{"id":4818,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4818"},"modified":"2026-08-12T19:02:27","modified_gmt":"2026-08-12T17:02:27","slug":"probe","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/probe","title":{"rendered":"Probe (Sonda)"},"content":{"rendered":"<p><strong>Sonda sieciowa (ang. probe)<\/strong> to urz\u0105dzenie lub program, kt\u00f3ry podgl\u0105da ruch sieciowy w wybranym miejscu sieci, analizuje go i przekazuje wynik dalej \u2014 jako flow (skr\u00f3cone zapisy o po\u0142\u0105czeniach), metadane albo pe\u0142ne pakiety. Sonda nie tworzy ruchu i nie jest jego pe\u0142n\u0105 kopi\u0105. To narz\u0119dzie analityczne, kt\u00f3re dzia\u0142a na danych dostarczonych mu z zewn\u0105trz: przez port lustrzany prze\u0142\u0105cznika (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/span\">SPAN<\/a>) albo przez odczep wpi\u0119ty w \u0142\u0105cze (TAP). W monitorowaniu wydajno\u015bci sieci (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/npm\">NPM<\/a>) i w wykrywaniu zagro\u017ce\u0144 (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>) sonda zbiera telemetri\u0119, na kt\u00f3rej pracuj\u0105 dalsze warstwy korelacji i detekcji.<\/p>\n<h2>Jak dzia\u0142a sonda sieciowa?<\/h2>\n<p>Sonda dostaje kopi\u0119 ruchu, rozk\u0142ada go warstwa po warstwie i wyci\u0105ga z niego to, czego potrzebuj\u0105 systemy nadrz\u0119dne. Zale\u017cnie od ustawie\u0144 mo\u017ce si\u0119ga\u0107 r\u00f3\u017cnie g\u0142\u0119boko:<\/p>\n<ul>\n<li><strong>Nag\u0142\u00f3wki i metadane przep\u0142yw\u00f3w<\/strong> \u2014 sonda grupuje pakiety w przep\u0142ywy (flows), opisane przez adresy IP, porty, protok\u00f3\u0142, czas i ilo\u015b\u0107 danych. Eksportuje je jako rekordy <code>NetFlow<\/code>, <code>IPFIX<\/code> lub <code>sFlow<\/code>. To zwi\u0119z\u0142y zapis: kto z kim si\u0119 \u0142\u0105czy\u0142 i ile danych przes\u0142a\u0142, bez samej tre\u015bci.<\/li>\n<li><strong>Metadane aplikacji<\/strong> \u2014 g\u0142\u0119bsza inspekcja (DPI, ang. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/deep-packet-inspection\">deep packet inspection<\/a>) pozwala wyci\u0105gn\u0105\u0107 np. zapytania <code>DNS<\/code>, nag\u0142\u00f3wki <code>HTTP<\/code> czy parametry nawi\u0105zania po\u0142\u0105czenia <code>TLS<\/code> i dane certyfikat\u00f3w. Wszystko bez przechowywania pe\u0142nej zawarto\u015bci pakiet\u00f3w.<\/li>\n<li><strong>Pe\u0142ne pakiety<\/strong> \u2014 w trybie pe\u0142nego przechwytywania (full packet capture) sonda zapisuje ca\u0142y ruch, np. do plik\u00f3w <code>PCAP<\/code>, na potrzeby analizy \u015bledczej i zgodno\u015bci z przepisami.<\/li>\n<\/ul>\n<p>Jest jedno wa\u017cne ograniczenie: sonda jest tak dobra, jak jej \u017ar\u00f3d\u0142o ruchu. Je\u015bli punkt pods\u0142uchowy gubi pakiety albo odrzuca uszkodzone ramki, sonda nie odtworzy tego, czego nie dosta\u0142a. Dlatego spos\u00f3b doprowadzenia ruchu (TAP, packet broker) jest tak samo wa\u017cny jak sama sonda.<\/p>\n<h2>Jakie s\u0105 typy sond?