{"id":4812,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4812"},"modified":"2026-08-11T22:46:59","modified_gmt":"2026-08-11T20:46:59","slug":"nsm","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/nsm","title":{"rendered":"NSM (Network Security Monitoring)"},"content":{"rendered":"<p><strong>Network Security Monitoring (NSM)<\/strong>, czyli monitorowanie bezpiecze\u0144stwa sieci, to zbieranie, przechowywanie i analiza danych o ruchu w sieci, \u017ceby wykry\u0107 w\u0142amanie i na nie zareagowa\u0107. NSM wychodzi z prostego za\u0142o\u017cenia: pr\u0119dzej czy p\u00f3\u017aniej jaki\u015b atak przejdzie przez zabezpieczenia. Dlatego zamiast skupia\u0107 si\u0119 tylko na blokowaniu, stawia na <em>widoczno\u015b\u0107<\/em> i <em>wykrywanie<\/em>. Gromadzi dane o ruchu (pe\u0142n\u0105 tre\u015b\u0107 pakiet\u00f3w, dane o sesjach, dane o transakcjach, alerty), dzi\u0119ki kt\u00f3rym analityk mo\u017ce odtworzy\u0107 przebieg incydentu i oceni\u0107 jego zasi\u0119g. Termin spopularyzowa\u0142 Richard Bejtlich w ksi\u0105\u017ckach \u201eThe Tao of Network Security Monitoring\u201d i \u201eThe Practice of Network Security Monitoring\u201d. Opisa\u0142 NSM jako podej\u015bcie skupione na przeciwniku (threat-centric), a nie na samej zaporze.<\/p>\n<h2>Czym jest Network Security Monitoring?<\/h2>\n<p>NSM to nie jedno urz\u0105dzenie ani konkretny produkt, tylko spos\u00f3b pracy oparty na trzech filarach: <strong>zbieranie<\/strong> danych z sieci, <strong>wykrywanie<\/strong> podejrzanych zdarze\u0144 i <strong>analiza<\/strong> wykonywana przez ludzi i narz\u0119dzia. My\u015bl przewodnia jest taka: skoro nie da si\u0119 zablokowa\u0107 wszystkich atak\u00f3w, trzeba mie\u0107 do\u015b\u0107 danych, by szybko zauwa\u017cy\u0107, \u017ce dosz\u0142o do w\u0142amania, ustali\u0107 co napastnik zrobi\u0142 i ograniczy\u0107 szkody.<\/p>\n<p>NSM zbiera dane pasywnie. Sensor podpi\u0119ty do <code>SPAN<\/code> (port lustrzany na prze\u0142\u0105czniku) albo do sieciowego <code>TAP<\/code> widzi kopi\u0119 ruchu, ale w niego nie ingeruje. Dzi\u0119ki temu nagrywanie jest dla napastnika niewidoczne i niczego nie op\u00f3\u017ania. Tym NSM r\u00f3\u017cni si\u0119 od rozwi\u0105za\u0144 dzia\u0142aj\u0105cych \u201ew ci\u0105gu\u201d (inline), takich jak firewall czy <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ips-intrusion-prevention-system\">IPS<\/a>, kt\u00f3re aktywnie blokuj\u0105 pakiety.<\/p>\n<h2>Jakie s\u0105 typy danych w NSM?<\/h2>\n<p>Si\u0142a NSM bierze si\u0119 z \u0142\u0105czenia kilku rodzaj\u00f3w danych. R\u00f3\u017cni\u0105 si\u0119 one szczeg\u00f3\u0142owo\u015bci\u0105 i tym, ile miejsca zajmuj\u0105. Klasyczny podzia\u0142 (Bejtlich) obejmuje:<\/p>\n<ul>\n<li><strong>Pe\u0142na tre\u015b\u0107 (full content)<\/strong> \u2014 surowe pakiety zapisane w plikach <code>PCAP<\/code> (np. przez tcpdump). Najbogatsze, ale i najbardziej kosztowne dane: pozwalaj\u0105 odtworzy\u0107 przesy\u0142an\u0105 zawarto\u015b\u0107, nag\u0142\u00f3wki i pliki bajt po bajcie.<\/li>\n<li><strong>Dane sesyjne \/ przep\u0142ywowe (session \/ flow)<\/strong> \u2014 podsumowanie \u201erozmowy\u201d mi\u0119dzy dwoma komputerami: adres \u017ar\u00f3d\u0142owy i docelowy, porty, protok\u00f3\u0142, czas oraz liczba bajt\u00f3w i pakiet\u00f3w. Generuj\u0105 je m.in. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>, Argus czy Zeek (<code>conn.log<\/code>). S\u0105 zwi\u0119z\u0142e, wi\u0119c dobrze nadaj\u0105 si\u0119 do analizy wstecz i wykrywania anomalii.