{"id":4733,"date":"2026-08-11T20:58:52","date_gmt":"2026-08-11T18:58:52","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4733"},"modified":"2026-08-12T19:00:49","modified_gmt":"2026-08-12T17:00:49","slug":"baseline-baselining","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/baseline-baselining","title":{"rendered":"Baseline (Baselining)"},"content":{"rendered":"<p><strong>Baseline (linia bazowa)<\/strong> to statystyczny obraz tego, jak <em>normalnie<\/em> zachowuje si\u0119 \u015brodowisko IT \u2014 sie\u0107, serwery i u\u017cytkownicy. Powstaje z danych zbieranych przez jaki\u015b czas, w okresie traktowanym jako reprezentatywny. <strong>Baselining<\/strong> to proces budowania tej linii bazowej i jej ci\u0105g\u0142ej aktualizacji. Baseline pe\u0142ni rol\u0119 punktu odniesienia: bie\u017c\u0105c\u0105 aktywno\u015b\u0107 por\u00f3wnuje si\u0119 z nim, a wyra\u017ane odst\u0119pstwa traktuje jako anomalie warte sprawdzenia. To troch\u0119 jak zna\u0107 codzienny rytm domu \u2014 gdy wiesz, kto i kiedy zwykle wchodzi, \u0142atwiej zauwa\u017cysz, \u017ce co\u015b nie gra. Bez wiarygodnej linii bazowej wykrywanie anomalii (<code>anomaly detection<\/code>) traci sens, bo nie da si\u0119 rozpozna\u0107 odst\u0119pstwa, je\u015bli nie wiadomo, co jest norm\u0105.<\/p>\n<h2>Jak powstaje baseline?<\/h2>\n<p>Lini\u0119 bazow\u0105 buduje si\u0119 z telemetrii zbieranej dostatecznie d\u0142ugo, by uchwyci\u0107 naturalne wahania ruchu \u2014 w ci\u0105gu doby, tygodnia i p\u00f3r roku. Systemy oparte na uczeniu maszynowym potrzebuj\u0105 zwykle <strong>2\u20134 tygodni<\/strong> normalnego ruchu, by wypracowa\u0107 stabilny model. Typowy proces wygl\u0105da tak:<\/p>\n<ol>\n<li><strong>Zbieranie danych<\/strong> \u2014 przep\u0142ywy ruchu (<code>NetFlow<\/code>, <code>IPFIX<\/code>, <code>sFlow<\/code>), logi, metryki SNMP, metadane z pe\u0142nego ruchu (np. <code>Zeek<\/code>), zdarzenia z serwer\u00f3w i to\u017csamo\u015bci.<\/li>\n<li><strong>Wyznaczenie metryk odniesienia<\/strong> \u2014 ile jest ruchu i jak szybki, jakie porty i protoko\u0142y s\u0105 w u\u017cyciu, jakie pary \u017ar\u00f3d\u0142o\u2013cel, kto najwi\u0119cej rozmawia (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/top-talkers\">top talkers<\/a>), jak d\u0142ugo trwaj\u0105 po\u0142\u0105czenia, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/latency-opoznienie\">op\u00f3\u017anienie<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/packet-loss\">utrata pakiet\u00f3w<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/jitter\">jitter<\/a>, wzorce zapyta\u0144 <code>DNS<\/code>.<\/li>\n<li><strong>Analiza wzorc\u00f3w<\/strong> \u2014 metody statystyczne (\u015brednia, odchylenie standardowe, percentyle) albo algorytmy ML wyliczaj\u0105 oczekiwane zakresy i progi.<\/li>\n<li><strong>Utrwalenie i wersjonowanie<\/strong> \u2014 powstaje model normy, kt\u00f3ry aktualizuje si\u0119 okresowo, bo sie\u0107 \u017cyje: dochodz\u0105 nowe aplikacje, u\u017cytkownicy i zmiany w infrastrukturze.<\/li>\n<\/ol>\n<h2>Baseline wydajno\u015bciowy a baseline bezpiecze\u0144stwa<\/h2>\n<p>W praktyce t\u0119 sam\u0105 lini\u0119 bazow\u0105 ogl\u0105da si\u0119 z dw\u00f3ch uzupe\u0142niaj\u0105cych si\u0119 stron:<\/p>\n<ul>\n<li><strong>Baseline wydajno\u015bciowy (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/npm\">NPM<\/a>)<\/strong> \u2014 typowy ruch w ci\u0105gu doby i tygodnia, najbardziej obci\u0105\u017caj\u0105ce aplikacje, normalne poziomy op\u00f3\u017anienia, jitteru i b\u0142\u0119d\u00f3w. Pomaga wychwyci\u0107 spadki wydajno\u015bci i zaplanowa\u0107 pojemno\u015b\u0107 sieci.