<\/h2>\n<p>Sondy r\u00f3\u017cni\u0105 si\u0119 tym, do czego s\u0142u\u017c\u0105 i jak g\u0142\u0119boko analizuj\u0105 ruch:<\/p>\n<ul>\n<li><strong>Sondy wydajno\u015bciowe (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/npm\">NPM<\/a>)<\/strong> \u2014 mierz\u0105 czas odpowiedzi aplikacji, op\u00f3\u017anienia, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/jitter\">jitter<\/a> (wahania op\u00f3\u017anie\u0144) i utrat\u0119 pakiet\u00f3w.<\/li>\n<li><strong>Sondy flow<\/strong> \u2014 tworz\u0105 rekordy <code>NetFlow<\/code>\/<code>IPFIX<\/code>\/<code>sFlow<\/code> do analizy wzorc\u00f3w ruchu i zu\u017cycia pasma.<\/li>\n<li><strong>Sondy bezpiecze\u0144stwa (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a>\/IDS)<\/strong> \u2014 szukaj\u0105 \u015blad\u00f3w w\u0142amania, nietypowych zachowa\u0144 i narusze\u0144 regu\u0142, zar\u00f3wno w ruchu mi\u0119dzy serwerami (wsch\u00f3d\u2013zach\u00f3d), jak i na styku z internetem (p\u00f3\u0142noc\u2013po\u0142udnie).<\/li>\n<li><strong>Analizatory protoko\u0142\u00f3w<\/strong> \u2014 pomagaj\u0105 znale\u017a\u0107 przyczyn\u0119 problem\u00f3w z \u0142\u0105czno\u015bci\u0105 i b\u0142\u0119dnej konfiguracji us\u0142ug.<\/li>\n<li><strong>Sondy pe\u0142nego przechwytywania<\/strong> \u2014 rejestruj\u0105 ca\u0142y ruch do cel\u00f3w \u015bledczych i dowodowych.<\/li>\n<\/ul>\n<p>W praktyce jedna sonda cz\u0119sto robi kilka rzeczy naraz \u2014 na przyk\u0142ad eksportuje flow i jednocze\u015bnie wyci\u0105ga metadane aplikacji do wykrywania zagro\u017ce\u0144.<\/p>\n<h2>Sonda pasywna a sonda aktywna \u2014 czym si\u0119 r\u00f3\u017cni\u0105?<\/h2>\n<p>Chodzi o to, sk\u0105d sonda bierze dane:<\/p>\n<ul>\n<li><strong>Sonda pasywna<\/strong> tylko obserwuje prawdziwy ruch, nie zmienia go i nie dok\u0142ada w\u0142asnych pakiet\u00f3w. Pokazuje wiernie, co naprawd\u0119 dzieje si\u0119 w sieci pod realnym obci\u0105\u017ceniem. Jest te\u017c niewidoczna dla atakuj\u0105cego, bo dzia\u0142a obok \u015bcie\u017cki danych (off-path), a nie na niej.<\/li>\n<li><strong>Sonda aktywna<\/strong> sama wysy\u0142a ruch testowy (np. zapytania, transakcje, pingi) i mierzy parametry tak, jak odczu\u0142by je u\u017cytkownik. Przydaje si\u0119 do test\u00f3w dost\u0119pno\u015bci, sprawdzania um\u00f3w SLA i pomiar\u00f3w od ko\u0144ca do ko\u0144ca, tak\u017ce wtedy, gdy realnego ruchu jest ma\u0142o.<\/li>\n<\/ul>\n<p>Uwaga na nazewnictwo: istniej\u0105 te\u017c \u201epasywne\u201d i \u201eaktywne\u201d TAP-y, czyli odczepy na poziomie kabla (rozdzielacz optyczny bez zasilania kontra zasilany uk\u0142ad wzmacniaj\u0105cy sygna\u0142). To inny podzia\u0142 ni\u017c pasywne i aktywne <em>zbieranie<\/em> danych przez sond\u0119.<\/p>\n<h2>Jak wdra\u017ca si\u0119 sond\u0119: TAP, SPAN i packet broker<\/h2>\n<p>Sonda potrzebuje dost\u0119pu do kopii ruchu. S\u0105 dwa podstawowe sposoby, \u017ceby jej t\u0119 kopi\u0119 dostarczy\u0107:<\/p>\n<ul>\n<li><strong>Port <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/span\">SPAN<\/a> (lustrzany)<\/strong> \u2014 funkcja prze\u0142\u0105cznika, kt\u00f3ra kopiuje wybrany ruch na osobny port. Tani i elastyczny, ale pod du\u017cym obci\u0105\u017ceniem gubi pakiety, zwykle odrzuca uszkodzone ramki i obs\u0142uguje ograniczon\u0105 liczb\u0119 sesji.