{"id":4755,"date":"2026-08-11T20:58:55","date_gmt":"2026-08-11T18:58:55","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4755"},"modified":"2026-08-11T22:47:35","modified_gmt":"2026-08-11T20:47:35","slug":"data-exfiltration-wyciek-danych","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych","title":{"rendered":"Data Exfiltration (Wyciek danych)"},"content":{"rendered":"<p><strong>Data exfiltration (wyciek danych)<\/strong> to nieuprawnione skopiowanie lub wyprowadzenie danych z system\u00f3w organizacji na zewn\u0105trz, do miejsca, kt\u00f3re kontroluje atakuj\u0105cy. To zwykle ostatni krok w\u0142amania: napastnik najpierw dostaje si\u0119 do sieci i zdobywa uprawnienia, a dopiero potem wynosi to, po co przyszed\u0142 \u2014 dane klient\u00f3w, w\u0142asno\u015b\u0107 intelektualn\u0105, has\u0142a czy kod \u017ar\u00f3d\u0142owy. W modelu MITRE ATT&amp;CK odpowiada temu taktyka <code>TA0010<\/code> (faza <em>exfiltration<\/em>). Wyciek mo\u017ce by\u0107 dzie\u0142em napastnika z zewn\u0105trz steruj\u0105cego z\u0142o\u015bliwym oprogramowaniem albo w\u0142asnego pracownika, kt\u00f3ry nadu\u017cywa legalnego dost\u0119pu.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 wyciek danych od data leakage i data breach?<\/h2>\n<p>Te trzy poj\u0119cia \u0142atwo pomyli\u0107, ale oznaczaj\u0105 co innego:<\/p>\n<ul>\n<li><strong>Data exfiltration<\/strong> \u2014 celowe wyprowadzenie danych na zewn\u0105trz. Kto\u015b dzia\u0142a z premedytacj\u0105: wybiera kana\u0142, pakuje i szyfruje dane przed wys\u0142aniem.<\/li>\n<li><strong>Data leakage (niezamierzony wyciek)<\/strong> \u2014 przypadkowe ujawnienie danych: \u017ale ustawiony magazyn w chmurze, publiczny zasobnik, plik wys\u0142any do z\u0142ego odbiorcy. Bez z\u0142ej woli.<\/li>\n<li><strong>Data breach (naruszenie ochrony danych)<\/strong> \u2014 poj\u0119cie najszersze: ka\u017cdy nieuprawniony dost\u0119p do danych. Wyciek danych to jedna z mo\u017cliwych konsekwencji naruszenia, ale naruszenie mo\u017ce si\u0119 sko\u0144czy\u0107 bez wyprowadzenia czegokolwiek na zewn\u0105trz.<\/li>\n<\/ul>\n<h2>Jakimi kana\u0142ami wyprowadzane s\u0105 dane?<\/h2>\n<p>Atakuj\u0105cy wybiera drog\u0119 tak, by wtopi\u0107 si\u0119 w normalny ruch i nie wzbudzi\u0107 alarmu na brzegu sieci. Najcz\u0119stsze kana\u0142y to:<\/p>\n<ul>\n<li><strong>HTTP\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a><\/strong> (porty <code>80<\/code>\/<code>443<\/code>) \u2014 kana\u0142 numer jeden. Dane id\u0105 jako \u017c\u0105dania POST, s\u0105 ukryte w adresie URL albo nag\u0142\u00f3wkach, albo wysy\u0142ane do us\u0142ug chmurowych. Szyfrowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a> sprawia, \u017ce trudno zajrze\u0107 do ich tre\u015bci.<\/li>\n<li><strong>Tunelowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a><\/strong> \u2014 dane s\u0105 zakodowane w nazwach poddomen w zapytaniach DNS (np. w rekordach <code>TXT<\/code> lub <code>NULL<\/code>, w bardzo d\u0142ugich, losowo wygl\u0105daj\u0105cych etykietach). DNS jest rzadko filtrowany i prawie zawsze przepuszczany przez zapor\u0119, dlatego to popularny, wolny kana\u0142 \u2014 u\u017cywany te\u017c do zdalnego sterowania (C2, czyli <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">command and control<\/a>).