[{"data":1,"prerenderedAt":778},["ShallowReactive",2],{"blog-post-\u002Fpl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber":3,"blog-translation-\u002Fpl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber":765,"blog-more-\u002Fpl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber":767},{"id":4,"title":5,"author":6,"body":7,"category":751,"date":752,"description":753,"extension":754,"image":755,"meta":756,"navigation":757,"path":758,"readingTime":759,"seo":760,"stem":761,"stylesheet":751,"translationKey":762,"updated":763,"__hash__":764},"blog_pl\u002Fpl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber.md","SIEM, SOC, EDR, XDR i SOAR: co to jest? Pojęcia w pigułce","pawel-mierzwa",{"type":8,"value":9,"toc":738},"minimark",[10,15,19,25,30,37,42,58,63,66,92,95,100,125,134,139,142,174,177,180,185,189,195,200,206,212,218,223,226,233,238,264,279,290,292,297,301,308,313,333,336,343,348,351,365,368,370,375,379,386,391,417,419,424,428,435,440,466,469,471,476,480,486,491,517,524,531,533,538,542,557,673,688,690,695,699,705,711,717,723,729,731,735],[11,12,14],"h1",{"id":13},"siem-soc-edr-xdr-i-soar-co-to-jest-pojęcia-cyberbezpieczeństwa-w-pigułce","SIEM, SOC, EDR, XDR i SOAR: co to jest? Pojęcia cyberbezpieczeństwa w pigułce",[16,17,18],"p",{},"SIEM, SOC, EDR, XDR, SOAR: skróty, które padają w każdej rozmowie o bezpieczeństwie IT, a rzadko ktoś wyjaśnia je po ludzku. Poniżej opisujemy każde z tych pojęć: co to jest, do czego służy i jak elementy łączą się w działającą ochronę. Na końcu znajdziesz porównanie SOC, MDR, XDR i EDR oraz krótki słowniczek.",[16,20,21],{},[22,23],"a",{"id":24},"siem",[26,27,29],"h2",{"id":28},"co-to-jest-siem","Co to jest SIEM?",[16,31,32,36],{},[33,34,35],"strong",{},"SIEM"," (Security Information and Event Management) to system, który zbiera logi z całej infrastruktury w jedno miejsce, porządkuje je i szuka w nich śladów ataku. Bez SIEM-a każdy serwer, firewall i aplikacja prowadzi własny dziennik, a nikt nie widzi całości.",[16,38,39],{},[33,40,41],{},"Jak działa SIEM?",[43,44,45,49,52,55],"ul",{},[46,47,48],"li",{},"Pobiera logi z wielu źródeł i sprowadza je do wspólnego formatu (normalizacja).",[46,50,51],{},"Łączy zdarzenia z różnych systemów w jeden obraz (korelacja). Przykład: pięć nieudanych logowań na serwer, a chwilę później udane logowanie z nowego adresu IP.",[46,53,54],{},"Wykrywa wzorce nietypowych zachowań na podstawie reguł detekcji.",[46,56,57],{},"Generuje alerty niemal w czasie rzeczywistym.",[16,59,60],{},[33,61,62],{},"Co to są logi?",[16,64,65],{},"Logi to dzienniki zdarzeń: zapis tego, co dzieje się w systemach informatycznych. Typowe źródła to:",[43,67,68,74,80,86],{},[46,69,70,73],{},[33,71,72],{},"serwery"," (próby logowania, błędy systemowe),",[46,75,76,79],{},[33,77,78],{},"firewalle i routery"," (próby połączeń, skanowanie portów),",[46,81,82,85],{},[33,83,84],{},"aplikacje i bazy danych"," (błędy, aktywność użytkowników),",[46,87,88,91],{},[33,89,90],{},"stacje robocze"," (instalacja programów, podłączenie pendrive'a).",[16,93,94],{},"Pojedynczy wpis zawiera zwykle znacznik czasu, adres IP, nazwę użytkownika, wykonaną komendę lub komunikat systemowy. Dla