{"id":1811,"date":"2025-04-16T15:15:47","date_gmt":"2025-04-16T13:15:47","guid":{"rendered":"https:\/\/www.sycope.com\/post\/netflow-as-valuable-data-source-for-secops"},"modified":"2025-06-27T14:53:04","modified_gmt":"2025-06-27T12:53:04","slug":"netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops","status":"publish","type":"post","link":"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops","title":{"rendered":"NetFlow jako warto\u015bciowe \u017ar\u00f3d\u0142o danych dla zespo\u0142\u00f3w SecOps"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Spis tre\u015bci<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\/#SIEM_jako_glowny_system_bezpieczenstwa_w_kazdym_SOC\" >SIEM jako g\u0142\u00f3wny system bezpiecze\u0144stwa w ka\u017cdym SOC<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\/#Monitorowanie_ruchu_sieciowego\" >Monitorowanie ruchu sieciowego<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\/#Monitoring_przeplywow_to_bardzo_wazna_czesc_projektowania_mozliwosci_obronnych\" >Monitoring przep\u0142yw\u00f3w to bardzo wa\u017cna cz\u0119\u015b\u0107 projektowania mo\u017cliwo\u015bci obronnych<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\/#Korelacje_miedzy_systemami\" >Korelacje mi\u0119dzy systemami<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.sycope.com\/pl\/post\/netflow-jako-wartosciowe-zrodlo-danych-dla-zespolow-sec-ops\/#Wnioski\" >Wnioski<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"SIEM_jako_glowny_system_bezpieczenstwa_w_kazdym_SOC\"><\/span>SIEM jako g\u0142\u00f3wny system bezpiecze\u0144stwa w ka\u017cdym SOC<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>SecOps ma wiele system\u00f3w monitoruj\u0105cych bezpiecze\u0144stwo w swoim arsenale, co przedstawiono na rysunku 1. G\u0142\u00f3wnym systemem u\u017cywanym przez Security Operations Center (SOC) jest system SIEM, kt\u00f3ry koreluje logi z wielu \u017ar\u00f3de\u0142 danych, takich jak systemy operacyjne, bazy danych, urz\u0105dzenia sieciowe, aplikacje czy systemy bezpiecze\u0144stwa, w celu wykrycia potencjalnych zagro\u017ce\u0144 i narusze\u0144 polityki bezpiecze\u0144stwa.<\/p>\n<figure id=\"attachment_926\" aria-describedby=\"caption-attachment-926\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-926\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62b9ad70c0abac01d6380abe_security-alerts.png\" alt=\"\" width=\"757\" height=\"725\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9ad70c0abac01d6380abe_security-alerts.png 523w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9ad70c0abac01d6380abe_security-alerts-300x287.png 300w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-926\" class=\"wp-caption-text\">Rysunek 1. Typowe \u017ar\u00f3d\u0142a danych dla SIEM<\/figcaption><\/figure>\n<p>&nbsp;<\/p>\n<p>Ze wzgl\u0119du na to, \u017ce zebrane dane znajduj\u0105 si\u0119 w jednym miejscu, mog\u0105 by\u0107 korelowane wed\u0142ug charakterystycznych atrybut\u00f3w w r\u00f3\u017cnych kontekstach, co pozwala na skuteczne wykrywanie anomalii lub zagro\u017ce\u0144 bezpiecze\u0144stwa. Jednak dla wielu organizacji zebranie wszystkich informacji ze \u201ewszystkiego\u201d jest niemal niemo\u017cliwe ze wzgl\u0119du na polityk\u0119 retencji i ograniczenia przestrzeni dyskowej na dane. <strong>W takich przypadkach warto rozwa\u017cy\u0107, czy zamiast przesy\u0142a\u0107 miliardy przep\u0142yw\u00f3w sieciowych bezpo\u015brednio do SIEM, lepiej jest przetwarza\u0107 je w dedykowanym systemie NSM, np. Sycope, a nast\u0119pnie przesy\u0142a\u0107 do systemu SIEM tylko informacje o wykrytych anomaliach i nadu\u017cyciach, aby u\u017cy\u0107 ich w korelacjach mi\u0119dzy systemami.