NSM (Network Security Monitoring)

Network Security Monitoring (NSM), czyli monitorowanie bezpieczeństwa sieci, to zbieranie, przechowywanie i analiza danych o ruchu w sieci, żeby wykryć włamanie i na nie zareagować. NSM wychodzi z prostego założenia: prędzej czy później jakiś atak przejdzie przez zabezpieczenia. Dlatego zamiast skupiać się tylko na blokowaniu, stawia na widoczność i wykrywanie. Gromadzi dane o ruchu (pełną treść pakietów, dane o sesjach, dane o transakcjach, alerty), dzięki którym analityk może odtworzyć przebieg incydentu i ocenić jego zasięg. Termin spopularyzował Richard Bejtlich w książkach „The Tao of Network Security Monitoring” i „The Practice of Network Security Monitoring”. Opisał NSM jako podejście skupione na przeciwniku (threat-centric), a nie na samej zaporze.

Czym jest Network Security Monitoring?

NSM to nie jedno urządzenie ani konkretny produkt, tylko sposób pracy oparty na trzech filarach: zbieranie danych z sieci, wykrywanie podejrzanych zdarzeń i analiza wykonywana przez ludzi i narzędzia. Myśl przewodnia jest taka: skoro nie da się zablokować wszystkich ataków, trzeba mieć dość danych, by szybko zauważyć, że doszło do włamania, ustalić co napastnik zrobił i ograniczyć szkody.

NSM zbiera dane pasywnie. Sensor podpięty do SPAN (port lustrzany na przełączniku) albo do sieciowego TAP widzi kopię ruchu, ale w niego nie ingeruje. Dzięki temu nagrywanie jest dla napastnika niewidoczne i niczego nie opóźnia. Tym NSM różni się od rozwiązań działających „w ciągu” (inline), takich jak firewall czy IPS, które aktywnie blokują pakiety.

Jakie są typy danych w NSM?

Siła NSM bierze się z łączenia kilku rodzajów danych. Różnią się one szczegółowością i tym, ile miejsca zajmują. Klasyczny podział (Bejtlich) obejmuje:

• Pełna treść (full content) — surowe pakiety zapisane w plikach PCAP (np. przez tcpdump). Najbogatsze, ale i najbardziej kosztowne dane: pozwalają odtworzyć przesyłaną zawartość, nagłówki i pliki bajt po bajcie.
• Dane sesyjne / przepływowe (session / flow) — podsumowanie „rozmowy” między dwoma komputerami: adres źródłowy i docelowy, porty, protokół, czas oraz liczba bajtów i pakietów. Generują je m.in. NetFlow/IPFIX, Argus czy Zeek (conn.log). Są zwięzłe, więc dobrze nadają się do analizy wstecz i wykrywania anomalii.
• Dane transakcyjne (transaction) — logi zdarzeń z konkretnych aplikacji wyciągnięte z ruchu: zapytania i odpowiedzi HTTP, zapytania DNS, nawiązywanie połączeń TLS, polecenia SMTP. To domena Zeek, który rozkłada ruch na czytelne logi protokołów.
• Dane statystyczne (statistical) — zestawienia ruchu (rozkład protokołów, najaktywniejsi nadawcy, wolumen w czasie). Służą do ustalenia, co jest normą, i wychwytywania odstępstw.
• Dane alertowe (alert) — werdykty systemów IDS (np. Suricata, Snort), które porównują ruch z sygnaturami lub regułami. Zajmują najmniej miejsca, a wskazują miejsca wymagające uwagi analityka.
• Dane wyekstrahowane (extracted content) — pliki wyłuskane z ruchu (dokumenty, programy) kierowane do analizy lub do izolowanego środowiska testowego (sandboxa).

W praktyce SOC (centrum operacji bezpieczeństwa) łączy te warstwy: alert z IDS wskazuje zdarzenie, dane sesyjne i transakcyjne dają kontekst, a pełna treść PCAP pozwala potwierdzić, co dokładnie się stało.

Jak działa NSM krok po kroku?

