to urządzenie na końcu połączenia sieciowego, z którego bezpośrednio korzystają ludzie lub programy: laptopy, komputery stacjonarne, serwery, telefony i tablety, a czasem drukarki lub terminale. Ochrona stacji końcowych to zabezpieczenia instalowane na tych urządzeniach, od antywirusa po EDR (endpoint detection and response). Pojęcie ma znaczenie, bo wiele produktów bezpieczeństwa obejmuje wyłącznie stacje końcowe. Urządzenia, na których takie oprogramowanie nie działa, jak kamery, sterowniki budynkowe czy maszyny przemysłowe, nie są przez nie chronione, podobnie jak stacja, której ochronę wyłączono. Wykrywanie w sieci obserwuje je wszystkie przez ich ruch.

W sieci host to każde urządzenie z adresem, które wysyła lub odbiera ruch: komputer, serwer, drukarka, telefon, kamera albo maszyna wirtualna. Narzędzia bezpieczeństwa mówią o hostach, a nie o komputerach, bo w atakach często biorą udział urządzenia, o których nikt nie myśli jak o komputerach. Gdy alert mówi, że host wykonuje beaconing lub skanowanie, pierwsze zadanie to ustalić, które fizyczne lub wirtualne urządzenie to jest i kto jest jego właścicielem. W cenniku NetSenX urządzenie oznacza host z agentem NetSenX; jeden agent na porcie lustrzanym obserwuje każdy host w tym segmencie.

DMZ (demilitarised zone, strefa zdemilitaryzowana) to osobny segment sieci dla serwerów, które muszą być osiągalne z internetu, takich jak publiczny serwer WWW, brama pocztowa czy brama dostępu zdalnego, oddzielony od sieci wewnętrznej. Jeśli jeden z tych wystawionych serwerów zostanie przejęty, reguły zapory między DMZ a siecią wewnętrzną ograniczają, dokąd napastnik może dotrzeć dalej. Idea jest prosta: to, co jest wystawione do internetu, nie powinno stać obok serwera plików. Uważnie obserwuj ruch z DMZ do systemów wewnętrznych; serwer z DMZ, który zaczyna nowe sesje do środka, to silny znak kłopotów.

Ruch przychodzący (ingress) to dane wchodzące do Twojej sieci z zewnątrz; ruch wychodzący (egress) to dane, które ją opuszczają. Tradycyjnie większość wysiłku idzie w ruch przychodzący, czyli zatrzymanie napastników w drzwiach. Ruch wychodzący zasługuje na tyle samo uwagi, bo niemal każdy atak musi coś wysłać na zewnątrz: malware łączący się z serwerem sterującym, wynoszone dane albo pracownicy wysyłający pliki firmy do niezatwierdzonych usług. Proste reguły dla ruchu wychodzącego, na przykład dopuszczanie DNS na zewnątrz tylko z własnych resolwerów, już pomagają. NetSenX uważnie obserwuje ruch wychodzący: beaconing do zewnętrznych serwerów i nietypowe wolumeny danych wychodzących wywołują alerty w każdym planie.

Ruch północ-południe płynie między Twoją siecią a światem zewnętrznym, na przykład z komputera biurowego do internetu; ruch wschód-zachód płynie między urządzeniami wewnątrz sieci, na przykład z komputera do serwera plików. Zapora na brzegu widzi ruch północ-południe, ale zwykle nie wschód-zachód. Gdy napastnik jest już w środku, większość jego pracy to ruch wschód-zachód: skanowanie, logowanie się na inne maszyny, kopiowanie danych na serwer pośredni. Dlatego ruch wewnętrzny, widziany z portu lustrzanego wewnątrz sieci, to miejsce, w którym ujawnia się ruch lateralny. NetSenX obserwuje oba kierunki w monitorowanych segmentach.

