{"id":4775,"date":"2026-08-11T20:59:00","date_gmt":"2026-08-11T18:59:00","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&p=4775"},"modified":"2026-08-12T19:01:40","modified_gmt":"2026-08-12T17:01:40","slug":"incident-response-lifecycle","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/incident-response-lifecycle","title":{"rendered":"Incident Response Lifecycle"},"content":{"rendered":"

Incident Response Lifecycle<\/strong> (cykl reagowania na incydenty) to uporz\u0105dkowany, powtarzalny spos\u00f3b radzenia sobie z incydentami bezpiecze\u0144stwa. Obejmuje wykrycie zdarzenia, jego analiz\u0119, powstrzymanie i usuni\u0119cie zagro\u017cenia, a na ko\u0144cu odtworzenie system\u00f3w i wyci\u0105gni\u0119cie wniosk\u00f3w. Najcz\u0119\u015bciej opisuj\u0105 go dwa modele. Pierwszy to czterofazowy model NIST SP 800-61<\/code>: przygotowanie; wykrywanie i analiza; powstrzymanie, eliminacja i odtworzenie; dzia\u0142ania poincydentowe. Drugi to sze\u015bciokrokowy model SANS, znany jako PICERL (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned). Cykl jest p\u0119tl\u0105, a nie lini\u0105: wnioski z ka\u017cdego incydentu wracaj\u0105 do fazy przygotowania.<\/p>\n

Jakie s\u0105 fazy cyklu reagowania na incydenty?<\/h2>\n

Modele r\u00f3\u017cni\u0105 si\u0119 liczb\u0105 krok\u00f3w, ale opisuj\u0105 t\u0119 sam\u0105 drog\u0119: od gotowo\u015bci, przez wykrycie, po napraw\u0119 i nauk\u0119. Poni\u017cej fazy w uj\u0119ciu NIST. Zaznaczamy, gdzie SANS dzieli je drobniej.<\/p>\n

    \n
  1. Przygotowanie (Preparation)<\/strong> \u2014 wszystko, co robisz, zanim dojdzie do incydentu. Powo\u0142ujesz zesp\u00f3\u0142 reagowania (CSIRT<\/code> lub CERT<\/code> \u2014 grupa, kt\u00f3ra zajmuje si\u0119 incydentami). Tworzysz plan i polityki, a do typowych scenariuszy (phishing<\/a>, ransomware<\/a>, przej\u0119cie konta) przygotowujesz playbooki<\/strong>, czyli gotowe procedury krok po kroku. Wdra\u017casz te\u017c zbieranie danych (logi, EDR<\/code>, SIEM<\/code>, NDR<\/code>), ustalasz \u015bcie\u017cki eskalacji i kontakty, \u0107wiczysz na sucho (table-top) oraz robisz i testujesz kopie zapasowe.<\/li>\n
  2. Wykrywanie i analiza (Detection & Analysis)<\/strong> \u2014 w modelu SANS to Identyfikacja<\/em>. Tu rozpoznajesz sygna\u0142y ataku: alerty IDS\/IPS<\/code>, regu\u0142y korelacji w SIEM<\/code>, nietypowe zachowania i wska\u017aniki w\u0142amania (IoC<\/a>, \u015blady \u015bwiadcz\u0105ce o ataku). Nast\u0119pnie sortujesz alerty wed\u0142ug wa\u017cno\u015bci (tria\u017c), ustalasz zakres i skutki, nadajesz priorytet i powiadamiasz w\u0142a\u015bciwe osoby. Tu mierzy si\u0119 MTTD<\/code> (mean time to detect<\/a>, \u015bredni czas do wykrycia).<\/li>\n
  3. Powstrzymanie, eliminacja i odtworzenie (Containment, Eradication & Recovery)<\/strong> \u2014 NIST \u0142\u0105czy te trzy dzia\u0142ania, bo w praktyce si\u0119 przeplataj\u0105. SANS traktuje je jako trzy osobne kroki. Powstrzymanie to odci\u0119cie zagro\u017cenia: izolacja zainfekowanych komputer\u00f3w, blokada kont i adres\u00f3w, segmentacja sieci. Eliminacja to usuni\u0119cie przyczyny: malware<\/a>, kont atakuj\u0105cego, podatno\u015bci i tzw. mechanizm\u00f3w trwa\u0142o\u015bci (sposob\u00f3w, kt\u00f3rymi atakuj\u0105cy utrzymuje dost\u0119p). Odtworzenie to powr\u00f3t do normalnej pracy: przywr\u00f3cenie system\u00f3w z zaufanych kopii, sprawdzenie ich integralno\u015bci i wzmo\u017cony monitoring. Tu mierzy si\u0119 MTTR<\/code> (mean time to respond\/recover, \u015bredni czas reakcji lub odtworzenia).<\/li>\n
  4. Dzia\u0142ania poincydentowe (Post-Incident Activity)<\/strong> \u2014 w SANS to Lessons Learned<\/em>, czyli wyci\u0105ganie wniosk\u00f3w. Po wszystkim zesp\u00f3\u0142 spotyka si\u0119 na podsumowaniu (post-mortem), odtwarza o\u015b czasu zdarze\u0144, ocenia, jak dobrze zadzia\u0142a\u0142y wykrywanie i reakcja, aktualizuje playbooki, regu\u0142y detekcji i zabezpieczenia oraz przygotowuje raport i dokumentacj\u0119 potrzebn\u0105 do zgodno\u015bci z przepisami.<\/li>\n<\/ol>\n

    Czym r\u00f3\u017cni si\u0119 model NIST od modelu SANS?<\/h2>\n

    Oba modele opisuj\u0105 ten sam proces, ale inaczej go grupuj\u0105 i s\u0105 pisane dla innych odbiorc\u00f3w.<\/p>\n