{"id":4137,"date":"2026-07-07T08:53:00","date_gmt":"2026-07-07T06:53:00","guid":{"rendered":"https:\/\/www.sycope.com\/?p=4137"},"modified":"2026-07-07T08:53:00","modified_gmt":"2026-07-07T06:53:00","slug":"jak-analizowac-incydenty-sieciowe-z-pcap","status":"publish","type":"post","link":"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap","title":{"rendered":"Jak analizowa\u0107 incydenty sieciowe z PCAP?"},"content":{"rendered":"<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_88 counter-hierarchy ez-toc-counter ez-toc-grey ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#NetFlow_wsteczne_PCAP_i_analiza_pakietow_w_praktyce_zespolow_SOC\" >NetFlow, wsteczne PCAP i analiza pakiet\u00f3w w praktyce zespo\u0142\u00f3w SOC<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Z_tego_artykulu_dowiesz_sie\" >Z tego artyku\u0142u dowiesz si\u0119:<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Alert_bezpieczenstwa_jako_punkt_wyjscia_analizy_incydentu\" >Alert bezpiecze\u0144stwa jako punkt wyj\u015bcia analizy incydentu<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Ograniczenia_metadanych_i_NetFlow_w_kontekscie_bezpieczenstwa\" >Ograniczenia metadanych i NetFlow w kontek\u015bcie bezpiecze\u0144stwa<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#NetFlow_a_PCAP_%E2%80%93_porownanie_zrodel_danych_w_analizie_incydentow\" >NetFlow a PCAP \u2013 por\u00f3wnanie \u017ar\u00f3de\u0142 danych w analizie incydent\u00f3w<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Wsteczne_PCAP_%E2%80%93_zasada_dzialania_i_zastosowania_praktyczne\" >Wsteczne PCAP \u2013 zasada dzia\u0142ania i zastosowania praktyczne<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Korelacja_NetFlow_i_pakietow_w_analizie_incydentow\" >Korelacja NetFlow i pakiet\u00f3w w analizie incydent\u00f3w<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-8\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Scenariusz_analizy_incydentu_krok_po_kroku\" >Scenariusz analizy incydentu krok po kroku<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-9\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#1_Wykrycie_anomalii\" >1. Wykrycie anomalii<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-10\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#2_Analiza_metadanych_NetFlow\" >2. Analiza metadanych NetFlow<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-11\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#3_Identyfikacja_podejrzanej_komunikacji\" >3. Identyfikacja podejrzanej komunikacji<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-12\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#4_Pobranie_PCAP\" >4. Pobranie PCAP<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-13\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#5_Analiza_pakietow\" >5. Analiza pakiet\u00f3w<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-14\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#6_Klasyfikacja_incydentu\" >6. Klasyfikacja incydentu<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-15\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#7_Dokumentacja_i_dzialania_naprawcze\" >7. Dokumentacja i dzia\u0142ania naprawcze<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-16\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Analiza_pakietow_i_praca_z_PCAP_w_narzedziach_typu_Wireshark\" >Analiza pakiet\u00f3w i praca z PCAP w narz\u0119dziach typu Wireshark<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-17\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Automatyzacja_reakcji_na_alerty_i_obsluga_incydentow_w_Jira\" >Automatyzacja reakcji na alerty i obs\u0142uga incydent\u00f3w w Jira<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-18\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Integracja_powiadomien_i_wspolpracy_zespolowej\" >Integracja powiadomie\u0144 i wsp\u00f3\u0142pracy zespo\u0142owej<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-19\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Wyzwania_analizy_pakietow_PCAP_w_srodowiskach_produkcyjnych\" >Wyzwania analizy pakiet\u00f3w PCAP w \u015brodowiskach produkcyjnych<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-20\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Szyfrowanie_ruchu\" >Szyfrowanie ruchu<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-21\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Duze_pliki_PCAP\" >Du\u017ce pliki PCAP<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-22\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Ograniczone_okno_retencji_PCAP\" >Ograniczone okno retencji PCAP<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-23\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Nowe_protokoly_transportowe\" >Nowe protoko\u0142y transportowe<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-24\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Fragmentacja_i_retransmisje\" >Fragmentacja i retransmisje<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-25\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Probkowanie_NetFlow\" >Pr\u00f3bkowanie NetFlow<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-26\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Kontekst_incydentu\" >Kontekst incydentu<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-27\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Wplyw_pasywnego_monitorowania_na_skutecznosc_SOCNOC_i_audytow\" >Wp\u0142yw pasywnego monitorowania na skuteczno\u015b\u0107 SOC\/NOC i audyt\u00f3w<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-28\" href=\"https:\/\/www.sycope.com\/pl\/post\/jak-analizowac-incydenty-sieciowe-z-pcap\/#Podsumowanie\" >Podsumowanie<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"NetFlow_wsteczne_PCAP_i_analiza_pakietow_w_praktyce_zespolow_SOC\"><\/span>NetFlow, wsteczne PCAP i analiza pakiet\u00f3w w praktyce zespo\u0142\u00f3w SOC<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Analiza incydent\u00f3w sieciowych cz\u0119sto zaczyna si\u0119 od alertu, ale bardzo rzadko na nim si\u0119 ko\u0144czy.