Usługi

1. Ataków typu zero-day, które są najtrudniejsze do wykrycia.
2. Braku prawidłowo zaprojektowanych reguł korelacji w systemach SIEM.
3. Brakujących lub nieaktualnych sygnatur w rozwiązaniach IPS i WAF.
4. Nadużywania powszechnie dozwolonych mechanizmów, takich jak DNS lub ICMP, do prowadzenia ataku.

1. Identyfikację nowych trendów ataków oraz aktywnych kampanii.
2. Przeciwdziałanie atakom zero-day, które omijają detekcję opartą na sygnaturach.
3. Wprowadzenie dodatkowej warstwy obrony, która nie opiera się wyłącznie na standardowych mechanizmach monitorowania.

1. Wsparcia zespołów SOC w ich codziennych działaniach operacyjnych.
2. Budowania głębokiego zrozumienia ruchu sieciowego poprzez profilowanie styku sieci w celu:
   • identyfikacji intencji atakującego,
   • prawidłowej oceny ryzyka,
   • zastosowania właściwych działań mitygujących,
   • zamykania alertów z pełną pewnością,
   • podnoszenia ogólnego poziomu dojrzałości w obszarze cyberbezpieczeństwa.
3. Eliminowania niepożądanego lub bezwartościowego ruchu, który ogranicza widoczność i przeciąża systemy monitorujące, w tym stosowania BGP Blackholing tam, gdzie jest to uzasadnione.
4. Zapobiegania atakom zero-day poprzez analizę behawioralną oraz ciągłe profilowanie.

1. Ustaleniem bazowej charakterystyki ruchu,
2. Pełnym poznaniem infrastruktury, w tym systemów, urządzeń oraz obsługiwanych protokołów,
3. Przeglądem i optymalizacją polityk zapór sieciowych.

1. Frameworki oraz zestawy kodu źródłowego wykorzystywane do generowania niestandardowych plików wykonywalnych i bibliotek DLL omijających rozwiązania antywirusowe i EDR, takie jak Artifact Kit z Arsenal Kit dla Cobalt Strike.
2. Niestandardowe, niepubliczne próbki EXE projektowane w celu testowania konkretnych rozwiązań EDR lub wielu popularnych platform, umożliwiające ocenę zdolności detekcyjnych i skuteczne obejście zabezpieczeń.

1. Command Prompt (cmd) do wykonywania poleceń i skryptów wsadowych (.bat).
2. PowerShell, obiektowej powłoki opartej na platformie .NET, umożliwiającej zaawansowane zarządzanie systemem, rejestrem, usługami, procesami oraz hostami zdalnymi za pomocą cmdletów, poleceń interaktywnych oraz skryptów .ps1.
3. Natywnego uruchamiania aplikacji napisanych w C i C++ poprzez wbudowany loader PE oraz biblioteki środowiska wykonawczego (runtime), takie jak MSVCRT.dll.
4. Uruchamiania aplikacji zarządzanych w C++/CLI i C# poprzez Common Language Runtime (CLR), gdy dostępny jest .NET Framework.

1. Python wymaga instalacji interpretera.
2. Java wymaga instalacji JVM (JRE lub JDK).
3. Perl, Ruby oraz PHP muszą zostać zainstalowane ręcznie.
4. Go, Rust oraz Node.js nie są dostępne domyślnie i wymagają dodatkowej konfiguracji.

1. Niestandardowe, niepubliczne próbki EXE umożliwiają dokładną weryfikację zachowania rozwiązania EDR w zakresie:
   • różnych typów kompilacji,
   • technik wykonania,
   • widoczności zdarzeń,
   • logiki korelacji w konsoli EDR.
2. Wyniki testów pokazują, że odpowiednio przygotowane złośliwe oprogramowanie może pozostać niewidoczne dla wiodących platform EDR, pod warunkiem iteracyjnego modyfikowania jego postaci przy zachowaniu zaplanowanej sekwencji operacyjnej, obejmującej:
   • wyłączanie mechanizmów ochronnych,
   • zbieranie i eksfiltrację danych,
   • usuwanie śladów aktywności.