<\/li>\n<li><strong>Dane transakcyjne (transaction)<\/strong> \u2014 logi zdarze\u0144 z konkretnych aplikacji wyci\u0105gni\u0119te z ruchu: zapytania i odpowiedzi <code>HTTP<\/code>, zapytania <code>DNS<\/code>, nawi\u0105zywanie po\u0142\u0105cze\u0144 <code>TLS<\/code>, polecenia <code>SMTP<\/code>. To domena Zeek, kt\u00f3ry rozk\u0142ada ruch na czytelne logi protoko\u0142\u00f3w.<\/li>\n<li><strong>Dane statystyczne (statistical)<\/strong> \u2014 zestawienia ruchu (rozk\u0142ad protoko\u0142\u00f3w, najaktywniejsi nadawcy, wolumen w czasie). S\u0142u\u017c\u0105 do ustalenia, co jest norm\u0105, i wychwytywania odst\u0119pstw.<\/li>\n<li><strong>Dane alertowe (alert)<\/strong> \u2014 werdykty system\u00f3w IDS (np. Suricata, Snort), kt\u00f3re por\u00f3wnuj\u0105 ruch z sygnaturami lub regu\u0142ami. Zajmuj\u0105 najmniej miejsca, a wskazuj\u0105 miejsca wymagaj\u0105ce uwagi analityka.<\/li>\n<li><strong>Dane wyekstrahowane (extracted content)<\/strong> \u2014 pliki wy\u0142uskane z ruchu (dokumenty, programy) kierowane do analizy lub do izolowanego \u015brodowiska testowego (sandboxa).<\/li>\n<\/ul>\n<p>W praktyce <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a> (centrum operacji bezpiecze\u0144stwa) \u0142\u0105czy te warstwy: alert z IDS wskazuje zdarzenie, dane sesyjne i transakcyjne daj\u0105 kontekst, a pe\u0142na tre\u015b\u0107 <code>PCAP<\/code> pozwala potwierdzi\u0107, co dok\u0142adnie si\u0119 sta\u0142o.<\/p>\n<h2>Jak dzia\u0142a NSM krok po kroku?<\/h2>\n<ol>\n<li><strong>Pozyskanie ruchu<\/strong> \u2014 sensor zbiera kopi\u0119 pakiet\u00f3w przez <code>TAP<\/code> lub <code>SPAN<\/code>. Gdy ruch jest szyfrowany, dochodzi rozszyfrowanie <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a> albo analiza samych metadanych zamiast tre\u015bci.<\/li>\n<li><strong>Tworzenie danych<\/strong> \u2014 narz\u0119dzia takie jak Zeek robi\u0105 logi transakcyjne, Suricata generuje alerty, a osobny proces zapisuje pe\u0142n\u0105 tre\u015b\u0107 do <code>PCAP<\/code>.<\/li>\n<li><strong>Indeksacja i przechowywanie<\/strong> \u2014 dane trafiaj\u0105 do magazynu (np. Elasticsearch) z ustalon\u0105 polityk\u0105 przechowywania. Pe\u0142n\u0105 tre\u015b\u0107 trzyma si\u0119 zwykle kr\u00f3cej ni\u017c lekkie dane przep\u0142ywowe.<\/li>\n<li><strong>Wykrywanie<\/strong> \u2014 regu\u0142y sygnaturowe, wykrywanie nietypowych zachowa\u0144 i aktywne szukanie zagro\u017ce\u0144 (threat hunting) wy\u0142apuj\u0105 podejrzane zdarzenia.<\/li>\n<li><strong>Analiza i reakcja<\/strong> \u2014 analityk zestawia ze sob\u0105 warstwy danych, ocenia czy alert to faktyczny incydent, i uruchamia reagowanie na incydent (IR).<\/li>\n<\/ol>\n<h2>Jakie narz\u0119dzia realizuj\u0105 NSM?<\/h2>\n<p>NSM tradycyjnie opiera si\u0119 na narz\u0119dziach open source, niezwi\u0105zanych z konkretnym producentem:<\/p>\n<ul>\n<li><strong>Zeek<\/strong> (dawniej Bro) \u2014 pasywny analizator ruchu, kt\u00f3ry tworzy bogate logi transakcyjne i metadane; serce warstwy danych transakcyjnych.<\/li>\n<li><strong>Suricata<\/strong> i <strong>Snort<\/strong> \u2014 sygnaturowe systemy IDS\/IPS dostarczaj\u0105ce dane alertowe; Suricata mo\u017ce te\u017c dzia\u0142a\u0107 inline jako IPS.<\/li>\n<li><strong>tcpdump<\/strong> i <strong>Wireshark<\/strong> \u2014 przechwytywanie i analiza pe\u0142nej tre\u015bci <code>PCAP<\/code>.<\/li>\n<li><strong>Argus<\/strong>, <strong>NetFlow\/IPFIX<\/strong> \u2014 dane sesyjne\/przep\u0142ywowe.<\/li>\n<li><strong>Security Onion<\/strong> \u2014 gotowa dystrybucja \u0142\u0105cz\u0105ca Zeek, Suricata, Strelka (analiza plik\u00f3w), stos Elastic i interfejs \u015bledczy; w praktyce platforma odniesienia dla NSM w SOC.<\/li>\n<\/ul>\n<h2>Czym NSM r\u00f3\u017cni si\u0119 od IDS\/IPS i firewalla?