<\/p>\n<p class=\"isSelectedEnd\">W \u015brodowiskach SOC (Security Operations Center) oraz NOC (Network Operations Center) alert jest jedynie sygna\u0142em, \u017ce w infrastrukturze wydarzy\u0142o si\u0119 co\u015b potencjalnie niebezpiecznego. SOC to zesp\u00f3\u0142 specjalist\u00f3w odpowiedzialnych za monitorowanie, wykrywanie oraz analiz\u0119 incydent\u00f3w bezpiecze\u0144stwa, natomiast NOC koncentruje si\u0119 g\u0142\u00f3wnie na utrzymaniu stabilno\u015bci i dost\u0119pno\u015bci infrastruktury sieciowej.<\/p>\n<p class=\"isSelectedEnd\">Alert wskazuje wi\u0119c jedynie symptom problemu. Dopiero kolejne etapy analizy pozwalaj\u0105 zrozumie\u0107, co dok\u0142adnie wydarzy\u0142o si\u0119 w sieci, jak wygl\u0105da\u0142a komunikacja mi\u0119dzy systemami oraz czy rzeczywi\u015bcie dosz\u0142o do incydentu bezpiecze\u0144stwa.<\/p>\n<p class=\"isSelectedEnd\">W wielu przypadkach pierwszym \u017ar\u00f3d\u0142em informacji jest NetFlow, czyli technologia monitorowania ruchu sieciowego, kt\u00f3ra zbiera metadane o po\u0142\u0105czeniach mi\u0119dzy hostami \u2013 takie jak adresy IP, porty, protoko\u0142y czy wolumen przesy\u0142anych danych.<\/p>\n<p class=\"isSelectedEnd\">Jednak w bardziej z\u0142o\u017conych scenariuszach \u2013 szczeg\u00f3lnie przy analizie atak\u00f3w, exfiltracji danych czy komunikacji z infrastruktur\u0105 command-and-control \u2013 metadane okazuj\u0105 si\u0119 niewystarczaj\u0105ce.<\/p>\n<p class=\"isSelectedEnd\">Wtedy kluczowe staje si\u0119 si\u0119gni\u0119cie po pe\u0142ny zapis pakiet\u00f3w, czyli PCAP (Packet Capture). PCAP to format zapisu ruchu sieciowego umo\u017cliwiaj\u0105cy przechowywanie surowych pakiet\u00f3w przesy\u0142anych w sieci, wraz z informacj\u0105 o nag\u0142\u00f3wkach protoko\u0142\u00f3w oraz \u2014 w przypadku ruchu nieszyfrowanego lub mo\u017cliwego do deszyfracji \u2014 zawarto\u015bci komunikacji. Dzi\u0119ki temu analityk mo\u017ce dok\u0142adnie odtworzy\u0107 przebieg sesji sieciowej: od pierwszego pakietu a\u017c po zako\u0144czenie komunikacji.<\/p>\n<p class=\"isSelectedEnd\">Warto jednak pami\u0119ta\u0107, \u017ce w przypadku ruchu szyfrowanego, szczeg\u00f3lnie TLS 1.3, analiza tre\u015bci aplikacyjnej nie jest mo\u017cliwa bez odpowiednich kluczy lub mechanizmu deszyfracji. W takim scenariuszu PCAP nadal dostarcza cennych informacji o strukturze po\u0142\u0105czenia, kierunku komunikacji, czasie trwania sesji, wolumenie danych czy zachowaniu protoko\u0142u, ale nie ujawnia samego payloadu aplikacyjnego.<\/p>\n<p class=\"isSelectedEnd\">W tym artykule porz\u0105dkujemy podej\u015bcie do pracy z PCAP \u2013 od wykrycia anomalii, przez analiz\u0119 ruchu, a\u017c po udokumentowanie incydentu i obs\u0142ug\u0119 go w procesach zespo\u0142\u00f3w bezpiecze\u0144stwa.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Z_tego_artykulu_dowiesz_sie\"><\/span>Z tego artyku\u0142u dowiesz si\u0119:<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<ul data-spread=\"false\">\n<li>kiedy NetFlow przestaje wystarcza\u0107 w analizie incydent\u00f3w,<\/li>\n<li>jak dzia\u0142a wsteczne PCAP i po co si\u0119 je stosuje,<\/li>\n<li>jak wygl\u0105da korelacja NetFlow i PCAP w analizie incydent\u00f3w,<\/li>\n<li>w jaki spos\u00f3b analiza pakiet\u00f3w PCAP wspiera dokumentacj\u0119 i audyty,<\/li>\n<li>jak wygl\u0105da workflow SOC \u2013 od detekcji incydentu do obs\u0142ugi w Jira,<\/li>\n<li>jakie ograniczenia trzeba uwzgl\u0119dni\u0107 przy analizie PCAP \u2014 m.in. szyfrowanie TLS 1.3, QUIC\/HTTP\/3, ograniczone okno retencji oraz pr\u00f3bkowanie NetFlow.<\/li>\n<\/ul>\n<h2><span class=\"ez-toc-section\" id=\"Alert_bezpieczenstwa_jako_punkt_wyjscia_analizy_incydentu\"><\/span>Alert bezpiecze\u0144stwa jako punkt wyj\u015bcia analizy incydentu<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">W wi\u0119kszo\u015bci organizacji analiza incydent\u00f3w sieciowych rozpoczyna si\u0119 od alertu wygenerowanego przez system monitorowania lub platform\u0119 bezpiecze\u0144stwa.<\/p>\n<p class=\"isSelectedEnd\">Mo\u017ce to by\u0107 mi\u0119dzy innymi:<\/p>\n<ul data-spread=\"false\">\n<li>wykrycie komunikacji z podejrzanym adresem IP,<\/li>\n<li>nietypowy wolumen ruchu wychodz\u0105cego,<\/li>\n<li>anomalie w ruchu DNS,<\/li>\n<li>nag\u0142y wzrost liczby po\u0142\u0105cze\u0144 TCP,<\/li>\n<li>pr\u00f3ba komunikacji z infrastruktur\u0105 command-and-control.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Alert wskazuje symptom zdarzenia, ale nie zawsze wyja\u015bnia jego rzeczywist\u0105 przyczyn\u0119.<\/p>\n<p class=\"isSelectedEnd\">Dlatego pierwszym krokiem analityka SOC jest zazwyczaj:<\/p>\n<ul data-spread=\"false\">\n<li>identyfikacja \u017ar\u00f3d\u0142a alertu,<\/li>\n<li>analiza kontekstu komunikacji,<\/li>\n<li>sprawdzenie historii ruchu mi\u0119dzy hostami,<\/li>\n<li>weryfikacja, czy podobne zdarzenia wyst\u0119powa\u0142y wcze\u015bniej.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Na tym etapie bardzo cz\u0119sto wykorzystywane s\u0105 dane NetFlow, kt\u00f3re pozwalaj\u0105 szybko zrozumie\u0107, kto komunikowa\u0142 si\u0119 z kim, kiedy oraz z jakim wolumenem danych.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Ograniczenia_metadanych_i_NetFlow_w_kontekscie_bezpieczenstwa\"><\/span>Ograniczenia metadanych i NetFlow w kontek\u015bcie bezpiecze\u0144stwa<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">NetFlow dostarcza cennych informacji o ruchu sieciowym, jednak operuje wy\u0142\u0105cznie na metadanych.<\/p>\n<p class=\"isSelectedEnd\">W praktyce oznacza to, \u017ce widzimy m.in.:<\/p>\n<ul data-spread=\"false\">\n<li>adres IP \u017ar\u00f3d\u0142owy i docelowy,<\/li>\n<li>porty komunikacji,<\/li>\n<li>protok\u00f3\u0142,<\/li>\n<li>wolumen przesy\u0142anych danych,<\/li>\n<li>czas trwania sesji.