{"id":4745,"date":"2026-08-11T20:58:53","date_gmt":"2026-08-11T18:58:53","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4745"},"modified":"2026-08-11T22:47:30","modified_gmt":"2026-08-11T20:47:30","slug":"collector-kolektor","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/collector-kolektor","title":{"rendered":"Collector (Kolektor)"},"content":{"rendered":"<p><strong>Kolektor<\/strong> (ang. <em>collector<\/em>) to element systemu monitoringu, kt\u00f3ry zbiera dane wysy\u0142ane przez urz\u0105dzenia sieciowe lub agent\u00f3w (tzw. eksporter\u00f3w), porz\u0105dkuje je i przechowuje, a potem udost\u0119pnia do analizy. W sieciach najcz\u0119\u015bciej chodzi o <strong>kolektor przep\u0142yw\u00f3w<\/strong> (flow collector), kt\u00f3ry odbiera rekordy <code>NetFlow<\/code>, <code>IPFIX<\/code> lub <code>sFlow<\/code>, albo o <strong>kolektor log\u00f3w<\/strong> (log\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/syslog\">syslog<\/a> collector), kt\u00f3ry gromadzi zdarzenia z system\u00f3w. Kolektor stoi w \u015brodku \u0142a\u0144cucha <em>eksporter \u2192 kolektor \u2192 analizator<\/em>: sam nie tworzy danych i zwykle ich nie ocenia \u2014 zbiera w jednym miejscu telemetri\u0119 z wielu \u017ar\u00f3de\u0142. S\u0142owo \u201etelemetria&#8221; oznacza tu po prostu dane pomiarowe o tym, co dzieje si\u0119 w sieci i systemach.<\/p>\n<h2>Jak dzia\u0142a kolektor?<\/h2>\n<p>Urz\u0105dzenie albo agent (eksporter) obserwuje ruch lub zdarzenia, zbiera je w rekordy i wysy\u0142a do kolektora przez sie\u0107. Kolektor czeka na ustalonym porcie, odbiera dane, rozszyfrowuje ich format, sprowadza wszystko do jednej, wsp\u00f3lnej postaci i zapisuje albo przekazuje dalej. Po drodze rekordy przechodz\u0105 przez kilka krok\u00f3w:<\/p>\n<ol>\n<li><strong>Odbi\u00f3r<\/strong> \u2014 kolektor nas\u0142uchuje na porcie i przyjmuje dane od eksporter\u00f3w.<\/li>\n<li><strong>Rozszyfrowanie i ujednolicenie<\/strong> \u2014 odczytanie formatu i sprowadzenie p\u00f3l do jednej postaci (adresy IP, porty, protok\u00f3\u0142, liczba bajt\u00f3w i pakiet\u00f3w, czas zdarzenia). W formatach <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> v9 i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a> uk\u0142ad p\u00f3l opisuj\u0105 do\u0142\u0105czane szablony.<\/li>\n<li><strong>Wzbogacanie<\/strong> \u2014 opcjonalne do\u0142o\u017cenie kontekstu, np. lokalizacji geograficznej (GeoIP), informacji o sieci \u017ar\u00f3d\u0142owej (ASN), nazw interfejs\u00f3w czy etykiet aplikacji.<\/li>\n<li><strong>Przechowywanie<\/strong> \u2014 zapis do bazy danych przystosowanej do du\u017cych ilo\u015bci zdarze\u0144 w czasie (np. kolumnowej, takiej jak ClickHouse), \u017ceby da\u0142o si\u0119 p\u00f3\u017aniej przeszukiwa\u0107 histori\u0119.<\/li>\n<li><strong>Udost\u0119pnienie<\/strong> \u2014 przekazanie danych do analizatora, paneli (dashboard\u00f3w) albo dalszych system\u00f3w, np. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a> (system zbieraj\u0105cy i koreluj\u0105cy zdarzenia bezpiecze\u0144stwa) lub hurtowni danych.<\/li>\n<\/ol>\n<h2>Jakie protoko\u0142y obs\u0142uguje kolektor przep\u0142yw\u00f3w?<\/h2>\n<p>Kolektory sieciowe odbieraj\u0105 dane o przep\u0142ywach w kilku standardach. R\u00f3\u017cni\u0105 si\u0119 one tym, jak zbieraj\u0105 dane, oraz domy\u015blnym portem UDP, na kt\u00f3rym nas\u0142uchuj\u0105:<\/p>\n<ul>\n<li><strong>NetFlow<\/strong> (Cisco) \u2014 wersje v5 i v9; przesy\u0142a pe\u0142ne statystyki przep\u0142yw\u00f3w. Domy\u015blnie cz\u0119sto port <code>UDP\/2055<\/code> (port mo\u017cna zmieni\u0107).