analityka logi to podstawowy materiał dowodowy: bez nich nie da się odtworzyć przebiegu incydentu.",[16,96,97],{},[33,98,99],{},"Dlaczego SIEM jest ważny?",[43,101,102,108,114],{},[46,103,104,107],{},[33,105,106],{},"Wczesne wykrywanie."," Anomalie i podejrzane działania widać, zanim przerodzą się w poważny atak.",[46,109,110,113],{},[33,111,112],{},"Widoczność."," Wiesz, kto, kiedy i z czego korzystał w Twoim środowisku IT.",[46,115,116,119,120,124],{},[33,117,118],{},"Zgodność i audyt."," Centralne, chronione przed modyfikacją logi ułatwiają wykazanie zgodności z ISO 27001, RODO czy wymaganiami ustawy o KSC i dyrektywy NIS2. Więcej o tym, jak monitoring bezpieczeństwa wpisuje się w te przepisy, piszemy w artykule ",[22,121,123],{"href":122},"\u002Fpl\u002Fsoc-ksc-nis2","SOC a KSC i NIS2",".",[126,127,128],"blockquote",{},[16,129,130,133],{},[33,131,132],{},"Przykład."," Jest 2:00 w nocy. SIEM zgłasza logowanie na konto księgowej z adresu IP, z którego nikt w firmie nigdy nie korzystał. Analityk sprawdza alert, potwierdza, że to nie pracownik, i blokuje konto, zanim atakujący zdąży cokolwiek zrobić.",[16,135,136],{},[33,137,138],{},"Na start nie potrzebujesz drogiej platformy",[16,140,141],{},"Wiele firm zaczyna od narzędzi open-source:",[43,143,144,162,168],{},[46,145,146,149,150,153,154,157,158,161],{},[33,147,148],{},"ELK Stack"," (Elastic Stack): ",[33,151,152],{},"Elasticsearch"," przechowuje i indeksuje logi tak, by dało się je szybko przeszukiwać, ",[33,155,156],{},"Logstash"," pobiera logi z różnych źródeł, filtruje je i przekazuje do Elasticsearch, a ",[33,159,160],{},"Kibana"," służy do wizualizacji: dashboardów, wykresów i wyszukiwania.",[46,163,164,167],{},[33,165,166],{},"Wazuh",": platforma open-source łącząca funkcje SIEM z agentem na punktach końcowych (wykrywanie zagrożeń, monitorowanie integralności plików, ocena konfiguracji).",[46,169,170,173],{},[33,171,172],{},"Security Onion",": dystrybucja Linuksa do monitoringu bezpieczeństwa sieci i threat huntingu. W zestawie dostajesz m.in. Suricatę (IDS) i Zeeka (analiza ruchu sieciowego) oraz stos Elastic do przeszukiwania danych.",[16,175,176],{},"Pamiętaj, że samo narzędzie niczego nie zatrzyma. Ktoś musi pisać reguły, przeglądać alerty i na nie reagować. Tu zaczyna się SOC.",[178,179],"hr",{},[16,181,182],{},[22,183],{"id":184},"soc",[26,186,188],{"id":187},"co-to-jest-soc","Co to jest SOC?",[16,190,191,194],{},[33,192,193],{},"SOC"," (Security Operations Center) to zespół ludzi, procesy i narzędzia, które razem monitorują bezpieczeństwo firmy, analizują alerty i reagują na incydenty. Najprościej: SIEM to narzędzie, SOC to ludzie, którzy z niego korzystają. Stąd częste pytanie „SIEM czy SOC?” nie ma sensu w wersji „albo, albo”: SIEM bez SOC generuje alerty, których nikt nie czyta.",[16,196,197],{},[33,198,199],{},"Kto pracuje w SOC?",[16,201,202,205],{},[33,203,204],{},"Analityk L1 (pierwsza linia)."," Przegląda alerty z SIEM, EDR i IDS\u002FIPS, robi wstępny triage, odsiewa fałszywe alarmy (false positives) i eskaluje to, co wygląda na prawdziwy incydent.",[16,207,208,211],{},[33,209,210],{},"Analityk L2 (druga linia)."," Prowadzi szczegółową