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Takie informacje pozwalaj\u0105 szybko wykrywa\u0107 anomalie w ruchu sieciowym. Warto jednak pami\u0119ta\u0107, \u017ce NetFlow nie zawiera tre\u015bci komunikacji, lecz jedynie jej podsumowanie w postaci tzw. przep\u0142yw\u00f3w sieciowych (flows).<\/p>\n<p class=\"isSelectedEnd\">Dodatkowym ograniczeniem mo\u017ce by\u0107 pr\u00f3bkowanie NetFlow. W \u015brodowiskach o du\u017cym nat\u0119\u017ceniu ruchu dane flow s\u0105 cz\u0119sto zbierane z samplingiem, np. 1:1000. Oznacza to, \u017ce nie ka\u017cdy pakiet trafia do analizy, a bardzo kr\u00f3tkie sesje mog\u0105 w og\u00f3le nie zosta\u0107 odnotowane przez kolektor. W praktyce NetFlow \u015bwietnie sprawdza si\u0119 do wykrywania trend\u00f3w, wolumen\u00f3w i anomalii, ale przy analizie kr\u00f3tkich, szybkich lub niskowolumenowych po\u0142\u0105cze\u0144 trzeba uwzgl\u0119dni\u0107 ryzyko niepe\u0142nej widoczno\u015bci.<\/p>\n<p class=\"isSelectedEnd\">W\u0142a\u015bnie dlatego w wielu sytuacjach pojawia si\u0119 kluczowe pytanie:<\/p>\n<p class=\"isSelectedEnd\"><strong>Czy by\u0142 to rzeczywisty incydent bezpiecze\u0144stwa, czy jedynie nietypowy, ale legalny ruch sieciowy?<\/strong><\/p>\n<p class=\"isSelectedEnd\">Typowe scenariusze, w kt\u00f3rych NetFlow przestaje wystarcza\u0107, to m.in.:<\/p>\n<ul data-spread=\"false\">\n<li>analiza potencjalnej exfiltracji danych,<\/li>\n<li>badanie komunikacji z serwerami command-and-control,<\/li>\n<li>analiza nietypowych protoko\u0142\u00f3w aplikacyjnych,<\/li>\n<li>sprawdzanie, jakie dane zosta\u0142y faktycznie przes\u0142ane mi\u0119dzy systemami.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">W takich przypadkach konieczna staje si\u0119 analiza pakiet\u00f3w PCAP \u2014 przy czym zakres tej analizy zale\u017cy od rodzaju ruchu. W przypadku ruchu nieszyfrowanego PCAP mo\u017ce pozwoli\u0107 na wgl\u0105d w tre\u015b\u0107 komunikacji. W przypadku ruchu szyfrowanego, np. TLS 1.3, analiza payloadu wymaga dost\u0119pu do kluczy lub zastosowania mechanizmu deszyfracji.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"NetFlow_a_PCAP_%E2%80%93_porownanie_zrodel_danych_w_analizie_incydentow\"><\/span>NetFlow a PCAP \u2013 por\u00f3wnanie \u017ar\u00f3de\u0142 danych w analizie incydent\u00f3w<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Zar\u00f3wno NetFlow, jak i PCAP odgrywaj\u0105 istotn\u0105 rol\u0119 w analizie incydent\u00f3w sieciowych, jednak dostarczaj\u0105 r\u00f3\u017cnego poziomu szczeg\u00f3\u0142owo\u015bci danych.<\/p>\n<p class=\"isSelectedEnd\">NetFlow pozwala szybko identyfikowa\u0107 anomalie w ruchu sieciowym i analizowa\u0107 komunikacj\u0119 mi\u0119dzy hostami na poziomie metadanych. PCAP natomiast umo\u017cliwia dok\u0142adne prze\u015bledzenie przebiegu komunikacji i analiz\u0119 zawarto\u015bci pakiet\u00f3w \u2014 o ile ruch nie jest szyfrowany lub istnieje mo\u017cliwo\u015b\u0107 jego deszyfracji.<!-- Elegant comparison table with DM Sans font --><\/p>\n<div style=\"overflow-x: auto; margin: 20px 0; font-family: 'DM Sans', sans-serif;\">\n<table style=\"width: 100%; border-collapse: collapse; border: 1px solid #ddd; font-size: 15px; font-family: 'DM Sans', sans-serif;\">\n<thead>\n<tr style=\"background-color: #f4f6fb; color: #222; text-align: left;\">\n<th style=\"padding: 12px; border: 1px solid #ddd;\">Cecha<\/th>\n<th style=\"padding: 12px; border: 1px solid #ddd;\">NetFlow<\/th>\n<th style=\"padding: 12px; border: 1px solid #ddd;\">PCAP<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Zakres danych<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Metadane o przep\u0142ywach sieciowych<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Pe\u0142ne pakiety sieciowe<\/td>\n<\/tr>\n<tr style=\"background-color: #fafbff;\">\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Widoczno\u015b\u0107 komunikacji<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Kto z kim si\u0119 komunikowa\u0142<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Pe\u0142ny przebieg komunikacji na poziomie pakiet\u00f3w<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Analiza payloadu<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Nie<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Tak, ale tylko dla ruchu nieszyfrowanego lub mo\u017cliwego do deszyfracji. Przy TLS 1.3 bez kluczy tre\u015b\u0107 aplikacyjna pozostaje niedost\u0119pna.<\/td>\n<\/tr>\n<tr style=\"background-color: #fafbff;\">\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Wolumen danych<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Niski<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Bardzo wysoki<\/td>\n<\/tr>\n<tr>\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Retencja danych<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Zwykle d\u0142u\u017csza, ni\u017cszy wolumen danych<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Zwykle kr\u00f3tsza; zale\u017cna od przepustowo\u015bci, zakresu przechwytywania i dost\u0119pnej przestrzeni storage<\/td>\n<\/tr>\n<tr style=\"background-color: #fafbff;\">\n<td style=\"padding: 12px; border: 1px solid #ddd; font-weight: bold; color: #1769ff;\">Zastosowanie<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Wykrywanie anomalii<\/td>\n<td style=\"padding: 12px; border: 1px solid #ddd;\">Szczeg\u00f3\u0142owa analiza incydent\u00f3w<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p class=\"isSelectedEnd\">Dlatego w praktyce NetFlow a PCAP to technologie, kt\u00f3re uzupe\u0142niaj\u0105 si\u0119 w analizie incydent\u00f3w sieciowych.<\/p>\n<p class=\"isSelectedEnd\">PCAP nie powinien by\u0107 jednak traktowany jako nieograniczona historia ca\u0142ego ruchu sieciowego. W praktyce pe\u0142ny zapis pakiet\u00f3w dzia\u0142a najcz\u0119\u015bciej jako bufor lub selektywna retencja, kt\u00f3rej d\u0142ugo\u015b\u0107 zale\u017cy od przepustowo\u015bci monitorowanych \u0142\u0105czy oraz dost\u0119pnej pojemno\u015bci dyskowej.