<\/li>\n<li><strong>TAP (Test Access Point, punkt dost\u0119pu testowego)<\/strong> \u2014 sprz\u0119towy odczep wpi\u0119ty w \u0142\u0105cze, kt\u00f3ry dostarcza fizyczn\u0105 kopi\u0119 100% ruchu, \u0142\u0105cznie z uszkodzonymi ramkami. TAP nie ma adresu IP ani MAC i jest niewidoczny dla sieci, wi\u0119c trudno go zauwa\u017cy\u0107 i zmanipulowa\u0107.<\/li>\n<\/ul>\n<p>Typowy uk\u0142ad ma trzy warstwy. <strong>TAP<\/strong> pobiera ruch z \u0142\u0105cza, <strong>packet broker<\/strong> (urz\u0105dzenie rozdzielaj\u0105ce ruch) zbiera go, filtruje i rozdaje mi\u0119dzy narz\u0119dzia, a <strong>sonda<\/strong> analizuje sw\u00f3j przydzielony strumie\u0144. Sondy stawia si\u0119 tam, gdzie ruch si\u0119 zbiega: na styku z internetem czy na wyj\u015bciu do chmury (ruch p\u00f3\u0142noc\u2013po\u0142udnie) oraz w centrum danych, mi\u0119dzy serwerami (ruch wsch\u00f3d\u2013zach\u00f3d). W \u015brodowiskach wirtualnych i chmurowych rol\u0119 sondy pe\u0142ni\u0105 wirtualne czujniki (VMware, KVM, Hyper-V) albo czujniki dla AWS, Azure i GCP, korzystaj\u0105ce z wirtualnych TAP-\u00f3w i log\u00f3w przep\u0142yw\u00f3w (VPC Flow Logs, NSG flow logs).<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 sonda od TAP-a?<\/h2>\n<p>To dwie r\u00f3\u017cne warstwy, kt\u00f3re \u0142atwo pomyli\u0107:<\/p>\n<ul>\n<li><strong>TAP<\/strong> to warstwa <em>dost\u0119pu<\/em> \u2014 jego zadaniem jest dostarczy\u0107 kompletny ruch. Dzia\u0142a pasywnie, nie analizuje tre\u015bci, nie ma adresu w sieci.<\/li>\n<li><strong>Sonda<\/strong> to warstwa <em>analizy<\/em> \u2014 interpretuje dostarczony ruch i tworzy flow, metadane lub alerty. Ma adres IP\/MAC do zarz\u0105dzania, wymaga konfiguracji i aktualizacji.<\/li>\n<\/ul>\n<p>Kr\u00f3tko: TAP dba o to, \u017ceby\u015b mia\u0142 komplet danych; sonda zamienia te dane w u\u017cyteczne wska\u017aniki i wykrycia. Najlepsz\u0105 widoczno\u015b\u0107 daje po\u0142\u0105czenie obu (a przy wielu \u0142\u0105czach dochodzi packet broker).<\/p>\n<h2>Dlaczego sondy s\u0105 wa\u017cne dla bezpiecze\u0144stwa?<\/h2>\n<p>Sondy to fundament widoczno\u015bci sieci, na kt\u00f3rej opiera si\u0119 NDR i analiza ruchu (NTA, ang. network traffic analysis). Wykrywanie po stronie sieci trudno obej\u015b\u0107: atakuj\u0105cy, kt\u00f3ry wy\u0142\u0105czy agenta ochronnego (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a>) na komputerze, i tak generuje ruch widoczny dla pasywnej sondy. Z metadanych, kt\u00f3re dostarcza sonda, systemy detekcji buduj\u0105 obraz normalnego zachowania sieci i wy\u0142apuj\u0105 odst\u0119pstwa, mi\u0119dzy innymi:<\/p>\n<ul>\n<li>ruch <strong>command-and-control<\/strong> i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">beaconing<\/a> \u2014 regularne, niewielkie po\u0142\u0105czenia