Spis treści:
-
-
- Cztery filary architektury prewencyjnej
- CTEM jako szkielet operacyjny
- Przebudowa SOC
- Granice modelu i ACIS
Według prognoz Gartnera do 2030 r. rozwiązania prewencyjne pochłoną około 50% globalnych wydatków na bezpieczeństwo IT. Dla zespołów SecOps oznacza to konieczność przeprojektowania całej architektury – od prewencji do aktywnej obrony. Wyjaśniamy, jak przeprowadzić taką transformację.
Architektura SecOps ostatniej dekady opierała się na założeniu, że atak da się wykryć szybciej, niż zdąży wyrządzić poważną szkodę. Ten paradygmat właśnie dobiega końca. Według raportu IBM „Cost of a Data Breach 2025” średni cykl życia naruszenia – od pierwszego dostępu po pełne opanowanie incydentu – wynosi 241 dni, najmniej od dziewięciu lat. Brzmi optymistycznie, dopóki nie zestawi się tej liczby z drugą statystyką – średni koszt pojedynczego naruszenia to 4,44 mln dol. globalnie i 10,22 mln dol. w samych Stanach Zjednoczonych. Każdy dzień obecności napastnika w środowisku kosztuje organizację ok. 18 tys. dol. W modelu reaktywnym opłaca się więc nie tyle reagować szybko, ile w ogóle nie dopuścić do uzyskania pierwszego przyczółka.
Gartner szacuje, że liczba udokumentowanych CVE wzrośnie z ok. 277 tys. w 2025 r. do ponad miliona w roku 2030. To wzrost o 300% w pięć lat, w warunkach, w których przestrzeń ataku – określana w terminologii analityków jako Global Attack Surface Grid – obejmuje już nie tylko klasyczne sieci korporacyjne, ale też aplikacje SaaS, pipeline’y CI/CD, agentów AI, OT i IoT przemysłowe, modele językowe, magistrale danych i tożsamości maszynowe. Każdy z tych elementów wprowadza własne wektory wejścia, a manualne zarządzanie podatnościami w takim ekosystemie staje się fizycznie niemożliwe.
Trzecia kwestia to przeciwnik. Według IBM jedno na sześć naruszeń w 2025 r. wykorzystywało generatywne AI – najczęściej do phishingu (37%) i deepfake’ów (35%). Czas potrzebny atakującemu na stworzenie wiarygodnej kampanii spear-phishingowej skrócił się z godzin do minut, a w niektórych łańcuchach – sekund. W tym tempie tradycyjne playbooki SOC, oparte na analizie logów i alertów SIEM post factum, są strukturalnie spóźnione. Stąd przesunięcie inwestycji w stronę technologii, które – jak ujmuje to Gartner – „odmawiają, zakłócają i dezinformują” napastnika, zanim zdąży on osiągnąć swój cel.
Warto zauważyć jeszcze jeden mechanizm, który osłabia model reaktywny. Coraz częstsze są naruszenia oparte na poprawnych poświadczeniach. Atakujący „loguje się, a nie włamuje” do danego systemu. Według IBM tej klasy incydenty są wykrywane średnio po 246 dniach, bo legalny ruch nie wywołuje alertów w klasycznych regułach SIEM. Prewencja w tym kontekście oznacza nie tyle nowy moduł detekcji, ile zmianę założenia. Na jaką? Jeśli każda sesja może być potencjalnie nadzorowana przez przeciwnika, kontrole muszą działać, zanim sesja zostanie nawiązana, czyli na poziomie tożsamości, polityk dostępu warunkowego i wykrywania kompromitacji w danych z dark webu.
Cztery filary architektury prewencyjnej
Cyberbezpieczeństwo prewencyjne nie jest pojedynczą technologią ani produktem jednego dostawcy. To zestaw uzupełniających się klas rozwiązań, które razem tworzą warstwowy mechanizm wyprzedzania zagrożeń. W praktyce wdrożeniowej można wyróżnić cztery filary, z których każdy adresuje inny etap kill chainu.
PREDICTIVE THREAT INTELLIGENCE
Platformy, które agregują sygnały z dark webu, forów underground, kampanii malware, baz publicznych i wewnętrznej telemetrii, a następnie wykorzystują modele językowe i klasyfikatory do oceny, które zagrożenia są najbardziej prawdopodobne wobec konkretnej organizacji. PTI to nie zwykły feed IOC. Kluczem jest kontekstualizacja: stos technologiczny, branża, ekspozycja zewnętrzna i powiązania kapitałowe wpływają na profil ryzyka, a dobre rozwiązania PTI potrafią z wyprzedzeniem wskazać, jaki rodzaj kampanii zostanie skierowany przeciwko firmie w najbliższych tygodniach.