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Wsteczne_PCAP_%E2%80%93_zasada_dzialania_i_zastosowania_praktyczne\"><\/span>Wsteczne PCAP \u2013 zasada dzia\u0142ania i zastosowania praktyczne<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Jednym z najwi\u0119kszych wyzwa\u0144 w analizie incydent\u00f3w jest fakt, \u017ce alert pojawia si\u0119 dopiero po wyst\u0105pieniu zdarzenia.<\/p>\n<p class=\"isSelectedEnd\">Je\u017celi w danym momencie nie prowadzono nagrywania pakiet\u00f3w, analityk traci mo\u017cliwo\u015b\u0107 dok\u0142adnego odtworzenia komunikacji.<\/p>\n<p class=\"isSelectedEnd\">W\u0142a\u015bnie dlatego coraz wi\u0119ksz\u0105 rol\u0119 odgrywa wsteczne PCAP.<\/p>\n<p class=\"isSelectedEnd\">Mechanizm ten polega na:<\/p>\n<ul data-spread=\"false\">\n<li>ci\u0105g\u0142ym buforowaniu ruchu sieciowego,<\/li>\n<li>przechowywaniu pakiet\u00f3w przez okre\u015blony czas, ograniczony dost\u0119pn\u0105 przestrzeni\u0105 dyskow\u0105, przepustowo\u015bci\u0105 monitorowanego ruchu oraz zakresem przechwytywania,<\/li>\n<li>umo\u017cliwieniu pobrania PCAP z momentu wyst\u0105pienia incydentu.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Dzi\u0119ki temu analityk mo\u017ce wr\u00f3ci\u0107 do momentu zdarzenia i przeanalizowa\u0107 komunikacj\u0119 mi\u0119dzy hostami nawet wtedy, gdy incydent zosta\u0142 wykryty dopiero po fakcie.<\/p>\n<p class=\"isSelectedEnd\">Trzeba jednak pami\u0119ta\u0107, \u017ce wsteczne PCAP nie oznacza nieograniczonego dost\u0119pu do pe\u0142nej historii ruchu. Okno retencji wynika bezpo\u015brednio z r\u00f3wnania: przepustowo\u015b\u0107 monitorowanego ruchu \u00d7 dost\u0119pna przestrze\u0144 storage. Przyk\u0142adowo, przy ci\u0105g\u0142ym zapisie ruchu 10 Gbps i 10 TB przestrzeni dyskowej pe\u0142ny bufor pakiet\u00f3w mo\u017ce obejmowa\u0107 jedynie oko\u0142o 2 godziny historii. Dlatego w praktyce stosuje si\u0119 selektywne przechwytywanie, filtrowanie, buforowanie pier\u015bcieniowe lub retencj\u0119 tylko dla wybranych segment\u00f3w sieci.<\/p>\n<p class=\"isSelectedEnd\">W praktyce wsteczne PCAP umo\u017cliwia:<\/p>\n<ul data-spread=\"false\">\n<li>odtworzenie pe\u0142nej sesji komunikacyjnej,<\/li>\n<li>analiz\u0119 payloadu pakiet\u00f3w \u2014 o ile ruch nie jest szyfrowany lub istnieje mo\u017cliwo\u015b\u0107 jego deszyfracji,<\/li>\n<li>identyfikacj\u0119 przesy\u0142anych plik\u00f3w w ruchu nieszyfrowanym albo po skutecznej deszyfracji sesji,<\/li>\n<li>dok\u0142adne prze\u015bledzenie przebiegu incydentu.<\/li>\n<\/ul>\n<h2><span class=\"ez-toc-section\" id=\"Korelacja_NetFlow_i_pakietow_w_analizie_incydentow\"><\/span>Korelacja NetFlow i pakiet\u00f3w w analizie incydent\u00f3w<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Najbardziej efektywna analiza incydent\u00f3w powstaje poprzez po\u0142\u0105czenie dw\u00f3ch \u017ar\u00f3de\u0142 danych:<\/p>\n<ul data-spread=\"false\">\n<li>NetFlow,<\/li>\n<li>PCAP.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Oba typy danych dostarczaj\u0105 innych informacji o ruchu sieciowym, dlatego ich korelacja pozwala uzyska\u0107 pe\u0142niejszy obraz zdarzenia.<\/p>\n<p class=\"isSelectedEnd\">NetFlow zapewnia szerok\u0105 widoczno\u015b\u0107 komunikacji w sieci. Pozwala szybko zidentyfikowa\u0107:<\/p>\n<ul data-spread=\"false\">\n<li>kt\u00f3re hosty si\u0119 komunikowa\u0142y,<\/li>\n<li>kiedy rozpocz\u0119\u0142o si\u0119 po\u0142\u0105czenie,<\/li>\n<li>jak d\u0142ugo trwa\u0142a komunikacja,<\/li>\n<li>jaki by\u0142 wolumen przesy\u0142anych danych.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Dzi\u0119ki temu analityk SOC mo\u017ce szybko wykry\u0107 anomalie, takie jak:<\/p>\n<ul data-spread=\"false\">\n<li>nag\u0142y wzrost ruchu wychodz\u0105cego,<\/li>\n<li>cykliczne po\u0142\u0105czenia z tym samym adresem IP,<\/li>\n<li>komunikacj\u0119 z rzadko wyst\u0119puj\u0105cymi domenami,<\/li>\n<li>nietypowe wykorzystanie port\u00f3w.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Jednak dopiero PCAP pozwala zej\u015b\u0107 z poziomu metadanych do poziomu pakiet\u00f3w i zweryfikowa\u0107 szczeg\u00f3\u0142y komunikacji. W przypadku ruchu nieszyfrowanego lub mo\u017cliwego do deszyfracji mo\u017ce to obejmowa\u0107 r\u00f3wnie\u017c analiz\u0119 payloadu. Przy TLS 1.3 bez dost\u0119pu do kluczy analiza dotyczy przede wszystkim struktury sesji, parametr\u00f3w po\u0142\u0105czenia, wolumenu, timing\u00f3w i zachowania protoko\u0142u, a nie tre\u015bci aplikacyjnej.<\/p>\n<p class=\"isSelectedEnd\">W praktyce analiza incydentu cz\u0119sto wygl\u0105da nast\u0119puj\u0105co:<\/p>\n<ol start=\"1\" data-spread=\"false\">\n<li>NetFlow wskazuje podejrzany przep\u0142yw sieciowy \u2014 np. okre\u015blony adres \u017ar\u00f3d\u0142owy, adres docelowy, port, protok\u00f3\u0142, czas rozpocz\u0119cia i wolumen danych.<\/li>\n<li>Analityk identyfikuje konkretn\u0105 sesj\u0119 lub grup\u0119 sesji, zaw\u0119\u017caj\u0105c analiz\u0119 do tzw. 5-tuple: source IP, destination IP, source port, destination port oraz protocol.<\/li>\n<li>System wykorzystuje indeks czasu i metadane przep\u0142ywu do odnalezienia odpowiedniego fragmentu bufora PCAP.<\/li>\n<li>Nast\u0119pnie generowany jest filtr, np. BPF, kt\u00f3ry pozwala wyci\u0105gn\u0105\u0107 z zapisu pakiet\u00f3w tylko ruch odpowiadaj\u0105cy danemu flow lub zestawowi flow.<\/li>\n<li>Dopiero tak ograniczony PCAP trafia do szczeg\u00f3\u0142owej analizy w narz\u0119dziu takim jak Wireshark.<\/li>\n<\/ol>\n<p class=\"isSelectedEnd\">Takie podej\u015bcie znacz\u0105co ogranicza wolumen danych do analizy. Zamiast przegl\u0105da\u0107 ogromne zbiory pakiet\u00f3w, analityk mo\u017ce skupi\u0107 si\u0119 na konkretnych fragmentach ruchu wskazanych przez NetFlow.<\/p>\n<p class=\"isSelectedEnd\">W\u0142a\u015bnie dlatego w nowoczesnych platformach monitorowania sieci korelacja NetFlow i PCAP stanowi podstaw\u0119 analizy incydent\u00f3w sieciowych.