{"id":4795,"date":"2026-08-11T20:59:08","date_gmt":"2026-08-11T18:59:08","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4795"},"modified":"2026-08-11T22:47:45","modified_gmt":"2026-08-11T20:47:45","slug":"network-forensics","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/network-forensics","title":{"rendered":"Network Forensics"},"content":{"rendered":"<p><strong>Network forensics<\/strong> (informatyka \u015bledcza sieci) to dziedzina, kt\u00f3ra przechwytuje, zapisuje i analizuje ruch sieciowy, \u017ceby ustali\u0107 \u017ar\u00f3d\u0142o i przebieg incydentu bezpiecze\u0144stwa lub innego zdarzenia. Kluczowa r\u00f3\u017cnica wobec klasycznej analizy dysku jest taka: na dysku dowody zostaj\u0105, a w sieci s\u0105 ulotne. Pakiet, kt\u00f3rego nie zapiszemy w chwili, gdy przelatuje przez sie\u0107, znika bezpowrotnie. Dlatego ta dziedzina opiera si\u0119 albo na ci\u0105g\u0142ym, zaplanowanym nagrywaniu ruchu, albo na szybkiej reakcji tu\u017c po wykryciu zdarzenia.<\/p>\n<h2>Czym jest network forensics?<\/h2>\n<p>Termin spopularyzowa\u0142 Marcus Ranum. Okre\u015bli\u0142 network forensics jako przechwytywanie, rejestrowanie i analiz\u0119 zdarze\u0144 sieciowych, \u017ceby ustali\u0107 \u017ar\u00f3d\u0142o atak\u00f3w lub innych incydent\u00f3w. W praktyce chodzi o odtworzenie tego, co dzia\u0142o si\u0119 w sieci: kto si\u0119 z kim \u0142\u0105czy\u0142, jakimi protoko\u0142ami, jakie pliki i polecenia przes\u0142ano i w jakiej kolejno\u015bci.<\/p>\n<p>Materia\u0142em dowodowym s\u0105 tu mi\u0119dzy innymi:<\/p>\n<ul>\n<li>surowe pakiety, czyli pliki <code>PCAP<\/code> (od ang. <em>packet capture<\/em>, \u201eprzechwycenie pakiet\u00f3w\u201d);<\/li>\n<li>rekordy przep\u0142yw\u00f3w, czyli skr\u00f3ty po\u0142\u0105cze\u0144 w formatach <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> lub <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>;<\/li>\n<li>logi sesji tworzone przez sensory ruchu, na przyk\u0142ad Zeek;<\/li>\n<li>logi urz\u0105dze\u0144 sieciowych: router\u00f3w, firewalli, serwer\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a> i proxy.<\/li>\n<\/ul>\n<p>Network forensics ma dwa g\u0142\u00f3wne zastosowania. Pierwsze dotyczy bezpiecze\u0144stwa: ci\u0105g\u0142e pilnowanie sieci pod k\u0105tem nietypowego ruchu i wykrywanie w\u0142ama\u0144. Drugie jest dochodzeniowe i prawne: z zarejestrowanego ruchu mo\u017cna odtworzy\u0107 przes\u0142ane pliki, wyszuka\u0107 s\u0142owa kluczowe i zrekonstruowa\u0107 komunikacj\u0119 (na przyk\u0142ad e-mail czy czat) na potrzeby post\u0119powania.<\/p>\n<h2>Jak dzia\u0142a network forensics? Catch-it-as-you-can vs stop-look-listen<\/h2>\n<p>Dane zbiera si\u0119 na dwa sposoby. R\u00f3\u017cni\u0105 si\u0119 tym, czy stawiamy na komplet danych, czy na oszcz\u0119dno\u015b\u0107 zasob\u00f3w:<\/p>\n<ul>\n<li><strong>Catch-it-as-you-can<\/strong> (\u201e\u0142ap, co si\u0119 da\u201d) \u2014 wszystkie pakiety przechodz\u0105ce przez dany punkt sieci trafiaj\u0105 na dysk, a analiz\u0119 robi si\u0119 p\u00f3\u017aniej. Daje pe\u0142ny obraz wstecz, ale z\u017cera ogromne ilo\u015bci miejsca na dyskach i wymaga szybkiego zapisu.