<\/li>\n<li><strong>Baseline bezpiecze\u0144stwa (NDR\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>)<\/strong> \u2014 z jakimi us\u0142ugami serwery zwykle si\u0119 \u0142\u0105cz\u0105, w kt\u00f3r\u0105 stron\u0119 idzie ruch (north-south kontra east-west) i jak typowo u\u017cytkownicy korzystaj\u0105 z dost\u0119pu. Pomaga wykrywa\u0107 zagro\u017cenia: ruch na nietypowych portach, nieznane po\u0142\u0105czenia wychodz\u0105ce, ruch boczny (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a>) mi\u0119dzy maszynami.<\/li>\n<\/ul>\n<h2>Jak baseline wspiera wykrywanie anomalii?<\/h2>\n<p>Zasada jest prosta i por\u00f3wnawcza: system na bie\u017c\u0105co zbiera telemetri\u0119 i mierzy j\u0105 wzgl\u0119dem linii bazowej. Gdy odst\u0119pstwo przekroczy akceptowalny pr\u00f3g, zdarzenie zostaje oznaczone jako anomalia. Przyk\u0142ad: je\u015bli serwer rozmawia zwykle tylko na portach <code>80<\/code> i <code>443<\/code>, nag\u0142y ruch wychodz\u0105cy na <code>22<\/code> (SSH) albo <code>3389<\/code> (RDP) od razu rzuci si\u0119 w oczy na tle normy. Statystycznie wyr\u00f3\u017cnia si\u0119 trzy typy anomalii:<\/p>\n<ul>\n<li><strong>Punktowe<\/strong> \u2014 pojedyncza nieprawid\u0142owa obserwacja, np. jednorazowy ogromny transfer.<\/li>\n<li><strong>Kontekstowe<\/strong> \u2014 zachowanie samo w sobie normalne, ale w z\u0142ym momencie, np. logowanie administratora o 3 w nocy.<\/li>\n<li><strong>Zbiorowe<\/strong> \u2014 ci\u0105g pojedynczo niegro\u017anych zdarze\u0144, kt\u00f3re razem zwiastuj\u0105 problem, np. powolna eksfiltracja danych przez <code>DNS<\/code>.<\/li>\n<\/ul>\n<p>W praktyce anomalie porz\u0105dkuje si\u0119 te\u017c wed\u0142ug tego, co si\u0119 zmieni\u0142o: wolumen, czas, protok\u00f3\u0142 czy zachowanie \u2014 oraz wed\u0142ug kierunku. North-south to ruch przez granic\u0119 sieci, a east-west to ruch wewn\u0119trzny, kluczowy przy wykrywaniu ruchu bocznego.<\/p>\n<h2>Jakimi metodami wyznacza si\u0119 norm\u0119 i odchylenia?<\/h2>\n<ul>\n<li><strong>Statystyczne \/ progowe<\/strong> \u2014 szybkie i \u0142atwe do zrozumienia, oparte na odchyleniu od \u015bredniej. Maj\u0105 wad\u0119: \u0142atwo daj\u0105 fa\u0142szywe alarmy, gdy ruch zmienia si\u0119 z ca\u0142kiem legalnych powod\u00f3w.<\/li>\n<li><strong>Nienadzorowane ML<\/strong> \u2014 klasteryzacja, Isolation Forest. Dobrze radz\u0105 sobie z nowymi zagro\u017ceniami, ale wymagaj\u0105 starannego strojenia.<\/li>\n<li><strong>Nadzorowane ML<\/strong> \u2014 precyzyjne dla znanych typ\u00f3w atak\u00f3w, ale \u015blepe na te, kt\u00f3rych wcze\u015bniej nie widzia\u0142y.<\/li>\n<li><strong>P\u00f3\u0142nadzorowane \/ g\u0142\u0119bokie<\/strong> \u2014 autoenkodery, sieci LSTM. Wychwytuj\u0105 wzorce w czasie, ale potrzebuj\u0105 du\u017co danych i mocy obliczeniowej.<\/li>\n<\/ul>\n<p>Dojrza\u0142e wdro\u017cenia stosuj\u0105 <strong>baselining adaptacyjny<\/strong>, w kt\u00f3rym model sam uwzgl\u0119dnia rytm doby, tygodnia i p\u00f3r roku, oraz <strong>mikro-linie bazowe<\/strong> \u2014 osobne normy dla pojedynczego segmentu, urz\u0105dzenia czy to\u017csamo\u015bci. Dzi\u0119ki temu wida\u0107 drobne, lokalne odst\u0119pstwa, kt\u00f3re w jednej u\u015brednionej normie zwyczajnie by znikn\u0119\u0142y.<\/p>\n<h2>Dlaczego baseline jest wa\u017cny dla bezpiecze\u0144stwa?