analizę: skąd przyszedł atak, które systemy i dane są zagrożone, jaki był wektor wejścia. Uruchamia pierwsze działania zaradcze, np. izoluje stację, blokuje złośliwy adres IP albo wymusza reset hasła.",[16,213,214,217],{},[33,215,216],{},"Analityk L3 (ekspert, threat hunter)."," Zajmuje się najbardziej złożonymi incydentami, analizą malware'u i informatyką śledczą. Prowadzi threat hunting, czyli aktywne szukanie zagrożeń, których nie wychwyciły automatyczne reguły. Rozwija też reguły detekcji i narzędzia zespołu.",[16,219,220],{},[33,221,222],{},"Jak SOC działa na co dzień?",[16,224,225],{},"Praca w SOC jest zwykle zmianowa, bo zagrożenia nie trzymają się godzin pracy. Analitycy obserwują konsolę SIEM, korzystają z EDR, IDS\u002FIPS i SOAR, sprawdzają IOC (wskaźniki kompromitacji) w źródłach threat intelligence i dokumentują każdy krok w systemie do obsługi incydentów.",[126,227,228],{},[16,229,230,232],{},[33,231,132],{}," Analityk L1 widzi alert o logowaniu na konto pracownika z kraju, w którym firma nie działa, i eskaluje sprawę. Analityk L2 ustala, że zaraz po logowaniu z udziału sieciowego pobrano poufne pliki, więc izoluje stację. Analityk L3 znajduje na niej keyloggera, który przechwycił hasło. Dzięki szybkiej eskalacji firma unika wycieku danych.",[16,234,235],{},[33,236,237],{},"Dlaczego warto mieć SOC?",[43,239,240,246,252,258],{},[46,241,242,245],{},[33,243,244],{},"Incydent to kwestia czasu."," Pytanie nie brzmi „czy”, tylko „kiedy” i „jak szybko go zauważysz”.",[46,247,248,251],{},[33,249,250],{},"Czas reakcji."," Im krócej atakujący pozostaje w sieci, tym mniejsze straty.",[46,253,254,257],{},[33,255,256],{},"Ciągłość monitoringu."," Ataki często startują w nocy i w weekendy, gdy nikt nie patrzy na konsolę.",[46,259,260,263],{},[33,261,262],{},"Zgodność z przepisami."," Udokumentowany monitoring i obsługa incydentów to wymaganie wielu norm i regulacji.",[16,265,266,267,270,271,274,275,124],{},"Własny SOC działający całą dobę to kilka etatów analityków, grafik zmianowy i stałe szkolenia. Dlatego wiele firm wybiera SOC jako usługę. W FluenceSecurity oferujemy ją w dwóch wariantach: ",[33,268,269],{},"SOC Lite"," (analitycy w godzinach pracy, a poza nimi zagrożenia sprawdzają automatyczne systemy i analityk zajmuje się nimi w kolejnym dniu roboczym) oraz ",[33,272,273],{},"SOC Pro"," (analitycy 24\u002F7, reakcja na krytyczne alerty w mniej niż 30 minut). Szczegóły znajdziesz na stronie ",[22,276,278],{"href":277},"\u002Fpl\u002Fuslugi\u002Fsoc-mdr","SOC 24\u002F7 i MDR",[16,280,281,282,285,286,124],{},"Jak wygląda praca SOC na co dzień, kto w nim pracuje i ile osób potrzeba do dyżuru 24\u002F7, opisujemy w poradniku ",[22,283,188],{"href":284},"\u002Fpl\u002Fco-to-jest-soc",". Jeśli chcesz najpierw zobaczyć, przed czym SOC chroni, zajrzyj do artykułu ",[22,287,289],{"href":288},"\u002Fpl\u002Fblog\u002Fpoznaj-podstawowe-zagrozenia","Poznaj podstawowe zagrożenia",[178,291],{},[16,293,294],{},[22,295],{"id":296},"edr",[26,298,300],{"id":299},"edr-co-to-jest-i-czym-różni-się-od-antywirusa","EDR: co to jest i czym różni się od antywirusa?",[16,302,303,304,307],{},"Laptopy, komputery i serwery, czyli punkty końcowe (endpointy), to najczęstsza furtka do firmowej sieci. Klasyczny antywirus porównuje pliki z bazą znanych sygnatur. ",[33,305,306],{},"EDR"," (Endpoint Detection and Response) idzie dalej: stale obserwuje zachowanie systemu i reaguje, gdy coś odbiega od normy.",[16,309,310],{},[33,311,312],{},"Co monitoruje EDR?",[43,314,315,321,327],{},[46,316,317,320],{},[33,318,319],{},"Procesy:"," czy program robi coś, czego nie powinien, np. Word uruchamia PowerShella?",[46,322,323,326],{},[33,324,325],{},"Pliki:"," czy ktoś masowo modyfikuje lub szyfruje dokumenty?",[46,328,329,332],{},[33,330,331],{},"Połączenia sieciowe:"," czy stacja łączy się z podejrzanym serwerem w internecie?",[16,334,335],{},"EDR zapisuje też telemetrię z urządzenia, więc analityk może odtworzyć, co działo się na komputerze przed alertem i po nim.",[126,337,338],{},[16,339,340,342],{},[33,341,132],{}," EDR zauważa, że na laptopie handlowca ktoś masowo kopiuje poufne dokumenty na dysk USB. Blokuje proces i odcina urządzenie od sieci, a analityk dostaje pełną historię zdarzeń.",[16,344,345],{},[33,346,347],{},"IDS i IPS: ochrona na poziomie sieci",[16,349,350],{},"EDR pilnuje pojedynczych urządzeń. Ruch w sieci obserwują inne systemy:",[43,352,353,359],{},[46,354,355,358],{},[33,356,357],{},"IDS"," (Intrusion Detection System) analizuje ruch sieciowy i zgłasza oznaki włamania lub złośliwej aktywności. Sam niczego nie blokuje, tylko alarmuje.",[46,360,361,364],{},[33,362,363],{},"IPS"," (Intrusion Prevention System) działa w linii ruchu, więc wykryte ataki może od razu zablokować.",[16,366,367],{},"Razem dają ochronę na dwóch poziomach: EDR na urządzeniach, IDS\u002FIPS w sieci. To, co wykryją, trafia do SIEM, gdzie można to skorelować z resztą zdarzeń.",[178,369],{},[16,371,372],{},[22,373],{"id":374},"ims",[26,376,378],{"id":377},"ims-uporządkowane-zarządzanie-incydentami","IMS: uporządkowane zarządzanie incydentami",[16,380,381,382,385],{},"Gdy incydent już się wydarzy, liczy się szybkie i skoordynowane działanie. ",[33,383,384],{},"IMS"," (Incident Management System) to system, w którym prowadzi się incydent od zgłoszenia, przez analizę i reakcję, aż po zamknięcie i raport. W świecie open-source tę rolę pełnią np. TheHive czy DFIR-IRIS.",[16,387,388],{},[33,389,390],{},"Co daje IMS?",[43,392,393,399,405,411],{},[46,394,395,398],{},[33,396,397],{},"Rejestrowanie zgłoszeń:"," każdy incydent trafia do jednego systemu, nic nie ginie w skrzynkach mailowych.",[46,400,401,404],{},[33,402,403],{},"Kategoryzacja i priorytety:"," incydenty są klasyfikowane według typu i wagi na podstawie ustalonych reguł.",[46,406,407,410],{},[33,408,409],{},"Ścieżka audytu:"," widać każdy krok, od wykrycia do rozwiązania, i kto go wykonał.",[46,412,413,416],{},[33,414,415],{},"Raporty:"," gotowe zestawienia na potrzeby audytów, zgłoszeń do organów i oceny skuteczności zespołu.",[178,418],{},[16,420,421],{},[22,422],{"id":423},"soar",[26,425,427],{"id":426},"co-to-jest-soar","Co to jest SOAR?",[16,429,430,431,434],{},"Nawet w średniej firmie systemy bezpieczeństwa potrafią generować setki alertów dziennie. Ręczna obsługa każdego z nich szybko zamienia się w wąskie