<\/li>\n<li><strong>Stop-look-listen<\/strong> (\u201ezatrzymaj, popatrz, pos\u0142uchaj\u201d) \u2014 ka\u017cdy pakiet jest najpierw ogl\u0105dany w pami\u0119ci, a na dysk idzie tylko to, co istotne (na przyk\u0142ad opis sesji, alerty, wycinki tre\u015bci). Oszcz\u0119dza miejsce, ale potrzebuje mocniejszego procesora i niesie ryzyko, \u017ce pomini\u0119ty szczeg\u00f3\u0142 przepadnie.<\/li>\n<\/ul>\n<p>Osobno rozr\u00f3\u017cnia si\u0119 te\u017c analiz\u0119 na \u017cywo (w czasie rzeczywistym, gdy reagujemy na trwaj\u0105cy incydent) i analiz\u0119 po fakcie (z archiwum, gdy szukamy przyczyny i zbieramy dowody).<\/p>\n<h2>Pe\u0142ny zapis pakiet\u00f3w (full packet capture) a metadane i flow<\/h2>\n<p>S\u0105 dwa podej\u015bcia do tego, ile ruchu zapisywa\u0107. R\u00f3\u017cni\u0105 si\u0119 g\u0142\u0119bi\u0105 i kosztem:<\/p>\n<ul>\n<li><strong>Pe\u0142ny zapis pakiet\u00f3w<\/strong> (full packet capture, FPC) \u2014 zapisujemy ca\u0142e pakiety razem z ich tre\u015bci\u0105, jako pliki <code>PCAP<\/code>. Pozwala odtworzy\u0107 przes\u0142ane pliki i przeanalizowa\u0107 zawarto\u015b\u0107, ale zajmuje bardzo du\u017co miejsca. W szybkich sieciach skraca to okno, przez kt\u00f3re trzymamy histori\u0119.<\/li>\n<li><strong>Flow i metadane<\/strong> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sflow\">sFlow<\/a> lub <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a> zapisuj\u0105 same podsumowania po\u0142\u0105cze\u0144: adresy, porty, protok\u00f3\u0142, liczb\u0119 bajt\u00f3w i pakiet\u00f3w, znaczniki czasu. Bez tre\u015bci. Logi z sensor\u00f3w takich jak Zeek dok\u0142adaj\u0105 do tego bogaty opis warstwy aplikacji (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTP<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a>, SMB) przy u\u0142amku obj\u0119to\u015bci pe\u0142nego PCAP. Dzi\u0119ki temu histori\u0119 mo\u017cna trzyma\u0107 miesi\u0105cami, a nie godzinami.<\/li>\n<\/ul>\n<p>W dojrza\u0142ych wdro\u017ceniach \u0142\u0105czy si\u0119 oba podej\u015bcia: ci\u0105g\u0142e flow i metadane jako szkielet historii, a do tego \u201einteligentny PCAP\u201d, kt\u00f3ry nagrywa pe\u0142ne pakiety tylko wok\u00f3\u0142 podejrzanego zdarzenia, gdy zadzia\u0142a alert.<\/p>\n<h2>Na czym polega proces \u015bledczy i \u0142a\u0144cuch dowodowy?<\/h2>\n<p>Profesjonalne dochodzenie sieciowe idzie wed\u0142ug ustalonego schematu. Cz\u0119sto opisuje si\u0119 go jako OSCAR (od ang. <em>Obtain, Strategize, Collect, Analyze, Report<\/em>, czyli: zbierz informacje, zaplanuj, pozyskaj dane, przeanalizuj, zaraportuj). Typowe etapy to:<\/p>\n<ol>\n<li><strong>Identyfikacja<\/strong> \u2014 ustalenie zakresu, system\u00f3w docelowych i \u017ar\u00f3de\u0142 danych.<\/li>\n<li><strong>Zabezpieczenie<\/strong> \u2014 utrwalenie danych i pilnowanie ich integralno\u015bci. Dla ka\u017cdego \u015bladu liczy si\u0119 skr\u00f3t kryptograficzny (na przyk\u0142ad <code>SHA-256<\/code>), oddziela si\u0119 orygina\u0142 od kopii roboczych i korzysta z no\u015bnik\u00f3w tylko do odczytu.<\/li>\n<li><strong>Zbieranie<\/strong> \u2014 pozyskanie danych z dobrze ustawionych sensor\u00f3w. Podpina si\u0119 je przez TAP (sprz\u0119towy odczep ruchu) albo port mirror\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/span\">SPAN<\/a> (kopiowanie ruchu na prze\u0142\u0105czniku).<\/li>\n<li><strong>Badanie i analiza<\/strong> \u2014 szukanie \u015blad\u00f3w w\u0142amania, odtwarzanie sesji i osi czasu ataku.