<\/li>\n<li><strong>Tunelowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/icmp\">ICMP<\/a><\/strong> \u2014 dane upchni\u0119te w pakietach <code>echo request\/reply<\/code> (czyli zwyk\u0142ym pingu), podszywaj\u0105ce si\u0119 pod ruch diagnostyczny.<\/li>\n<li><strong>Us\u0142ugi i magazyny w chmurze<\/strong> \u2014 wysy\u0142ka do legalnych serwis\u00f3w (dyski, repozytoria kodu, komunikatory, poczta przez przegl\u0105dark\u0119), kt\u00f3re trudno odr\u00f3\u017cni\u0107 od normalnej pracy.<\/li>\n<li><strong>Poczta firmowa<\/strong> \u2014 za\u0142\u0105czniki wysy\u0142ane na prywatne adresy lub do os\u00f3b z zewn\u0105trz.<\/li>\n<li><strong>No\u015bniki fizyczne i USB<\/strong> \u2014 kopiowanie na pendrive, dysk zewn\u0119trzny czy kart\u0119 pami\u0119ci. Typowy kana\u0142 pracownika od \u015brodka, niewidoczny dla narz\u0119dzi sieciowych.<\/li>\n<li><strong>Kana\u0142y ukryte (covert channels)<\/strong> \u2014 dane chowane w polach pakiet\u00f3w TCP\/UDP albo komunikacja bez zapisywania plik\u00f3w na dysku.<\/li>\n<\/ul>\n<h2>Jak przebiega atak prowadz\u0105cy do wycieku?<\/h2>\n<p>Wyciek rzadko jest pierwszym ruchem. Zwykle poprzedza go kilka krok\u00f3w:<\/p>\n<ol>\n<li><strong>Wej\u015bcie do sieci<\/strong> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/phishing\">phishing<\/a>, kradzie\u017c hase\u0142, wykorzystanie luki lub b\u0142\u0119du w konfiguracji.<\/li>\n<li><strong>Rozpoznanie i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">ruch boczny<\/a><\/strong> \u2014 odnalezienie cennych danych, zdobycie wy\u017cszych uprawnie\u0144, dost\u0119p do baz i udzia\u0142\u00f3w plik\u00f3w.<\/li>\n<li><strong>Przygotowanie (staging)<\/strong> \u2014 zebranie danych w jednym miejscu, spakowanie i zaszyfrowanie, \u017ceby zmniejszy\u0107 ich rozmiar i ukry\u0107 zawarto\u015b\u0107.<\/li>\n<li><strong>Wyprowadzenie<\/strong> \u2014 wysy\u0142ka wybranym kana\u0142em, cz\u0119sto w ma\u0142ych porcjach i w godzinach ma\u0142ego ruchu, czasem przez serwer steruj\u0105cy (C2) odzywaj\u0105cy si\u0119 w regularnych odst\u0119pach.<\/li>\n<\/ol>\n<h2>Jak wykry\u0107 wyciek danych?<\/h2>\n<p>Coraz wi\u0119cej ruchu jest szyfrowane, wi\u0119c cz\u0119sto nie da si\u0119 zajrze\u0107 do samej tre\u015bci. Wykrywanie opiera si\u0119 wtedy na <strong>metadanych i nietypowych zachowaniach<\/strong> \u2014 czyli na tym, kto, kiedy, ile i dok\u0105d wysy\u0142a, a nie na tym, co konkretnie. Najwa\u017cniejsze sygna\u0142y i metody:<\/p>\n<ul>\n<li><strong>Nietypowy ruch wychodz\u0105cy<\/strong> \u2014 nag\u0142e skoki ilo\u015bci wysy\u0142anych danych, dziwna przewaga wysy\u0142ki nad pobieraniem u danego hosta czy u\u017cytkownika.<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">Beaconing<\/a><\/strong> \u2014 regularne, powtarzalne po\u0142\u0105czenia do tego samego adresu na zewn\u0105trz. To typowy \u015blad komunikacji z serwerem steruj\u0105cym, wychwytywany przez analiz\u0119 odst\u0119p\u00f3w mi\u0119dzy po\u0142\u0105czeniami.