<\/strong><\/p>\n<h2><\/h2>\n<h2><span class=\"ez-toc-section\" id=\"Monitorowanie_ruchu_sieciowego\"><\/span>Monitorowanie ruchu sieciowego<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>M\u00f3wi\u0105c o monitorowaniu ruchu sieciowego, cz\u0119sto mamy na my\u015bli ruch z urz\u0105dze\u0144 sieciowych w postaci log\u00f3w z zap\u00f3r sieciowych i router\u00f3w, pakiet\u00f3w lub przep\u0142yw\u00f3w. Ka\u017cde z nich ma inny poziom szczeg\u00f3\u0142owo\u015bci. Tabela 1 przedstawia por\u00f3wnanie przechwytywania pakiet\u00f3w (pcap) i kolekcji Netflow. Netflow to rodzaj metadanych sieciowych agregowanych wed\u0142ug pi\u0119ciokrotki: adresy IP (\u017ar\u00f3d\u0142owy i docelowy), porty (\u017ar\u00f3d\u0142owy i docelowy) i protok\u00f3\u0142.<\/p>\n<figure id=\"attachment_927\" aria-describedby=\"caption-attachment-927\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-927\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62b9ae48a24dc3f137072e96_security-website.png\" alt=\"\" width=\"757\" height=\"300\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9ae48a24dc3f137072e96_security-website.png 800w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9ae48a24dc3f137072e96_security-website-300x119.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9ae48a24dc3f137072e96_security-website-768x304.png 768w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-927\" class=\"wp-caption-text\">Tabela 1. Pcap vs Netflow<\/figcaption><\/figure>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Monitoring_przeplywow_to_bardzo_wazna_czesc_projektowania_mozliwosci_obronnych\"><\/span>Monitoring przep\u0142yw\u00f3w to bardzo wa\u017cna cz\u0119\u015b\u0107 projektowania mo\u017cliwo\u015bci obronnych<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Systemy Network Security Monitoring (NSM) zwi\u0119kszaj\u0105 widoczno\u015b\u0107 podejrzanej aktywno\u015bci w kontek\u015bcie ca\u0142ej organizacji. Tylko na podstawie monitorowania przep\u0142yw\u00f3w sieciowych istnieje szansa wykrycia wielu czerwonych flag, kt\u00f3re generuj\u0105 atakuj\u0105cy nawet podczas zaawansowanych atak\u00f3w ukierunkowanych. Lista przyk\u0142ad\u00f3w taktyk i technik MITRE ATT&amp;CK, kt\u00f3re mo\u017cna wykry\u0107 na podstawie przep\u0142yw\u00f3w sieciowych, zosta\u0142a pokazana na rysunku 2.<\/p>\n<figure id=\"attachment_928\" aria-describedby=\"caption-attachment-928\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-928\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1.png\" alt=\"\" width=\"757\" height=\"498\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1.png 2225w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1-300x197.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1-1024x673.png 1024w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1-768x505.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1-1536x1010.png 1536w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62e13ac3786b5603044be6c6_Magda-NetFlow-Security-Monitoring-Page-1.drawio-1-2048x1347.png 2048w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-928\" class=\"wp-caption-text\">Rysunek 2 Monitoring bezpiecze\u0144stwa z wykorzystaniem Netflow w kontek\u015bcie taktyk i technik ATT&amp;CK MITRE<\/figcaption><\/figure>\n<p>Z punktu widzenia monitorowania tylko przep\u0142yw\u00f3w sieciowych istnieje szansa wykrycia nawet oko\u0142o 10% technik wykorzystywanych przez przeciwnik\u00f3w zdefiniowanych w bazie wiedzy ATT&amp;CK MITRE. To ca\u0142kiem du\u017co, bior\u0105c pod uwag\u0119, \u017ce istnieje co najmniej 40 \u017ar\u00f3de\u0142 danych (rys. 3) u\u017cywanych do wykrywania zagro\u017ce\u0144 bezpiecze\u0144stwa.