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Scenariusz_analizy_incydentu_krok_po_kroku\"><\/span>Scenariusz analizy incydentu krok po kroku<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Aby lepiej zrozumie\u0107 praktyczne wykorzystanie tych danych, warto prze\u015bledzi\u0107 typowy scenariusz analizy incydentu sieciowego.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"1_Wykrycie_anomalii\"><\/span>1. Wykrycie anomalii<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">System monitorowania generuje alert wskazuj\u0105cy na nietypowy ruch sieciowy \u2013 np. zwi\u0119kszon\u0105 liczb\u0119 zapyta\u0144 DNS lub du\u017cy wolumen ruchu wychodz\u0105cego z jednego hosta.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"2_Analiza_metadanych_NetFlow\"><\/span>2. Analiza metadanych NetFlow<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Analityk sprawdza dane NetFlow:<\/p>\n<ul data-spread=\"false\">\n<li>adresy IP komunikuj\u0105cych si\u0119 host\u00f3w,<\/li>\n<li>porty i protoko\u0142y,<\/li>\n<li>liczb\u0119 po\u0142\u0105cze\u0144,<\/li>\n<li>wolumen przesy\u0142anych danych,<\/li>\n<li>czas trwania komunikacji.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Je\u017celi NetFlow jest zbierany z samplingiem, analityk powinien uwzgl\u0119dni\u0107, \u017ce obraz komunikacji mo\u017ce by\u0107 niepe\u0142ny. Przy wysokim poziomie pr\u00f3bkowania, np. 1:1000, cz\u0119\u015b\u0107 kr\u00f3tkich sesji mo\u017ce w og\u00f3le nie pojawi\u0107 si\u0119 w danych flow.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"3_Identyfikacja_podejrzanej_komunikacji\"><\/span>3. Identyfikacja podejrzanej komunikacji<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Na podstawie analizy NetFlow mo\u017cliwe jest okre\u015blenie, czy ruch jest jednorazowy, czy powtarzalny \u2013 np. cykliczna komunikacja z tym samym adresem IP.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"4_Pobranie_PCAP\"><\/span>4. Pobranie PCAP<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Je\u017celi ruch wygl\u0105da podejrzanie, analityk pobiera plik PCAP obejmuj\u0105cy analizowan\u0105 komunikacj\u0119. W praktyce nie oznacza to pobierania ca\u0142ego bufora pakiet\u00f3w, ale wyci\u0105gni\u0119cie konkretnego fragmentu ruchu na podstawie czasu zdarzenia, adres\u00f3w IP, port\u00f3w i protoko\u0142u. Taki zakres mo\u017ce zosta\u0107 zaw\u0119\u017cony filtrem BPF, dzi\u0119ki czemu do analizy trafiaj\u0105 tylko pakiety odpowiadaj\u0105ce wybranemu flow lub grupie flow.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"5_Analiza_pakietow\"><\/span>5. Analiza pakiet\u00f3w<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Pakiety analizowane s\u0105 w narz\u0119dziu takim jak Wireshark, czyli popularnym analizatorze protoko\u0142\u00f3w sieciowych umo\u017cliwiaj\u0105cym szczeg\u00f3\u0142ow\u0105 analiz\u0119 pakiet\u00f3w zapisanych w formacie PCAP.<\/p>\n<p class=\"isSelectedEnd\">Analityk mo\u017ce sprawdzi\u0107 m.in.:<\/p>\n<ul data-spread=\"false\">\n<li>zapytania DNS,<\/li>\n<li>komunikacj\u0119 HTTP lub inne protoko\u0142y aplikacyjne \u2014 je\u015bli nie s\u0105 szyfrowane albo mo\u017cliwa jest ich deszyfracja,<\/li>\n<li>przesy\u0142ane pliki \u2014 w ruchu nieszyfrowanym lub po deszyfracji,<\/li>\n<li>zawarto\u015b\u0107 payloadu pakiet\u00f3w \u2014 z zastrze\u017ceniem, \u017ce przy TLS 1.3 bez kluczy tre\u015b\u0107 aplikacyjna pozostaje niedost\u0119pna.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">W przypadku ruchu szyfrowanego analiza pakiet\u00f3w nadal mo\u017ce dostarczy\u0107 istotnych informacji, nawet je\u015bli tre\u015b\u0107 komunikacji nie jest dost\u0119pna. Analityk mo\u017ce wtedy bada\u0107 m.in. czas trwania sesji, wolumen danych, kierunek komunikacji, powtarzalno\u015b\u0107 po\u0142\u0105cze\u0144, parametry handshake, retransmisje, b\u0142\u0119dy protoko\u0142u czy nietypowe zachowanie klienta lub serwera.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"6_Klasyfikacja_incydentu\"><\/span>6. Klasyfikacja incydentu<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Na podstawie analizy mo\u017cliwe jest okre\u015blenie, czy zdarzenie jest:<\/p>\n<ul data-spread=\"false\">\n<li>fa\u0142szywym alarmem,<\/li>\n<li>podejrzan\u0105 aktywno\u015bci\u0105,<\/li>\n<li>rzeczywistym incydentem bezpiecze\u0144stwa.<\/li>\n<\/ul>\n<h3><span class=\"ez-toc-section\" id=\"7_Dokumentacja_i_dzialania_naprawcze\"><\/span>7. Dokumentacja i dzia\u0142ania naprawcze<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Ostatnim etapem jest dokumentacja incydentu oraz dzia\u0142ania naprawcze \u2013 np. blokada adres\u00f3w IP lub izolacja hosta.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Analiza_pakietow_i_praca_z_PCAP_w_narzedziach_typu_Wireshark\"><\/span>Analiza pakiet\u00f3w i praca z PCAP w narz\u0119dziach typu Wireshark<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Po pobraniu pliku PCAP analityk mo\u017ce przej\u015b\u0107 do szczeg\u00f3\u0142owej analizy pakiet\u00f3w sieciowych.<\/p>\n<p class=\"isSelectedEnd\">Jednym z najcz\u0119\u015bciej wykorzystywanych narz\u0119dzi w tym celu jest Wireshark \u2013 analizator protoko\u0142\u00f3w sieciowych umo\u017cliwiaj\u0105cy szczeg\u00f3\u0142owe badanie komunikacji zapisanej w formacie PCAP.<\/p>\n<p class=\"isSelectedEnd\">Wireshark pozwala analizowa\u0107 ruch sieciowy na poziomie wielu warstw modelu sieciowego, w tym:<\/p>\n<ul data-spread=\"false\">\n<li>warstwy \u0142\u0105cza danych (Ethernet),<\/li>\n<li>warstwy sieciowej (IP),<\/li>\n<li>warstwy transportowej (TCP, UDP),<\/li>\n<li>warstwy aplikacji (HTTP, DNS, SMTP, FTP).<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Zakres analizy zale\u017cy jednak od rodzaju ruchu. W przypadku protoko\u0142\u00f3w nieszyfrowanych Wireshark mo\u017ce pozwoli\u0107 na analiz\u0119 nag\u0142\u00f3wk\u00f3w aplikacyjnych, tre\u015bci \u017c\u0105da\u0144 czy rekonstrukcj\u0119 przesy\u0142anych obiekt\u00f3w. W przypadku TLS 1.3 bez kluczy sesyjnych analiza ogranicza si\u0119 g\u0142\u00f3wnie do warstw ni\u017cszych, parametr\u00f3w po\u0142\u0105czenia, timing\u00f3w, wolumenu danych oraz metadanych dost\u0119pnych w handshake.