Przepustowość to ilość danych, jaką połączenie może przenieść w sekundę, jak szerokość drogi; opóźnienie to czas, w jakim dane docierają, jak czas przejazdu. Rozmowa wideo potrzebuje umiarkowanej przepustowości i niskiego opóźnienia; nocna kopia zapasowa potrzebuje przepustowości, ale znosi opóźnienie. Oba pojęcia mają znaczenie dla bezpieczeństwa na dwa sposoby. Nagły skok przepustowości wychodzącej z jednego urządzenia może oznaczać kradzież danych lub infekcję malware. A narzędzia bezpieczeństwa wpięte w linię ruchu mogą dodawać opóźnienie, czego nie robią czujniki pasywne na porcie lustrzanym, bo dostają tylko kopię.

WPA2 i WPA3 (Wi-Fi Protected Access, wersje 2 i 3) to standardy bezpieczeństwa, które szyfrują ruch Wi-Fi i kontrolują, kto może dołączyć do sieci bezprzewodowej. WPA3 jest nowszy i lepiej chroni przed zgadywaniem haseł. W biurze używaj WPA2 lub WPA3 z silnym hasłem, a jeszcze lepiej trybu enterprise, w którym każda osoba loguje się własnym kontem, dzięki czemu dostęp osoby odchodzącej można odebrać bez zmiany hasła wszystkim. Gości trzymaj w osobnej sieci, która nie ma dostępu do urządzeń wewnętrznych. Starych standardów, takich jak WEP i WPA, nie należy już używać.

API (application programming interface) to określony sposób, w jaki jeden program komunikuje się z drugim, na przykład gdy program księgowy pobiera transakcje bankowe albo system zgłoszeń odbiera alerty bezpieczeństwa. API są zwykle chronione kluczami lub tokenami, które działają jak hasła dla programów. Klucze te są cenne dla napastników, więc przechowuj je bezpiecznie, dawaj każdemu tylko potrzebne uprawnienia, regularnie je wymieniaj i usuwaj, gdy integracja nie jest już używana. NetSenX oferuje dostęp przez API od planu Pro, więc alerty i dane mogą trafiać do Twoich własnych narzędzi.

Logowanie jednokrotne (SSO, single sign-on) pozwala ludziom zalogować się raz jednym kontem firmowym, a potem korzystać z wielu aplikacji bez osobnych haseł do każdej. Centralny dostawca tożsamości sprawdza logowanie, najlepiej z uwierzytelnianiem wieloskładnikowym, i informuje każdą aplikację, kim jest dana osoba, często za pomocą standardu SAML lub OpenID Connect. SSO jest dobre dla bezpieczeństwa, bo jest mniej haseł do kradzieży, a osoby odchodzące tracą dostęp wszędzie naraz po wyłączeniu ich konta. Druga strona jest taka, że centralne konto staje się bardzo cenne, więc trzeba je dobrze chronić. W NetSenX SSO z SAML jest dostępne w planie Enterprise.

NAC (network access control) sprawdza urządzenia, zanim zostaną wpuszczone do sieci, na przykład wymagając firmowego certyfikatu, aktualnego systemu operacyjnego lub znanego adresu sprzętowego, zanim port przełącznika lub sieć Wi-Fi je przyjmie. Nieznane urządzenia mogą zostać odrzucone albo skierowane do sieci dla gości. NAC zmniejsza ryzyko, że ktoś po prostu podłączy się do gniazdka w ścianie, ale nie obserwuje, co wpuszczone urządzenia robią potem: przejęty firmowy laptop przejdzie kontrolę. Wykrywanie w sieci uzupełnia NAC, obserwując zachowanie urządzeń, gdy są już w sieci.

Malware to każde oprogramowanie napisane po to, by szkodzić komputerowi lub sieci: kraść dane, szyfrować pliki dla okupu, szpiegować użytkowników albo dać napastnikowi zdalną kontrolę. Wirusy, robaki, trojany, ransomware i spyware to odmiany malware. Najczęściej trafia ono do firmy przez załącznik e-mail, złośliwy link, fałszywy plik do pobrania albo niezałatany serwis wystawiony do internetu. Antywirus i EDR szukają go na każdym komputerze. Gdy malware już działa, zwykle musi komunikować się przez sieć, ze swoim operatorem lub z innymi maszynami, i właśnie ten ruch obserwuje czujnik sieciowy, taki jak NetSenX.