<\/p>\n<figure id=\"attachment_929\" aria-describedby=\"caption-attachment-929\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-929\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62b9afcce12a20e3c58f1c27_threat-hunting.png\" alt=\"\" width=\"757\" height=\"392\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9afcce12a20e3c58f1c27_threat-hunting.png 996w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9afcce12a20e3c58f1c27_threat-hunting-300x155.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9afcce12a20e3c58f1c27_threat-hunting-768x398.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62b9afcce12a20e3c58f1c27_threat-hunting-360x185.png 360w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-929\" class=\"wp-caption-text\">Rysunek 3 \u0179r\u00f3d\u0142a danych wykorzystywane do wykrywania zagro\u017ce\u0144 bezpiecze\u0144stwa<\/figcaption><\/figure>\n<p>\u015alady dowodowe aktywno\u015bci hakerskiej mo\u017cna zaobserwowa\u0107 dzi\u0119ki odpowiedniemu monitorowaniu metadanych sieciowych, czyli przep\u0142yw\u00f3w sieciowych. Istnieje wiele scenariuszy dzia\u0142a\u0144 przeciwnika, kt\u00f3re obro\u0144cy (Blue Teamy) mog\u0105 wykry\u0107 na podstawie tego \u017ar\u00f3d\u0142a danych. Mo\u017cna praktycznie wykry\u0107 dzia\u0142ania z ka\u017cdej taktyki MITRE \u2013 od rozpoznania po wp\u0142yw. Przyk\u0142ady takich wykry\u0107 zagro\u017ce\u0144 wdro\u017conych w systemie Sycope w kontek\u015bcie konkretnych taktyk przedstawiono na rysunku 4.<\/p>\n<figure id=\"attachment_930\" aria-describedby=\"caption-attachment-930\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-930\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-scaled.png\" alt=\"\" width=\"757\" height=\"573\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-scaled.png 2560w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-300x227.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-1024x775.png 1024w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-768x581.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-1536x1162.png 1536w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c4274da151c15f4f7d5558_Security-threats-detected-by-Sycope-2048x1549.png 2048w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-930\" class=\"wp-caption-text\">Rysunek 4 Zagro\u017cenia bezpiecze\u0144stwa wykryte w Sycope<\/figcaption><\/figure>\n<h2><\/h2>\n<h2><span class=\"ez-toc-section\" id=\"Korelacje_miedzy_systemami\"><\/span>Korelacje mi\u0119dzy systemami<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Aby skutecznie wykrywa\u0107 zagro\u017cenia bezpiecze\u0144stwa, nie wystarczy skupi\u0107 si\u0119 tylko na monitorowaniu ruchu sieciowego. Alerty z jednego \u017ar\u00f3d\u0142a mog\u0105 czasami niejednoznacznie informowa\u0107 o wykrytym problemie. Z drugiej strony, zbyt ostro ustawione progi w regu\u0142ach korelacji mog\u0105 spowodowa\u0107 pomini\u0119cie niekt\u00f3rych incydent\u00f3w. Rozwi\u0105zaniem mo\u017ce by\u0107 wdro\u017cenie dok\u0142adniejszych regu\u0142 korelacji mi\u0119dzy systemami, wykrywaj\u0105cych anomalie pochodz\u0105ce z r\u00f3\u017cnych \u017ar\u00f3de\u0142 danych wyst\u0119puj\u0105ce w okre\u015blonej jednostce czasu. Dlatego korelacje mi\u0119dzy systemami s\u0105 bardziej skuteczne, szczeg\u00f3lnie podczas operacyjnej obs\u0142ugi incydent\u00f3w przez SOC, gdzie wa\u017cne jest ograniczenie liczby fa\u0142szywych alarm\u00f3w. Alerty z korelacji mi\u0119dzy systemami mo\u017cna priorytetyzowa\u0107 do obs\u0142ugi w SOC, poniewa\u017c je\u015bli wykrywane s\u0105 anomalie bezpiecze\u0144stwa w kontek\u015bcie niekt\u00f3rych parametr\u00f3w na podstawie r\u00f3\u017cnych \u017ar\u00f3de\u0142 danych, istnieje ryzyko rzeczywistego incydentu bezpiecze\u0144stwa. Na przyk\u0142ad pojedynczy alert dotycz\u0105cy ataku brute force na us\u0142ug\u0119 WS-Management powinien mie\u0107 inny priorytet obs\u0142ugi ni\u017c ten sam alert dodatkowo skorelowany z anomaliami wykrytymi na podstawie log\u00f3w Sysmon (rys. 5).