{"id":4765,"date":"2026-08-11T20:58:57","date_gmt":"2026-08-11T18:58:57","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4765"},"modified":"2026-08-11T22:47:41","modified_gmt":"2026-08-11T20:47:41","slug":"encrypted-traffic-analysis-eta","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/encrypted-traffic-analysis-eta","title":{"rendered":"Encrypted Traffic Analysis (ETA)"},"content":{"rendered":"<p><strong>Encrypted Traffic Analysis (ETA)<\/strong>, czyli analiza ruchu szyfrowanego, to zestaw technik, kt\u00f3re wykrywaj\u0105 zagro\u017cenia i rozpoznaj\u0105 rodzaj ruchu w sieci, <strong>nie odszyfrowuj\u0105c<\/strong> po\u0142\u0105cze\u0144. Zamiast czyta\u0107 tre\u015b\u0107 pakiet\u00f3w, ETA patrzy na to, co i tak wida\u0107 z zewn\u0105trz: jawne fragmenty nawi\u0105zywania po\u0142\u0105czenia <code>TLS<\/code> (np. wiadomo\u015b\u0107 <code>ClientHello<\/code>), rozmiary i kolejno\u015b\u0107 pakiet\u00f3w, odst\u0119py czasu mi\u0119dzy nimi, dane z certyfikat\u00f3w, zapytania <code>DNS<\/code> oraz pary adres\u00f3w i port\u00f3w. To troch\u0119 jak ocena przesy\u0142ki po kszta\u0142cie, wadze i etykiecie, bez otwierania paczki. Na podstawie tych cech metody statystyczne i uczenie maszynowe (ML, czyli modele ucz\u0105ce si\u0119 z danych) rozpoznaj\u0105 z\u0142o\u015bliwe oprogramowanie, komunikacj\u0119 z serwerami steruj\u0105cymi atakiem (command-and-control, w skr\u00f3cie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">C2<\/a>), <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych\">wyciek danych<\/a> czy nietypowe zachowania \u2014 a tre\u015b\u0107 po\u0142\u0105czenia pozostaje prywatna.<\/p>\n<h2>Dlaczego analiza ruchu szyfrowanego sta\u0142a si\u0119 potrzebna?<\/h2>\n<p>Dzi\u015b prawie ca\u0142y ruch w firmach i w internecie jest szyfrowany protoko\u0142em <code>TLS<\/code> (to on stoi za <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTPS<\/a>, a tak\u017ce za DoH i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/quic\">QUIC<\/a>). Szyfrowanie chroni prywatno\u015b\u0107, ale tworzy te\u017c martwe pole dla starszych narz\u0119dzi, kt\u00f3re wykrywa\u0142y zagro\u017cenia po tre\u015bci (DPI, sygnatury IDS). Atakuj\u0105cy o tym wiedz\u0105 i celowo ukrywaj\u0105 z\u0142o\u015bliwy ruch w <code>TLS<\/code>, bo zaszyfrowanej tre\u015bci obro\u0144ca i tak nie odczyta.<\/p>\n<p>Mo\u017cna by odszyfrowywa\u0107 wszystko na bramie sieciowej, ale to kosztowne, \u0142amie zabezpieczenia aplikacji (tzw. certificate pinning), narusza prywatno\u015b\u0107 i bywa niezgodne z przepisami. ETA rozwi\u0105zuje ten problem inaczej: przywraca widoczno\u015b\u0107, nie zagl\u0105daj\u0105c do tre\u015bci.<\/p>\n<h2>Jak dzia\u0142a Encrypted Traffic Analysis?<\/h2>\n<p>ETA korzysta z cech po\u0142\u0105czenia, kt\u00f3re wida\u0107 mimo szyfrowania. Najcz\u0119\u015bciej s\u0105 to:<\/p>\n<ul>\n<li><strong>Dane z nawi\u0105zywania po\u0142\u0105czenia <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a><\/strong> \u2014 wiadomo\u015bci <code>ClientHello<\/code> i <code>ServerHello<\/code> id\u0105 jawnie, jeszcze przed zaszyfrowaniem. Zawieraj\u0105 wersj\u0119 protoko\u0142u, list\u0119 obs\u0142ugiwanych algorytm\u00f3w szyfrowania (cipher suites), rozszerzenia i inne ustawienia. Taki zestaw jest charakterystyczny dla konkretnej aplikacji albo biblioteki.<\/li>\n<li><strong>Odcisk palca po\u0142\u0105czenia (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ja3-ja4-fingerprinting\">JA3<\/a>\/JA4)<\/strong> \u2014 <code>JA3<\/code> zbiera wybrane pola z <code>ClientHello<\/code>, uk\u0142ada je w ustalonej kolejno\u015bci i zamienia na kr\u00f3tki kod (skr\u00f3t MD5). Powstaje kompaktowy identyfikator klienta; jego odpowiednik dla serwera to <code>JA3S<\/code>. Nowsza rodzina <code>JA4+<\/code> jest czytelna dla cz\u0142owieka, trudniejsza do podrobienia, lepiej radzi sobie z losowaniem ustawie\u0144 w przegl\u0105darkach i obejmuje te\u017c <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/quic\">QUIC<\/a> oraz DTLS.