Wszystkie trzy to malware, ale rozprzestrzeniają się inaczej. Wirus dołącza się do pliku lub programu i rozchodzi się, gdy ktoś ten plik otworzy lub przekaże dalej. Robak rozprzestrzenia się sam po sieci, zwykle przez podatność, bez udziału użytkownika, dlatego potrafi zainfekować setki maszyn w kilka minut. Trojan udaje coś pożytecznego, na przykład fakturę lub darmowe narzędzie, więc użytkownik sam go instaluje; nie kopiuje się, ale często otwiera tylne drzwi. Z punktu widzenia obrońcy robak jest najgłośniejszy w sieci, bo szybko skanuje i łączy się z wieloma maszynami.

Atak DDoS (Distributed Denial of Service, rozproszona odmowa usługi) zalewa stronę, serwer lub łącze internetowe takim ruchem z tylu źródeł, że prawdziwi użytkownicy nie mogą się przebić. Ruch pochodzi zwykle z botnetu przejętych maszyn, więc zablokowanie jednego adresu nic nie daje. Ataki służą często do wymuszeń albo do odwrócenia uwagi zespołu bezpieczeństwa, gdy dzieje się coś innego. Ochronę zapewnia dostawca internetu, firma hostingowa lub wyspecjalizowana usługa anty-DDoS, które pochłaniają zalew, zanim do Ciebie dotrze. Narzędzie do wykrywania zagrożeń w Twojej sieci nie zatrzyma DDoS; może pomóc sprawdzić, czy Twoje własne maszyny w nim nie uczestniczą.

Atak brute force polega na próbowaniu kolejnych haseł, aż któreś zadziała: przy logowaniu do poczty, VPN, pulpitu zdalnego lub serwera SSH. Nowsze odmiany korzystają z list wyciekłych haseł albo próbują jednego popularnego hasła na wielu kontach (password spraying), by uniknąć blokady. Obrona jest dobrze znana: długie, unikalne hasła, uwierzytelnianie dwuskładnikowe, blokada konta po nieudanych próbach i niewystawianie usług logowania na cały internet. Rozstrzygającym zapisem są logi logowania samej usługi. W sieci wiele nieudanych połączeń z usługą logowania w krótkim czasie tworzy widoczny wzorzec, a NetSenX szuka go w każdym planie, w ruchu, który widzi.

Skanowanie portów to sprawdzanie, które porty sieciowe są otwarte na maszynie lub w zakresie adresów, by ustalić, jakie usługi działają, na przykład strona WWW, udział plików czy pulpit zdalny. Administratorzy skanują własne sieci, żeby zrobić inwentaryzację. Napastnicy skanują, by znaleźć drogę do środka, a po wejściu skanują ponownie od wewnątrz, szukając kolejnego celu. Skany z internetu trafiają w każdy publiczny adres przez cały dzień i są w większości szumem. Skan rozpoczęty z komputera wewnątrz Twojej sieci to co innego i często jeden z pierwszych widocznych śladów intruza. NetSenX wykrywa skanowanie w każdym planie.

W ataku man-in-the-middle napastnik potajemnie wchodzi pomiędzy dwie strony, które sądzą, że rozmawiają bezpośrednio, na przykład między laptop a router albo użytkownika a stronę internetową. Stamtąd może czytać ruch, kraść hasła lub zmieniać przesyłane dane. Typowe metody to fałszywe hotspoty Wi-Fi, ARP spoofing w sieci lokalnej i sztuczki, które każą urządzeniu zaufać niewłaściwemu serwerowi. Szyfrowanie z prawidłowo sprawdzanymi certyfikatami, jak HTTPS, udaremnia większość prób. NetSenX zgłasza alerty o ARP spoofingu od planu Pro, co obejmuje najczęstszą odmianę tego ataku w sieci lokalnej.

