SIEM, SOC, EDR, XDR i SOAR: co to jest? Pojęcia cyberbezpieczeństwa w pigułce

SIEM, SOC, EDR, XDR, SOAR: skróty, które padają w każdej rozmowie o bezpieczeństwie IT, a rzadko ktoś wyjaśnia je po ludzku. Poniżej opisujemy każde z tych pojęć: co to jest, do czego służy i jak elementy łączą się w działającą ochronę. Na końcu znajdziesz porównanie SOC, MDR, XDR i EDR oraz krótki słowniczek.

Co to jest SIEM?

SIEM (Security Information and Event Management) to system, który zbiera logi z całej infrastruktury w jedno miejsce, porządkuje je i szuka w nich śladów ataku. Bez SIEM-a każdy serwer, firewall i aplikacja prowadzi własny dziennik, a nikt nie widzi całości.

Jak działa SIEM?

• Pobiera logi z wielu źródeł i sprowadza je do wspólnego formatu (normalizacja).
• Łączy zdarzenia z różnych systemów w jeden obraz (korelacja). Przykład: pięć nieudanych logowań na serwer, a chwilę później udane logowanie z nowego adresu IP.
• Wykrywa wzorce nietypowych zachowań na podstawie reguł detekcji.
• Generuje alerty niemal w czasie rzeczywistym.

Co to są logi?

Logi to dzienniki zdarzeń: zapis tego, co dzieje się w systemach informatycznych. Typowe źródła to:

• serwery (próby logowania, błędy systemowe),
• firewalle i routery (próby połączeń, skanowanie portów),
• aplikacje i bazy danych (błędy, aktywność użytkowników),
• stacje robocze (instalacja programów, podłączenie pendrive'a).

Pojedynczy wpis zawiera zwykle znacznik czasu, adres IP, nazwę użytkownika, wykonaną komendę lub komunikat systemowy. Dla analityka logi to podstawowy materiał dowodowy: bez nich nie da się odtworzyć przebiegu incydentu.

Dlaczego SIEM jest ważny?

• Wczesne wykrywanie. Anomalie i podejrzane działania widać, zanim przerodzą się w poważny atak.
• Widoczność. Wiesz, kto, kiedy i z czego korzystał w Twoim środowisku IT.
• Zgodność i audyt. Centralne, chronione przed modyfikacją logi ułatwiają wykazanie zgodności z ISO 27001, RODO czy wymaganiami ustawy o KSC i dyrektywy NIS2. Więcej o tym, jak monitoring bezpieczeństwa wpisuje się w te przepisy, piszemy w artykule SOC a KSC i NIS2.

Przykład. Jest 2:00 w nocy. SIEM zgłasza logowanie na konto księgowej z adresu IP, z którego nikt w firmie nigdy nie korzystał. Analityk sprawdza alert, potwierdza, że to nie pracownik, i blokuje konto, zanim atakujący zdąży cokolwiek zrobić.

Na start nie potrzebujesz drogiej platformy

Wiele firm zaczyna od narzędzi open-source:

• ELK Stack (Elastic Stack): Elasticsearch przechowuje i indeksuje logi tak, by dało się je szybko przeszukiwać, Logstash pobiera logi z różnych źródeł, filtruje je i przekazuje do Elasticsearch, a Kibana służy do wizualizacji: dashboardów, wykresów i wyszukiwania.
• Wazuh: platforma open-source łącząca funkcje SIEM z agentem na punktach końcowych (wykrywanie zagrożeń, monitorowanie integralności plików, ocena konfiguracji).
• Security Onion: dystrybucja Linuksa do monitoringu bezpieczeństwa sieci i threat huntingu. W zestawie dostajesz m.in. Suricatę (IDS) i Zeeka (analiza ruchu sieciowego) oraz stos Elastic do przeszukiwania danych.

Pamiętaj, że samo narzędzie niczego nie zatrzyma. Ktoś musi pisać reguły, przeglądać alerty i na nie reagować. Tu zaczyna się SOC.

