Baseline (Baselining)

Baseline (linia bazowa) to statystyczny obraz tego, jak normalnie zachowuje się środowisko IT — sieć, serwery i użytkownicy. Powstaje z danych zbieranych przez jakiś czas, w okresie traktowanym jako reprezentatywny. Baselining to proces budowania tej linii bazowej i jej ciągłej aktualizacji. Baseline pełni rolę punktu odniesienia: bieżącą aktywność porównuje się z nim, a wyraźne odstępstwa traktuje jako anomalie warte sprawdzenia. To trochę jak znać codzienny rytm domu — gdy wiesz, kto i kiedy zwykle wchodzi, łatwiej zauważysz, że coś nie gra. Bez wiarygodnej linii bazowej wykrywanie anomalii (anomaly detection) traci sens, bo nie da się rozpoznać odstępstwa, jeśli nie wiadomo, co jest normą.

Jak powstaje baseline?

Linię bazową buduje się z telemetrii zbieranej dostatecznie długo, by uchwycić naturalne wahania ruchu — w ciągu doby, tygodnia i pór roku. Systemy oparte na uczeniu maszynowym potrzebują zwykle 2–4 tygodni normalnego ruchu, by wypracować stabilny model. Typowy proces wygląda tak:

1. Zbieranie danych — przepływy ruchu (NetFlow, IPFIX, sFlow), logi, metryki SNMP, metadane z pełnego ruchu (np. Zeek), zdarzenia z serwerów i tożsamości.
2. Wyznaczenie metryk odniesienia — ile jest ruchu i jak szybki, jakie porty i protokoły są w użyciu, jakie pary źródło–cel, kto najwięcej rozmawia (top talkers), jak długo trwają połączenia, opóźnienie, utrata pakietów, jitter, wzorce zapytań DNS.
3. Analiza wzorców — metody statystyczne (średnia, odchylenie standardowe, percentyle) albo algorytmy ML wyliczają oczekiwane zakresy i progi.
4. Utrwalenie i wersjonowanie — powstaje model normy, który aktualizuje się okresowo, bo sieć żyje: dochodzą nowe aplikacje, użytkownicy i zmiany w infrastrukturze.

Baseline wydajnościowy a baseline bezpieczeństwa

W praktyce tę samą linię bazową ogląda się z dwóch uzupełniających się stron:

• Baseline wydajnościowy (NPM) — typowy ruch w ciągu doby i tygodnia, najbardziej obciążające aplikacje, normalne poziomy opóźnienia, jitteru i błędów. Pomaga wychwycić spadki wydajności i zaplanować pojemność sieci.
• Baseline bezpieczeństwa (NDR/SOC) — z jakimi usługami serwery zwykle się łączą, w którą stronę idzie ruch (north-south kontra east-west) i jak typowo użytkownicy korzystają z dostępu. Pomaga wykrywać zagrożenia: ruch na nietypowych portach, nieznane połączenia wychodzące, ruch boczny (lateral movement) między maszynami.

Jak baseline wspiera wykrywanie anomalii?

Zasada jest prosta i porównawcza: system na bieżąco zbiera telemetrię i mierzy ją względem linii bazowej. Gdy odstępstwo przekroczy akceptowalny próg, zdarzenie zostaje oznaczone jako anomalia. Przykład: jeśli serwer rozmawia zwykle tylko na portach 80 i 443, nagły ruch wychodzący na 22 (SSH) albo 3389 (RDP) od razu rzuci się w oczy na tle normy. Statystycznie wyróżnia się trzy typy anomalii:

• Punktowe — pojedyncza nieprawidłowa obserwacja, np. jednorazowy ogromny transfer.
• Kontekstowe — zachowanie samo w sobie normalne, ale w złym momencie, np. logowanie administratora o 3 w nocy.
• Zbiorowe — ciąg pojedynczo niegroźnych zdarzeń, które razem zwiastują problem, np. powolna eksfiltracja danych przez DNS.

