{"id":4630,"date":"2026-07-20T13:20:11","date_gmt":"2026-07-20T11:20:11","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=professional-service&p=4630"},"modified":"2026-07-21T15:40:16","modified_gmt":"2026-07-21T13:40:16","slug":"nadanie-pamieci-detekcji-sygnaturowej-integracja-istniejacej-suricaty-z-sycope","status":"publish","type":"professional-service","link":"https:\/\/www.sycope.com\/pl\/post\/professional-service\/nadanie-pamieci-detekcji-sygnaturowej-integracja-istniejacej-suricaty-z-sycope","title":{"rendered":"Nadanie pami\u0119ci detekcji sygnaturowej: integracja istniej\u0105cej Suricaty z Sycope"},"content":{"rendered":"

Problem<\/h2>\n

Klient korzysta\u0142 ju\u017c z Suricaty.<\/strong> Detekcja sygnaturowa oparta na deep packet inspection dawa\u0142a mu wysokiej pewno\u015bci trafienia dotycz\u0105ce znanego malware, exploit\u00f3w i ruchu command-and-control \u2014 w momencie, gdy pakiet pasowa\u0142 do regu\u0142y, zesp\u00f3\u0142 zna\u0142 zagro\u017cenie z nazwy<\/strong>. Brakowa\u0142o jednak wiedzy o tym, co dzia\u0142o si\u0119 wok\u00f3\u0142 tego zdarzenia<\/strong>.<\/p>\n

Suricata widzi \u201etu i teraz\u201d. Analizuje pakiet, kt\u00f3ry ma przed sob\u0105, i przechodzi dalej; nie przechowuje historii, baseline\u2019u ani pami\u0119ci o tym, jak host zachowuje si\u0119 normalnie.<\/strong> To twarde ograniczenie, a nie problem z tuningiem \u2014 a historia jest dok\u0142adnie tym, na czym opiera si\u0119 analiza behawioralna. Wykrywanie powolnej exfiltracji, lateral movement czy cichego odchodzenia od normalnego wzorca zachowania zale\u017cy od zapisu zdarze\u0144 w czasie, kt\u00f3rego klient po prostu nie posiada\u0142.<\/strong> W efekcie ka\u017cdy signature hit pojawia\u0142 si\u0119 jako nazwa bez historii: alert w osobnej konsoli, bez informacji o tym, co host robi\u0142 wcze\u015bniej, co wydarzy\u0142o si\u0119 p\u00f3\u017aniej i czy by\u0142 to pojedynczy event, czy widoczny fragment czego\u015b wi\u0119kszego.<\/p>\n

Wymaganiem nie by\u0142a wi\u0119c wi\u0119ksza liczba detekcji. Wymaganiem by\u0142 kontekst<\/strong> \u2014 zachowa\u0107 coverage sygnaturowy, w kt\u00f3ry klient ju\u017c zainwestowa\u0142, ale nada\u0107 mu pami\u0119\u0107<\/strong>: timeline za ka\u017cdym trafieniem, baseline do oceny zdarzenia, otaczaj\u0105c\u0105 aktywno\u015b\u0107 sieciow\u0105, kt\u00f3ra je wyja\u015bnia, oraz jedn\u0105 taksonomi\u0119, kt\u00f3ra \u0142\u0105czy wszystko w ca\u0142o\u015b\u0107.<\/p>\n