<\/li>\n<li><strong>IPFIX<\/strong> \u2014 otwarty standard organizacji IETF (RFC 7011), nast\u0119pca NetFlow v9 oparty na szablonach; pozwala definiowa\u0107 w\u0142asne pola (Information Elements). <strong>Domy\u015blnie wykorzystuje port 4739 (SCTP, TCP lub UDP).<\/strong><\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sflow\">sFlow<\/a><\/strong> \u2014 opiera si\u0119 na pr\u00f3bkowaniu pakiet\u00f3w, czyli analizie co kt\u00f3rej\u015b pr\u00f3bki zamiast ca\u0142ego ruchu; domy\u015blnie <code>UDP\/6343<\/code>. Daje ma\u0142y narzut i dobrze si\u0119 skaluje, ale obraz jest przybli\u017cony (statystyczny), a nie pe\u0142ny.<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/j-flow\">J-Flow<\/a><\/strong> (Juniper) i <strong>NetStream<\/strong> (Huawei) \u2014 odpowiedniki NetFlow u innych producent\u00f3w.<\/li>\n<\/ul>\n<p>Eksporterami bywaj\u0105 routery, prze\u0142\u0105czniki, firewalle, load balancery, brokerzy pakiet\u00f3w oraz dedykowane sondy. W chmurze podobn\u0105 rol\u0119 pe\u0142ni\u0105 <em>flow logs<\/em> (np. VPC Flow Logs), wysy\u0142ane do kolektora lub us\u0142ugi analitycznej.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 kolektor log\u00f3w od kolektora przep\u0142yw\u00f3w?<\/h2>\n<p>Oba odbieraj\u0105 dane, ale r\u00f3\u017cni\u0105 si\u0119 ich rodzajem i sposobem przesy\u0142ania:<\/p>\n<ul>\n<li><strong>Kolektor przep\u0142yw\u00f3w<\/strong> zbiera dane o po\u0142\u0105czeniach sieciowych \u2014 kto z kim si\u0119 \u0142\u0105czy\u0142, ile danych przes\u0142a\u0142 i kiedy \u2014 bez zagl\u0105dania w tre\u015b\u0107 tych po\u0142\u0105cze\u0144.<\/li>\n<li><strong>Kolektor log\u00f3w<\/strong> zbiera zdarzenia z system\u00f3w, aplikacji i urz\u0105dze\u0144 (uporz\u0105dkowane lub w postaci tekstu), najcz\u0119\u015bciej protoko\u0142em <code>syslog<\/code> (<code>UDP\/514<\/code>, a w wersji szyfrowanej <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a> \u2014 <code>TCP\/6514<\/code>) albo przez agent\u00f3w.<\/li>\n<\/ul>\n<p>W praktyce w zespole bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>) oba rodzaje danych cz\u0119sto \u0142\u0105czy si\u0119 razem: kolektor log\u00f3w lub kolektor przep\u0142yw\u00f3w zasila system SIEM, a same przep\u0142ywy trafiaj\u0105 do narz\u0119dzi klasy NDR (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a>), kt\u00f3re wykrywaj\u0105 zagro\u017cenia na podstawie ruchu sieciowego.<\/p>\n<h2>Czym jest kolektor w OpenTelemetry?<\/h2>\n<p>W monitorowaniu aplikacji (obserwowalno\u015bci) <strong>OpenTelemetry Collector<\/strong> to osobny, niezale\u017cny od producenta proces, kt\u00f3ry odbiera, przetwarza i wysy\u0142a dalej trzy rodzaje danych: \u015blady (traces, czyli drog\u0119 \u017c\u0105dania przez aplikacj\u0119), metryki i logi. Sk\u0142ada si\u0119 z element\u00f3w po\u0142\u0105czonych w potoki przetwarzania (pipeline):<\/p>\n<ul>\n<li><strong>Receivers<\/strong> (odbiorniki) \u2014 przyjmuj\u0105 dane, np. przez protok\u00f3\u0142 OTLP, z aplikacji i innych \u017ar\u00f3de\u0142.<\/li>\n<li><strong>Processors<\/strong> (procesory) \u2014 przetwarzaj\u0105 dane po drodze: filtruj\u0105, pr\u00f3bkuj\u0105, wzbogacaj\u0105, usuwaj\u0105 wra\u017cliwe pola.<\/li>\n<li><strong>Exporters<\/strong> (eksportery) \u2014 wysy\u0142aj\u0105 dane do system\u00f3w docelowych lub do kolejnych kolektor\u00f3w.<\/li>\n<\/ul>\n<p>Wdra\u017ca si\u0119 go na dwa sposoby: jako <strong>agenta<\/strong> blisko aplikacji (na tym samym ho\u015bcie lub obok niej) oraz jako <strong>bram\u0119<\/strong> (gateway) \u2014 wsp\u00f3lny punkt zbiorczy dla wielu agent\u00f3w. Warto odr\u00f3\u017cni\u0107 kolektor od pojedynczego <em>eksportera<\/em>: eksporter to element wysy\u0142aj\u0105cy dane do jednego miejsca docelowego, a kolektor to ca\u0142a us\u0142uga, kt\u00f3ra spina odbi\u00f3r, przetwarzanie i wiele eksporter\u00f3w naraz.