Skąd byśmy wiedzieli, że doszło do naruszenia?

Niewygodna prawda o tym, jak długo naruszenia pozostają niezauważone

Zacznijmy od twardej liczby. Mandiant, znana firma zajmująca się reagowaniem na incydenty, publikuje coroczny raport M-Trends oparty na włamaniach badanych przez własnych ludzi. W edycji M-Trends 2025, obejmującej włamania badane w 2024 roku, globalna mediana dwell time wyniosła 11 dni. Dwell time to po prostu odstęp między tym, kiedy atakujący się dostał do środka, a tym, kiedy ktoś to zauważył.

Jedenaście dni jako mediana to lepszy wynik niż kiedyś, i warto wiedzieć dlaczego. Kiedy atakujący wdrażają ransomware, ujawniają się sami, bo cały sens polega na tym, żeby zostać zauważonym i zażądać okupu. Te przypadki są wykrywane w ciągu dni i obniżają medianę. Cichsze włamania, te, w których ktoś czyta twoją pocztę, obserwuje zespół finansowy albo powoli zmierza w kierunku wyłudzenia, trwają znacznie dłużej.

Tu wchodzi druga liczba. W tych samych danych M-Trends 2025, gdy pierwsze ostrzeżenie przyszło od podmiotu zewnętrznego, a nie z własnych systemów firmy, mediana dwell time wyniosła 26 dni. A firma nie miała kontroli nad tym, że w ogóle się dowiedziała: 57% organizacji dowiedziało się o włamaniu najpierw ze źródła zewnętrznego. Tym źródłem może być bank, dostawca płatności, organy ścigania, badacz bezpieczeństwa, dostawca albo klient, który zauważył coś nie tak, zanim zauważyła to firma.

IBM publikuje osobne badanie, Cost of a Data Breach, które przygląda się naruszeniom szerzej. Edycja z 2025 roku podaje średni czas identyfikacji i opanowania naruszenia na poziomie 241 dni: 158 dni na zauważenie i kolejne 83 na zamknięcie sprawy. Oba raporty mierzą nieco inne rzeczy, ale wskazują w tym samym kierunku. Pozostawiona przypadkowi odpowiedź na pytanie „ile czasu zajęłoby nam zorientowanie się" to nie godziny. To tygodnie, a często miesiące.

Powód, dla którego ta liczba mocno uderza akurat w firmy mid-market, jest taki, że założenie leżące u podstaw większości planowania jest błędne. Liderzy zwykle wyobrażają sobie moment odkrycia: alarm, czerwony ekran, wyraźny sygnał. W rzeczywistości, dla firmy bez nikogo, kto by patrzył, zwykle nie ma żadnego takiego momentu. Jest po prostu kilka normalnie wyglądających tygodni, a potem telefon od kogoś z zewnątrz.

Co detekcja właściwie znaczy, gdy nie masz zespołu security

„Detekcja" brzmi jak jedna zdolność. W rzeczywistości to cztery rzeczy działające razem. Możesz mieć część z nich i wciąż być praktycznie ślepy, dlatego warto nazwać każdą z osobna.

Logi i alerty na dostawcy tożsamości

Dostawca tożsamości (identity provider) to system, do którego loguje się twój personel, żeby dostać się do wszystkiego innego: Microsoft Entra (warstwa tożsamości stojąca za Microsoft 365), Google Workspace, Okta albo podobny. To wejście frontowe. Niemal każde współczesne włamanie w firmie twojej wielkości zaczyna się od skradzionego albo odgadniętego logowania, więc to właśnie przy wejściu frontowym pojawiają się pierwsze ślady.

Liczą się tu dwie rzeczy. Po pierwsze, logi muszą być włączone i zachowywane, bo wiele planów domyślnie rejestruje aktywność logowania tylko przez krótkie okno, a atakujący, który był cicho przez trzy tygodnie, nie zostawia śladu, do którego można wrócić. Po drugie, ktoś albo coś musi podnieść flagę, gdy logowanie wygląda podejrzanie: logowanie z kraju, w którym nie działasz, logowanie, które się udaje po kilkudziesięciu nieudanych próbach, sesja, która pomija zwykłe zapytanie o drugi składnik. Dostawca tożsamości często potrafi wysyłać te alerty sam, po skonfigurowaniu. Chodzi o to, żeby go skonfigurować, a nie zakładać, że przyszedł już tak ustawiony.