<\/h2>\n<p>Detekcja sygnaturowa rozpoznaje tylko znane wzorce atak\u00f3w. Baseline w po\u0142\u0105czeniu z wykrywaniem anomalii pozwala dostrzec r\u00f3wnie\u017c zagro\u017cenia nieznane: ataki zero-day, narz\u0119dzia szyte na miar\u0119, nadu\u017cycie legalnych kont. Linia bazowa jest fundamentem narz\u0119dzi <strong>NDR<\/strong> (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a>) i danymi wej\u015bciowymi do korelacji w systemie <code>SIEM<\/code>. Dobrze zestrojony baseline zmniejsza te\u017c zm\u0119czenie alertami (alert fatigue). Skoro typowe dzia\u0142ania mieszcz\u0105 si\u0119 w normie, nie generuj\u0105 szumu, a analitycy SOC mog\u0105 skupi\u0107 si\u0119 na tym, co naprawd\u0119 odbiega od normy. Jest jeden haczyk: je\u015bli w trakcie uczenia modelu w sieci by\u0142a ju\u017c obecna <em>z\u0142o\u015bliwa<\/em> aktywno\u015b\u0107, mo\u017ce zosta\u0107 omy\u0142kowo wch\u0142oni\u0119ta do normy. Dlatego okres baseliningu powinien obejmowa\u0107 ruch wcze\u015bniej sprawdzony jako czysty.<\/p>\n<h2>Najcz\u0119stsze b\u0142\u0119dy i dobre praktyki<\/h2>\n<ul>\n<li><strong>Baseline to nie jednorazowa konfiguracja<\/strong> \u2014 wymaga okresowego przegl\u0105du i aktualizacji, gdy zmienia si\u0119 sie\u0107.<\/li>\n<li><strong>Sam baseline nie gwarantuje bezpiecze\u0144stwa<\/strong> \u2014 to jedna z warstw. Najlepiej dzia\u0142a razem z kontrol\u0105 dost\u0119pu, segmentacj\u0105 i detekcj\u0105 sygnaturow\u0105.<\/li>\n<li><strong>Zbyt kr\u00f3tki okres uczenia<\/strong> zafa\u0142szowuje norm\u0119 \u2014 trzeba uchwyci\u0107 pe\u0142ne cykle obci\u0105\u017cenia.<\/li>\n<li><strong>Zacznij od ostro\u017cnych prog\u00f3w<\/strong> i zaostrzaj je stopniowo, w miar\u0119 jak model lepiej poznaje \u015brodowisko.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 Baselining pomaga wykry\u0107 odchylenia w ruchu i odpowiedziach ARP typowe dla zatruwania ARP.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nist-cybersecurity-framework\">NIST Cybersecurity Framework<\/a> \u2014 Baseline wspiera etap Identify i Protect, bo okre\u015bla normalny stan system\u00f3w do por\u00f3wnania.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/saas-security-posture-management\">SaaS Security Posture Management (SSPM)<\/a> \u2014 Baselining pozwala por\u00f3wna\u0107 ustawienia SaaS z ustalonym wzorcem i wykry\u0107 zmiany konfiguracji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> dostarcza dane do budowy baseline&#8217;u ruchu i wykrywania anomalii w sieci.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/architektura-zero-trust-rola-widocznosci-sieci-i-mikrosegmentacji-w-bezpieczenstwie\">Architektura Zero Trust \u2013 rola widoczno\u015bci sieci i mikrosegmentacji w bezpiecze\u0144stwie<\/a> \u2014 W Zero Trust baseline definiuje typowe przep\u0142ywy, kt\u00f3re potem ogranicza mikrosegmentacja.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/zaawansowane-metody-ochrony-przed-atakami-ddos-w-frimach\">Zaawansowane metody ochrony przed atakami DDoS w firmach<\/a> \u2014 Baseline ruchu u\u0142atwia odr\u00f3\u017cnienie nag\u0142ego wzrostu wolumenu od ataku <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a>.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/podatnosc-idor-jak-wykryc-atak-na-aplikacje-webowe-przez-analize-ruchu-http\">Podatno\u015b\u0107 IDOR \u2013 jak wykry\u0107 atak na aplikacje webowe przez analiz\u0119 ruchu HTTP<\/a> \u2014 Baseline \u017c\u0105da\u0144 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTP<\/a> pomaga wykry\u0107 nietypowy dost\u0119p do zasob\u00f3w przy podatno\u015bci IDOR.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4733","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Baseline (Baselining)","ikona":"","krotki_opis":"Statystyczny obraz normalnego zachowania sieci, serwer\u00f3w i u\u017cytkownik\u00f3w, u\u017cywany jako punkt odniesienia do wykrywania anomalii (NDR\/NPM)."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4733","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4733"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}