1. Wiedzę na temat wdrożonego rozwiązania EDR, w tym – co szczególnie istotne – wersji sensora,
2. Fizyczny lub logiczny dostęp do stacji roboczej w organizacji,
3. Możliwość eksfiltracji danych z wykorzystaniem szyfrowanych kanałów TLS.

1. Atakami zero-day,
2. Złośliwym oprogramowaniem zaprojektowanym specjalnie w celu omijania mechanizmów detekcji,
3. Nieprawidłową lub słabą konfiguracją zabezpieczeń,
4. Niewystarczającym poziomem rejestrowania zdarzeń oraz brakiem kompletnego materiału dowodowego,

1. Ciągłe testowanie mechanizmów cyberobrony,
2. Emulację przeciwnika oraz działania red teamowe,
3. Stałe profilowanie styku sieci,
4. Testy penetracyjne,
5. Zaangażowanie doświadczonych i kompetentnych specjalistów.

1. Przygotowanie do pracy w zespole SOC na poziomie L1, obejmujące zrozumienie odpowiedzialności analityka oraz oczekiwań operacyjnych, z możliwością wprowadzenia zakresu ról L2 i L3.
2. Budowanie kompetencji technicznych związanych z monitoringiem zdarzeń bezpieczeństwa, obsługą alertów oraz triage incydentów bezpieczeństwa.
3. Rozwijanie umiejętności analitycznych i intelektualnych niezbędnych do prawidłowej interpretacji zdarzeń, logów i alertów.
4. Budowanie świadomości w obszarze cyberbezpieczeństwa, obejmującej znajomość taktyk i technik atakujących, ograniczeń mechanizmów obronnych oraz związanego z nimi ryzyka operacyjnego.
5. Szkolenie w zakresie formułowania poprawnych i merytorycznie uzasadnionych rekomendacji operacyjnych.
6. Szkolenie w podejmowaniu właściwych decyzji operacyjnych pod presją czasu oraz w warunkach ograniczonej dostępności materiału dowodowego.

1. Charakterystyką typowego działu SOC, jego misją oraz zakresem operacyjnym.
2. Podstawowymi procedurami SOC, playbookami, instrukcjami oraz wewnętrznymi procesami operacyjnymi powszechnie stosowanymi w operacjach bezpieczeństwa.
3. Standardowymi strukturami organizacyjnymi SOC, w tym rolami, odpowiedzialnościami oraz separacją obowiązków.
4. Ścieżkami eskalacji, modelami komunikacji oraz współpracą pomiędzy różnymi poziomami SOC i zespołami wspierającymi.

1. Przegląd kategorii systemów SOC wykorzystywanych do monitorowania bezpieczeństwa, detekcji i reakcji.
2. Wprowadzenie do środowiska szkoleniowego i laboratoryjnego SOC oraz jego roli w rozwoju kompetencji analityków.
3. Praktyczne szkolenie z użycia narzędzi powszechnie wymaganych w codziennej pracy SOC.
4. Ćwiczenia skoncentrowane na świadomym i poprawnym użyciu narzędzi, a nie na bezrefleksyjnej lub w pełni zautomatyzowanej obsłudze.

1. Ćwiczenia symulujące rzeczywiste scenariusze ataków i incydentów bezpieczeństwa.
2. Praktyczne ćwiczenia z analizy korelacji zdarzeń wykorzystujące wzorce z rzeczywistych środowisk.
3. Szkolenie w identyfikowaniu fałszywych alarmów, rzeczywistych incydentów oraz przypadków niejednoznacznych.
4. Kształtowanie zdolności do formułowania decyzji operacyjnych i rekomendacji opartych na materiale dowodowym.

1. Wskazanie jasnych ścieżek rozwoju analityka poza poziom L1.
2. Pomoc w zrozumieniu kompetencji wymaganych na wyższych poziomach SOC.
3. Budowanie świadomości obszarów specjalizacji, takich jak threat hunting, detection engineering, DFIR czy bezpieczeństwo sieci.
4. Wspieranie rozwoju odpowiedzialności zawodowej, dojrzałości operacyjnej oraz świadomości konsekwencji podejmowanych decyzji.
5. Wsparcie w zakresie doboru materiałów edukacyjnych, szkoleń oraz ścieżek certyfikacyjnych zgodnych z zapotrzebowaniem rynkowym, uznanymi standardami międzynarodowymi, wymaganiami akredytacyjnymi oraz ich porównywalną wartością względem alternatywnych programów.