<\/h2>\n<p>Firewall i IPS dzia\u0142aj\u0105 <em>inline<\/em>, a ich zadaniem jest <strong>blokowanie<\/strong> ruchu wed\u0142ug regu\u0142 \u2014 to prewencja. NSM dzia\u0142a <em>pasywnie<\/em>, a jego celem jest <strong>widoczno\u015b\u0107 i wykrywanie<\/strong>. Zachowuje dane nawet o ruchu, kt\u00f3ry przeszed\u0142 przez zapor\u0119, \u017ceby da\u0142o si\u0119 go p\u00f3\u017aniej przeanalizowa\u0107 i wychwyci\u0107 ataki, kt\u00f3re omin\u0119\u0142y zabezpieczenia. IDS (cz\u0119\u015b\u0107 NSM) tylko ostrzega, nie blokuje. W praktyce warstwy si\u0119 uzupe\u0142niaj\u0105: prewencja zmniejsza szum, a NSM dostarcza kontekstu i dowod\u00f3w, gdy prewencja zawiedzie.<\/p>\n<h2>Czym NSM r\u00f3\u017cni si\u0119 od NDR i SIEM?<\/h2>\n<p><strong>NDR (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">Network Detection and Response<\/a>)<\/strong> to nowsza, komercyjna wersja tej samej idei. \u0141\u0105czy badanie pakiet\u00f3w z wykrywaniem nietypowych zachowa\u0144, uczeniem maszynowym i automatyczn\u0105 reakcj\u0105. Mo\u017cna powiedzie\u0107, \u017ce NDR to kategoria produkt\u00f3w mieszcz\u0105ca si\u0119 w szerszej dyscyplinie NSM, skupiona na wykrywaniu opartym na ruchu sieciowym.<\/p>\n<p><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a><\/strong> zbiera i zestawia logi z wielu \u017ar\u00f3de\u0142 (komputery, aplikacje, urz\u0105dzenia), a NSM skupia si\u0119 na danych prosto \u201ez kabla\u201d. W dojrza\u0142ym SOC NSM i SIEM wsp\u00f3\u0142pracuj\u0105: dane sieciowe z NSM zasilaj\u0105 zestawianie zdarze\u0144 w SIEM, a alerty z SIEM cz\u0119sto sprawdza si\u0119 danymi <code>PCAP<\/code> z NSM.<\/p>\n<h2>Dlaczego NSM jest wa\u017cne dla bezpiecze\u0144stwa?<\/h2>\n<p>Wiele technik napastnik\u00f3w wida\u0107 w sieci nawet wtedy, gdy sam komputer \u201emilczy\u201d albo gdy agent <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a> (ochrona stacji ko\u0144cowej) zosta\u0142 wy\u0142\u0105czony. Dotyczy to cho\u0107by przemieszczania si\u0119 po sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a>), ukrytego sterowania zainfekowanymi maszynami (kana\u0142 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">C2<\/a>) czy wykradania danych. NSM daje warstw\u0119 widoczno\u015bci niezale\u017cn\u0105 od stacji ko\u0144cowej oraz trwa\u0142y zapis, kt\u00f3ry napastnikowi trudno skasowa\u0107. Pozwala odpowiedzie\u0107 na pytania wa\u017cne przy reakcji na incydent: kto z kim si\u0119 komunikowa\u0142, jak d\u0142ugo, ile danych przes\u0142a\u0142 i czy co\u015b opu\u015bci\u0142o organizacj\u0119. Dlatego NSM jest podstaw\u0105 szukania zagro\u017ce\u0144 i analizy \u015bledczej.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/visibility\">Visibility<\/a> \u2014 Visibility jest podstaw\u0105 NSM, bo pozwala widzie\u0107 ruch, zdarzenia i zale\u017cno\u015bci w sieci.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 IoA wspiera NSM, bo pomaga wykrywa\u0107 oznaki trwaj\u0105cego ataku w ruchu sieciowym.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\">NetFlow jako warto\u015bciowe \u017ar\u00f3d\u0142o danych dla zespo\u0142\u00f3w SecOps<\/a> \u2014 NetFlow dostarcza NSM danych o przep\u0142ywach, kt\u00f3re u\u0142atwiaj\u0105 analiz\u0119 i wykrywanie incydent\u00f3w.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4812","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"NSM (Network Security Monitoring)","ikona":"","krotki_opis":"Zbieranie i analiza danych o ruchu sieciowym (pe\u0142na tre\u015b\u0107, sesje, transakcje, alerty), \u017ceby wykrywa\u0107 w\u0142amania i na nie reagowa\u0107 \u2014 przy za\u0142o\u017ceniu, \u017ce prewencja czasem zawodzi."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4812","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4812"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}