<\/li>\n<li><strong>SPLT, czyli sekwencja rozmiar\u00f3w i czas\u00f3w pakiet\u00f3w<\/strong> (z ang. Sequence of Packet Lengths and Times) \u2014 kolejne rozmiary pakiet\u00f3w i odst\u0119py mi\u0119dzy nimi tworz\u0105 charakterystyczny rytm sesji, cz\u0119sto unikalny dla danej aplikacji lub rodziny z\u0142o\u015bliwego oprogramowania.<\/li>\n<li><strong>Rozk\u0142ad bajt\u00f3w i pierwszy pakiet danych<\/strong> \u2014 statystyka warto\u015bci bajt\u00f3w oraz pocz\u0105tkowy pakiet po\u0142\u0105czenia nios\u0105 sygna\u0142 przydatny do klasyfikacji, r\u00f3wnie\u017c bez odszyfrowania.<\/li>\n<li><strong>Dane z certyfikatu<\/strong> \u2014 kto go wystawi\u0142 i komu, jak d\u0142ugo jest wa\u017cny, czy jest samopodpisany, czy domena si\u0119 zgadza i czy nie zosta\u0142 wystawiony przed chwil\u0105. Takie sygna\u0142y bywaj\u0105 tropem prowadz\u0105cym do infrastruktury atakuj\u0105cego.<\/li>\n<li><strong>Kontekst sieciowy<\/strong> \u2014 zapytania <code>DNS<\/code> (w tym ich nadu\u017cycie do ukrytej transmisji, czyli tunelowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>), nazwa serwera <code>SNI<\/code>, pary adres\/port, czas i kierunek sesji oraz <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">beaconing<\/a>, czyli regularne \u0142\u0105czenie si\u0119 w r\u00f3wnych odst\u0119pach.<\/li>\n<\/ul>\n<p>Zebrane cechy trafiaj\u0105 do modeli <strong>uczenia maszynowego<\/strong>. Cz\u0119\u015b\u0107 z nich jest trenowana na oznaczonych przyk\u0142adach (ruch z\u0142o\u015bliwy kontra normalny), a cz\u0119\u015b\u0107 uczy si\u0119 typowego zachowania hosta, u\u017cytkownika lub aplikacji i sygnalizuje odst\u0119pstwa od tej normy.<\/p>\n<h2>Czym ETA r\u00f3\u017cni si\u0119 od odszyfrowywania ruchu (TLS inspection)?<\/h2>\n<p>Odszyfrowywanie ruchu (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a>\/SSL inspection) dzia\u0142a inaczej: serwer po\u015brednicz\u0105cy przerywa po\u0142\u0105czenie, odszyfrowuje tre\u015b\u0107, sprawdza j\u0105 i szyfruje ponownie. Daje pe\u0142ny wgl\u0105d w zawarto\u015b\u0107, ale wymaga zainstalowania w\u0142asnego certyfikatu na urz\u0105dzeniach, mocno obci\u0105\u017ca sprz\u0119t, koliduje z zabezpieczeniami aplikacji (certificate pinning) oraz rodzi ryzyka prywatno\u015bci i zgodno\u015bci z przepisami.<\/p>\n<p>ETA robi co\u015b przeciwnego: <strong>nie odszyfrowuje niczego<\/strong> i wnioskuje z metadanych oraz zachowania. W praktyce oba podej\u015bcia dobrze si\u0119 uzupe\u0142niaj\u0105. Odszyfrowywanie warto stosowa\u0107 w wybranych, dozwolonych punktach, a ETA obejmuje ca\u0142y ruch \u2014 tak\u017ce ten, kt\u00f3rego nie wolno albo nie da si\u0119 odszyfrowa\u0107.<\/p>\n<h2>Jakie zagro\u017cenia wykrywa ETA?<\/h2>\n<ul>\n<li><strong>Z\u0142o\u015bliwe oprogramowanie \u0142\u0105cz\u0105ce si\u0119 przez TLS<\/strong> \u2014 po charakterystycznym odcisku palca bibliotek i narz\u0119dzi, kt\u00f3rych u\u017cywa.<\/li>\n<li><strong>Komunikacja z serwerami steruj\u0105cymi atakiem (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">C2<\/a>)<\/strong> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">beaconing<\/a>, nietypowe odst\u0119py czasu, po\u0142\u0105czenia do \u015bwie\u017co zarejestrowanej lub podejrzanej infrastruktury.<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych\">Wyciek danych<\/a><\/strong> \u2014 nietypowa ilo\u015b\u0107 i kierunek ruchu, np. d\u0142ugie sesje wychodz\u0105ce o dziwnym rozk\u0142adzie rozmiar\u00f3w pakiet\u00f3w.<\/li>\n<li><strong>Tunelowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a><\/strong> \u2014 wykorzystanie zapyta\u0144 DNS jako ukrytego kana\u0142u do przesy\u0142ania danych.<\/li>\n<li><strong>Nieautoryzowane aplikacje (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/shadow-it\">shadow IT<\/a>)<\/strong> \u2014 rozpoznanie, jaka aplikacja dzia\u0142a, mimo szyfrowania.