Drill-down to przejście od wartości ogólnej do danych bardziej szczegółowych w tej samej hierarchii. Klikasz w element raportu, wykresu lub dashboardu — na przykład w sumę dla regionu, w alert albo we wskaźnik ruchu — i schodzisz o poziom niżej, żeby zobaczyć, z czego ta wartość się składa. Drill-down to operacja odwrotna do roll-up (sumowania w górę) i jedna z klasycznych operacji OLAP.
Jak działa drill-down?
Drill-down porusza się po hierarchii wymiaru, czyli po poziomach uporządkowanych od ogółu do szczegółu. Typowe hierarchie to czas (rok → kwartał → miesiąc → dzień), geografia (kraj → region → miasto) albo struktura firmy (dział → zespół → pracownik). Każde zejście niżej zachowuje kontekst poziomu wyżej i pokazuje tylko rekordy mieszczące się w wybranej wartości.
- Punkt wyjścia — widok zsumowany, np. miesięczna liczba zdarzeń albo łączny wolumen ruchu.
- Wybór elementu — klikasz w słupek, wiersz, fragment mapy lub komórkę, która odstaje od reszty.
- Zejście o poziom — system zawęża dane do wybranej wartości i pokazuje kolejny, drobniejszy poziom hierarchii.
- Powrót (drill-up / roll-up) — sumowanie z powrotem do szerszego widoku.
Czym różni się drill-down od drill-through i roll-up?
- Drill-down — zejście niżej w tej samej hierarchii i w tym samym zbiorze danych (region → miasto).
- Roll-up (drill-up) — operacja odwrotna: sumowanie w górę, od szczegółu do podsumowania.
- Drill-through — przejście od wartości zsumowanej do innego, zwykle bardziej szczegółowego źródła lub raportu (np. od wskaźnika do leżących pod nim rekordów transakcyjnych albo surowych logów), często poza bieżącym widokiem.
Drill-down w monitoringu sieci i bezpieczeństwie
W narzędziach NDR, SIEM i platformach analizy ruchu (NTA) drill-down to podstawowy sposób pracy podczas obsługi incydentów i polowania na zagrożenia (threat hunting). Analityk SOC schodzi tu po kolejnych poziomach telemetrii, coraz bliżej surowych danych:
- Alert / anomalia — punkt wyjścia: podejrzane zdarzenie albo odchylenie od normy (baseline).
- Przepływy (flows) — rekordy NetFlow/IPFIX/sFlow pokazujące, kto z kim się łączył, na jakich portach, w jakim wolumenie i czasie.
- Sesja / konwersacja — pojedyncze połączenie między dwoma hostami wraz z metadanymi warstwy aplikacji.
- Pakiet (pełny zrzut ruchu, PCAP) — najniższy poziom: pełna zawartość komunikacji do analizy śledczej.
Taka droga — od ogólnego alertu, przez przepływy, po pojedynczy pakiet — pozwala potwierdzić lub odrzucić hipotezę (czy alert to realny problem, true positive), ustalić zasięg (które hosty, jak długo) i zebrać dowody. Skuteczny drill-down w bezpieczeństwie zależy od tego, czy dane historyczne w ogóle są dostępne: jeśli pakiety albo przepływy nie zostały zachowane, nie ma jak zejść do szczegółu i analiza zatrzymuje się na poziomie metadanych. Dlatego liczy się tu zarówno czas przechowywania danych, jak i kontrola dostępu do najniższych poziomów — zawartość pakietów może zawierać dane wrażliwe.
Dowiedz się więcej
- Jak przeprowadzić drill-down danych? — obszerny poradnik krok po kroku
- Visibility — Drill-down zwiększa visibility, bo pozwala przejść od podsumowania do szczegółów zdarzenia.
- IoA (Indicator of Attack) — Drill-down pomaga analizować IoA, schodząc z alertu do konkretnych działań atakującego.
- UEBA (User and Entity Behavior Analytics) — Drill-down wspiera UEBA, bo umożliwia analizę zachowania użytkownika krok po kroku.
- Zaawansowane metody ochrony przed atakami DDoS w firmach — Drill-down ułatwia analizę DDoS, pozwalając zawęzić źródło i przebieg ruchu.
- Supply Chain Attack — Drill-down pomaga śledzić atak supply chain od objawu do źródła naruszenia.
- Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — Drill-down na danych NetFlow pozwala przejść od ruchu zbiorczego do pojedynczych przepływów.
- Cyber Threat Intelligence — Drill-down wspiera CTI, bo pozwala powiązać wskaźniki z konkretnymi incydentami.