Podatność to słabość, którą napastnik może wykorzystać, by zrobić coś, czego nie powinien móc: uruchomić własny kod, odczytać dane albo ominąć logowanie. Może to być błąd w oprogramowaniu, domyślne hasło, którego nikt nie zmienił, źle skonfigurowana usługa albo stary protokół, którego nikt nie wyłączył. Podatności w popularnych produktach dostają publiczne identyfikatory i oceny powagi, więc można sprawdzić, czy dotyczą Twojej firmy. Nie każda podatność jest równie ważna: ta w bramie VPN dostępnej z internetu jest znacznie pilniejsza niż ta w programie, do którego nikt nie ma dostępu. Pierwszy krok to wiedzieć, czego używasz i co jest wystawione.

Exploit to fragment kodu lub technika, która wykorzystuje konkretną podatność, by zmusić system do zrobienia tego, czego chce napastnik. Podatność to otwarte okno, exploit to ktoś, kto przez nie wchodzi. Gdy exploit na popularny produkt zostanie opublikowany, napastnicy często w ciągu dni, a czasem godzin, przeszukują cały internet w poszukiwaniu podatnych systemów. Dlatego tak ważne jest szybkie łatanie systemów dostępnych z internetu. Po udanym ataku napastnik zwykle nawiązuje nowe połączenia, pobiera narzędzia albo przechodzi na inne maszyny, a ta aktywność bywa widoczna w sieci, nawet gdy sam exploit nie był.

Poprawka bezpieczeństwa, czyli patch, to aktualizacja od producenta oprogramowania lub sprzętu, która usuwa podatność. Poprawki wychodzą dla systemów operacyjnych, przeglądarek, pakietów biurowych, firewalli, bram VPN, drukarek i urządzeń przemysłowych. Ich szybka instalacja to jedno z najskuteczniejszych zabezpieczeń, bo większość ataków korzysta ze znanych podatności, a nie z nowych. Najpierw łataj systemy dostępne z internetu, potem wszystko inne według stałego harmonogramu. Niektórych systemów nie da się załatać, na przykład starych maszyn sterujących produkcją; one potrzebują innej ochrony, jak osobny segment sieci i monitorowanie, z czym się komunikują.

CVE (Common Vulnerabilities and Exposures) to publiczny identyfikator znanej podatności, zapisywany na przykład jako CVE-2024-3400: rok, potem numer. Listę prowadzi organizacja MITRE wraz z partnerami, a numer CVE pozwala producentom, zespołom bezpieczeństwa i narzędziom mówić o dokładnie tym samym problemie. Gdy producent publikuje biuletyn bezpieczeństwa, wymienia w nim naprawione CVE. Gdy czytasz, że jakieś CVE jest aktywnie wykorzystywane, sprawdź, czy używasz tego produktu i tej wersji, i zainstaluj poprawkę lub obejście zalecane przez producenta. Unia Europejska prowadzi też własną bazę podatności, obsługiwaną przez ENISA.

CVSS (Common Vulnerability Scoring System) przypisuje podatności ocenę powagi od 0 do 10, na podstawie m.in. tego, czy da się ją zaatakować przez sieć, czy potrzebne jest logowanie i co napastnik może dzięki niej zrobić. Oceny od 9,0 wzwyż oznacza się jako krytyczne. Ocena pomaga sortować, ale opisuje podatność ogólnie, a nie Twoją sytuację. Krytyczna podatność w systemie, do którego nikt nie ma dostępu, może znaczyć mniej niż średnia w VPN wystawionym do internetu. Łącz ocenę z dwoma pytaniami: czy to jest u nas wystawione i czy wiadomo, że jest teraz wykorzystywane?

Zero-day to podatność, którą napastnicy znają i wykorzystują, zanim producent wyda poprawkę, więc obrońcy mieli zero dni na załatanie. Zero-daye są cenne i używa się ich głównie w atakach celowanych, choć niektóre później rozchodzą się szeroko. Ponieważ nie ma poprawki, a często także sygnatury, narzędzia szukające wyłącznie znanych zagrożeń nie widzą samego exploita. Pomaga to, co dzieje się potem: przejęta maszyna zaczyna zachowywać się inaczej, łączy się z nowymi miejscami, skanuje albo przesyła dane. W ten etap celuje wykrywanie oparte na zachowaniu w sieci, a dobre kopie zapasowe i segmentacja ograniczają szkody.