<\/li>\n<li><strong>Nietypowe zachowanie urz\u0105dze\u0144 IoT\/OT<\/strong> \u2014 odst\u0119pstwa od ich zwykle przewidywalnych, w\u0105skich wzorc\u00f3w \u0142\u0105czno\u015bci.<\/li>\n<\/ul>\n<h2>Jak\u0105 rol\u0119 odgrywa ETA w NDR i monitoringu sieci?<\/h2>\n<p>ETA to jeden z filar\u00f3w <strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a> (NDR)<\/strong>, czyli wykrywania i reagowania na zagro\u017cenia na poziomie sieci. Skoro ruch szyfrowany dominuje, bez analizy metadanych NDR widzia\u0142by tylko cz\u0119\u015b\u0107 tego, co si\u0119 dzieje.<\/p>\n<p>ETA dostarcza dane i wykrycia, kt\u00f3re potem \u0142\u0105czy si\u0119 z innymi \u017ar\u00f3d\u0142ami: przep\u0142ywami sieciowymi (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>), logami, danymi z <code>SIEM<\/code> oraz alertami z IDS\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ips-intrusion-prevention-system\">IPS<\/a>. Wyniki trafiaj\u0105 do analityk\u00f3w w centrum bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>) i mog\u0105 uruchamia\u0107 automatyczn\u0105 reakcj\u0119, np. odci\u0119cie zainfekowanego hosta, w narz\u0119dziach typu <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soar\">SOAR<\/a>. Dane zbiera si\u0119 zwykle z sond sieciowych, port\u00f3w lustrzanych i pods\u0142uch\u00f3w (TAP) albo z firewalli i serwer\u00f3w proxy, kt\u00f3re wysy\u0142aj\u0105 metadane do centralnej platformy.<\/p>\n<h2>Jakie s\u0105 ograniczenia ETA?<\/h2>\n<p>ETA nie jest cudownym lekiem. Wykrywanie po zachowaniu i ML generuje fa\u0142szywe alarmy, potrzebuje dobrych danych do nauki i traci form\u0119, gdy sie\u0107 si\u0119 zmienia. Odciski palca si\u0119 starzej\u0105: <strong>losowanie ustawie\u0144 TLS<\/strong> w nowoczesnych przegl\u0105darkach mocno os\u0142abi\u0142o unikalno\u015b\u0107 <code>JA3<\/code> i by\u0142o jednym z powod\u00f3w powstania <code>JA4+<\/code>. Atakuj\u0105cy potrafi\u0105 te\u017c celowo upodabnia\u0107 sw\u00f3j ruch do zwyk\u0142ych aplikacji. Dlatego ETA najlepiej traktowa\u0107 jako warstw\u0119 uzupe\u0142niaj\u0105c\u0105 \u2014 najsilniejsz\u0105 w po\u0142\u0105czeniu z reputacj\u0105 adres\u00f3w, wiedz\u0105 o zagro\u017ceniach (threat intelligence), kontekstem to\u017csamo\u015bci i korelacj\u0105 w NDR\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a>, a nie jako samodzielny mechanizm.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 ETA opiera si\u0119 na widoczno\u015bci ruchu sieciowego, nawet gdy jego tre\u015b\u0107 jest zaszyfrowana.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 ETA mo\u017ce ujawnia\u0107 nietypowe wzorce po\u0142\u0105cze\u0144 wskazuj\u0105ce na ataki typu MITM, w tym ARP spoofing.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> dostarcza metadane, kt\u00f3re ETA analizuje zamiast odszyfrowywa\u0107 sam\u0105 tre\u015b\u0107 pakiet\u00f3w.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/ndr-vs-siem-vs-xdr-differences-ndr-xdr-ndr-vs-siem-and-choosing-a-network-monitoring-system\">NDR vs SIEM vs XDR \u2013 r\u00f3\u017cnice NDR XDR, NDR vs SIEM i wyb\u00f3r systemu monitoringu sieci<\/a> \u2014 ETA jest typow\u0105 technik\u0105 stosowan\u0105 w NDR do analizy ruchu bez dost\u0119pu do tre\u015bci sesji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ueba-user-and-entity-behavior-analytics\">UEBA (User and Entity Behavior Analytics)<\/a> \u2014 ETA uzupe\u0142nia UEBA, bo dostarcza cech ruchu potrzebnych do oceny zachowa\u0144 u\u017cytkownik\u00f3w i encji.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4765","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Encrypted Traffic Analysis (ETA)","ikona":"","krotki_opis":"Techniki wykrywania zagro\u017ce\u0144, kt\u00f3re badaj\u0105 zaszyfrowany ruch sieciowy bez deszyfracji \u2014 na podstawie metadanych TLS, odcisk\u00f3w palca (JA3\/JA4), rozmiar\u00f3w i czas\u00f3w pakiet\u00f3w oraz uczenia maszynowego."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4765","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4765"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}