# Jak sprawdzić, czy ktoś jest w Twojej sieci

> Sygnały, że intruz jest już w sieci firmowej, darmowe kontrole, które administrator może zrobić dziś, i miejsce detekcji sieciowej. Z datami i źródłami.

Source page: https://netsenx.com/pl/is-someone-inside-your-network

Ostatnia weryfikacja: 6 listopada 2026

Ktoś jest w Twojej sieci, gdy atakujący ma działający dostęp do co najmniej jednej z Twoich maszyn lub kont i używa go, by się rozejrzeć, przejść do innych systemów albo wynieść dane. Rzadko włącza się przy tym alarm. Sygnałami są drobne zmiany zachowania: host, który regularnie łączy się z nowym celem, konto logujące się tam, gdzie nigdy się nie logowało, serwer wysyłający na zewnątrz dużo więcej danych niż zwykle. Większość z nich da się sprawdzić jeszcze dziś, za darmo, w logach, które administrator już ma.

## Fakt, od którego warto zacząć

7 lutego 2024 r. CISA, NSA i FBI wraz z agencjami partnerskimi podały we wspólnym komunikacie AA24-038A, że aktorzy Volt Typhoon utrzymywali dostęp do środowisk IT części ofiar przez co najmniej pięć lat, opierając się głównie na narzędziach administracyjnych samych ofiar, a nie na złośliwym oprogramowaniu.

Źródło: [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)

## Co wychodzi z Twojej sieci po 18:00

**Dane przykładowe, nie przechwycone wykrycie**

Jedna przykładowa noc w sieci małej firmy: sześć rodzajów urządzeń, cztery rodzaje celów. Przesuń zegar, aby zobaczyć, co wychodzi, ile i które przepływy dałyby alert. Sam rozmiar nie jest sygnałem: duży transfer kopii zapasowej jest normalny, mały upload z komputera, który zwykle jest wyłączony, już nie.

| Urządzenie | Jego zwykła noc |
|---|---|
| Komputer księgowości | W godzinach pracy zajęty usługami biznesowymi i kilkoma narzędziami AI; w nocy cichy. |
| Serwer ERP | Trochę synchronizacji z usługami biznesowymi co godzinę, w dzień i w nocy. |
| Telewizor w sali spotkań | Drobne aktualizacje od producenta. |
| Rejestrator CCTV | Stały strumień do chmury producenta. |
| Laptop programisty | Usługi biznesowe i narzędzia AI w godzinach pracy; w nocy cichy. |
| Serwer kopii zapasowych | Jedna duża kopia do stałego dostawcy kopii każdej nocy. |

### 03:00 Komputer księgowości wysyła dane w nocy

Nietypowy wolumen danych wychodzących: ten komputer zwykle nic nie wysyła w nocy i nigdy do tego celu. NetSenX porównuje wysyłki każdego hosta z jego własnymi zwykłymi celami, wolumenami i porami dnia, więc ten upload się wyróżnia, choć jest mały przy kopii zapasowej.

### 00:00 Laptop programisty melduje się co pięć minut

Beaconing C2: małe, regularne połączenia z jednym nowym celem przez całą noc. Wolumen jest znikomy; zdradza go regularność. W każdym planie, także Free.

### 02:00 Serwer ERP wysyła archiwum na wynajęty serwer w chmurze

Nietypowy wolumen danych wychodzących do celu, którego ten serwer nigdy nie używał. Wynajmowane serwery w chmurze trafiają też do kolejki przeglądu chmury, do Twojej oceny.

Czego czujnik sieciowy tu nie widzi: nazw plików i treści w zaszyfrowanych sesjach oraz tego, który program na urządzeniu wysłał dane. To widzi ochrona stacji końcowych (EDR).

## Sygnały, na które warto patrzeć, i darmowe kontrole na dziś

Żaden z tych sygnałów sam w sobie nie dowodzi włamania. Każdy łatwo sprawdzić, a dwa lub więcej naraz wymagają dochodzenia.

1. **Nowe lub rzadkie cele połączeń wychodzących** Host, który zaczyna łączyć się z domeną lub adresem IP, z którego nikt inny w firmie nie korzysta, zwłaszcza niedawno zarejestrowaną. Kontrola: wyeksportuj z firewalla lub serwera DNS najczęstsze cele z ostatnich 30 dni i przejrzyj te, z którymi łączył się tylko jeden host.
2. **Połączenia w regularnych odstępach** Złośliwe oprogramowanie, które melduje się u operatora, często łączy się co kilka minut, dniem i nocą, wysyłając małe wiadomości podobnej wielkości. Kontrola: w logach firewalla lub proxy posortuj połączenia jednego hosta z jednym celem według czasu i szukaj stałego rytmu poza godzinami pracy.
3. **Logowania o dziwnych porach lub z dziwnych miejsc** Udane logowania w nocy, z krajów, w których nie masz pracowników, albo na konta, które zwykle nie logują się interaktywnie, np. konta usługowe. Kontrola: przejrzyj udane logowania z ostatnich 30 dni w katalogu lub u dostawcy tożsamości, z filtrem na godziny poza pracą.
4. **Jedna maszyna łączy się z wieloma** Stacja robocza, która łączy się z dziesiątkami hostów wewnętrznych na portach administracyjnych, takich jak SMB (445), RDP (3389), SSH (22) czy WinRM (5985 i 5986), skanuje sieć albo porusza się lateralnie. Kontrola: w danych o przepływach z firewalla lub przełącznika policz unikalne cele wewnętrzne dla każdego hosta źródłowego na tych portach.
5. **Nietypowy wolumen danych wychodzących** Serwer, który nagle wysyła gigabajty, często w nocy albo do chmury, z której zwykle nie korzysta. Kontrola: porównaj bajty wysłane przez każdy host w tym tygodniu z jego własną średnią.
6. **Nowe konta administratorów, zadania i usługi** Konta dodane do grup administratorów, nowe zadania harmonogramu lub usługi i narzędzia zdalnego dostępu, których nikt nie zatwierdził. Kontrola: wylistuj członków grup uprzywilejowanych oraz ostatnio utworzone zadania i usługi na serwerach i ustal, kto dodał każde z nich.