<\/li>\n<li><strong>Analiza DNS<\/strong> \u2014 losowo wygl\u0105daj\u0105ce i nietypowo d\u0142ugie nazwy, mn\u00f3stwo r\u00f3\u017cnych poddomen jednej domeny, przewaga rekord\u00f3w <code>TXT<\/code>\/<code>NULL<\/code>, dziwny stosunek rozmiaru pyta\u0144 do odpowiedzi.<\/li>\n<li><strong>Telemetria sieciowa (NDR\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>)<\/strong> \u2014 nawet przy ruchu szyfrowanym TLS wci\u0105\u017c wida\u0107 rozmiar sesji, czas jej trwania, liczb\u0119 pakiet\u00f3w i adresy docelowe. NDR (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a>) to wykrywanie zagro\u017ce\u0144 na podstawie ruchu sieciowego; pozwala wy\u0142apa\u0107 po\u0142\u0105czenia do rzadkich lub nowych adres\u00f3w.<\/li>\n<li><strong>UEBA<\/strong> \u2014 analityka zachowa\u0144 u\u017cytkownik\u00f3w i urz\u0105dze\u0144 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ueba-user-and-entity-behavior-analytics\">User and Entity Behavior Analytics<\/a>). Ustala, co jest norm\u0105, i sygnalizuje odst\u0119pstwa: si\u0119ganie po nietypowe zasoby, masowe pobrania, u\u017cycie konta administratora po godzinach.<\/li>\n<li><strong>DLP<\/strong> \u2014 narz\u0119dzia ochrony przed wyciekiem danych (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-loss-prevention-dlp\">Data Loss Prevention<\/a>). Patrz\u0105 na sam\u0105 tre\u015b\u0107 i kontekst transferu (klasyfikacja danych, wykrywanie wzorc\u00f3w jak numery kart czy PESEL) \u2014 na komputerach, w poczcie i w ruchu sieciowym.<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a> i logi proxy\/firewalla<\/strong> \u2014 \u0142\u0105czenie zdarze\u0144 z komputer\u00f3w (pakowanie danych, uruchomienie narz\u0119dzi do przesy\u0142u) z logami bramy sieciowej i systemem <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a>.<\/li>\n<\/ul>\n<h2>Jak ogranicza\u0107 ryzyko wycieku danych?<\/h2>\n<p>Dobra obrona ma kilka warstw i \u0142\u0105czy zapobieganie z wykrywaniem:<\/p>\n<ul>\n<li><strong>Kontrola ruchu wychodz\u0105cego i DNS<\/strong> \u2014 ograniczenie, dok\u0105d w og\u00f3le wolno wysy\u0142a\u0107 dane, wymuszenie firmowego serwera DNS, blokowanie tunelowania i znanych domen steruj\u0105cych.<\/li>\n<li><strong>DLP i klasyfikacja danych<\/strong> \u2014 oznaczanie danych wra\u017cliwych i pilnowanie regu\u0142 ich przesy\u0142ania na komputerach, w chmurze i w poczcie.<\/li>\n<li><strong>Najmniejsze potrzebne uprawnienia i Zero Trust<\/strong> \u2014 podzia\u0142 sieci na segmenty, ci\u0105g\u0142e sprawdzanie to\u017csamo\u015bci, zaw\u0119\u017canie dost\u0119pu do danych.<\/li>\n<li><strong>Kontrola no\u015bnik\u00f3w<\/strong> \u2014 zasady dla USB ograniczaj\u0105ce zapisywanie danych na pendrive&#8217;y i dyski wymienne.<\/li>\n<li><strong>Szyfrowanie danych \u2014 i tych przechowywanych, i przesy\u0142anych<\/strong> \u2014 sprawia, \u017ce wykradzione dane s\u0105 dla napastnika mniej warte.<\/li>\n<li><strong>Monitoring i analiza zachowa\u0144<\/strong> \u2014 NDR, UEBA i SIEM, \u017ceby wcze\u015bnie wychwyci\u0107 odst\u0119pstwa i szybciej zareagowa\u0107.