wychodz\u0105ce, kt\u00f3rymi przej\u0119ty komputer \u201emelduje si\u0119\u201d do atakuj\u0105cego;<\/li>\n<li><strong><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-exfiltration-wyciek-danych\">wyciek danych<\/a><\/strong> (eksfiltracj\u0119) \u2014 nietypowa ilo\u015b\u0107 albo kierunek przesy\u0142anych danych;<\/li>\n<li><strong>ruch boczny<\/strong> (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a>) \u2014 przeskakiwanie atakuj\u0105cego mi\u0119dzy komputerami w sieci;<\/li>\n<li>anomalie w <code>DNS<\/code> (np. tunelowanie), w certyfikatach <code>TLS<\/code> czy w nag\u0142\u00f3wkach aplikacji.<\/li>\n<\/ul>\n<p>Poniewa\u017c sonda zwykle dzia\u0142a obok \u015bcie\u017cki danych (off-path), atakuj\u0105cemu trudno j\u0105 wykry\u0107 i wy\u0142\u0105czy\u0107. To sprawia, \u017ce jej telemetria jest wiarygodnym \u017ar\u00f3d\u0142em dla zespo\u0142u <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>. Z kolei pe\u0142ne nagrania pakiet\u00f3w z sond przechwytuj\u0105cych pomagaj\u0105 w dochodzeniach po incydencie i spe\u0142niaj\u0105 wymogi dowodowe.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-netflow-i-jak-wykorzystuje-sie-go-w-praktyce\">Czym jest NetFlow i jak ten protok\u00f3\u0142 jest wykorzystywany w praktyce?<\/a> \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a> dostarcza dane z sondy o ruchu sieciowym, kt\u00f3re s\u0142u\u017c\u0105 do analizy przep\u0142yw\u00f3w.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ioa-indicator-of-attack\">IoA (Indicator of Attack)<\/a> \u2014 Probe mo\u017ce wykrywa\u0107 wska\u017aniki ataku na podstawie obserwacji ruchu i zachowa\u0144 w sieci.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/arp-spoofing-jak-wykryc-atak-man-in-the-middle-i-zatruwanie-arp-w-sieci-lan\">ARP Spoofing \u2013 jak wykry\u0107 atak Man-in-the-Middle i zatruwanie ARP w sieci LAN<\/a> \u2014 Sonda analizuje ruch LAN i pomaga wykrywa\u0107 anomalie typowe dla ARP spoofingu.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a> \u2014 Probe mo\u017ce zasila\u0107 SIEM danymi o ruchu i zdarzeniach sieciowych.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/monitoring-sieci-i-network-visibility-analiza-ruchu-sieciowego-jako-podstawa-visibility-cybersecurity\">Monitoring sieci i network visibility \u2013 analiza ruchu sieciowego jako podstawa visibility cybersecurity<\/a> \u2014 Sonda jest \u017ar\u00f3d\u0142em danych potrzebnych do monitoringu sieci i pe\u0142nej widoczno\u015bci ruchu.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4818","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Probe (Sonda)","ikona":"","krotki_opis":"Urz\u0105dzenie lub program, kt\u00f3ry podgl\u0105da ruch sieciowy w danym punkcie i przekazuje flow, metadane lub pe\u0142ne pakiety do system\u00f3w monitorowania (NPM) i wykrywania zagro\u017ce\u0144 (NDR)."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4818","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4818"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}