<\/p>\n<p class=\"isSelectedEnd\">Dzi\u0119ki temu analityk mo\u017ce dok\u0142adnie prze\u015bledzi\u0107 ca\u0142y przebieg komunikacji mi\u0119dzy hostami \u2014 w zakresie, na jaki pozwala charakter ruchu oraz dost\u0119pno\u015b\u0107 danych do deszyfracji.<\/p>\n<p class=\"isSelectedEnd\">W praktyce analiza PCAP w Wireshark cz\u0119sto obejmuje:<\/p>\n<ul data-spread=\"false\">\n<li>filtrowanie ruchu wed\u0142ug adres\u00f3w IP lub protoko\u0142\u00f3w,<\/li>\n<li>analiz\u0119 sesji TCP i retransmisji,<\/li>\n<li>identyfikacj\u0119 zapyta\u0144 DNS,<\/li>\n<li>analiz\u0119 nag\u0142\u00f3wk\u00f3w HTTP \u2014 dla ruchu nieszyfrowanego lub po deszyfracji,<\/li>\n<li>rekonstrukcj\u0119 przesy\u0142anych plik\u00f3w \u2014 je\u015bli protok\u00f3\u0142 i szyfrowanie na to pozwalaj\u0105.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Analitycy SOC bardzo cz\u0119sto korzystaj\u0105 z filtr\u00f3w, kt\u00f3re pozwalaj\u0105 szybko ograniczy\u0107 analizowany ruch. Przyk\u0142adowe filtry obejmuj\u0105 m.in.:<\/p>\n<ul data-spread=\"false\">\n<li>filtrowanie ruchu DNS,<\/li>\n<li>analiz\u0119 komunikacji HTTP,<\/li>\n<li>identyfikacj\u0119 pakiet\u00f3w SYN inicjuj\u0105cych po\u0142\u0105czenia TCP,<\/li>\n<li>wyszukiwanie komunikacji z konkretnym adresem IP.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Takie podej\u015bcie znacz\u0105co przyspiesza analiz\u0119 incydent\u00f3w, szczeg\u00f3lnie w sytuacji gdy pliki PCAP zawieraj\u0105 miliony pakiet\u00f3w.<\/p>\n<p class=\"isSelectedEnd\">Dzi\u0119ki szczeg\u00f3\u0142owej analizie pakiet\u00f3w mo\u017cliwe jest r\u00f3wnie\u017c:<\/p>\n<ul data-spread=\"false\">\n<li>wykrycie przesy\u0142ania z\u0142o\u015bliwego oprogramowania \u2014 w ruchu nieszyfrowanym lub po deszyfracji,<\/li>\n<li>identyfikacja komunikacji z serwerami command-and-control,<\/li>\n<li>wykrycie pr\u00f3b exfiltracji danych,<\/li>\n<li>rekonstrukcja przebiegu incydentu.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">W przypadku ruchu szyfrowanego rekonstrukcja przebiegu incydentu nie musi oznacza\u0107 odczytania tre\u015bci komunikacji. Mo\u017ce polega\u0107 na odtworzeniu sekwencji po\u0142\u0105cze\u0144, czas\u00f3w, wolumen\u00f3w, kierunk\u00f3w ruchu, charakterystyki sesji i powi\u0105za\u0144 mi\u0119dzy hostami. Takie dane cz\u0119sto wystarczaj\u0105, aby potwierdzi\u0107 nietypow\u0105 aktywno\u015b\u0107, wykry\u0107 beaconing, oceni\u0107 skal\u0119 komunikacji lub wskaza\u0107 segment wymagaj\u0105cy dalszej analizy.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Automatyzacja_reakcji_na_alerty_i_obsluga_incydentow_w_Jira\"><\/span>Automatyzacja reakcji na alerty i obs\u0142uga incydent\u00f3w w Jira<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">W nowoczesnych \u015brodowiskach bezpiecze\u0144stwa analiza incydent\u00f3w coraz cz\u0119\u015bciej wspierana jest przez automatyzacj\u0119 proces\u00f3w reagowania.<\/p>\n<p class=\"isSelectedEnd\">R\u0119czna obs\u0142uga ka\u017cdego alertu mo\u017ce by\u0107 czasoch\u0142onna, szczeg\u00f3lnie w organizacjach generuj\u0105cych tysi\u0105ce zdarze\u0144 bezpiecze\u0144stwa dziennie. Dlatego wiele zespo\u0142\u00f3w SOC wykorzystuje integracje z systemami ticketowymi, takimi jak Jira, aby uporz\u0105dkowa\u0107 proces obs\u0142ugi incydent\u00f3w.<\/p>\n<p class=\"isSelectedEnd\">W praktyce system monitorowania sieci mo\u017ce automatycznie:<\/p>\n<ul data-spread=\"false\">\n<li>utworzy\u0107 ticket incydentu w Jira,<\/li>\n<li>do\u0142\u0105czy\u0107 kontekst analityczny,<\/li>\n<li>przypisa\u0107 incydent do odpowiedniego zespo\u0142u,<\/li>\n<li>za\u0142\u0105czy\u0107 dane NetFlow oraz pliki PCAP.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Dzi\u0119ki temu analitycy SOC otrzymuj\u0105 pe\u0142ny kontekst incydentu ju\u017c na etapie jego zg\u0142oszenia.<\/p>\n<p class=\"isSelectedEnd\">Automatyzacja mo\u017ce obejmowa\u0107 r\u00f3wnie\u017c dodatkowe dzia\u0142ania, takie jak:<\/p>\n<ul data-spread=\"false\">\n<li>wzbogacanie alert\u00f3w o dane z system\u00f3w threat intelligence,<\/li>\n<li>sprawdzanie reputacji adres\u00f3w IP,<\/li>\n<li>korelacj\u0119 zdarze\u0144 z logami systemowymi,<\/li>\n<li>automatyczne oznaczanie priorytetu incydentu.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Takie podej\u015bcie pozwala skr\u00f3ci\u0107 czas reakcji oraz usprawni\u0107 workflow SOC, czyli proces obs\u0142ugi incydent\u00f3w bezpiecze\u0144stwa od momentu ich wykrycia a\u017c do zamkni\u0119cia sprawy.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Integracja_powiadomien_i_wspolpracy_zespolowej\"><\/span>Integracja powiadomie\u0144 i wsp\u00f3\u0142pracy zespo\u0142owej<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Analiza incydent\u00f3w bezpiecze\u0144stwa to proces, kt\u00f3ry zazwyczaj wymaga wsp\u00f3\u0142pracy wielu zespo\u0142\u00f3w w organizacji.<\/p>\n<p class=\"isSelectedEnd\">W praktyce w obs\u0142udze incydent\u00f3w mog\u0105 uczestniczy\u0107:<\/p>\n<ul data-spread=\"false\">\n<li>analitycy SOC,<\/li>\n<li>administratorzy sieci,<\/li>\n<li>zespo\u0142y infrastruktury IT,<\/li>\n<li>zespo\u0142y bezpiecze\u0144stwa aplikacji.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Dlatego systemy monitorowania sieci coraz cz\u0119\u015bciej integruj\u0105 si\u0119 z narz\u0119dziami komunikacji zespo\u0142owej, takimi jak:<\/p>\n<ul data-spread=\"false\">\n<li>Microsoft Teams,<\/li>\n<li>Slack,<\/li>\n<li>systemy ticketowe,<\/li>\n<li>platformy automatyzacji bezpiecze\u0144stwa (SOAR).<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Integracja z narz\u0119dziami komunikacyjnymi pozwala szybko przekazywa\u0107 informacje o incydentach i usprawnia wsp\u00f3\u0142prac\u0119 zespo\u0142\u00f3w.