TTP to skrót od Tactics, Techniques and Procedures (taktyki, techniki i procedury): opisują, jak działa napastnik, a nie jakiego pliku czy adresu używa. Taktyka to cel, na przykład dostanie się do środka, ukrycie się lub kradzież danych. Technika to sposób osiągnięcia celu, na przykład kradzież haseł albo przechodzenie między maszynami narzędziami zdalnymi. Procedury to konkretne kroki danej grupy. Wspólnym katalogiem technik jest framework MITRE ATT&CK. TTP są ważne, bo napastnicy łatwo zmieniają adresy i pliki, ale nawyki zmieniają powoli, więc wykrywanie zachowań starcza na dłużej niż blokowanie listy znanych wskaźników.

Threat intelligence to informacje o napastnikach i ich metodach, które pomagają się bronić: znane złośliwe adresy i domeny, odciski plików, opisy aktywnych kampanii i branż, w które celują. Pochodzą od dostawców bezpieczeństwa, krajowych CSIRT-ów, organizacji branżowych i publicznych źródeł. Są najbardziej przydatne, gdy są aktualne i dotyczą Twojej firmy; lista miliona starych adresów generuje głównie szum. Dla małej firmy praktyczną formą są zwykle dane wbudowane w narzędzia, które już masz, plus ostrzeżenia krajowego CSIRT-u o wykorzystywanych podatnościach. Uzupełniają one obserwację własnej sieci, ale jej nie zastępują.

Powierzchnia ataku to wszystko, czego napastnik mógłby użyć, by dostać się do środka: serwery dostępne z internetu, bramy VPN, konta pocztowe, narzędzia zdalnego dostępu, usługi chmurowe, telefony i laptopy pracowników, dostawcy z dostępem, a nawet nieużywane otwarte porty. Im jest większa, tym więcej trzeba bronić. Zmniejszenie jej bywa tańsze niż obrona: wyłącz usługi, z których nikt nie korzysta, zamknij zdalny dostęp otwarty na cały internet, usuń stare konta i ogranicz dostęp dostawców. Dobrym pierwszym ćwiczeniem jest spisanie, co wystawiasz do internetu; lista jest zwykle dłuższa, niż się wydaje.

Aktor zagrożenia to ten, kto stoi za atakiem: grupa przestępcza, zespół wspierany przez państwo, haktywista, pojedyncza osoba albo ktoś z wewnątrz, na przykład niezadowolony pracownik. Używa się tego pojęcia, bo decyzje podejmuje człowiek lub grupa, a nie program. Większość ataków na małe i średnie firmy prowadzą grupy przestępcze nastawione na pieniądze, zwykle przez ransomware, wymuszenia lub oszustwa na fakturach, a ofiary wybierają według okazji, a nie nazwy. Wiedza, którzy aktorzy celują w Twoją branżę, pomaga ustalić, w co inwestować najpierw, ale podstawowe zabezpieczenia są wobec prawie wszystkich te same.

APT (advanced persistent threat, zaawansowane trwałe zagrożenie) to sprawny i dobrze wyposażony napastnik, często wspierany przez państwo, który atakuje konkretne organizacje i stara się długo pozostać w środku niezauważony, zwykle w celach szpiegowskich lub sabotażowych. Zaawansowany, bo używa własnych narzędzi i ostrożnych metod; trwały, bo wraca. Jego celami są administracja, obronność, energetyka i ich dostawcy, i właśnie tak średnie firmy trafiają w zasięg. Taki napastnik unika głośnego malware i używa zwykłych narzędzi administracyjnych, więc ślady są głównie behawioralne: nietypowe połączenia między wewnętrznymi maszynami i cichy, regularny kontakt z zewnętrznymi serwerami.

False positive to alert o czymś niegroźnym: narzędzie mówi „atak”, a to była kopia zapasowa albo nowy program. False negative to atak, który narzędzie przeoczyło. Każde narzędzie do wykrywania popełnia oba rodzaje błędów, a one ciągną w przeciwne strony: zwiększysz czułość, będzie więcej fałszywych alarmów; wyciszysz narzędzie, więcej przeoczysz. Zbyt wiele false positive jest groźne na swój sposób, bo ludzie przestają czytać alerty. Porównując narzędzia, pytaj, jak radzą sobie z fałszywymi alarmami i jak oznacza się taki alarm, zamiast ufać jednej liczbie skuteczności.