<\/p>\n<figure id=\"attachment_931\" aria-describedby=\"caption-attachment-931\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-931\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-scaled.png\" alt=\"\" width=\"757\" height=\"505\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-scaled.png 2560w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-300x200.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-1024x684.png 1024w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-768x513.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-1536x1025.png 1536w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c428a5498fc3aa33996b25_cross-system-correlations-1-2048x1367.png 2048w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-931\" class=\"wp-caption-text\">Rysunek 5 Korelacja mi\u0119dzy systemami \u2013 Podejrzana aktywno\u015b\u0107 WinRM<\/figcaption><\/figure>\n<p>Kolejny przyk\u0142ad pokazuje, jak dok\u0142adniej wykry\u0107 atak DDoS. Pomimo \u017ce wiele atak\u00f3w tego typu, zw\u0142aszcza wolumetrycznych, mo\u017cna wykry\u0107 na podstawie monitorowania Netflow, dodatkowe monitorowanie log\u00f3w z aplikacji webowych wyra\u017anie potwierdza wyst\u0105pienie takiego ataku.<\/p>\n<figure id=\"attachment_932\" aria-describedby=\"caption-attachment-932\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-932\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-scaled.png\" alt=\"\" width=\"757\" height=\"505\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-scaled.png 2560w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-300x200.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-1024x684.png 1024w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-768x513.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-1536x1025.png 1536w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c429f0facd6c53e3bdf1ff_DDoS-attack-against-a-web-server-2048x1367.png 2048w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-932\" class=\"wp-caption-text\">Rysunek 6 Korelacja mi\u0119dzy systemami \u2013 Atak DDoS na serwer webowy<\/figcaption><\/figure>\n<p>Ostatni przyk\u0142ad pokazuje, jakie artefakty sieciowe wykryte na poziomie przep\u0142yw\u00f3w sieciowych i log\u00f3w Sysmon s\u0105 pomocne w wykrywaniu tunelowania ruchu przy u\u017cyciu protoko\u0142u DNS.<\/p>\n<figure id=\"attachment_933\" aria-describedby=\"caption-attachment-933\" style=\"width: 757px\" class=\"wp-caption alignnone\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-933\" src=\"https:\/\/sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-scaled.png\" alt=\"\" width=\"757\" height=\"505\" srcset=\"https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-scaled.png 2560w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-300x200.png 300w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-1024x684.png 1024w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-768x513.png 768w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-1536x1025.png 1536w, https:\/\/www.sycope.com\/wp-content\/uploads\/2025\/04\/62c42e0c09100e2675eaaebe_Netflow-2048x1367.png 2048w\" sizes=\"auto, (max-width: 757px) 100vw, 757px\" \/><figcaption id=\"caption-attachment-933\" class=\"wp-caption-text\">Rysunek 7 Korelacja mi\u0119dzy systemami \u2013 Tunelowanie DNS<\/figcaption><\/figure>\n<h2><\/h2>\n<h2><span class=\"ez-toc-section\" id=\"Wnioski\"><\/span>Wnioski<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Na podstawie powy\u017cszych przyk\u0142ad\u00f3w wida\u0107, \u017ce