<\/p>\n<h2>Dlaczego kolektor jest wa\u017cny dla bezpiecze\u0144stwa?<\/h2>\n<p>To w kolektorze powstaje sp\u00f3jny, zebrany w jednym miejscu obraz tego, co dzieje si\u0119 w sieci i systemach \u2014 a taki obraz jest podstaw\u0105 wykrywania zagro\u017ce\u0144 i analizy po w\u0142amaniu. Dla zespo\u0142u bezpiecze\u0144stwa (SOC) i narz\u0119dzi NDR ma to kilka konkretnych skutk\u00f3w:<\/p>\n<ul>\n<li><strong>Widoczno\u015b\u0107<\/strong> \u2014 dane o przep\u0142ywach pokazuj\u0105 komunikacj\u0119, kt\u00f3rej nie wida\u0107 w logach aplikacji: ruch boczny mi\u0119dzy maszynami (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a>), skanowanie port\u00f3w czy regularne \u201emeldowanie si\u0119&#8221; zainfekowanej maszyny do serwera atakuj\u0105cego (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">beaconing<\/a> do <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">C2<\/a>).<\/li>\n<li><strong>Wykrywanie anomalii<\/strong> \u2014 na podstawie danych historycznych z kolektora mo\u017cna ustali\u0107, jak wygl\u0105da normalny ruch, i wychwytywa\u0107 odst\u0119pstwa: nietypowe ilo\u015bci danych, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych\">wyciek danych<\/a> na zewn\u0105trz, po\u0142\u0105czenia do nowych adres\u00f3w.<\/li>\n<li><strong>Materia\u0142 dowodowy<\/strong> \u2014 rekordy przechowywane przez d\u0142u\u017cszy czas pozwalaj\u0105 odtworzy\u0107 przebieg incydentu: kto, kiedy i jakim kana\u0142em.<\/li>\n<li><strong>Korelacja<\/strong> \u2014 ujednolicone dane z kolektora zasilaj\u0105 system SIEM, gdzie \u0142\u0105cz\u0105 si\u0119 z innymi \u017ar\u00f3d\u0142ami zdarze\u0144.<\/li>\n<\/ul>\n<p>Sam kolektor bywa te\u017c celem ataku albo s\u0142abym punktem. Protoko\u0142y przep\u0142yw\u00f3w dzia\u0142aj\u0105 zwykle na UDP bez sprawdzania to\u017csamo\u015bci nadawcy, wi\u0119c atakuj\u0105cy mo\u017ce podszy\u0107 si\u0119 pod eksporter i wys\u0142a\u0107 fa\u0142szywe rekordy (spoofing). Dlatego kolektory przyjmuj\u0105 dane tylko z zaufanych \u017ar\u00f3de\u0142, umieszcza si\u0119 je w osobnej sieci zarz\u0105dzania, a kana\u0142y log\u00f3w szyfruje (syslog przez TLS). Je\u015bli kolektor zostanie zalany zbyt du\u017c\u0105 ilo\u015bci\u0105 danych, cz\u0119\u015b\u0107 telemetrii mo\u017ce przepa\u015b\u0107 \u2014 to problem zar\u00f3wno wydajno\u015bciowy, jak i dla bezpiecze\u0144stwa.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 Collector zbiera rekordy NetFlow z urz\u0105dze\u0144 sieciowych i przekazuje je do analizy ruchu.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ueba-user-and-entity-behavior-analytics\">UEBA (User and Entity Behavior Analytics)<\/a> \u2014 Collector dostarcza dane wej\u015bciowe do UEBA, kt\u00f3re s\u0142u\u017c\u0105 do analizy zachowa\u0144 u\u017cytkownik\u00f3w i encji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-mining\">Data mining<\/a> \u2014 Collector gromadzi dane, kt\u00f3re mo\u017cna p\u00f3\u017aniej przetwarza\u0107 w procesach data mining.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4745","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Collector (Kolektor)","ikona":"","krotki_opis":"Element monitoringu, kt\u00f3ry zbiera, porz\u0105dkuje i przechowuje telemetri\u0119 (NetFlow, IPFIX, sFlow, syslog) od eksporter\u00f3w; \u015brodkowe ogniwo \u0142a\u0144cucha eksporter\u2013kolektor\u2013analizator."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4745","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4745"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}