gardło. ",[33,432,433],{},"SOAR"," (Security Orchestration, Automation and Response) automatyzuje powtarzalne kroki i spina narzędzia w jeden proces.",[16,436,437],{},[33,438,439],{},"Co potrafi SOAR?",[43,441,442,448,454,460],{},[46,443,444,447],{},[33,445,446],{},"Playbooki:"," gotowe scenariusze reakcji na typowe incydenty, np. po wykryciu phishingu usuń wiadomość ze wszystkich skrzynek i zablokuj nadawcę.",[46,449,450,453],{},[33,451,452],{},"Orkiestracja:"," łączy SIEM, EDR, firewalle i system ticketowy, więc analityk nie przełącza się między pięcioma konsolami.",[46,455,456,459],{},[33,457,458],{},"Automatyczne wzbogacanie:"," sam sprawdza reputację adresów IP, domen i hashy plików, zanim alert trafi do człowieka.",[46,461,462,465],{},[33,463,464],{},"Mniej błędów:"," rutynowe czynności wykonują się zawsze tak samo.",[16,467,468],{},"SOAR nie zastępuje analityka. Przejmuje powtarzalną pracę, żeby ludzie mogli zająć się tym, co wymaga oceny i doświadczenia.",[178,470],{},[16,472,473],{},[22,474],{"id":475},"xdr",[26,477,479],{"id":478},"xdr-co-to-jest","XDR: co to jest?",[16,481,482,485],{},[33,483,484],{},"XDR"," (Extended Detection and Response) to rozwinięcie idei EDR. Zamiast patrzeć tylko na endpointy, zbiera i koreluje dane z wielu warstw: stacji roboczych, serwerów, sieci, poczty e-mail, chmury i systemów tożsamości.",[16,487,488],{},[33,489,490],{},"Najważniejsze zalety XDR",[43,492,493,499,505,511],{},[46,494,495,498],{},[33,496,497],{},"Korelacja zdarzeń."," Pojedyncze narzędzie widzi tylko fragment ataku. XDR łączy sygnały z różnych źródeł i pokazuje cały łańcuch: od maila phishingowego, przez uruchomiony załącznik, po połączenie z serwerem atakującego.",[46,500,501,504],{},[33,502,503],{},"Wykrywanie nieznanych zagrożeń."," Reguły łapią znane techniki. XDR dodatkowo wykorzystuje analizę behawioralną i uczenie maszynowe, żeby wychwycić zachowania niepasujące do normalnej pracy.",[46,506,507,510],{},[33,508,509],{},"Złożone ataki."," Ransomware i kampanie APT zostawiają ślady na wielu poziomach naraz. Dopiero ich zestawienie pokazuje, że to jeden atak, a nie kilka niezależnych zdarzeń.",[46,512,513,516],{},[33,514,515],{},"Mniej szumu."," Wiele powiązanych alertów łączy się w jeden incydent, więc analitycy zajmują się realnymi zagrożeniami, a nie tysiącem pojedynczych powiadomień.",[126,518,519],{},[16,520,521,523],{},[33,522,132],{}," Atakujący przejmuje laptop pracownika i próbuje przejść na serwer plików (lateral movement). XDR zestawia nietypowe logowanie, podejrzany ruch między stacją a serwerem i nowy proces na serwerze, po czym prezentuje to analitykowi jako jeden incydent.",[16,525,526,527,124],{},"Rozwijamy własną platformę XDR, XenXDR. AI wspiera w niej triage, wzbogacanie alertów i przygotowywanie podsumowań, ale decyzje podejmują ludzie, a platforma działa bez chmurowego AI. Jak XDR wygląda w praktyce, pokazujemy w artykule ",[22,528,530],{"href":529},"\u002Fpl\u002Fblog\u002Finfografika-systemu-xdr","infografika systemu XDR",[178,532],{},[16,534,535],{},[22,536],{"id":537},"porownanie",[26,539,541],{"id":540},"soc-mdr-xdr-i-edr-czym-się-różnią","SOC, MDR, XDR i EDR: czym się różnią?",[16,543,544,545,548,549,552,553,556],{},"Te