<\/li>\n<li><strong>Prezentacja<\/strong> \u2014 udokumentowanie wniosk\u00f3w dla zespo\u0142u lub s\u0105du.<\/li>\n<\/ol>\n<p>Krytyczny jest tu <strong>\u0142a\u0144cuch dowodowy<\/strong> (chain of custody). Ka\u017cde przekazanie dowodu z r\u0105k do r\u0105k trzeba odnotowa\u0107: numer sprawy, opis, lokalizacja, czas, kto przejmuje, podpis. Gdy sprawa trafia do s\u0105du, dowody musz\u0105 spe\u0142nia\u0107 wymogi dopuszczalno\u015bci. W USA s\u0105 to mi\u0119dzy innymi Federal Rules of Evidence oraz kryteria Daubert: metoda da si\u0119 sprawdzi\u0107, by\u0142a recenzowana, ma znany poziom b\u0142\u0119du i jest akceptowana w \u015brodowisku. B\u0142\u0105d na dowolnym etapie, od \u017ale ustawionego sensora po brak skr\u00f3tu kontrolnego, mo\u017ce podwa\u017cy\u0107 ca\u0142e post\u0119powanie.<\/p>\n<h2>Jakie narz\u0119dzia wykorzystuje network forensics?<\/h2>\n<ul>\n<li><strong>Wireshark, tshark, tcpdump<\/strong> \u2014 przechwytywanie i szczeg\u00f3\u0142owa analiza pakiet\u00f3w, filtrowanie ruchu i \u015bledzenie strumieni po\u0142\u0105cze\u0144.<\/li>\n<li><strong>Zeek<\/strong> (dawniej Bro) \u2014 sensor, kt\u00f3ry tworzy uporz\u0105dkowane logi sesji i opis warstwy aplikacji. Podstawa, gdy chcemy trzyma\u0107 histori\u0119 d\u0142ugo i taniej.<\/li>\n<li><strong>Suricata, Snort<\/strong> \u2014 systemy wykrywania i blokowania w\u0142ama\u0144 (IDS\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ips-intrusion-prevention-system\">IPS<\/a>), kt\u00f3re por\u00f3wnuj\u0105 ruch z regu\u0142ami i sygnaturami. Cz\u0119sto to one wywo\u0142uj\u0105 alert uruchamiaj\u0105cy zapis PCAP.<\/li>\n<li><strong>NetworkMiner<\/strong> \u2014 wyci\u0105ga z plik\u00f3w PCAP konkretne artefakty: pliki, certyfikaty, dane logowania.<\/li>\n<li><strong>Kolektory NetFlow\/IPFIX<\/strong> \u2014 zbieraj\u0105 i analizuj\u0105 przep\u0142ywy na potrzeby d\u0142ugiej historii i wykrywania nietypowych skok\u00f3w ruchu.<\/li>\n<\/ul>\n<h2>Czym network forensics r\u00f3\u017cni si\u0119 od computer forensics?<\/h2>\n<p>Computer forensics (analiza \u015bledcza pojedynczego komputera) bada to, co zostaje na jednym urz\u0105dzeniu: system plik\u00f3w, rejestr, pami\u0119\u0107, dzienniki systemowe. Network forensics bada dane <strong>w ruchu<\/strong> \u2014 ulotne i rozsiane po wielu w\u0119z\u0142ach. Dane sieciowe szybko znikaj\u0105, ale za to pokazuj\u0105, jak systemy si\u0119 ze sob\u0105 \u0142\u0105cz\u0105, i pozwalaj\u0105 z\u0142o\u017cy\u0107 o\u015b czasu ataku, kt\u00f3ry przeszed\u0142 przez kilka maszyn. W praktyce obie dziedziny si\u0119 uzupe\u0142niaj\u0105: komputer pokazuje, co napastnik zrobi\u0142 na maszynie, a sie\u0107 \u2014 jak si\u0119 komunikowa\u0142 i jak si\u0119 przemieszcza\u0142.<\/p>\n<h2>Jaka jest relacja network forensics do NDR, DFIR i reagowania na incydenty?<\/h2>\n<p>Network forensics jest cz\u0119\u015bci\u0105 szerszego procesu <strong>DFIR<\/strong> (Digital Forensics and Incident Response, czyli informatyka \u015bledcza i reagowanie na incydenty) i blisko wi\u0105\u017ce si\u0119 z <strong>NDR<\/strong> (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a>, wykrywanie i reagowanie w warstwie sieci). R\u00f3\u017cnica jest w celu i rygorze. NDR i reagowanie na incydenty graj\u0105 na czas: wykryj, przeanalizuj, eskaluj, opanuj. Network forensics dok\u0142ada do tego formalne <strong>zabezpieczenie dowodu<\/strong> i nastawia si\u0119 na przedstawienie wynik\u00f3w, tak\u017ce przed s\u0105dem.