AUTOMATED EXPOSURE MANAGEMENT
Ciągła ocena powierzchni ataku połączona z priorytetyzacją według poziomu wykorzystania. AEM zastępuje klasyczne skanery podatności narzędziami, które uwzględniają ścieżki ataku, kontekst biznesowy aktywa i dostępność exploita w aktywnych kampaniach. W rezultacie zamiast listy 20 tys. podatności o wysokim CVSS zespół otrzymuje 50 ekspozycji, których naprawienie rzeczywiście zmniejsza ryzyko.
ADVANCED DECEPTION
Warstwa pułapek, fałszywych tożsamości, kanarków i decoy assetów. W modelu prewencyjnym nie chodzi już o klasyczne honeypoty, lecz o gęstą siatkę obiektów wabiących rozsianych po środowisku produkcyjnym, tj. fałszywe poświadczenia w pamięci, udziały sieciowe typu „atrapa”, deceptive tokens w API. Każda interakcja z takim obiektem jest sygnałem o dużej wierności, bo nie istnieje legalny powód, dla którego użytkownik miałby go dotknąć.
AUTOMATED MOVING TARGET DEFENSE
Czwarty, najmłodszy operacyjnie filar to dynamiczna randomizacja runtime: adresów pamięci, konfiguracji sieciowych, ścieżek bibliotek czy parametrów uruchamiania procesów. Założenie jest takie, że nawet zero day exploit potrzebuje przewidywalnego stanu środowiska, a kiedy ten stan zmienia się co kilka sekund, atakujący nie ma fizycznej możliwości zbudować stabilnego payloadu. AMTD jest jeszcze drogi i wymaga dojrzałego stosu obserwowalności, ale to właśnie tę klasę technologii Gartner wskazuje jako najbardziej dyskretną zmianę w nadchodzącej architekturze prewencyjnej.
CTEM jako szkielet operacyjny
Filary technologiczne nie układają się same w gotową architekturę. Spoiwem, które wprowadza w nie porządek procesowy, jest Continuous Threat Exposure Management – ramowy program zaproponowany przez Gartnera w 2022 r. i dziś szybko wprowadzany w korporacjach. Z badań analityków wynika, że 29% organizacji ma już wdrożony program CTEM, a kolejne 46% jest na etapie budowy. To oznacza, że trzy na cztery duże firmy są w trakcie transformacji w tym kierunku.
CTEM opisuje pięć powtarzalnych faz, które razem składają się na cykl ciągłego redukowania ryzyka. Pierwsza – scoping – polega na zdefiniowaniu domeny analizy, czyli tego, które aktywa, jakie procesy biznesowe, które tożsamości i jakie dane mieszczą się w bieżącym cyklu programu. To etap rzadko wykonywany rzetelnie, a właśnie tu zapadają decyzje przesądzające o efektywności kolejnych miesięcy pracy.
Druga faza – discovery – to inwentaryzacja zasobów oraz ich ekspozycji. Tu pojawiają się dane z EASM (external attack surface management), CAASM (cyber asset attack surface management), CMDB, CSPM i wewnętrznych skanerów. Trzecia – prioritization – ocenia, które ekspozycje są możliwe do wykorzystania. Pomocniczo wykorzystuje się modele ścieżek ataku i dane PTI, by skrócić listę 20 tys. podatności do kilkudziesięciu rzeczywistych wektorów.
Czwarty etap – validation – jest sercem programu i jednocześnie tym, na którym najczęściej rozbijają się organizacje. Walidacja oznacza sprawdzenie, czy zidentyfikowana ścieżka ataku da się wyeksploatować i czy istniejące kontrole faktycznie ją zatrzymują. To rola breach and attack simulation, red teamingu i ataków pułapkowych. Bez walidacji program CTEM pozostaje teoretyczny.
Piąta faza – mobilization – łączy CTEM ze światem operacyjnym, czyli ITSM, ticketingiem, SOAR czy procesami zmian. To moment, w którym wyniki analiz przekładają się na zlecenia naprawcze z konkretnym właścicielem, terminem i metryką zamknięcia. Bez tego etapu CTEM staje się kolejnym dashboardem.
Wartość CTEM polega na konkretnym rytmie. Cykle uruchamiane co kilka tygodni pozwalają śledzić rzeczywistą poprawę poziomu bezpieczeństwa w czasie i powiązać ją z konkretnymi decyzjami inwestycyjnymi. W praktyce dojrzałe wdrożenia ustawiają osobne metryki dla każdej z faz, tj. pokrycie inwentaryzacji w fazie discovery, gęstość ścieżek ataku w fazie prioritization, odsetek zweryfikowanych ekspozycji w fazie validation oraz Mean Time to Mobilize w fazie końcowej. Dopiero te metryki, śledzone kwartał do kwartału, pokazują, czy program CTEM przekłada się na faktyczną redukcję ekspozycji, czy też wytwarza wyłącznie nowy gatunek raportów.