pojęcia często pojawiają się obok siebie, ale opisują różne rzeczy. EDR, XDR, SIEM i SOAR to ",[33,546,547],{},"technologie",". SOC to ",[33,550,551],{},"zespół",", który z nich korzysta. MDR to ",[33,554,555],{},"usługa",", w której ten zespół zapewnia zewnętrzny dostawca.",[558,559,560,579],"table",{},[561,562,563],"thead",{},[564,565,566,570,573,576],"tr",{},[567,568,569],"th",{},"Pojęcie",[567,571,572],{},"Czym jest",[567,574,575],{},"Co robi",[567,577,578],{},"Czego nie robi sam",[580,581,582,598,613,627,642,657],"tbody",{},[564,583,584,589,592,595],{},[585,586,587],"td",{},[33,588,306],{},[585,590,591],{},"narzędzie na urządzeniach",[585,593,594],{},"wykrywa i blokuje podejrzane zachowania na komputerach i serwerach",[585,596,597],{},"nie widzi sieci, poczty ani chmury",[564,599,600,604,607,610],{},[585,601,602],{},[33,603,484],{},[585,605,606],{},"platforma",[585,608,609],{},"koreluje dane z endpointów, sieci, poczty, chmury i tożsamości",[585,611,612],{},"nie zastąpi analityka, który oceni incydent",[564,614,615,619,621,624],{},[585,616,617],{},[33,618,35],{},[585,620,606],{},[585,622,623],{},"zbiera i koreluje logi z całej infrastruktury, generuje alerty",[585,625,626],{},"nie reaguje, jeśli nikt nie przegląda alertów",[564,628,629,633,636,639],{},[585,630,631],{},[33,632,433],{},[585,634,635],{},"platforma automatyzacji",[585,637,638],{},"wykonuje playbooki i spina narzędzia",[585,640,641],{},"nie podejmuje decyzji wymagających oceny",[564,643,644,648,651,654],{},[585,645,646],{},[33,647,193],{},[585,649,650],{},"zespół i procesy",[585,652,653],{},"monitoruje, analizuje i reaguje na incydenty",[585,655,656],{},"bez narzędzi nie ma czego analizować",[564,658,659,664,667,670],{},[585,660,661],{},[33,662,663],{},"MDR",[585,665,666],{},"usługa zewnętrzna",[585,668,669],{},"dostarcza technologię i zespół SOC jako usługę, razem z reakcją na incydenty",[585,671,672],{},"nie zwalnia firmy z decyzji biznesowych",[16,674,675,678,679,683,684,124],{},[33,676,677],{},"Kiedy co wybrać?"," Mała firma bez działu bezpieczeństwa zwykle zaczyna od EDR na wszystkich urządzeniach. Kiedy pojawia się potrzeba ciągłego monitoringu, reakcji poza godzinami pracy albo obowiązki wynikające z KSC i NIS2, sam EDR przestaje wystarczać: potrzebni są ludzie, którzy przeanalizują alerty. Wtedy do wyboru jest własny SOC albo MDR. Porównanie kosztów obu dróg znajdziesz na stronie ",[22,680,682],{"href":681},"\u002Fpl\u002File-kosztuje-soc","ile kosztuje SOC",". Na co zwrócić uwagę przy wyborze dostawcy MDR, piszemy w poradniku ",[22,685,687],{"href":686},"\u002Fpl\u002Fco-to-jest-mdr","Co to jest MDR?",[178,689],{},[16,691,692],{},[22,693],{"id":694},"glossary",[26,696,698],{"id":697},"słowniczek-pojęć","Słowniczek pojęć",[16,700,701,704],{},[33,702,703],{},"Kill chain:"," model opisujący kolejne etapy ataku, od rozpoznania celu, przez włamanie, aż po osiągnięcie celu (np. kradzież danych). Im wcześniej przerwiesz łańcuch, tym mniejsze straty. W praktyce SOC często korzysta też z bardziej szczegółowej bazy technik MITRE ATT&CK.",[16,706,707,710],{},[33,708,709],{},"APT"," (Advanced Persistent Threat): zaawansowane, długotrwałe