<\/li>\n<li><strong>\u0141atanie luk i \u015bwiadomo\u015b\u0107 pracownik\u00f3w<\/strong> \u2014 aktualizacje, testy bezpiecze\u0144stwa i szkolenia antyphishingowe, kt\u00f3re utrudniaj\u0105 samo wej\u015bcie do sieci.<\/li>\n<\/ul>\n<h2>Dlaczego wyciek danych jest kluczowy dla SOC i monitoringu sieci?<\/h2>\n<p>Wyciek to cz\u0119sto ten moment, w kt\u00f3rym incydent zamienia si\u0119 w realn\u0105 strat\u0119. Od tej fazy zale\u017cy, czy sko\u0144czy si\u0119 na samym nieuprawnionym dost\u0119pie, czy na utracie danych, kt\u00f3r\u0105 trzeba zg\u0142osi\u0107 (na przyk\u0142ad pod <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>). Dla zespo\u0142u bezpiecze\u0144stwa (SOC, czyli <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">Security Operations Center<\/a>) oznacza to nacisk na to, by widzie\u0107 ruch wychodz\u0105cy, telemetri\u0119 DNS i przep\u0142yw\u00f3w oraz \u0142\u0105czy\u0107 sygna\u0142y z komputer\u00f3w z sygna\u0142ami z sieci. Atakuj\u0105cy skracaj\u0105 czas mi\u0119dzy w\u0142amaniem a wyniesieniem danych, wi\u0119c liczy si\u0119 wykrywanie niemal na bie\u017c\u0105co i oparte na nietypowych zachowaniach, a nie tylko na znanych sygnaturach.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/techniki-attck-mittre-w-bezpieczenstwie-twojej-sieci\">Techniki MITRE ATT&#038;CK w bezpiecze\u0144stwie sieci<\/a> \u2014 MITRE ATT&#038;CK opisuje techniki u\u017cywane m.in. do eksfiltracji danych.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cloud-access-security-broker-casb\">Cloud Access Security Broker (CASB)<\/a> \u2014 CASB pomaga wykrywa\u0107 i blokowa\u0107 wyciek danych z us\u0142ug chmurowych.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/secure-access-service-edge\">Secure Access Service Edge (SASE)<\/a> \u2014 SASE \u0142\u0105czy kontrol\u0119 dost\u0119pu i ochron\u0119 ruchu, ograniczaj\u0105c eksfiltracj\u0119 danych.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rpo\">RPO (Recovery Point Objective)<\/a> \u2014 RPO okre\u015bla, ile danych mo\u017cna utraci\u0107 po incydencie, tak\u017ce przy wycieku.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/multitenancy\">Multitenancy<\/a> \u2014 Multitenancy wymaga izolacji danych, by zapobiec ich wyciekowi mi\u0119dzy tenantami.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/content-security-policy-csp\">Content Security Policy (CSP)<\/a> \u2014 CSP ogranicza \u0142adowanie tre\u015bci, zmniejszaj\u0105c ryzyko wycieku danych z przegl\u0105darki.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4755","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Data Exfiltration (Wyciek danych)","ikona":"","krotki_opis":"Nieuprawnione skopiowanie lub wyprowadzenie danych z system\u00f3w organizacji na zewn\u0105trz, zwykle jako ostatni krok ataku; wykrywane g\u0142\u00f3wnie przez analiz\u0119 nietypowego ruchu wychodz\u0105cego i DNS."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4755","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4755"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}