<\/p>\n<p class=\"isSelectedEnd\">Alert mo\u017ce zosta\u0107 automatycznie przes\u0142any do kana\u0142u zespo\u0142u bezpiecze\u0144stwa, gdzie analitycy mog\u0105 natychmiast rozpocz\u0105\u0107 analiz\u0119 zdarzenia. W wielu organizacjach w tym samym miejscu udost\u0119pniane s\u0105 r\u00f3wnie\u017c:<\/p>\n<ul data-spread=\"false\">\n<li>linki do danych NetFlow,<\/li>\n<li>pliki PCAP,<\/li>\n<li>raporty analizy ruchu.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Takie podej\u015bcie znacz\u0105co skraca czas potrzebny na koordynacj\u0119 dzia\u0142a\u0144 i pozwala szybciej podejmowa\u0107 decyzje dotycz\u0105ce reakcji na incydent.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Wyzwania_analizy_pakietow_PCAP_w_srodowiskach_produkcyjnych\"><\/span>Wyzwania analizy pakiet\u00f3w PCAP w \u015brodowiskach produkcyjnych<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Chocia\u017c analiza pakiet\u00f3w PCAP dostarcza bardzo szczeg\u00f3\u0142owych informacji o ruchu sieciowym, w praktyce wi\u0105\u017ce si\u0119 r\u00f3wnie\u017c z wieloma wyzwaniami.<\/p>\n<p class=\"isSelectedEnd\">Jednym z najwa\u017cniejszych problem\u00f3w jest skala danych generowanych przez wsp\u00f3\u0142czesne sieci. W \u015brodowiskach korporacyjnych oraz operatorskich pe\u0142ne nagrywanie pakiet\u00f3w mo\u017ce generowa\u0107 ogromne wolumeny informacji, kt\u00f3re wymagaj\u0105 odpowiedniej infrastruktury do przechowywania i analizy.<\/p>\n<p class=\"isSelectedEnd\">Do najcz\u0119stszych wyzwa\u0144 analizy PCAP nale\u017c\u0105:<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Szyfrowanie_ruchu\"><\/span>Szyfrowanie ruchu<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Coraz wi\u0119ksza cz\u0119\u015b\u0107 ruchu sieciowego wykorzystuje szyfrowanie TLS, w tym TLS 1.3. W takich przypadkach PCAP nadal pozwala analizowa\u0107 struktur\u0119 po\u0142\u0105czenia, adresy, porty, wolumen danych, czasy sesji, retransmisje czy zachowanie protoko\u0142u, ale nie umo\u017cliwia odczytania tre\u015bci aplikacyjnej bez odpowiednich kluczy lub mechanizmu deszyfracji. Oznacza to, \u017ce analiza payloadu, rekonstrukcja przesy\u0142anych plik\u00f3w czy szczeg\u00f3\u0142owa inspekcja \u017c\u0105da\u0144 HTTP w ruchu HTTPS wymagaj\u0105 wcze\u015bniejszego zapewnienia dost\u0119pu do odszyfrowanej komunikacji.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Duze_pliki_PCAP\"><\/span>Du\u017ce pliki PCAP<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">W \u015brodowiskach o du\u017cym nat\u0119\u017ceniu ruchu pojedyncze pliki PCAP mog\u0105 osi\u0105ga\u0107 rozmiary liczone w gigabajtach. Analiza takich danych wymaga stosowania filtr\u00f3w oraz specjalistycznych narz\u0119dzi do przetwarzania ruchu.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Ograniczone_okno_retencji_PCAP\"><\/span>Ograniczone okno retencji PCAP<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Pe\u0142ny zapis pakiet\u00f3w generuje bardzo du\u017ce wolumeny danych, dlatego okno retencji wstecznego PCAP jest zawsze ograniczone. Jego d\u0142ugo\u015b\u0107 zale\u017cy od przepustowo\u015bci monitorowanego ruchu, dost\u0119pnej przestrzeni storage, zakresu przechwytywania oraz zastosowanych filtr\u00f3w. Przy ci\u0105g\u0142ym zapisie ruchu 10 Gbps i 10 TB przestrzeni dyskowej bufor mo\u017ce obejmowa\u0107 oko\u0142o 2 godziny historii. Z tego powodu w praktyce szczeg\u00f3lnie wa\u017cne jest precyzyjne wskazywanie segment\u00f3w sieci, dla kt\u00f3rych pe\u0142ny PCAP jest rzeczywi\u015bcie potrzebny.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Nowe_protokoly_transportowe\"><\/span>Nowe protoko\u0142y transportowe<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Nowoczesne protoko\u0142y, takie jak QUIC wykorzystywany w HTTP\/3, s\u0105 trudniejsze do tradycyjnej analizy pakiet\u00f3w ni\u017c klasyczny HTTP over TCP\/TLS. QUIC dzia\u0142a nad UDP, integruje mechanizmy transportowe i kryptograficzne, szyfruje wi\u0119ksz\u0105 cz\u0119\u015b\u0107 informacji steruj\u0105cych po\u0142\u0105czeniem, wykorzystuje Connection ID zamiast prostego powi\u0105zania sesji wy\u0142\u0105cznie z par\u0105 IP\/port oraz wspiera migracj\u0119 po\u0142\u0105cze\u0144 mi\u0119dzy adresami. Dodatkowym wyzwaniem jest 0-RTT, kt\u00f3re pozwala przyspieszy\u0107 wznowienie sesji, ale utrudnia analiz\u0119 pocz\u0105tku komunikacji. W efekcie klasyczne podej\u015bcie oparte na \u015bledzeniu sesji TCP i analizie handshake nie zawsze wystarcza.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Fragmentacja_i_retransmisje\"><\/span>Fragmentacja i retransmisje<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">W ruchu sieciowym cz\u0119sto wyst\u0119puj\u0105 fragmentacja pakiet\u00f3w oraz retransmisje TCP. Ich obecno\u015b\u0107 mo\u017ce utrudnia\u0107 rekonstrukcj\u0119 sesji i analiz\u0119 komunikacji.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Probkowanie_NetFlow\"><\/span>Pr\u00f3bkowanie NetFlow<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Korelacja NetFlow z PCAP zale\u017cy od jako\u015bci i kompletno\u015bci danych flow. Je\u017celi NetFlow jest zbierany z samplingiem, np. 1:1000, cz\u0119\u015b\u0107 kr\u00f3tkich sesji mo\u017ce nie zosta\u0107 zarejestrowana. Mo\u017ce to utrudni\u0107 wskazanie dok\u0142adnego fragmentu PCAP do analizy, szczeg\u00f3lnie przy kr\u00f3tkotrwa\u0142ych po\u0142\u0105czeniach, skanowaniu, beaconingu o niskim wolumenie lub bardzo szybkiej komunikacji typu burst. Dlatego w \u015brodowiskach bezpiecze\u0144stwa warto \u015bwiadomie dobiera\u0107 poziom samplingu do celu analizy.<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Kontekst_incydentu\"><\/span>Kontekst incydentu<span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p class=\"isSelectedEnd\">Sam PCAP nie zawsze dostarcza pe\u0142nego obrazu zdarzenia. Dlatego analiza pakiet\u00f3w powinna by\u0107 zawsze uzupe\u0142niana o dane z innych \u017ar\u00f3de\u0142, takich jak NetFlow, logi systemowe czy systemy SIEM.