1. Pozyskanie ruchu — sensor zbiera kopię pakietów przez TAP lub SPAN. Gdy ruch jest szyfrowany, dochodzi rozszyfrowanie TLS albo analiza samych metadanych zamiast treści.
2. Tworzenie danych — narzędzia takie jak Zeek robią logi transakcyjne, Suricata generuje alerty, a osobny proces zapisuje pełną treść do PCAP.
3. Indeksacja i przechowywanie — dane trafiają do magazynu (np. Elasticsearch) z ustaloną polityką przechowywania. Pełną treść trzyma się zwykle krócej niż lekkie dane przepływowe.
4. Wykrywanie — reguły sygnaturowe, wykrywanie nietypowych zachowań i aktywne szukanie zagrożeń (threat hunting) wyłapują podejrzane zdarzenia.
5. Analiza i reakcja — analityk zestawia ze sobą warstwy danych, ocenia czy alert to faktyczny incydent, i uruchamia reagowanie na incydent (IR).

Jakie narzędzia realizują NSM?

NSM tradycyjnie opiera się na narzędziach open source, niezwiązanych z konkretnym producentem:

• Zeek (dawniej Bro) — pasywny analizator ruchu, który tworzy bogate logi transakcyjne i metadane; serce warstwy danych transakcyjnych.
• Suricata i Snort — sygnaturowe systemy IDS/IPS dostarczające dane alertowe; Suricata może też działać inline jako IPS.
• tcpdump i Wireshark — przechwytywanie i analiza pełnej treści PCAP.
• Argus, NetFlow/IPFIX — dane sesyjne/przepływowe.
• Security Onion — gotowa dystrybucja łącząca Zeek, Suricata, Strelka (analiza plików), stos Elastic i interfejs śledczy; w praktyce platforma odniesienia dla NSM w SOC.

Czym NSM różni się od IDS/IPS i firewalla?

Firewall i IPS działają inline, a ich zadaniem jest blokowanie ruchu według reguł — to prewencja. NSM działa pasywnie, a jego celem jest widoczność i wykrywanie. Zachowuje dane nawet o ruchu, który przeszedł przez zaporę, żeby dało się go później przeanalizować i wychwycić ataki, które ominęły zabezpieczenia. IDS (część NSM) tylko ostrzega, nie blokuje. W praktyce warstwy się uzupełniają: prewencja zmniejsza szum, a NSM dostarcza kontekstu i dowodów, gdy prewencja zawiedzie.

Czym NSM różni się od NDR i SIEM?

NDR (Network Detection and Response) to nowsza, komercyjna wersja tej samej idei. Łączy badanie pakietów z wykrywaniem nietypowych zachowań, uczeniem maszynowym i automatyczną reakcją. Można powiedzieć, że NDR to kategoria produktów mieszcząca się w szerszej dyscyplinie NSM, skupiona na wykrywaniu opartym na ruchu sieciowym.

SIEM zbiera i zestawia logi z wielu źródeł (komputery, aplikacje, urządzenia), a NSM skupia się na danych prosto „z kabla”. W dojrzałym SOC NSM i SIEM współpracują: dane sieciowe z NSM zasilają zestawianie zdarzeń w SIEM, a alerty z SIEM często sprawdza się danymi PCAP z NSM.

Dlaczego NSM jest ważne dla bezpieczeństwa?

Wiele technik napastników widać w sieci nawet wtedy, gdy sam komputer „milczy” albo gdy agent EDR (ochrona stacji końcowej) został wyłączony. Dotyczy to choćby przemieszczania się po sieci (lateral movement), ukrytego sterowania zainfekowanymi maszynami (kanał C2) czy wykradania danych. NSM daje warstwę widoczności niezależną od stacji końcowej oraz trwały zapis, który napastnikowi trudno skasować. Pozwala odpowiedzieć na pytania ważne przy reakcji na incydent: kto z kim się komunikował, jak długo, ile danych przesłał i czy coś opuściło organizację. Dlatego NSM jest podstawą szukania zagrożeń i analizy śledczej.

Dowiedz się więcej

• Visibility — Visibility jest podstawą NSM, bo pozwala widzieć ruch, zdarzenia i zależności w sieci.
• IoA (Indicator of Attack) — IoA wspiera NSM, bo pomaga wykrywać oznaki trwającego ataku w ruchu sieciowym.
• NetFlow jako wartościowe źródło danych dla zespołów SecOps — NetFlow dostarcza NSM danych o przepływach, które ułatwiają analizę i wykrywanie incydentów.