Ochrona endpointów flagująca podejrzaną aktywność

Endpoint to każdy laptop, komputer stacjonarny albo serwer, z którego korzystają twoi ludzie. Tradycyjny antywirus stara się blokować znane złośliwe pliki, a potem milczy. Chcesz ochrony, która też obserwuje podejrzane zachowanie i komuś o tym mówi: program, który nagle zaczyna szyfrować pliki, narzędzie używane do zbierania haseł, proces łączący się z adresem, z którym nie ma powodu się kontaktować. Ta kategoria jest zwykle sprzedawana jako EDR, czyli endpoint detection and response. Część „detection and response" to ta, która zarabia na swoje miejsce, bo ujawnia aktywność, którą atakujący generuje, gdy jest już w środku, a to dokładnie okno, w którym masz szansę złapać ciche włamania.

Ktoś, kogo zadaniem jest patrzeć

To element najłatwiejszy do pominięcia i decydujący o tym, czy reszta zadziała. Narzędzia generują alerty. Alerty same z siebie nic nie robią. Jeśli żadna nazwana osoba nie otwiera dashboardu, nie czyta flag i nie decyduje, co jest normalne, a co nie, kupiłeś czujniki dymu i je odłączyłeś.

Dla firmy mid-market „ktoś, kogo zadaniem jest patrzeć" nie musi być pełnym etatem. Może to być nazwany członek zespołu IT z tym wpisanym w zakres obowiązków albo zewnętrzny dostawca, któremu płacisz za obserwowanie w twoim imieniu, często sprzedawany jako managed detection and response. Liczy się to, żeby odpowiedzialność miała właściciela, ustalony rytm i miejsce, w którym nieodpowiedziane alerty nie mogą się po cichu piętrzyć.

Detekcja zagrożeń tożsamościowych

Najnowsza z czterech obserwuje, jak konta i tożsamości zachowują się w czasie, zamiast skanować pliki albo pojedyncze logowania. Uczy się, jak wygląda norma dla twojej organizacji, i flaguje wzorce sygnalizujące przejęte konto albo nadużyte uprawnienie: konto, które nagle nadaje sobie nowy dostęp, logowanie geograficznie niemożliwe, konto serwisowe, które zaczyna robić rzeczy, których nigdy wcześniej nie robiło. Ta kategoria jest zwykle nazywana ITDR, identity threat detection and response. Istnieje, bo wejście frontowe, warstwa tożsamości, to miejsce, w którym dziś żyje tak wiele włamań, i bo pojedyncze podejrzane logowanie może wyglądać w izolacji zupełnie normalnie, podczas gdy wzorzec takich logowań już nie. Piszemy o tym szerzej w „Czym jest ITDR".

Realne sygnały, że coś jest nie tak

Zapomnij o filmowej wersji. Sygnały prawdziwego włamania są zwykle drobne i łatwe do zbagatelizowania, dlatego właśnie tak łatwo je przeoczyć. Oto te, które warto znać:

• Logowanie z miejsca albo urządzenia, które nie ma sensu, albo o porze, kiedy nikt nie pracuje.
• Reguła skrzynki pocztowej, której nikt nie utworzył, często taka, która po cichu przekierowuje albo usuwa określone wiadomości, żeby oszustwo finansowe pozostało niezauważone.
• Dostawca, klient, bank albo dostawca płatności mówiący, że coś wygląda podejrzanie: faktura, której się nie spodziewano, mail, który nie brzmiał jak ty.
• Płatność, która wyszła na podstawie instrukcji, które później okazały się sfałszowane, często zmieniony numer konta bankowego na wiarygodnie wyglądającej fakturze.
• Personel zgłaszający, że został wylogowany, że hasło już nie działa, albo że dostał prośby o drugi składnik, których sam nie wywołał.
• Nowe konta, nowi administratorzy albo nowe połączenia z aplikacjami zewnętrznymi, których nikt w zespole nie skonfigurował.
• Zauważalne spowolnienie, pliki, które się nie otwierają, albo systemy zachowujące się dziwnie, co w najgorszym razie oznacza ransomware ogłaszające swoją obecność.

Dwa z tych sygnałów zasługują na podkreślenie, bo to właśnie tak wychodzą na jaw ciche włamania. Telefon z zewnątrz jest częsty dokładnie dlatego, że atakujący nie ma interesu w tym, żeby zostać zauważonym, a twoje własne systemy nie patrzyły. A sygnał fałszywej płatności często pojawia się jako problem finansowy, a nie problem IT, dlatego twój lider finansowy musi wiedzieć, że „numer konta zmienił się w ostatniej chwili" to sygnał bezpieczeństwa, nie tylko administracyjna niedogodność.