SOC (security operations centre, centrum operacji bezpieczeństwa) to zespół wraz z narzędziami, który obserwuje alerty bezpieczeństwa organizacji, bada je i reaguje na incydenty, często całą dobę. Duże firmy mają własny. Większość małych i średnich firm nie jest w stanie go obsadzić, więc kupuje tę usługę od dostawcy usług zarządzanego bezpieczeństwa albo polega na jednej czy dwóch osobach z IT, które przeglądają alerty w godzinach pracy. Niezależnie od modelu narzędzia powinny generować niewiele alertów, na które człowiek może zareagować. NetSenX nie świadczy usługi SOC; daje Twojemu zespołowi lub dostawcy alerty sieciowe wraz z kontekstem.

CSIRT (Computer Security Incident Response Team), nazywany też CERT, to zespół obsługujący incydenty bezpieczeństwa. Każdy kraj UE ma krajowy CSIRT, a zgodnie z dyrektywą NIS2 firmy objęte jej zakresem zgłaszają poważne incydenty do CSIRT-u lub właściwego organu: wczesne ostrzeżenie w ciągu 24 godzin, pełniejsze zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Krajowe CSIRT-y publikują też ostrzeżenia o wykorzystywanych podatnościach, które warto subskrybować. W Polsce działają CSIRT NASK, CSIRT GOV i CSIRT MON. NetSenX śledzi terminy zgłoszeń NIS2 w każdym planie.

Test penetracyjny, czyli pentest, to autoryzowany atak na Twoje systemy przeprowadzany przez specjalistów od bezpieczeństwa, by znaleźć słabości, zanim zrobią to prawdziwi napastnicy. Testerzy próbują dostać się z internetu albo zaczynają od wewnątrz sieci, jakby byli intruzem lub nieuczciwym pracownikiem, a potem raportują, dokąd dotarli i jak to naprawić. Pentest to zdjęcie jednego momentu i jednego zakresu, zwykle kilka dni pracy. Warto go robić raz w roku lub po dużych zmianach. To także dobry sprawdzian wykrywania: zapytaj potem, czy Twoje narzędzia zauważyły testerów i kiedy.

W ćwiczeniach bezpieczeństwa red team gra napastnika, a blue team się broni. Ćwiczenie red team jest szersze niż test penetracyjny: dąży do celu, na przykład odczytania udziału działu finansów, wszelkimi realistycznymi sposobami, pozostając w ukryciu, więc sprawdza ludzi i procesy, a nie tylko technikę. Blue team to ci, którzy wykrywają i reagują, często zespół IT lub bezpieczeństwa. Gdy obie strony współpracują otwarcie i dzielą się tym, co zadziałało, mówi się o purple teamingu. Symulacja ataków (breach and attack simulation) w NetSenX, w planie Business, wykonuje bezpieczne, symulowane kroki ataku, żebyś mógł sprawdzić, co zauważa Twoje wykrywanie.

Skanowanie podatności to automatyczne sprawdzenie systemów pod kątem bazy znanych podatności i słabych ustawień, takich jak brakujące poprawki, domyślne hasła czy przestarzałe szyfrowanie. Skaner patrzy na to, co ujawnia każda maszyna, i tworzy listę ustaleń z ocenami powagi. Jest tańszy i częstszy niż test penetracyjny, ale znajduje tylko znane problemy i nie oceni, jak się łączą. Regularnie skanuj z zewnątrz wszystko, co wystawiasz do internetu, a wewnętrznie co najmniej co kilka miesięcy. Spodziewaj się wielu ustaleń; zacznij od tych w systemach dostępnych z internetu, o których wiadomo, że są wykorzystywane.