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Wplyw_pasywnego_monitorowania_na_skutecznosc_SOCNOC_i_audytow\"><\/span>Wp\u0142yw pasywnego monitorowania na skuteczno\u015b\u0107 SOC\/NOC i audyt\u00f3w<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Coraz wi\u0119cej organizacji wykorzystuje pasywne monitorowanie sieci jako podstaw\u0119 analizy incydent\u00f3w oraz monitorowania bezpiecze\u0144stwa.<\/p>\n<p class=\"isSelectedEnd\">Pasywne monitorowanie polega na analizie kopii ruchu sieciowego \u2013 na przyk\u0142ad z port\u00f3w SPAN lub urz\u0105dze\u0144 typu network TAP \u2013 bez ingerowania w dzia\u0142anie infrastruktury.<\/p>\n<p class=\"isSelectedEnd\">Takie podej\u015bcie zapewnia szerok\u0105 widoczno\u015b\u0107 komunikacji sieciowej, jednocze\u015bnie nie wp\u0142ywaj\u0105c na wydajno\u015b\u0107 aplikacji ani dzia\u0142anie system\u00f3w produkcyjnych.<\/p>\n<p class=\"isSelectedEnd\">Dzi\u0119ki pasywnemu monitorowaniu mo\u017cliwe jest:<\/p>\n<ul data-spread=\"false\">\n<li>ci\u0105g\u0142e zbieranie danych NetFlow,<\/li>\n<li>nagrywanie pakiet\u00f3w sieciowych,<\/li>\n<li>prowadzenie szczeg\u00f3\u0142owej analizy incydent\u00f3w,<\/li>\n<li>rekonstruowanie przebiegu zdarze\u0144 bezpiecze\u0144stwa.<\/li>\n<\/ul>\n<p class=\"isSelectedEnd\">Ma to szczeg\u00f3lne znaczenie w kontek\u015bcie audyt\u00f3w bezpiecze\u0144stwa oraz proces\u00f3w compliance.<\/p>\n<p class=\"isSelectedEnd\">Mo\u017cliwo\u015b\u0107 odtworzenia rzeczywistego przebiegu komunikacji sieciowej pozwala organizacjom nie tylko szybciej analizowa\u0107 incydenty, ale r\u00f3wnie\u017c udokumentowa\u0107 ich przebieg w spos\u00f3b zgodny z wymaganiami audytowymi.<\/p>\n<p class=\"isSelectedEnd\">Trzeba jednak pami\u0119ta\u0107, \u017ce zakres takiej rekonstrukcji zale\u017cy od dost\u0119pnych danych. W przypadku ruchu szyfrowanego mo\u017ce obejmowa\u0107 metadane, struktur\u0119 sesji, kierunek komunikacji, wolumen i timing, ale niekoniecznie tre\u015b\u0107 aplikacyjn\u0105. W przypadku wstecznego PCAP zale\u017cy r\u00f3wnie\u017c od d\u0142ugo\u015bci dost\u0119pnego bufora retencyjnego.<\/p>\n<p class=\"isSelectedEnd\">W rezultacie pasywne monitorowanie staje si\u0119 jednym z kluczowych element\u00f3w infrastruktury bezpiecze\u0144stwa w nowoczesnych \u015brodowiskach SOC i NOC.<\/p>\n<h2><span class=\"ez-toc-section\" id=\"Podsumowanie\"><\/span>Podsumowanie<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"isSelectedEnd\">Skuteczna analiza incydent\u00f3w sieciowych wymaga dzi\u015b po\u0142\u0105czenia wielu \u017ar\u00f3de\u0142 danych.<\/p>\n<p class=\"isSelectedEnd\">NetFlow umo\u017cliwia szybkie wykrywanie anomalii, natomiast PCAP pozwala przeprowadzi\u0107 szczeg\u00f3\u0142ow\u0105 analiz\u0119 pakiet\u00f3w i odtworzy\u0107 przebieg incydentu na poziomie dost\u0119pnych danych. W przypadku ruchu nieszyfrowanego lub mo\u017cliwego do deszyfracji mo\u017ce to obejmowa\u0107 r\u00f3wnie\u017c analiz\u0119 payloadu i rekonstrukcj\u0119 przesy\u0142anych obiekt\u00f3w. Przy TLS 1.3 lub QUIC bez deszyfracji PCAP nadal dostarcza bardzo warto\u015bciowego kontekstu technicznego, ale nie daje dost\u0119pu do tre\u015bci aplikacyjnej.<\/p>\n<p class=\"isSelectedEnd\">Szczeg\u00f3lnie istotn\u0105 rol\u0119 odgrywa wsteczne PCAP, kt\u00f3re pozwala analizowa\u0107 ruch sieciowy nawet wtedy, gdy incydent zosta\u0142 wykryty dopiero po fakcie.<\/p>\n<p class=\"isSelectedEnd\">Jego skuteczno\u015b\u0107 zale\u017cy jednak od odpowiednio zaprojektowanego bufora retencyjnego \u2014 przepustowo\u015bci, storage, zakresu przechwytywania i sposobu filtrowania ruchu.<\/p>\n<p>W praktyce dopiero korelacja NetFlow i PCAP daje zespo\u0142om SOC szerok\u0105 widoczno\u015b\u0107 tego, co wydarzy\u0142o si\u0119 w sieci \u2013 od pierwszego alertu a\u017c po szczeg\u00f3\u0142ow\u0105 analiz\u0119 pakiet\u00f3w i zamkni\u0119cie incydentu w procesach workflow SOC.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>NetFlow, wsteczne PCAP i analiza pakiet\u00f3w w praktyce zespo\u0142\u00f3w SOC Analiza incydent\u00f3w sieciowych cz\u0119sto zaczyna si\u0119 od alertu, ale bardzo rzadko na nim si\u0119 ko\u0144czy. W \u015brodowiskach SOC (Security Operations Center) oraz NOC (Network Operations Center) alert jest jedynie sygna\u0142em, \u017ce w infrastrukturze wydarzy\u0142o si\u0119 co\u015b potencjalnie niebezpiecznego. SOC to zesp\u00f3\u0142 specjalist\u00f3w odpowiedzialnych za monitorowanie, [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":1397,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[99],"tags":[114,138,205,212],"product":[165],"topic":[167],"sycope_author":[251],"class_list":["post-4137","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-analizy-netflow","tag-anomalie-sieciowe","tag-bezpieczenstwo-sieci","tag-widocznosc-sieci","product-security-pl","topic-bezpieczenstwo-sieci","sycope_author-pawel-drzewiecki"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/4137","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/comments?post=4137"}],"version-history":[{"count":1,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/4137\/revisions"}],"predecessor-version":[{"id":4138,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/posts\/4137\/revisions\/4138"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media\/1397"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4137"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/categories?post=4137"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/tags?post=4137"},{"taxonomy":"product","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/product?post=4137"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/topic?post=4137"},{"taxonomy":"sycope_author","embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/sycope_author?post=4137"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}