Możliwości produktu NetSenX
Co NetSenX robi w Twojej sieci i jak możesz to sprawdzić
NetSenX obserwuje, jak zachowują się hosty w sieci, podnosi alert, gdy to zachowanie wygląda na atak, i każdy alert wyjaśnia prostym językiem. Wyniki detekcji przechodzą przez warstwę konforemną, która podaje stojącą za nimi pewność, a każda wersja modelu jest rejestrowana. Poniżej: co robi każda funkcja, jakiego planu wymaga i czego nie robi.
Detekcja behawioralna
Zachowanie zamiast sygnatur
Silnik ocenia, jak każdy host zachowuje się w sieci, dlatego nawet nowy wariant złośliwego oprogramowania bez sygnatury zostawia ślad.
Wypatruje kroków, które poprzedzają wyciek danych: beaconingu C2 (command-and-control), skanowania, ruchu lateralnego i nietypowego wolumenu danych wychodzących.
NetSenX działa obok systemów EDR i SIEM. Dodaje widok sieci, którego one nie mają; nie zastępuje ich.
Najważniejsze
- Beaconing C2 (command-and-control)
- Skanowanie i ruch lateralny
- Nietypowy wolumen danych wychodzących
Ograniczone false positives
NetSenX Math Guarantee
Warstwa split-conformal wyznacza granicę false positive dla skończonej próby, dotyczącą alertów zgłaszanych przez silnik, na skonfigurowanym przez Ciebie poziomie ufności, na podstawie łagodnego ruchu oznaczonego przez Twoich analityków we własnej sieci. Granica wynika z konstrukcji metody, a nie z progu dostrajanego tak długo, aż liczby dobrze wyglądały.
Każdy alert podaje swoją pewność prostymi słowami, razem z wersją modelu, który go wytworzył, a alert z nieskalibrowaną oceną jest oznaczony jako wstępny. Audytorzy widzą te same dowody co Twój zespół.
Panel pokazuje granicę, którą obecnie wspierają Twoje dane kalibracyjne. Jeśli nie wspierają jeszcze żadnej, panel mówi to wprost i wskazuje, czego brakuje, zamiast pokazywać liczbę, której nie umie uzasadnić.
Najważniejsze
- Granica split-conformal na podanym poziomie ufności
- Jasny stan „jeszcze niewsparta” zamiast wymyślonej liczby
- W każdym planie, również Free
Ruch lateralny
Korelacja w skali całej sieci
Detekcja na poziomie przepływu widzi, co dzieje się w jednym połączeniu. Ataki rzadko kończą się na jednym hoście: po pierwszym przyczółku intruz skanuje, loguje się na kolejną maszynę i przesuwa się w stronę danych.
Od planu Pro NetSenX łączy hosty w sieci w graf tego, kto z kim się komunikuje. Dzięki temu ruch lateralny i grupy hostów wysyłających beacony do tego samego celu układają się w jedną historię zamiast w rozproszone alerty.
Takie alerty zawierają hosty i połączenia, które za nimi stoją, gotowe do opisu incydentu albo zgłoszenia do organu.
Najważniejsze
- Ruch lateralny i klastry C2 między hostami
- Hosty i połączenia stojące za każdym alertem
- Nazwa techniki MITRE ATT&CK, jeśli odpowiada
Ruch szyfrowany
NetSenX TLS Fingerprint Engine
Narzędzia atakujących zostawiają ślad w handshake'u TLS, zanim przeniosą jakiekolwiek dane. Od planu Starter NetSenX odczytuje parametry handshake'u i rozpoznaje podejrzanych klientów już na tym etapie, zanim zostanie wymieniony jakikolwiek ładunek. Handshake jest widoczny tylko tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik na porcie SPAN albo TAP, nie w trybie podstawowym używanym na macOS.
Działa na połączeniach szyfrowanych bez ich odszyfrowywania: nie trzeba utrzymywać proxy przechwytującego ani instalować certyfikatu na urządzeniach.
Jeden handshake zasila zarówno behawioralną ocenę hosta, jak i korelację w skali sieci.
Najważniejsze
- Rozpoznanie na etapie handshake'u, przed ładunkiem
- Bez odszyfrowywania TLS
- Zasila detekcję na poziomie hosta i całej sieci
Triaż prostym językiem
NetSenX AI Analyst Core
Wiele alertów NDR przychodzi jako surowe pola i wychodzi jako zgłoszenia. Po włączeniu AI Analyst Core każdy alert dostaje notatkę prostym językiem: co się stało, dlaczego to ważne i co zrobić dalej.