zagrożenie. Tak określa się zwykle dobrze zorganizowane grupy (często wspierane przez państwa), które cierpliwie i po cichu utrzymują dostęp do sieci ofiary przez tygodnie lub miesiące.",[16,712,713,716],{},[33,714,715],{},"IOC"," (Indicator of Compromise): wskaźnik kompromitacji, czyli ślad świadczący o ataku, np. złośliwy adres IP, domena albo hash pliku.",[16,718,719,722],{},[33,720,721],{},"Zero-day:"," luka w oprogramowaniu, na którą producent nie wydał jeszcze poprawki, bo o niej nie wie albo nie zdążył jej załatać. Ataki na zero-daye są groźne, bo nie chroni przed nimi samo aktualizowanie systemów.",[16,724,725,728],{},[33,726,727],{},"Machine learning"," (uczenie maszynowe): metoda, w której system uczy się wzorców na podstawie danych, zamiast działać wyłącznie według ręcznie napisanych reguł. W bezpieczeństwie pomaga wychwytywać nietypowe zachowania i nowe odmiany ataków.",[178,730],{},[26,732,734],{"id":733},"podsumowanie","Podsumowanie",[16,736,737],{},"SIEM zbiera i koreluje logi, EDR pilnuje urządzeń, XDR łączy sygnały z wielu warstw, SOAR automatyzuje powtarzalną pracę, a IMS porządkuje obsługę incydentów. Żadne z tych narzędzi nie działa jednak samo: dopiero SOC, własny albo w modelu MDR, zamienia alerty w realną reakcję. Technologie będą się zmieniać, ale zasada zostaje ta sama: liczy się to, jak szybko zauważysz atak i jak sprawnie na niego odpowiesz.",{"title":739,"searchDepth":740,"depth":740,"links":741},"",2,[742,743,744,745,746,747,748,749,750],{"id":28,"depth":740,"text":29},{"id":187,"depth":740,"text":188},{"id":299,"depth":740,"text":300},{"id":377,"depth":740,"text":378},{"id":426,"depth":740,"text":427},{"id":478,"depth":740,"text":479},{"id":540,"depth":740,"text":541},{"id":697,"depth":740,"text":698},{"id":733,"depth":740,"text":734},null,"2025-07-18","Co to jest SIEM, SOC, EDR, XDR i SOAR? Wyjaśniamy prosto, czym się różnią i jak współpracują oraz kiedy wystarczy EDR, a kiedy potrzebny jest SOC lub MDR.","md","\u002Fblog\u002Fcovers\u002Fsecurity-concepts.webp",{},true,"\u002Fpl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber",9,{"title":5,"description":753},"pl\u002Fblog\u002Fprosto-o-kluczowych-pojeciach-cyber","it-in-a-nutshell","2026-10-21","ueg90bC4tvrn6eHYfXg_4zV30TFeuS_4p3vLXZQvBmI",{"path":766},"\u002Fblog\u002Fcybersecurity-in-a-nutshell",[768,772,775],{"path":769,"title":770,"description":771},"\u002Fpl\u002Fblog\u002Fantibait-weryfikacja-email","Jak sprawdzić, czy mail to phishing? AntiBait i analiza AI","Dostałeś podejrzanego maila? Zobacz, jak w kilka sekund sprawdzić jego nagłówki, linki i treść w AntiBait i rozpoznać phishing, zanim ktokolwiek kliknie.",{"path":529,"title":773,"description":774},"Co to jest XDR i jak działa? Infografika systemu XDR","Infografika XDR: skąd system zbiera dane, jak łączy zdarzenia z endpointów, poczty, chmury i sieci w jeden incydent oraz kto decyduje o reakcji.",{"path":288,"title":776,"description":777},"Najczęstsze cyberzagrożenia: ransomware, phishing, trojany","Robak, trojan, ransomware, phishing, spyware, adware i rootkit: jak działają najczęstsze cyberzagrożenia i jak firma może się przed nimi skutecznie bronić.",1792836496570]