Co to jest SOC?

SOC (Security Operations Center) to zespół ludzi, procesy i narzędzia, które razem monitorują bezpieczeństwo firmy, analizują alerty i reagują na incydenty. Najprościej: SIEM to narzędzie, SOC to ludzie, którzy z niego korzystają. Stąd częste pytanie „SIEM czy SOC?” nie ma sensu w wersji „albo, albo”: SIEM bez SOC generuje alerty, których nikt nie czyta.

Kto pracuje w SOC?

Analityk L1 (pierwsza linia). Przegląda alerty z SIEM, EDR i IDS/IPS, robi wstępny triage, odsiewa fałszywe alarmy (false positives) i eskaluje to, co wygląda na prawdziwy incydent.

Analityk L2 (druga linia). Prowadzi szczegółową analizę: skąd przyszedł atak, które systemy i dane są zagrożone, jaki był wektor wejścia. Uruchamia pierwsze działania zaradcze, np. izoluje stację, blokuje złośliwy adres IP albo wymusza reset hasła.

Analityk L3 (ekspert, threat hunter). Zajmuje się najbardziej złożonymi incydentami, analizą malware'u i informatyką śledczą. Prowadzi threat hunting, czyli aktywne szukanie zagrożeń, których nie wychwyciły automatyczne reguły. Rozwija też reguły detekcji i narzędzia zespołu.

Jak SOC działa na co dzień?

Praca w SOC jest zwykle zmianowa, bo zagrożenia nie trzymają się godzin pracy. Analitycy obserwują konsolę SIEM, korzystają z EDR, IDS/IPS i SOAR, sprawdzają IOC (wskaźniki kompromitacji) w źródłach threat intelligence i dokumentują każdy krok w systemie do obsługi incydentów.

Przykład. Analityk L1 widzi alert o logowaniu na konto pracownika z kraju, w którym firma nie działa, i eskaluje sprawę. Analityk L2 ustala, że zaraz po logowaniu z udziału sieciowego pobrano poufne pliki, więc izoluje stację. Analityk L3 znajduje na niej keyloggera, który przechwycił hasło. Dzięki szybkiej eskalacji firma unika wycieku danych.

Dlaczego warto mieć SOC?

• Incydent to kwestia czasu. Pytanie nie brzmi „czy”, tylko „kiedy” i „jak szybko go zauważysz”.
• Czas reakcji. Im krócej atakujący pozostaje w sieci, tym mniejsze straty.
• Ciągłość monitoringu. Ataki często startują w nocy i w weekendy, gdy nikt nie patrzy na konsolę.
• Zgodność z przepisami. Udokumentowany monitoring i obsługa incydentów to wymaganie wielu norm i regulacji.

Własny SOC działający całą dobę to kilka etatów analityków, grafik zmianowy i stałe szkolenia. Dlatego wiele firm wybiera SOC jako usługę. W FluenceSecurity oferujemy ją w dwóch wariantach: SOC Lite (analitycy w godzinach pracy, a poza nimi zagrożenia sprawdzają automatyczne systemy i analityk zajmuje się nimi w kolejnym dniu roboczym) oraz SOC Pro (analitycy 24/7, reakcja na krytyczne alerty w mniej niż 30 minut). Szczegóły znajdziesz na stronie SOC 24/7 i MDR.

Jak wygląda praca SOC na co dzień, kto w nim pracuje i ile osób potrzeba do dyżuru 24/7, opisujemy w poradniku Co to jest SOC?. Jeśli chcesz najpierw zobaczyć, przed czym SOC chroni, zajrzyj do artykułu Poznaj podstawowe zagrożenia.

EDR: co to jest i czym różni się od antywirusa?

Laptopy, komputery i serwery, czyli punkty końcowe (endpointy), to najczęstsza furtka do firmowej sieci. Klasyczny antywirus porównuje pliki z bazą znanych sygnatur. EDR (Endpoint Detection and Response) idzie dalej: stale obserwuje zachowanie systemu i reaguje, gdy coś odbiega od normy.