## Co NetSenX robi już dziś

- Obserwuje, jak zachowuje się każdy host w sieci, i oznacza beaconing C2, skanowanie, ruch lateralny oraz nietypowy wolumen danych wychodzących, w każdym planie, także Free.
- Widzi urządzenia bez agenta, takie jak drukarki, kamery i sterowniki, bo jeden agent na porcie SPAN lub TAP obserwuje cały segment.
- Wyjaśnia każdy alert prostym językiem i wymienia cechy sieciowe, które zdecydowały o jego ocenie, dzięki czemu mały zespół odróżni włamanie od nowego zadania kopii zapasowej.
- Zapisuje alerty, decyzje analityków i zmiany konfiguracji w dzienniku audytu i śledzi terminy z art. 23 NIS2, jeśli incydent okaże się poważny.

## Czego NetSenX nie robi

NetSenX nie widzi tego, co dzieje się wewnątrz hosta bez udziału sieci, np. złośliwego procesu, który nigdzie się nie łączy; to zadanie ochrony urządzeń końcowych (EDR). Nigdy nie odszyfrowuje ruchu, więc nie odczyta treści szyfrowanej sesji. Nie zastępuje reagowania na incydenty: izolacja i odbudowa hosta pozostają po stronie Twojego zespołu lub dostawcy usług reagowania. Alert to powód do sprawdzenia, a nie dowód włamania.

## Pytania kupujących

### Jak sprawdzić, czy sieć firmowa została przejęta?

Szukaj zmian w zachowaniu: nowych celów połączeń wychodzących, połączeń w regularnych odstępach, logowań o dziwnych porach, jednej maszyny łączącej się z wieloma innymi i nietypowego wolumenu danych wychodzących. Każdy z tych sygnałów sprawdzisz w logach firewalla, DNS i katalogu. Dwa lub więcej naraz warto zbadać; ciągły monitoring sieci wypatruje ich codziennie, a nie tylko w dniu, w którym ktoś zajrzy do logów.

### Czy atakujący może latami pozostawać w sieci niezauważony?

Tak. We wspólnym komunikacie AA24-038A z 7 lutego 2024 r. CISA, NSA i FBI podały, że aktorzy Volt Typhoon utrzymywali dostęp do środowisk IT części ofiar przez co najmniej pięć lat. Atakujący, którzy używają tych samych narzędzi administracyjnych co dział IT, zostawiają niewiele sygnatur, i dlatego liczy się zachowanie w sieci.

### Jakie darmowe kontrole mogę zrobić już dziś?

Wyeksportuj z firewalla lub serwera DNS najczęstsze cele połączeń wychodzących i przejrzyj te rzadkie; sprawdź udane logowania poza godzinami pracy; policz, z iloma hostami wewnętrznymi łączy się każda stacja robocza na portach SMB, RDP, SSH i WinRM; porównaj wolumen danych wysyłanych przez każdy serwer z jego własną średnią.

### Czy NetSenX zastępuje antywirusa lub EDR?

Nie. NetSenX dodaje widok sieci: widzi urządzenia bez agenta i ruch między hostami. Ochrona urządzeń końcowych nadal odpowiada za to, co dzieje się wewnątrz każdej maszyny. Plan Free nie ma limitu czasu i nie wymaga karty kredytowej, więc najpierw zobaczysz, co znajduje w Twojej sieci.

## Źródła

- [CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a)
- [CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)](https://www.ncsc.govt.nz/protect-your-organisation/identifying-and-mitigating-living-off-the-land-lotl-techniques/)
- [MITRE ATT&CK — Lateral Movement (TA0008)](https://attack.mitre.org/tactics/TA0008/)

Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.

## Powiązane strony

- [Jak wykryć ruch lateralny i beaconing C2](https://netsenx.com/pl/detect-lateral-movement-c2-beaconing)
- [Who is really inside your network? (artykuł po angielsku)](https://netsenx.com/pl/blog/2026-10-02_who-is-inside-your-network)
- [NDR, EDR czy SIEM](https://netsenx.com/pl/blog/2026-09-24_ndr-vs-edr-vs-siem)
- [Analiza zaszyfrowanego ruchu](https://netsenx.com/pl/encrypted-traffic-analysis)
- [Cennik i plan Free](https://netsenx.com/pl/pricing)