1. Identyfikację i klasyfikację potencjalnego materiału dowodowego.
2. Procedury bezpiecznego zabezpieczania i pozyskiwania dowodów cyfrowych.
3. Kontrolowaną obsługę, przechowywanie i przekazywanie materiału dowodowego.
4. Pełną dokumentację dostępu do dowodów i ich przemieszczania.
5. Określenie ról i odpowiedzialności w zakresie obsługi dowodów.
6. Integrację łańcucha dowodowego z procesami bezpieczeństwa, reagowania na incydenty i analiz śledczych.

1. Zachować integralność i autentyczność materiału dowodowego.
2. Zapewnić akceptowalność dowodów w postępowaniach sądowych i kontrolnych.
3. Ograniczyć ryzyko zarzutów manipulacji dowodami.
4. Dostosować działania śledcze do uznanych standardów międzynarodowych.
5. Ujednolicić i uporządkować procesy analityczne oraz dochodzeniowe.
6. Usprawnić współpracę z podmiotami zewnętrznymi i organami nadzoru.
7. Zwiększyć wiarygodność i zaufanie do organizacji.
8. Wspierać procesy decyzyjne kluczowych ról, takich jak CISO oraz certyfikowani specjaliści ds. informatyki śledczej, w oparciu o rzetelny materiał dowodowy.

1. CM)CFI – Certified Master Cyber Forensic Investigator
2. GCFE – GIAC Certified Forensic Examiner
3. GCFA – GIAC Certified Forensic Analyst
4. GNFA – GIAC Network Forensic Analyst
5. CCDFA – Cyber 5W Certified Digital Forensic Analyst
6. C)DFE – Certified Digital Forensics Examiner
7. C)NFE – Certified Network Forensics Examiner
8. eCDFP – eLearnSecurity Certified Digital Forensics Professional
9. CDFEH – CYBER 5W Digital Forensics Evidence Handler
10. ISO/IEC 27037:2012 – Lead Implementer

1. Kryminalistykę cyfrową systemów Windows, prowadzoną na nośnikach danych stacji roboczych i serwerów.
2. Analizę ruchu sieciowego generowanego przez systemy, wraz z korelacją z procesami i zdarzeniami systemowymi.
3. Analizę pamięci operacyjnej (RAM) w celu identyfikacji zagrożeń rezydujących w pamięci.
4. Analizę artefaktów systemowych z wykorzystaniem specjalistycznych narzędzi śledczych.
5. Korelację danych z dysków, pamięci i sieci w celu odtworzenia przebiegu zdarzeń.
6. Opracowanie szczegółowego, profesjonalnego raportu z przeprowadzonej analizy śledczej.

1. Zakażeniami złośliwym oprogramowaniem.
2. Atakami phishingowymi i kradzieżą poświadczeń.
3. Eksfiltracją danych i nieautoryzowaną komunikacją.
4. Manipulacją systemem oraz mechanizmami persystencji.
5. Eskalacją uprawnień i ruchem lateralnym.

Usługa realizowana jest przez specjalistę posiadającego wieloletnie doświadczenie w informatyce śledczej (cyfrowej i sieciowej), analizie złośliwego oprogramowania oraz reagowaniu na incydenty bezpieczeństwa. Potwierdzeniem praktycznych kompetencji jest między innymi uzyskanie wyniku 98% (z wyróżnieniem) na egzaminie Certified Blue Teamer – eXpert (CBTeamerX), obejmującym analizę rzeczywistych incydentów bezpieczeństwa oraz zaawansowane działania Blue Team. Jednym z elementów egzaminu był scenariusz obejmujący atak ransomware, wymagający przeprowadzenia analizy wstecznej próbki złośliwego oprogramowania, identyfikacji kluczowych elementów odpowiedzialnych za proces szyfrowania, pozyskania danych z obrazu dysku oraz odtworzenia logiki deszyfrowania, co umożliwiło skuteczne odzyskanie zaszyfrowanego pliku.

