Firmy mają coraz więcej danych o zagrożeniach. Dlaczego wciąż nie zauważają ataków?

Cyberprzestępcy potrzebują dziś średnio zaledwie 29 minut, aby po uzyskaniu pierwszego dostępu do środowiska IT ofiary rozpocząć przemieszczanie się po nim – tak wynika z analiz opublikowanych w dokumencie CrowdStrike 2026 Global Threat Report. Tymczasem zespoły bezpieczeństwa muszą każdego dnia mierzyć się z ogromną liczbą sygnałów wymagających weryfikacji. Szacunkowo przeciętne centrum operacji bezpieczeństwa (SOC) otrzymuje kilka tysięcy alertów dziennie, z czego dwie trzecie pozostaje bez analizy. W efekcie dochodzi do paradoksu: firmy dysponują większą liczbą narzędzi, danych i mechanizmów monitorowania niż kiedykolwiek wcześniej, ale nie zawsze przekłada się to na skuteczniejsze wykrywanie zagrożeń.

Samo zwiększanie liczby źródeł danych nie rozwiązuje problemu, jeśli informacje pozostają rozproszone pomiędzy wieloma systemami. Dlatego coraz większą rolę odgrywają platformy zapewniające pełną widzialność ruchu sieciowego oraz zależności pomiędzy użytkownikami, urządzeniami i aplikacjami. Przykładem takiego rozwiązania jest Flowmon – platforma klasy Network Detection and Response (NDR), która analizuje dane ruchu sieciowego w całej infrastrukturze (od środowisk lokalnych, przez chmurę, po sieci hybrydowe i OT), dostarczając zespołom bezpieczeństwa spójny obraz komunikacji w przedsiębiorstwie. Dzięki temu administratorzy nie muszą „składać” danych pochodzących z wielu narzędzi, lecz mogą szybciej zidentyfikować źródło problemu i ocenić jego wpływ na środowisko.

Współczesne centra operacji bezpieczeństwa analizują informacje o zdarzeniach pochodzące z systemów, aplikacji, urządzeń końcowych czy ruchu sieciowego. Tylko niewielka część z nich wymaga jednak interwencji. Coraz więcej czasu pochłania natomiast weryfikowanie alertów pozbawionych szerszego kontekstu lub nieprzedstawiających realnego zagrożenia. Zjawisko to określane jest mianem alert fatigue, czyli zmęczenia alertami. Chociaż często wskazuje się na niedobór specjalistów ds. cyberbezpieczeństwa, źródło problemu leży gdzie indziej. Nie wynika ono z braku kompetencji zespołów odpowiedzialnych za ochronę systemów, lecz z faktu, że wiele narzędzi nadal generuje więcej sygnałów niż użytecznych informacji.

Dlaczego większa ilość danych nie rozwiązuje problemu?

Przez lata rozwój cyberbezpieczeństwa bazował na założeniu, że im więcej zdarzeń uda się wykryć, tym większa będzie szansa na zatrzymanie ataku. Ale wraz ze wzrostem liczby źródeł danych gwałtownie wzrosła również liczba alertów. Każdy z nich wymaga analizy, nadania priorytetu oraz podjęcia decyzji o dalszych działaniach. Gdy takich zdarzeń będą setki lub tysiące, uwaga zespołu zostaje rozproszona pomiędzy wiele potencjalnych zagrożeń, a ryzyko przeoczenia rzeczywistego ataku rośnie.

„W wielu firmach nie brakuje dziś danych o bezpieczeństwie. Problem polega na tym, że analitycy otrzymują ogromną liczbę sygnałów wymagających oceny, z których tylko część rzeczywiście wskazuje na zagrożenie. Im więcej czasu zespół poświęca na weryfikowanie alertów o niskiej wartości, tym mniej pozostaje go na analizę zdarzeń, które mogą mieć realny wpływ na działalność przedsiębiorstwa” – mówi Jakub Andrzejewski, Business Development Manager for Poland & CIS w firmie Progress Software.