W praktyce anomalie porządkuje się też według tego, co się zmieniło: wolumen, czas, protokół czy zachowanie — oraz według kierunku. North-south to ruch przez granicę sieci, a east-west to ruch wewnętrzny, kluczowy przy wykrywaniu ruchu bocznego.

Jakimi metodami wyznacza się normę i odchylenia?

• Statystyczne / progowe — szybkie i łatwe do zrozumienia, oparte na odchyleniu od średniej. Mają wadę: łatwo dają fałszywe alarmy, gdy ruch zmienia się z całkiem legalnych powodów.
• Nienadzorowane ML — klasteryzacja, Isolation Forest. Dobrze radzą sobie z nowymi zagrożeniami, ale wymagają starannego strojenia.
• Nadzorowane ML — precyzyjne dla znanych typów ataków, ale ślepe na te, których wcześniej nie widziały.
• Półnadzorowane / głębokie — autoenkodery, sieci LSTM. Wychwytują wzorce w czasie, ale potrzebują dużo danych i mocy obliczeniowej.

Dojrzałe wdrożenia stosują baselining adaptacyjny, w którym model sam uwzględnia rytm doby, tygodnia i pór roku, oraz mikro-linie bazowe — osobne normy dla pojedynczego segmentu, urządzenia czy tożsamości. Dzięki temu widać drobne, lokalne odstępstwa, które w jednej uśrednionej normie zwyczajnie by zniknęły.

Dlaczego baseline jest ważny dla bezpieczeństwa?

Detekcja sygnaturowa rozpoznaje tylko znane wzorce ataków. Baseline w połączeniu z wykrywaniem anomalii pozwala dostrzec również zagrożenia nieznane: ataki zero-day, narzędzia szyte na miarę, nadużycie legalnych kont. Linia bazowa jest fundamentem narzędzi NDR (Network Detection and Response) i danymi wejściowymi do korelacji w systemie SIEM. Dobrze zestrojony baseline zmniejsza też zmęczenie alertami (alert fatigue). Skoro typowe działania mieszczą się w normie, nie generują szumu, a analitycy SOC mogą skupić się na tym, co naprawdę odbiega od normy. Jest jeden haczyk: jeśli w trakcie uczenia modelu w sieci była już obecna złośliwa aktywność, może zostać omyłkowo wchłonięta do normy. Dlatego okres baseliningu powinien obejmować ruch wcześniej sprawdzony jako czysty.

Najczęstsze błędy i dobre praktyki

• Baseline to nie jednorazowa konfiguracja — wymaga okresowego przeglądu i aktualizacji, gdy zmienia się sieć.
• Sam baseline nie gwarantuje bezpieczeństwa — to jedna z warstw. Najlepiej działa razem z kontrolą dostępu, segmentacją i detekcją sygnaturową.
• Zbyt krótki okres uczenia zafałszowuje normę — trzeba uchwycić pełne cykle obciążenia.
• Zacznij od ostrożnych progów i zaostrzaj je stopniowo, w miarę jak model lepiej poznaje środowisko.

Dowiedz się więcej

• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — Baselining pomaga wykryć odchylenia w ruchu i odpowiedziach ARP typowe dla zatruwania ARP.
• NIST Cybersecurity Framework — Baseline wspiera etap Identify i Protect, bo określa normalny stan systemów do porównania.
• SaaS Security Posture Management (SSPM) — Baselining pozwala porównać ustawienia SaaS z ustalonym wzorcem i wykryć zmiany konfiguracji.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow dostarcza dane do budowy baseline’u ruchu i wykrywania anomalii w sieci.
• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — W Zero Trust baseline definiuje typowe przepływy, które potem ogranicza mikrosegmentacja.
• Zaawansowane metody ochrony przed atakami DDoS w firmach — Baseline ruchu ułatwia odróżnienie nagłego wzrostu wolumenu od ataku DDoS.
• Podatność IDOR – jak wykryć atak na aplikacje webowe przez analizę ruchu HTTP — Baseline żądań HTTP pomaga wykryć nietypowy dostęp do zasobów przy podatności IDOR.