Dodatkowym potwierdzeniem praktycznych kompetencji jest wieloletnie doświadczenie w prowadzeniu badań nad różnymi rodzinami ransomware, analizie ich mechanizmów działania oraz implementacji algorytmów szyfrowania. W ramach zaawansowanych prac badawczo-rozwojowych samodzielnie projektuję i implementuję autorskie próbki oprogramowania ransomware, które następnie testuję w środowiskach laboratoryjnych przeciwko wiodącym na rynku światowym rozwiązaniom klasy EDR. Skuteczne omijanie mechanizmów detekcji tych systemów stanowi bezpośredni dowód na doskonałą znajomość technik unikania wykrywania oraz zaawansowaną wiedzę praktyczną. Doświadczenie to przekłada się na realną wartość podczas analizy rzeczywistych incydentów, inżynierii wstecznej próbek oprogramowania złośliwego, identyfikacji słabości implementacyjnych oraz opracowywania dedykowanych narzędzi umożliwiających odzyskanie danych, jeżeli jest to technicznie możliwe.

Cel i zakres:

Usługa obejmuje kompleksową analizę oraz reagowanie na incydenty ransomware, realizowane zarówno w przypadku powszechnie znanych rodzin ransomware, jak i nowych lub niepublicznych wariantów. Zakres prac jest każdorazowo dostosowywany do charakteru incydentu, architektury środowiska oraz dostępnego materiału dowodowego.

Zakres usług:

Usługa obejmuje między innymi:

1. Rozpoznanie wariantu ransomware z wykorzystaniem białego wywiadu (OSINT), specjalistycznych źródeł informacji o zagrożeniach oraz analizy dostępnych artefaktów, wskaźników kompromitacji (IOCs) i notatek okupu.
2. Przeprowadzenie analizy śledczej w celu ustalenia źródła infekcji oraz przebiegu kompromitacji.
3. Odtworzenie przebiegu ataku oraz procesu szyfrowania danych.
4. Odzyskanie złośliwego pliku wykonywalnego odpowiedzialnego za proces szyfrowanie danych, jeżeli jest to technicznie możliwe.
5. Przeprowadzenie analizy statycznej, analizy dynamicznej oraz inżynierii wstecznej próbki ransomware w bezpiecznym, odizolowanym środowisku laboratoryjnym.
6. Analizę implementacji algorytmów szyfrowania oraz sposobu zarządzania kluczami kryptograficznymi.
7. Opracowanie dedykowanego narzędzia deszyfrującego w przypadkach, w których analiza techniczna wykaże możliwość odzyskania zaszyfrowanych danych.
8. Weryfikację możliwości odzyskania danych w organizacjach nieposiadających aktualnych kopii zapasowych.
9. Opracowanie szczegółowego raportu technicznego wraz z rekomendacjami dotyczącymi ograniczenia ryzyka ponownego wystąpienia podobnego incydentu.

Podejście analityczne:

Każdy incydent analizowany jest indywidualnie. Proces obejmuje korelację danych pochodzących przede wszystkim z analizy zawartości dysków, artefaktów systemu operacyjnego, oraz analizy złośliwego oprogramowania. W zależności od charakteru incydentu analiza może zostać rozszerzona o analizę pamięci operacyjnej oraz ruchu sieciowego. Pozwala to na odtworzenie pełnego przebiegu ataku, identyfikację źródła infekcji oraz ocenę możliwości odzyskania zaszyfrowanych danych.

Analiza obejmuje zarówno znane rodziny ransomware, jak i nowe lub wcześniej nieopisywane warianty. W zależności od zastosowanej implementacji możliwa jest analiza mechanizmów wykorzystujących zarówno prostsze rozwiązania kryptograficzne, w tym funkcje skrótu (np. MD5) wykorzystywane do wyprowadzania kluczy szyfrujących oraz algorytmy takie jak RC4, jak i współczesne algorytmy szyfrowania, takie jak AES-256 oraz inne mechanizmy kryptograficzne stosowane przez atakujących.

Rezultat:

Usługa umożliwia organizacji pełne zrozumienie przebiegu incydentu ransomware, identyfikację źródła infekcji, ocenę zakresu kompromitacji oraz – w przypadkach, w których jest to technicznie możliwe – odzyskanie zaszyfrowanych danych poprzez opracowanie dedykowanego procesu lub narzędzia deszyfrującego. Opracowane wnioski i rekomendacje wspierają również podniesienie poziomu bezpieczeństwa organizacji oraz ograniczenie ryzyka wystąpienia podobnych incydentów w przyszłości.