U\u017cyte narz\u0119dzia<\/div>
\"\"<\/div>
Sycope<\/strong> \u2014 to, co wdro\u017cyli\u015bmy, i nowy rdze\u0144 ca\u0142ego \u015brodowiska. Flow-native NDR oparty na metadanych NetFlow\/sFlow\/IPFIX: warstwa historii oraz detekcja behawioralna, kt\u00f3r\u0105 umo\u017cliwia dopiero historia \u2014 baseline\u2019y, anomalie, przebieg ataku w czasie \u2014 z regu\u0142ami NQL mapowanymi do MITRE ATT&CK. Sycope sta\u0142o si\u0119 tak\u017ce jednym punktem korelacji, w kt\u00f3rym ka\u017cda detekcja jest analizowana w jednym miejscu i w ramach jednej taksonomii.<\/div><\/div>
\"\"<\/div>
Suricata<\/strong> \u2014 istniej\u0105cy IDS\/IPS klienta oraz \u017ar\u00f3d\u0142o coverage sygnaturowego i DPI: wysokiej pewno\u015bci detekcja znanych zagro\u017ce\u0144 w danym momencie. Zintegrowali\u015bmy Suricat\u0119 z Sycope jako pe\u0142noprawne \u017ar\u00f3d\u0142o detekcji, dzi\u0119ki czemu jej punktowe trafienia wreszcie znalaz\u0142y si\u0119 w systemie, kt\u00f3ry ma histori\u0119 i kontekst.<\/div><\/div><\/div><\/div>\n
\n
\n

Wdro\u017cenie<\/h2>\n

Nie zast\u0105pili\u015bmy tego, co klient ju\u017c mia\u0142 \u2014 dali\u015bmy temu miejsce. Suricata pozosta\u0142a dok\u0142adnie tam, gdzie by\u0142a.<\/strong> Brakuj\u0105ca warstwa znalaz\u0142a si\u0119 pod spodem, wi\u0119c wdro\u017cyli\u015bmy Sycope, rozpocz\u0119li\u015bmy zbieranie flow z NetFlow\/sFlow\/IPFIX i pozwolili\u015bmy systemowi budowa\u0107 baseline\u2019y oraz detekcj\u0119 behawioraln\u0105<\/strong>, kt\u00f3re mog\u0105 powsta\u0107 tylko dzi\u0119ki historii. Nast\u0119pnie wprowadzili\u015bmy Suricat\u0119 jako pe\u0142noprawne \u017ar\u00f3d\u0142o detekcji.<\/strong> Ka\u017cdy signature hit trafia teraz do Sycope<\/strong> razem z flow, na kt\u00f3rym si\u0119 pojawi\u0142, oraz z ustaleniami behawioralnymi z tego samego hosta i tego samego momentu, zmapowanymi do tych samych technik MITRE ATT&CK co pozosta\u0142e detekcje \u2014 jedno miejsce, jedna taksonomia.<\/p>\n

\"\"<\/p>\n

 <\/p>\n

R\u00f3\u017cnica jest widoczna w momencie analizy. Trafienie w znany wzorzec C2 nie l\u0105duje ju\u017c jako alert bez kontekstu w osobnej konsoli; pojawia si\u0119 z do\u0142\u0105czon\u0105 histori\u0105 \u2014 co dany host robi normalnie, co robi\u0142 przed i po zdarzeniu oraz czy sygnatura jest odizolowanym eventem, czy jednym ruchem w d\u0142u\u017cszej sekwencji<\/strong>. Nazwa pochodzi z Suricaty; historia, baseline i korelacja pochodz\u0105 z Sycope, a analityk widzi ca\u0142o\u015b\u0107 na jednym ekranie: jeden host, jedna o\u015b czasu.<\/p>\n

Utrzymanie aktualno\u015bci i tuningu rulesetu pozostaje od tego momentu po naszej stronie w ramach Us\u0142ug dedykowanych \u2014 dzi\u0119ki temu coverage pozostaje precyzyjny, bez ponownego anga\u017cowania zespo\u0142u klienta w utrzymanie regu\u0142<\/strong>.<\/p>\n

Efektem jest detekcja, kt\u00f3rej klient ju\u017c ufa\u0142, ale wreszcie wyposa\u017cona w pami\u0119\u0107: znane zagro\u017cenia nadal s\u0105 nazywane w chwili, gdy si\u0119 pojawiaj\u0105 \u2014 ale teraz maj\u0105 histori\u0119, baseline i korelacj\u0119, kt\u00f3re pokazuj\u0105, co ta nazwa faktycznie oznacza.<\/strong><\/p>\n<\/div>\n<\/div>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4630","professional-service","type-professional-service","status-publish","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/professional-service\/4630","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/professional-service"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/professional-service"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4630"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}