<\/p>\n<p>Ta sama telemetria sieciowa \u2014 pe\u0142ne pakiety, flow i logi sensor\u00f3w \u2014 zasila i wykrywanie na \u017cywo (zespo\u0142y <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>, threat hunting), i dochodzenie po fakcie. Dla zespo\u0142u <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> ma to konkretn\u0105 warto\u015b\u0107: gdy <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a> czy IDS wygeneruje alert, zarejestrowany ruch pozwala potwierdzi\u0107 albo wykluczy\u0107 w\u0142amanie i odtworzy\u0107 ca\u0142y przebieg ataku, kt\u00f3rego pojedyncze logi by nie pokaza\u0142y.<\/p>\n<h2>Dlaczego network forensics jest trudne?<\/h2>\n<ul>\n<li><strong>Wolumen i retencja<\/strong> \u2014 pe\u0142ny zapis pakiet\u00f3w w szybkiej sieci to terabajty dziennie. Bez modelu hybrydowego okno historii kurczy si\u0119 do godzin.<\/li>\n<li><strong>Szyfrowanie<\/strong> \u2014 coraz wi\u0119cej ruchu jest szyfrowane (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a>), wi\u0119c do tre\u015bci cz\u0119sto nie ma dost\u0119pu. Analiza przesuwa si\u0119 na metadane, na rozpoznawanie po\u0142\u0105cze\u0144 po charakterystycznych cechach (na przyk\u0142ad odciski <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ja3-ja4-fingerprinting\">JA3<\/a>\/JA4) i na badanie samego kszta\u0142tu ruchu zamiast jego tre\u015bci.<\/li>\n<li><strong>Ulotno\u015b\u0107 danych<\/strong> \u2014 brak sensora we w\u0142a\u015bciwym miejscu i czasie oznacza trwa\u0142\u0105 utrat\u0119 dowodu.<\/li>\n<li><strong>Umiejscowienie sensor\u00f3w<\/strong> \u2014 ruch mi\u0119dzy serwerami (wsch\u00f3d\u2013zach\u00f3d), chmura i \u015brodowiska hybrydowe wymagaj\u0105 przemy\u015blanego rozstawienia, inaczej powstaj\u0105 martwe pola.<\/li>\n<li><strong>Prywatno\u015b\u0107 i zgodno\u015b\u0107<\/strong> \u2014 przechwytywanie ruchu dotyka danych osobowych i musi by\u0107 zgodne z przepisami, na przyk\u0142ad z <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 Opisuje atak, kt\u00f3ry mo\u017cna wykrywa\u0107 w analizie pakiet\u00f3w i anomalii ruchu sieciowego.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Wyja\u015bnia, jak widoczno\u015b\u0107 ruchu sieciowego wspiera analiz\u0119 zdarze\u0144 w Network Forensics.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 IoA pomaga wskaza\u0107 oznaki ataku widoczne w \u015bladach i zachowaniu ruchu sieciowego.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soar\">SOAR<\/a> \u2014 SOAR wspiera automatyzacj\u0119 dzia\u0142a\u0144 po wykryciu zdarze\u0144 analizowanych w Network Forensics.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4795","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Network Forensics","ikona":"","krotki_opis":"Dziedzina informatyki \u015bledczej, kt\u00f3ra przechwytuje i analizuje ruch sieciowy (PCAP, flow, logi), by ustali\u0107 \u017ar\u00f3d\u0142o i przebieg incydentu oraz zabezpieczy\u0107 dowody."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4795","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4795"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}