1. kryteriów decyzji o uruchomieniu informatyki śledczej,
2. ścieżki zgód i eskalacji,
3. ról i odpowiedzialności,
4. zasad bezpiecznego przekazania dowodów do śledczego,
5. zasad raportowania ustaleń, rekomendacji i ryzyk resztkowych.

1. Dostarczenia jednego, spójnego modelu operacyjnego IR zamiast zbioru niezależnych dokumentów.
2. Eliminacji nieciągłości pomiędzy etapami cyklu życia incydentu i ograniczenia chaosu decyzyjnego.
3. Wdrożenia Łańcucha Dowodowego jako kluczowego zabezpieczenia prawnego i operacyjnego.
4. Zapewnienia poprawnego, rzetelnego i możliwego do obrony zabezpieczania dowodów.
5. Zapewnienia kierownictwu jasnego obrazu ryzyk, rekomendacji oraz statusu ich domknięcia.

1. Procedura obsługi incydentu innego rodzaju – ujednolicony intake, klasyfikacja, walidacja danych, wstępna analiza oraz jasne reguły eskalacji.
2. Procedura obsługi wiadomości phishingowych – szybkie i powtarzalne działania ograniczające ryzyko przejęcia poświadczeń.
3. Procedura reagowania na złośliwe oprogramowanie – uporządkowana reakcja techniczna, triage artefaktów i minimalizacja czasu ekspozycji.
4. Procedura Łańcucha Dowodowego (Chain of Custody – CoC) – spójne zasady zabezpieczania, transportu, przechowywania i dokumentowania dowodów.
5. Procedura uruchomienia analizy powłamaniowej – kryteria decyzji, ścieżka zgód, zasady współpracy ze śledczym oraz raportowania wyników i domknięcia rekomendacji.

1. Mapowanie istniejących kanałów zgłoszeń, ról oraz punktów eskalacji.
2. Dopasowanie procedur tak, aby były wykonalne w rzeczywistych warunkach incydentowych.
3. Dostarczenie kompletu artefaktów operacyjnych umożliwiających konsekwentne działanie, w tym:
   • checklisty i workflow krok po kroku,
   • szablony komunikacji i konwencje tagowania,
   • minimalne wymagania dowodowe i zasady pakowania materiału,
   • reguły przeklasyfikowania i matryce decyzyjne uruchomienia forensics,
   • ujednolicone szablony raportów,
   • szablony przyjmowania i śledzenia IoC.

1. obsługę wiadomości phishingowych,
2. reagowanie na złośliwe oprogramowanie,
3. obsługę incydentów innego rodzaju,
4. sytuacje wymagające uruchomienia CoC oraz analizy śledczej.

1. czasy reakcji,
2. poprawność eskalacji,
3. spójność decyzji operacyjnych,
4. kompletność i jakość dokumentacji procesowej,
5. prawidłowe momenty uruchomienia CoC oraz forensics.

Nowoczesne Security Operations Center wymaga nie tylko odpowiednich kompetencji analityków, ale również realistycznego i odpowiednio zaprojektowanego środowiska laboratoryjnego, umożliwiającego prowadzenie szkoleń, testów bezpieczeństwa, analiz śledczych (cyfrowych i sieciowych), analiz złośliwego oprogramowania, analiz wiadomości phishingowych oraz weryfikację skuteczności narzędzi bezpieczeństwa. Profesjonalnie przygotowane laboratorium SOC pozwala odtworzyć rzeczywiste warunki operacyjne bez wpływu na środowiska produkcyjne.

Cel i zakres:

Usługa obejmuje projektowanie, budowę, konfigurację oraz utrzymanie dedykowanych laboratoriów SOC dostosowanych do potrzeb organizacji. Środowiska mogą być wykorzystywane podczas szkoleń, analiz śledczych, analiz złośliwego oprogramowania, analiz wiadomości phishingowych, testów rozwiązań EDR, ćwiczeń typu Cyber Warfare oraz rozwoju kompetencji zespołów bezpieczeństwa.