Odpowiedzią na ten problem nie jest generowanie kolejnych alertów, lecz skuteczniejsze wskazywanie tych, które rzeczywiście wymagają reakcji. Flowmon wykorzystuje mechanizmy analizy behawioralnej, uczenia maszynowego i korelacji zdarzeń, aby automatycznie identyfikować anomalie oraz ograniczać liczbę fałszywych alarmów. Dzięki temu analitycy mogą skupić się na incydentach o najwyższym priorytecie zamiast poświęcać czas na ręczną weryfikację tysięcy komunikatów.

Od alertów do wniosków

Pojedynczy alert dotyczący nietypowego logowania, próby dostępu do określonego zasobu czy zaobserwowanego wzmożonego ruchu sieciowego rzadko pozwala samodzielnie ocenić skalę zagrożenia. Dopiero zestawienie wielu sygnałów pochodzących z różnych źródeł umożliwia administratorowi określenie, czy ma do czynienia z normalną aktywnością użytkownika, błędem systemu czy elementem rozwijającego się ataku.

Dostępny w rozwiązaniu Flowmon 13 nowy moduł Investigations pozwala ekspertom odpowiedzialnym za cyberbezpieczeństwo prowadzić analizy incydentów i ewentualne odtwarzanie przebiegu ataku w uporządkowany sposób. Umożliwia on łączenie kolejnych etapów dochodzenia, wykorzystywanie zapisanych scenariuszy i dzielenie się wynikami z pozostałymi członkami zespołu SOC. Dzięki temu przebieg śledztwa w przypadku złożonych incydentów staje się szybszy i bardziej powtarzalny.

„Skuteczność współczesnego działu SOC coraz rzadziej zależy od liczby wykrytych zdarzeń. Szczególne znaczenie ma zdolność szybkiego zrozumienia ich kontekstu oraz określenia, które z nich wymagają działania. Celem nowoczesnych rozwiązań bezpieczeństwa powinno być dostarczanie odpowiedzi, a nie kolejnych powiadomień” – komentuje Jakub Andrzejewski.

AI ma ograniczać szum, a nie zastępować analityków

W dyskusji o przyszłości cyberbezpieczeństwa coraz częściej pojawia się sztuczna inteligencja. Jej najważniejszą rolą nie jest jednak zastępowanie analityków SOC, lecz wspieranie ich w identyfikowaniu zależności, które trudno byłoby wychwycić ręcznie. Mechanizmy AI we Flowmon automatycznie wykrywają nietypowe wzorce komunikacji, korelują informacje pochodzące z wielu źródeł i wskazują zdarzenia wymagające uwagi analityka. Takie podejście pozwala ograniczyć czas poświęcany na analizę alertów o niskiej wartości oraz przyspieszyć reagowanie na rzeczywiste zagrożenia.

„Największym wyzwaniem współczesnych zespołów bezpieczeństwa nie jest brak danych, ale nadmiar informacji wymagających interpretacji. Kluczowe znaczenie ma dziś zdolność przekształcania dużych wolumenów zdarzeń w konkretne wskazówki wspierające podejmowanie decyzji. Narzędzia wykorzystujące automatyzację i sztuczną inteligencję mogą pomóc ograniczyć ten szum, dostarczając analitykom pełniejszy obraz sytuacji i pozwalając im skupić się na zagrożeniach, które rzeczywiście wymagają działania” – podkreśla ekspert Progress Software.

W świecie, w którym cyberprzestępcy potrzebują coraz mniej czasu na rozwijanie ataków, skuteczność działów SOC zależy nie tylko od liczby generowanych alertów, lecz także od zdolności szybkiego wskazania tych kilku, które rzeczywiście wymagają reakcji. Progress Software w najnowszej wersji swojej platformy skupił się na przyspieszeniu pracy analityków. Flowmon 13 wykorzystuje nowy silnik przetwarzania danych, który pozwala nawet siedmiokrotnie skrócić czas oczekiwania na wyniki zapytań. Dzięki temu zespoły mogą szybciej przeprowadzać dochodzenia, krócej oczekują na wyniki analiz oraz sprawniej obsługują środowiska generujące duże wolumeny ruchu sieciowego.

Przekonaj się jak działa Flowmon 13: Pobierz wersję demonstracyjną i poznaj jego możliwości.

www.progress.com/flowmon