Przebudowa SOC
Większość zespołów SecOps nie ma luksusu rozpoczęcia od zera. Transformacja w stronę modelu prewencyjnego oznacza nakładanie nowych warstw na działający stos SIEM, EDR/XDR i SOAR przy jednoczesnym wycofywaniu zbędnych nakładek. Ważna jest mapa zależności i właściwa kolejność zmian.
Pierwszy ruch, na przestrzeni 90 dni, to uporządkowanie inwentaryzacji aktywów i tożsamości. Bez ujednoliconej, ciągle aktualizowanej widoczności nie ma priorytetyzacji ekspozycji. Drugi ruch, na który mamy sześć miesięcy, to wdrożenie platformy CTEM lub jej funkcjonalnego odpowiednika złożonego z EASM, walidacji BAS i warstwy decyzyjnej. Trzeci, najtrudniejszy ruch dotyczy SOC. Tu wchodzi w grę redefinicja roli analityków pierwszego poziomu w stronę pracy z hipotezami zagrożeń, a nie z surowymi alertami. Tutaj też właśnie pojawia się przestrzeń dla agentic AI – wyspecjalizowanych asystentów sztucznej inteligencji, którzy potrafią samodzielnie przeprowadzić wstępną ocenę, korelację i wzbogacenie sygnału.
Komponent, którego najczęściej brakuje w polskich SOC-ach średniej dojrzałości, to systematyczna walidacja. BAS (breach and attack simulation) to ciągły mechanizm sprawdzający, czy reguły detekcji nadal działają, czy nowe konfiguracje zapór nie otworzyły luk, czy procedury IR są wykonywalne pod presją. Organizacje, które uruchamiają BAS co najmniej raz w tygodniu, redukują czas wykrywania nowych klas ataków nawet o kilkadziesiąt procent.
Druga niedoceniana warstwa to deception. Wdrożenie nawet kilkudziesięciu decoy assetów w sieci wewnętrznej i w środowiskach chmurowych zmienia ekonomikę ataku na korzyść obrońcy. Pojedyncze trafienie w pułapkę dostarcza informacji o aktorze i jego TTPs w czasie liczonym w minutach, a nie tygodniach. Dla zespołów o ograniczonych zasobach to jeden z najszybszych zwrotów inwestycji w cyberbezpieczeństwie.
Wreszcie, należy zaplanować, jak telemetria z nowych warstw zasili istniejący SIEM lub data lake bezpieczeństwa. Bez tej integracji prewencja stanie się odrębną wyspą, a SOC będzie pracował z dwoma sprzecznymi narracjami dotyczącymi poziomu bezpieczeństwa. Praktyczna zasada wygląda następująco. Każda nowa warstwa prewencyjna powinna wnosić do SIEM-a sygnały o trzech klasach: zidentyfikowane ekspozycje krytyczne (z fazy CTEM), zweryfikowane wektory ataku (z BAS) oraz potwierdzone interakcje z pułapkami (z deception). Te trzy strumienie razem tworzą obraz nie tego, „co już się stało”, lecz „co może się stać i co już zostało wstrzymane”, a właśnie to jest podstawą rozmowy z zarządem na temat ROI inwestycji w bezpieczeństwo prewencyjne.
ROADMAPA TRANSFORMACJI SOC
Poniższa sekwencja jest rekomendowana dla organizacji o średnim poziomie dojrzałości SecOps, dysponujących działającymi systemami SIEM, EDR/XDR i podstawowymi procesami IR. Plan zakłada budżet rzędu od kilkunastu do kilkudziesięciu procent rocznego CAPEX-u bezpieczeństwa, w zależności od wielkości środowiska.
W pierwszym kwartale ważne są fundamenty widoczności, które obejmują wdrożenie EASM dla obwodu zewnętrznego oraz konsolidację danych z CMDB, IAM i EDR w warstwę CAASM. Celem jest pełna, automatycznie aktualizowana mapa zasobów i tożsamości. Należy wówczas wykonać pierwsze cykle scopingu i discovery w ramach pilotażu CTEM dla wybranej domeny biznesowej – zwykle aplikacji wystawionych na zewnątrz.
Drugi kwartał skupia się na priorytetyzacji opartej na ścieżkach ataku, wdrożeniu attack path managementu i integracji z PTI. W tym etapie typowo wykrywa się, że 80% ryzyk pochodzi z 5% zinwentaryzowanych aktywów, co radykalnie zmienia kalendarz prac vulnerability managementu. Równolegle należy przeprowadzić pilotaż deception w środowisku korporacyjnym: wykorzystujemy w tym celu 30–50 decoy assetów w strefach o wysokiej krytyczności.