Projektowanie środowiska laboratoryjnego:

Usługa obejmuje między innymi:

1. Projektowanie architektury laboratorium SOC.
2. Budowę środowisk opartych na maszynach wirtualnych.
3. Konfigurację systemów Windows i Linux wraz ze zwiększeniem poziomu audytowalności i rejestrowania zdarzeń.
4. Konfigurację dystrybucji Kali Linux wraz z narzędziami wykorzystywanymi podczas testów penetracyjnych, w tym również narzędziami spoza standardowej dystrybucji.
5. Przygotowanie izolowanych środowisk testowych.
6. Konfigurację mechanizmów ochronnych Windows Defender, w tym ich kontrolowane włączanie i wyłączanie na potrzeby środowisk laboratoryjnych.
7. Konfigurację zdalnego dostępu (RDP, VNC oraz web) i mechanizmów administracyjnych.
8. Konfigurację usług SMB, obejmującą współdzielone katalogi sieciowe oraz transfer plików pomiędzy wszystkimi maszynami laboratorium SOC.
9. Przygotowanie środowisk umożliwiających bezpieczne wykonywanie oraz analizę złośliwego oprogramowania.
10. Przygotowanie środowisk umożliwiających prowadzenie analiz śledczych oraz analiz wiadomości phishingowych.

Konfiguracja narzędzi bezpieczeństwa:

Laboratorium może zostać wyposażone w narzędzia wykorzystywane podczas codziennej pracy analityków SOC, obejmujące między innymi:

1. analizę ruchu sieciowego,
2. analizę pamięci operacyjnej,
3. analizę dysków oraz artefaktów systemowych,
4. analizę złośliwego oprogramowania,
5. analizę wiadomości phishingowych,
6. analizę logów systemowych,
7. analizę zdarzeń bezpieczeństwa,
8. testowanie mechanizmów, systemów detekcji oraz reguł bezpieczeństwa.

Przygotowanie środowiska analitycznego:

Usługa obejmuje również konfigurację środowiska wspierającego codzienną pracę analityków, w tym:

1. Konfigurację rozszerzonego logowania oraz archiwizacji zdarzeń.
2. Wdrożenie lub rekonfigurację Sysmon oraz polityk audytowych w celu zwiększenia poziomu telemetrii i rejestrowania zdarzeń bezpieczeństwa.
3. Konfigurację narzędzi umożliwiających analizę zaszyfrowanego ruchu TLS.
4. Przygotowanie repozytoriów zawierających rozbudowaną kolekcję narzędzi wykorzystywanych podczas analiz śledczych cyfrowych, analiz ruchu sieciowego, analiz złośliwego oprogramowania, analiz wiadomości phishingowych oraz reagowania na incydenty.
5. Konfigurację środowisk umożliwiających szybkie odtwarzanie laboratoriów z wykorzystaniem migawek oraz kopii zapasowych.

Praktyczne zastosowanie laboratorium:

Laboratorium może zostać wykorzystane do:

1. prowadzenia szkoleń SOC,
2. ćwiczeń Blue Team,
3. ćwiczeń Red Team,
4. ćwiczeń Purple Team,
5. ćwiczeń typu Cyber Warfare,
6. analiz złośliwego oprogramowania,
7. analiz wiadomości phishingowych,
8. analiz śledczych,
9. testów rozwiązań EDR,
10. walidacji reguł detekcyjnych,
11. testowania procedur reagowania na incydenty,
12. budowy oraz weryfikacji playbooków SOC.

Korzyści dla organizacji:

Dedykowane laboratorium SOC umożliwia prowadzenie bezpiecznych testów, eksperymentów oraz szkoleń bez wpływu na środowisko produkcyjne. Pozwala rozwijać kompetencje zespołów bezpieczeństwa, weryfikować skuteczność wdrożonych mechanizmów ochronnych oraz przygotowywać organizację na rzeczywiste zagrożenia poprzez ćwiczenia prowadzone w kontrolowanych warunkach. Stanowi również bezpieczne środowisko do testowania nowych narzędzi, procedur oraz mechanizmów detekcji przed ich wdrożeniem do środowiska produkcyjnego.