monitorowanie przep\u0142yw\u00f3w sieciowych to niezwykle warto\u015bciowe \u017ar\u00f3d\u0142o danych w procesie monitorowania bezpiecze\u0144stwa, poniewa\u017c umo\u017cliwia wykrycie wielu technik ataku stosowanych przez cyberprzest\u0119pc\u00f3w. Ponadto koreluj\u0105c anomalie sieciowe na podstawie przep\u0142yw\u00f3w z innymi \u017ar\u00f3d\u0142ami danych, otrzymujemy dodatkowe potwierdzenie wykrytego zagro\u017cenia, co jednocze\u015bnie zmniejsza liczb\u0119 fa\u0142szywych alarm\u00f3w. Monitorowanie przep\u0142yw\u00f3w sieciowych mo\u017cna przeprowadza\u0107 zar\u00f3wno za pomoc\u0105 dedykowanego systemu klasy Network Security Monitoring, np. Sycope, jak i bezpo\u015brednio w systemie klasy SIEM. Pierwsza opcja pozwala na wysy\u0142anie alert\u00f3w generowanych przez system NSM do SIEM, a druga na analiz\u0119 ruchu Netflow bezpo\u015brednio w systemie SIEM. Wybieraj\u0105c drug\u0105 opcj\u0119, musimy dostosowa\u0107 \u015brodowisko SIEM do obs\u0142ugi setek milion\u00f3w przep\u0142yw\u00f3w na sekund\u0119 i cz\u0119sto zakupi\u0107 dodatkowe licencje. Niezale\u017cnie od wybranej \u015bcie\u017cki, nale\u017cy d\u0105\u017cy\u0107 do projektowania regu\u0142 bezpiecze\u0144stwa w oparciu o jak najwi\u0119ksz\u0105 liczb\u0119 \u017ar\u00f3de\u0142 danych, tak aby liczba czerwonych flag pozostawionych przez atakuj\u0105cych by\u0142a jak najwi\u0119ksza i zgodna z procesem obs\u0142ugi incydent\u00f3w bezpiecze\u0144stwa w organizacji. Nale\u017cy r\u00f3wnie\u017c pami\u0119ta\u0107, \u017ce bezpiecze\u0144stwo to proces ci\u0105g\u0142y, wi\u0119c nie istnieje sko\u0144czona liczba scenariuszy bezpiecze\u0144stwa, kt\u00f3re mo\u017cna wdro\u017cy\u0107 w dowolnym systemie monitorowania.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>SIEM jako g\u0142\u00f3wny system bezpiecze\u0144stwa w ka\u017cdym SOC SecOps ma wiele system\u00f3w monitoruj\u0105cych bezpiecze\u0144stwo w swoim arsenale, co przedstawiono na rysunku 1. G\u0142\u00f3wnym systemem u\u017cywanym przez Security Operations Center (SOC) jest system SIEM, kt\u00f3ry koreluje logi z wielu \u017ar\u00f3de\u0142 danych, takich jak systemy operacyjne, bazy danych, urz\u0105dzenia sieciowe, aplikacje czy systemy bezpiecze\u0144stwa, w celu wykrycia [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1396,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[99],"tags":[114,156,143,115,146],"product":[165,166],"topic":[167,168],"sycope_author":[249],"class_list":["post-1811","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-analizy-netflow","tag-ddos-pl","tag-integracja-siem","tag-skanowanie-sieci","tag-soc-pl","product-security-pl","product-visibility-pl","topic-bezpieczenstwo-sieci","topic-monitorowanie-i-analiza-sieci","sycope_author-marcin-kazmierczak"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1811","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/comments?post=1811"}],"version-history":[{"count":3,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1811\/revisions"}],"predecessor-version":[{"id":2151,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/1811\/revisions\/2151"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media\/1396"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=1811"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/categories?post=1811"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/tags?post=1811"},{"taxonomy":"product","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/product?post=1811"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/topic?post=1811"},{"taxonomy":"sycope_author","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/sycope_author?post=1811"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}