Honeypot to przynęta: fałszywy serwer, urządzenie lub konto przygotowane tak, że żaden uprawniony użytkownik nigdy nie musi go dotykać. Ponieważ nikt nie powinien się z nim łączyć, każde połączenie jest z definicji podejrzane, co daje alert niemal bez fałszywych alarmów. Honeypoty w internecie przyciągają nieustanne skanowanie i służą głównie do badania zachowań napastników. W sieci firmowej prosty fałszywy udział plików lub fałszywa strona logowania może złapać intruza, który się rozgląda. Honeypoty trzeba starannie odizolować, żeby nie stały się drogą do prawdziwej sieci.

Sandbox (piaskownica) to odizolowane środowisko, w którym podejrzany plik lub link można bezpiecznie otworzyć i zobaczyć, co robi, bez ryzyka dla prawdziwych systemów. Usługi ochrony poczty często wysyłają załączniki do sandboxa przed dostarczeniem: jeśli plik próbuje pobrać dodatkowy kod, zmienić ustawienia systemu lub połączyć się z dziwnymi serwerami, zostaje zablokowany. Sandboxy łapią wiele, ale autorzy malware o nich wiedzą i część malware czeka, sprawdza, czy ktoś je obserwuje, albo uruchamia się tylko na komputerze prawdziwego użytkownika. Dlatego sandbox to jedna warstwa z kilku, obok ochrony stacji roboczych i obserwacji sieci.

Allowlista (lista dozwolonych) wymienia to, co jest dozwolone, a wszystko inne jest blokowane. Denylista (lista zabronionych) wymienia to, co jest blokowane, a wszystko inne przechodzi. Używają obu firewalle, filtry poczty i kontrola aplikacji. Allowlisty są surowsze i bezpieczniejsze, na przykład pozwalają maszynie produkcyjnej rozmawiać tylko z trzema potrzebnymi systemami, ale wymagają pracy przy utrzymaniu. Denylisty są prostsze, ale zatrzymują tylko to, co już uznano za złe. Te pojęcia zastępują dawne whitelist i blacklist. W wykrywaniu allowlista oznacza też oznaczenie znanej, niegroźnej aktywności, na przykład serwera kopii zapasowych, by przestała wywoływać alerty.

IDS (Intrusion Detection System, system wykrywania włamań) obserwuje ruch sieciowy i podnosi alert, gdy widzi coś pasującego do znanego wzorca ataku. IPS (Intrusion Prevention System, system zapobiegania włamaniom) stoi na drodze ruchu i może go też blokować. Wiele firewalli ma dziś wbudowany IPS. Oba opierają się głównie na sygnaturach znanych ataków, więc są mocne wobec znanych zagrożeń, a słabsze wobec nowych metod i napastników używających zwykłych narzędzi. IPS, który blokuje błędnie, zatrzymuje też ruch biznesowy. NDR (Network Detection and Response) dodaje analizę zachowania. NetSenX to NDR: obserwuje i alarmuje, nie stoi na drodze ruchu i sam go nie blokuje.

SOAR (Security Orchestration, Automation and Response) to oprogramowanie, które łączy narzędzia bezpieczeństwa i automatyzuje rutynowe kroki obsługi alertu: zebranie kontekstu, otwarcie zgłoszenia, izolację laptopa, zablokowanie adresu, powiadomienie właściwej osoby. Opiera się na playbookach, czyli spisanych sekwencjach kroków dla każdego rodzaju incydentu. SOAR jest cenny dla zespołów obsługujących wiele alertów dziennie, a jego wdrożenie i utrzymanie wymaga pracy. Małe zespoły zwykle większość korzyści uzyskują dzięki prostszym połączeniom. NetSenX wysyła alerty do Slacka lub przez webhook od planu Pro, a eksportuje je do SIEM od planu Business.

Narzędzia DLP (Data Loss Prevention, zapobieganie utracie danych) próbują powstrzymać wrażliwe dane, takie jak listy klientów, numery kart czy projekty, przed opuszczeniem firmy niewłaściwą drogą: wysłaniem e-mailem, wgraniem na prywatną chmurę lub skopiowaniem na pendrive. Działają przez rozpoznawanie treści i stosowanie reguł, a ich konfiguracja wymaga staranności, by nie blokować normalnej pracy. NetSenX nie jest narzędziem DLP i nie czyta treści Twojego ruchu. W każdym planie zgłasza natomiast nietypowe transfery wychodzące, na przykład gdy maszyna nagle wysyła pod zewnętrzny adres znacznie więcej danych niż zwykle, co często jest widocznym śladem kradzieży.