Praktyczne kroki poprawiające szanse na wczesne zauważenie

Możesz przejść ze stanu ślepoty do stanu świadomości bez budowania działu security. W przybliżonej kolejności od nakładu pracy do zwrotu:

1. Włącz i zachowuj logi, za które już płacisz. Na dostawcy tożsamości i w kluczowych systemach włącz logowanie logowań i audytów oraz wydłuż okno retencji. Wiele firm odkrywa po incydencie, że dowody wygasły, zanim ktokolwiek zaczął ich szukać. To kwestia konfiguracji, nie nowych wydatków.
2. Upewnij się, że ochrona endpointów alarmuje, a nie tylko blokuje. Potwierdź, że to, co masz, rzeczywiście flaguje podejrzane zachowanie i wysyła te flagi tam, gdzie ktoś je zobaczy. Jeśli tylko po cichu blokuje znane złośliwe pliki, umyka ci aktywność po włamaniu, która pozwala złapać ciche intruzje.
3. Wyznacz właściciela alertów. Zdecyduj, kto patrzy, jak często, i co robi, gdy coś zostanie oflagowane. Zapisz to. Jeśli nie masz nikogo, kto mógłby to udźwignąć, to najwyraźniejszy argument za zatrudnieniem zewnętrznego dostawcy managed detection and response, bo jego zadaniem jest patrzeć wtedy, kiedy ty nie możesz.
4. Dodaj detekcję na poziomie tożsamości. Gdy logowanie i właściciel są już na miejscu, detekcja zagrożeń tożsamościowych (ITDR) to dodatek o najwyższej wartości dla firmy twojej wielkości, bo warstwa tożsamości to miejsce, w którym zaczynają się włamania, i gdzie spojrzenie na zachowanie łapie to, czego nie złapie pojedyncza linia logu.
5. Powiedz zespołowi finansowemu, jak wygląda sygnał. Zmieniony numer konta bankowego, niespodziewana faktura, pilna prośba o płatność łamiąca zwykły proces: to są zdarzenia bezpieczeństwa. Daj finansom prostą zasadę weryfikacji poza kanałem, w którym przyszła prośba, dzwoniąc pod znany numer, nigdy nie odpowiadając na maila.
6. Zdecyduj już teraz, co robisz w momencie podejrzenia. Wiedza, do kogo dzwonić i co robić w pierwszych godzinach, to różnica między incydentem opanowanym a katastrofalnym. To osobny temat, opisany w „Pierwsze 24 godziny naruszenia".

Jak wygląda dobry stan rzeczy

Nie musisz być bankiem, żeby być w dobrej sytuacji. Dla firmy mid-market „dobrze" jest konkretne i osiągalne:

• Logi logowań i audytów są włączone na dostawcy tożsamości i w kluczowych systemach, i zachowywane wystarczająco długo, żeby móc spojrzeć wstecz na kilka cichych tygodni, nie tylko kilka cichych dni.
• Ochrona endpointów jest typu detection-and-response, a jej alerty trafiają tam, gdzie nazwana osoba je przegląda.
• Konkretna osoba albo zewnętrzny dostawca odpowiada za przegląd alertów, w ustalonym rytmie, bez miejsca, w którym nieodpowiedziane alerty mogłyby się niezauważenie piętrzyć.
• Detekcja zagrożeń tożsamościowych obserwuje wejście frontowe pod kątem zachowań kont sygnalizujących przejęcie.
• Twój zespół finansowy traktuje zmiany danych płatności w ostatniej chwili jako sygnał bezpieczeństwa i weryfikuje je poza kanałem.
• Masz spisane z góry, co dzieje się w pierwszych godzinach po podejrzeniu naruszenia i kto decyduje.

Osiągnij to, a odpowiedź na pytanie z początku się zmienia. Zamiast „dowiedzielibyśmy się po kilku tygodniach, prawdopodobnie od kogoś z zewnątrz", staje się „prawdopodobnie sami byśmy to złapali, w ciągu dni, mając jeszcze pole do działania".

Źródła

• Mandiant M-Trends 2025: Data, Insights, and Recommendations From the Frontlines · https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2025 (globalna mediana dwell time 11 dni dla 2024 roku · mediana 26 dni dla włamań zgłoszonych zewnętrznie · 57% organizacji dowiedziało się o włamaniu najpierw ze źródła zewnętrznego)
• IBM Cost of a Data Breach 2025 · https://www.ibm.com/reports/data-breach (średnio 241 dni na identyfikację i opanowanie naruszenia, 158 na identyfikację plus 83 na opanowanie)