Po upływie kwartału nadchodzi czas na walidację i automatyzację. Wdrażamy BAS z minimum cotygodniowym cyklem testów scenariuszy zgodnych z aktualnym profilem zagrożeń. Tworzymy pierwsze playbooki SOAR uruchamiane na sygnałach z deception i BAS, nie tylko ze SIEM. Pierwsze metryki Mean Time to Validate i Mean Time to Mobilize trafiają do raportów zarządu. Przygotowujemy pilotaż AMTD dla wybranego, krytycznego workloadu.
Ostatni, czwarty kwartał powinien się sprowadzać do dojrzewania systemu i jego skalowania. Oznacza to rozszerzenie CTEM na wszystkie domeny biznesowe, włączenie modeli predykcyjnych do procesu threat hunting i wdrożenie pierwszego agenta AI w SOC pierwszego poziomu. Ponadto należy pamiętać o wycofaniu redundantnych nakładek detekcyjnych. Ważna jest także aktualizacja business case na następny rok – zwykle pokazuje już mierzalny spadek liczby incydentów o klasie wysokiej oraz skrócenie cyklu od identyfikacji ekspozycji do jej mitygacji o 50–70%.
Najczęstszym błędem we wdrożeniach jest rozpoczynanie od AMTD lub agentów AI przed uporządkowaniem widoczności i walidacji. Brak fundamentów powoduje, że wszystkie zaawansowane warstwy generują szum, a nie redukcję ryzyka, i podważają zaufanie zarządu do całego programu.
Granice modelu i ACIS
Architektura prewencyjna ma swoje koszty. Najpoważniejszym z nich nie jest cena licencji, ale ryzyko fałszywych założeń. Modele predykcyjne są tak dobre jak dane, na których zostały wytrenowane, a w cyberbezpieczeństwie dane historyczne mają ograniczoną wartość prognostyczną, bo atakujący szybko zmieniają taktyki. Warstwa walidacji jest dlatego nie tyle dobrą praktyką, ile warunkiem koniecznym. Bez ciągłego testowania, czy model predykcyjny nadal się sprawdza, łatwo zbudować iluzję ochrony.
Druga granica dotyczy zgodności regulacyjnej. NIS 2, DORA i unijny AI Act wprowadzają wymagania, które w dużej mierze zakładają reaktywny model raportowania incydentów. Architektura prewencyjna musi więc nadal generować ślad audytowy zgodny z tymi atakami, nawet jeśli operacyjnie pracuje w innym rytmie. Wprowadza to dodatkową warstwę kosztu compliance, którą warto uwzględnić w modelu biznesowym już na etapie wstępnej kalkulacji ROI.
Trzecia, fundamentalna granica to dostępność kompetencji. Prewencja wymaga inżynierów potrafiących pracować równolegle z modelami atakującymi i obronnymi, ze stosem MLOps, z narzędziami klasy CTEM i z konwencjonalnymi SOC-owymi procesami. Takich specjalistów na polskim rynku jest niewielu, a ich utrzymanie wymaga zarówno odpowiednio wysokich wynagrodzeń, jak i ścieżki rozwoju spójnej z domeną AI security.
Gartner kreśli horyzont, w którym powyższe filary łączą się w jeden organizm – Autonomous Cyber Immune System (ACIS). Idea zakłada zdecentralizowane, samodostosowujące się warstwy obrony, oparte na agentach AI i domain-specific language models. To wizja ambitna i dziś w dużej mierze koncepcyjna, ale kierunek jest czytelny: zamiast jednego monolitycznego SIEM-a środowisko składa się z wyspecjalizowanych modeli pracujących w określonej domenie – inny dla pipeline’ów AI, inny dla OT, inny dla tożsamości, inny dla SaaS. Każdy z nich jest na tyle wąski, by dawać odpowiednie estymacje, i na tyle zintegrowany, by współpracować z resztą ekosystemu.
Dla CISO i architektów SecOps wniosek jest dość jasny. Nie należy próbować zbudować pełnego ACIS od razu. Trzeba wybrać jeden filar – najczęściej AEM lub deception – uruchomić go w pełnym cyklu CTEM, zweryfikować efekty i dopiero potem dokładać kolejne warstwy. Pięć lat to okres, który wystarczy, by przejść tę drogę etapowo, pod warunkiem że pierwszy krok zostanie zrobiony już teraz.
Autor
Grzegorz Kubera
Autor jest założycielem firmy doradczo-technologicznej. Pełnił funkcję redaktora naczelnego w magazynach i serwisach informacyjnych z branży ICT. Dziennikarz z ponad 13-letnim doświadczeniem i autor książek na temat start-upów oraz przedsiębiorczości.