Notatki piszą modele w przypiętych wersjach, z zapisanym pochodzeniem, w układzie zgodnym z raportowaniem z art. 14 CRA i art. 21 NIS2, więc fakty potrzebne do zgłoszenia incydentu są już w jednym miejscu.
Działa z Twoim własnym kluczem dostawcy AI w każdym płatnym planie i pozostaje wyłączony, dopóki go nie skonfigurujesz. Detekcja działa bez niego.
Najważniejsze
- Notatka prostym językiem do każdego alertu
- Układ zgodny z raportowaniem CRA i NIS2
- Wersja modelu zapisana przy każdej notatce
OT / ICS · od planu Pro
Protokoły przemysłowe, obserwowane pasywnie
Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP i S7comm są odczytywane z pasywnego przechwytywania ruchu na porcie SPAN lub TAP.
Urządzenia sklasyfikowane jako OT nigdy nie są aktywnie odpytywane, więc nie ma ryzyka dla sterowników PLC i systemów SCADA, a w sterownikach nic się nie zmienia.
Ruch OT widać w tym samym panelu co sieć IT, z tym samym wyjaśnieniem prostym językiem przy każdym alercie.
Najważniejsze
- Modbus/TCP, DNP3, BACnet/IP, EtherNet/IP, S7comm
- Bez aktywnego odpytywania urządzeń OT
- Od planu Pro
Shadow AI · od planu Pro
Widać, z jakich usług AI korzysta sieć
NetSenX oznacza ruch do zewnętrznych usług AI oraz do środowisk modeli językowych uruchamianych na Twoich własnych maszynach, dzięki czemu niezatwierdzone użycie AI staje się widoczne, zanim stanie się problemem z zakresu ochrony danych.
Widzisz, który host połączył się z którą usługą AI, kiedy i ile danych przesłał. Ruch szyfrowany nigdy nie jest odszyfrowywany, więc treść promptu pozostaje nieodczytana.
Zacznij od ustalenia, co faktycznie jest w użyciu; potem napisz politykę AI, której pracownicy mogą przestrzegać.
Najważniejsze
- Zewnętrzne usługi AI i lokalne środowiska modeli
- Który host, która usługa, ile danych
- Od planu Pro
Dowody w zestawie
Zgodność gotowa na audyt
NetSenX śledzi każdy incydent względem terminów z art. 23 NIS2 — wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin, raport końcowy w ciągu miesiąca — i przygotowuje dla IOD zgłoszenie naruszenia z art. 33 RODO. Złożenie zgłoszeń pozostaje po Twojej stronie.
Alerty, decyzje analityków i zmiany konfiguracji trafiają do dziennika audytu, który można przekazać audytorowi, a dowody są uporządkowane pod przeglądy CRA, NIS2, RODO i AI Act.
SOC 2, ISO/IEC 42001 i ISO/IEC 27001 są w przygotowaniu; żaden nie został jeszcze przyznany, a datę podamy dopiero, gdy audyt zostanie zarezerwowany.
Najważniejsze
- Terminy NIS2 śledzone dla każdego incydentu
- Dziennik audytu alertów, decyzji i zmian
- SOC 2, ISO 42001 i ISO 27001 w przygotowaniu
NetSenX Math Guarantee
Granica false positive, którą można sprawdzić, a nie liczba, w którą trzeba uwierzyć.
Za detekcją stoi warstwa split-conformal, która wyznacza granicę false positive dla alertów zgłaszanych przez silnik, na skonfigurowanym poziomie ufności, z łagodnego ruchu oznaczonego przez Twoich analityków we własnej sieci. Panel pokazuje granicę, którą te dane obecnie wspierają, a gdy zbiór kalibracyjny jest za mały, mówi to wprost zamiast pokazywać liczbę.
Predykcja split-conformal
Każdy alert podaje swoją pewność prostymi słowami i mówi wprost, gdy jego ocena nie jest jeszcze skalibrowana. Tam, gdzie obowiązuje gwarancja statystyczna, granica false positive wśród alertów zgłaszanych przez silnik wynika z konstrukcji predyktora na podanym poziomie ufności; to nie próg dostrajany, aż liczby dobrze wyglądały.
Nadzór nad modelami
Modele mają przypięte wersje, a ich pochodzenie jest rejestrowane. Math Guarantee należy do systemu zarządzania AI, który budujemy według ISO/IEC 42001, a nie do marketingowego przypisu.