Co monitoruje EDR?

• Procesy: czy program robi coś, czego nie powinien, np. Word uruchamia PowerShella?
• Pliki: czy ktoś masowo modyfikuje lub szyfruje dokumenty?
• Połączenia sieciowe: czy stacja łączy się z podejrzanym serwerem w internecie?

EDR zapisuje też telemetrię z urządzenia, więc analityk może odtworzyć, co działo się na komputerze przed alertem i po nim.

Przykład. EDR zauważa, że na laptopie handlowca ktoś masowo kopiuje poufne dokumenty na dysk USB. Blokuje proces i odcina urządzenie od sieci, a analityk dostaje pełną historię zdarzeń.

IDS i IPS: ochrona na poziomie sieci

EDR pilnuje pojedynczych urządzeń. Ruch w sieci obserwują inne systemy:

• IDS (Intrusion Detection System) analizuje ruch sieciowy i zgłasza oznaki włamania lub złośliwej aktywności. Sam niczego nie blokuje, tylko alarmuje.
• IPS (Intrusion Prevention System) działa w linii ruchu, więc wykryte ataki może od razu zablokować.

Razem dają ochronę na dwóch poziomach: EDR na urządzeniach, IDS/IPS w sieci. To, co wykryją, trafia do SIEM, gdzie można to skorelować z resztą zdarzeń.

IMS: uporządkowane zarządzanie incydentami

Gdy incydent już się wydarzy, liczy się szybkie i skoordynowane działanie. IMS (Incident Management System) to system, w którym prowadzi się incydent od zgłoszenia, przez analizę i reakcję, aż po zamknięcie i raport. W świecie open-source tę rolę pełnią np. TheHive czy DFIR-IRIS.

Co daje IMS?

• Rejestrowanie zgłoszeń: każdy incydent trafia do jednego systemu, nic nie ginie w skrzynkach mailowych.
• Kategoryzacja i priorytety: incydenty są klasyfikowane według typu i wagi na podstawie ustalonych reguł.
• Ścieżka audytu: widać każdy krok, od wykrycia do rozwiązania, i kto go wykonał.
• Raporty: gotowe zestawienia na potrzeby audytów, zgłoszeń do organów i oceny skuteczności zespołu.

Co to jest SOAR?

Nawet w średniej firmie systemy bezpieczeństwa potrafią generować setki alertów dziennie. Ręczna obsługa każdego z nich szybko zamienia się w wąskie gardło. SOAR (Security Orchestration, Automation and Response) automatyzuje powtarzalne kroki i spina narzędzia w jeden proces.

Co potrafi SOAR?

• Playbooki: gotowe scenariusze reakcji na typowe incydenty, np. po wykryciu phishingu usuń wiadomość ze wszystkich skrzynek i zablokuj nadawcę.
• Orkiestracja: łączy SIEM, EDR, firewalle i system ticketowy, więc analityk nie przełącza się między pięcioma konsolami.
• Automatyczne wzbogacanie: sam sprawdza reputację adresów IP, domen i hashy plików, zanim alert trafi do człowieka.
• Mniej błędów: rutynowe czynności wykonują się zawsze tak samo.

SOAR nie zastępuje analityka. Przejmuje powtarzalną pracę, żeby ludzie mogli zająć się tym, co wymaga oceny i doświadczenia.

XDR: co to jest?

XDR (Extended Detection and Response) to rozwinięcie idei EDR. Zamiast patrzeć tylko na endpointy, zbiera i koreluje dane z wielu warstw: stacji roboczych, serwerów, sieci, poczty e-mail, chmury i systemów tożsamości.