Dziennik audytu to zapis tego, kto co zrobił i kiedy: kto się zalogował, kto zmienił ustawienie, kto wyeksportował raport, kto zamknął alert. Dobry dziennik audytu nie daje się po cichu edytować i przechowuje wpisy wystarczająco długo, by przydały się w dochodzeniu. Audytorzy i regulatorzy proszą o dzienniki audytu, bo pokazują, że kontrole są faktycznie stosowane, a nie tylko spisane. Po incydencie to właśnie z dziennika audytu odtwarza się przebieg zdarzeń. NetSenX prowadzi dziennik audytu działań na Twoim koncie w każdym planie, a od planu Starter dodaje ślad dowodowy alertów, który ujawnia każdą późniejszą zmianę.

Dwell time to czas, przez jaki napastnik przebywa w sieci, zanim zostanie wykryty. Raport M-Trends 2026 firmy Mandiant podaje globalną medianę 14 dni dla incydentów badanych w 2025 roku, a wiele włamań trwa znacznie dłużej. Im dłuższy dwell time, tym więcej napastnik może poznać, ukraść i przygotować, dlatego grupy ransomware często przez kilka dni mapują sieć, zanim ją zaszyfrują. Dwell time spada, gdy ktoś obserwuje wnętrze sieci, a nie tylko jej brzeg. Skraca go wykrywanie wczesnych kroków, takich jak skanowanie od wewnątrz, regularne meldunki do zewnętrznego serwera czy nietypowe połączenia między maszynami.

MTTD (Mean Time to Detect) to średni czas od rozpoczęcia ataku do chwili, gdy ktoś go zauważy. MTTR (Mean Time to Respond, czasem to Recover) to średni czas od zauważenia do opanowania lub naprawy. Oba służą do mierzenia, jak dobrze działa program bezpieczeństwa, i oba powinny z czasem maleć. W małej firmie uczciwe, przybliżone liczby są cenniejsze niż precyzyjne: kiedy ostatnio coś znaleźliśmy, jak to znaleźliśmy i ile trwało, zanim zareagowaliśmy? Jeśli odpowiedź brzmi, że powiedział Ci ktoś spoza firmy, to wykrywanie jest luką do załatania w pierwszej kolejności.

Shadow IT to każde oprogramowanie, usługa chmurowa lub urządzenie, którego pracownicy używają do pracy bez wiedzy lub zgody IT: prywatne konto do udostępniania plików, darmowe narzędzie do projektów, prywatny router w magazynie, rozszerzenie przeglądarki. Zwykle zaczyna się od dobrych intencji, bo ludzie chcą po prostu zrobić swoją robotę. Ryzyko polega na tym, że dane firmy trafiają tam, gdzie nikt ich nie zabezpiecza, nie archiwizuje i nie może usunąć, gdy ktoś odchodzi. Zakazanie wszystkiego rzadko działa. Lepiej ustalić, czego się używa, zaproponować zatwierdzone alternatywy i ustalić prostą zasadę. NetSenX pokazuje urządzenia, które widzi w Twojej sieci, a od planu Pro zgłasza korzystanie z usług AI.

Naruszenie danych to każdy incydent bezpieczeństwa, w którym dane zostają utracone, skradzione, zniszczone, zmienione lub ujawnione komuś, kto nie powinien ich widzieć. Nie potrzeba do tego hakera: e-mail z danymi klientów wysłany pod zły adres też jest naruszeniem. Zgodnie z RODO naruszenie dotyczące danych osobowych trzeba zgłosić organowi nadzorczemu, w Polsce Prezesowi UODO, w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, a osoby, których dotyczy, trzeba zawiadomić, gdy ryzyko jest wysokie. Raport IBM Cost of a Data Breach 2025 podaje średni globalny koszt 4,44 mln USD.