Do czego się zobowiązujemy
Do metody i dowodów: granicy wspieranej przez Twoje dane kalibracyjne, liczebności próby, która za nią stoi, oraz jasnego stanu „jeszcze niewsparta”, gdy dane nie wspierają żadnej. Nie publikujemy wskaźnika false positive, którego nie zmierzyliśmy na Twoich danych.
Jeszcze nieskalibrowane
Za mało łagodnego ruchu oznaczonego przez analityków, by wesprzeć jakąkolwiek granicę. Produkt mówi dokładnie to i wskazuje, czego brakuje; nie pokazuje zera.
Aktywne — szersza granica
Dane kalibracyjne wspierają granicę, ale luźniejszą niż skonfigurowany cel. Produkt informuje, że stoi za szerszą granicą, i nadal nie pokazuje liczby, bo węższego celu nie osiągnięto.
Aktywne — granica docelowa
Wielkość kalibracji wspiera skonfigurowany poziom ufności. To jedyny stan z liczbą i nigdy nie pojawia się ona sama: granica, liczba audytowanych próbek i okno, w którym je zmierzono, są pokazywane razem.
Oczekuje na ponowną kalibrację
Kalibracja stojąca za granicą się zestarzała albo ruch, na którym ją zbudowano, odszedł od tego, jak sieć wygląda dziś. Granica jest wycofana, dopóki nie zastąpi jej świeża kalibracja; nieaktualna liczba nie zostaje na ekranie tylko dlatego, że kiedyś była prawdziwa.
Ponowna weryfikacja
Aktualizacja kalibracji jest sprawdzana, zanim zacznie obowiązywać. Na ten czas poprzednie twierdzenie jest wycofane.
To stany, które produkt faktycznie zwraca: żaden nie pokazuje granicy, której dane kalibracyjne nie wspierają. Nie publikujemy wyników porównawczych innych dostawców, bo nie przeprowadziliśmy takich testów.
NetSenX AI Analyst Core
Każdy alert ma notatkę, na podstawie której analityk może działać.
Surowe dane alertu są zestawione z notatką prostym językiem: co się stało, dlaczego to ważne i jaka jest zalecana reakcja, w układzie zgodnym z raportowaniem z art. 14 CRA i art. 21 NIS2.
- alert.id
- ALR-2026-0521-04183
- alert.timestamp
- 2026-05-21T09:14:22+02:00
- alert.severity
- high
- alert.layer
- L1 behavioral + L3 graph
- src.host
- finance-srv-04.corp.local
- src.ip
- 10.42.18.27
- dst.fqdn
- delta-cargo-track[.]xyz
- dst.ip
- 185.244.62.117
- dst.tld_registered
- 2026-05-21T03:11:00Z (6h ago)
- protocol
- TLS 1.3 / HTTPS
- bytes.up
- 2.4 KB / 90s
- bytes.down
- 182 B / 90s
- pattern
- low-volume periodic beacon, jitter 5%
- detection.confidence
- 0.94
- conformal.bound
- served at the tenant's calibrated confidence level
Wykryto beaconing z finance-srv-04 do wcześniej niewidzianej domeny (delta-cargo-track.xyz), zarejestrowanej 6 godzin temu. Ruch wychodzący jest niewielki, okresowy i o małym jitterze: to wzorzec typowy dla kanału command-and-control po pierwszym przełamaniu zabezpieczeń.
Warstwa grafowa zauważyła też, że dwa inne hosty z podsieci finansowej (finance-srv-02, finance-srv-09) odpytywały DNS o tę samą domenę w ciągu ostatnich 90 minut.
Zalecana reakcja
- Odizoluj finance-srv-04 od produkcyjnego VLAN-u.
- Przed restartem wykonaj zrzut pamięci do analizy śledczej.
- Sprawdź podsieć finansową pod kątem innych hostów łączących się z tą samą domeną lub adresem IP.
- Otwórz zgłoszenie według procedury reagowania na incydenty; alert ma już układ zgodny z ewidencją incydentów z art. 14 CRA.
Zobacz to we własnej sieci
Zacznij od planu Free dla maksymalnie 3 urządzeń: bez limitu czasu i bez karty kredytowej. Albo umów 20-minutowe demo, a przeprowadzimy prawdziwy alert od przechwycenia ruchu do notatki analityka, z dziennikiem audytu widocznym na każdym etapie.