Najważniejsze zalety XDR

• Korelacja zdarzeń. Pojedyncze narzędzie widzi tylko fragment ataku. XDR łączy sygnały z różnych źródeł i pokazuje cały łańcuch: od maila phishingowego, przez uruchomiony załącznik, po połączenie z serwerem atakującego.
• Wykrywanie nieznanych zagrożeń. Reguły łapią znane techniki. XDR dodatkowo wykorzystuje analizę behawioralną i uczenie maszynowe, żeby wychwycić zachowania niepasujące do normalnej pracy.
• Złożone ataki. Ransomware i kampanie APT zostawiają ślady na wielu poziomach naraz. Dopiero ich zestawienie pokazuje, że to jeden atak, a nie kilka niezależnych zdarzeń.
• Mniej szumu. Wiele powiązanych alertów łączy się w jeden incydent, więc analitycy zajmują się realnymi zagrożeniami, a nie tysiącem pojedynczych powiadomień.

Przykład. Atakujący przejmuje laptop pracownika i próbuje przejść na serwer plików (lateral movement). XDR zestawia nietypowe logowanie, podejrzany ruch między stacją a serwerem i nowy proces na serwerze, po czym prezentuje to analitykowi jako jeden incydent.

Rozwijamy własną platformę XDR, XenXDR. AI wspiera w niej triage, wzbogacanie alertów i przygotowywanie podsumowań, ale decyzje podejmują ludzie, a platforma działa bez chmurowego AI. Jak XDR wygląda w praktyce, pokazujemy w artykule infografika systemu XDR.

SOC, MDR, XDR i EDR: czym się różnią?

Te pojęcia często pojawiają się obok siebie, ale opisują różne rzeczy. EDR, XDR, SIEM i SOAR to technologie. SOC to zespół, który z nich korzysta. MDR to usługa, w której ten zespół zapewnia zewnętrzny dostawca.

Kiedy co wybrać? Mała firma bez działu bezpieczeństwa zwykle zaczyna od EDR na wszystkich urządzeniach. Kiedy pojawia się potrzeba ciągłego monitoringu, reakcji poza godzinami pracy albo obowiązki wynikające z KSC i NIS2, sam EDR przestaje wystarczać: potrzebni są ludzie, którzy przeanalizują alerty. Wtedy do wyboru jest własny SOC albo MDR. Porównanie kosztów obu dróg znajdziesz na stronie ile kosztuje SOC. Na co zwrócić uwagę przy wyborze dostawcy MDR, piszemy w poradniku Co to jest MDR?.

Słowniczek pojęć

Kill chain: model opisujący kolejne etapy ataku, od rozpoznania celu, przez włamanie, aż po osiągnięcie celu (np. kradzież danych). Im wcześniej przerwiesz łańcuch, tym mniejsze straty. W praktyce SOC często korzysta też z bardziej szczegółowej bazy technik MITRE ATT&CK.

APT (Advanced Persistent Threat): zaawansowane, długotrwałe zagrożenie. Tak określa się zwykle dobrze zorganizowane grupy (często wspierane przez państwa), które cierpliwie i po cichu utrzymują dostęp do sieci ofiary przez tygodnie lub miesiące.

IOC (Indicator of Compromise): wskaźnik kompromitacji, czyli ślad świadczący o ataku, np. złośliwy adres IP, domena albo hash pliku.

Zero-day: luka w oprogramowaniu, na którą producent nie wydał jeszcze poprawki, bo o niej nie wie albo nie zdążył jej załatać. Ataki na zero-daye są groźne, bo nie chroni przed nimi samo aktualizowanie systemów.

Machine learning (uczenie maszynowe): metoda, w której system uczy się wzorców na podstawie danych, zamiast działać wyłącznie według ręcznie napisanych reguł. W bezpieczeństwie pomaga wychwytywać nietypowe zachowania i nowe odmiany ataków.

Podsumowanie

SIEM zbiera i koreluje logi, EDR pilnuje urządzeń, XDR łączy sygnały z wielu warstw, SOAR automatyzuje powtarzalną pracę, a IMS porządkuje obsługę incydentów. Żadne z tych narzędzi nie działa jednak samo: dopiero SOC, własny albo w modelu MDR, zamienia alerty w realną reakcję. Technologie będą się zmieniać, ale zasada zostaje ta sama: liczy się to, jak szybko zauważysz atak i jak sprawnie na niego odpowiesz.