Threat intelligence w podmiocie publicznym: czym się różni od listy adresów IP

Różnica między jednym a drugim jest praktyczna, nie akademicka. Feed można włączyć w piątek i zapomnieć o nim do końca umowy, bo nikt nie zauważy, że nic z niego nie wynika. Wywiad wymaga, żeby ktoś po drugiej stronie sformułował pytanie i przyjął odpowiedź: czyje dane logowania są w obiegu, czy kampania opisana w mediach dotyczy podmiotów naszego typu, czy adres, który zobaczył firewall, ma jakikolwiek związek z realną infrastrukturą przestępczą. Punktem wyjścia jest monitorowanie ekspozycji organizacji, czyli wiedza o tym, co w ogóle należy do Ciebie i co widać z zewnątrz.

Podmiot publiczny ma jeszcze jeden powód, żeby tę granicę rozumieć. Wywiad nie jest u niego ciekawostką dla zespołu technicznego, tylko materiałem, który wchodzi do analizy ryzyka, do oceny incydentu i do zgłoszenia, kiedy zegar już biegnie. Feed adresów IP w żadnym z tych dokumentów się nie przyda.

Feed to nie wywiad

Feed jest surowy, uniwersalny i nie wie nic o Twojej organizacji. To lista wskaźników: adresy, domeny, skróty plików, czasem reguły. Powstał dlatego, że dało się go zebrać, a nie dlatego, że ktoś zadał pytanie. Ten sam plik dostaje bank, szpital powiatowy i urząd gminy, w identycznej postaci, z identycznym poziomem trafności. Dostawca kończy pracę w momencie dostarczenia strumienia, a wszystko, co dzieje się dalej, jest już po stronie odbiorcy.

Wywiad zaczyna się od pytania i kończy na decyzji. Między jednym a drugim jest praca, której w feedzie nie ma: ustalenie, co należy do organizacji, przeszukanie źródeł pod kątem tego zakresu, weryfikacja znaleziska, ocena jego świeżości i wagi, wreszcie sformułowanie rekomendacji w języku osoby, która ma coś postanowić. Cyber threat intelligence w tym rozumieniu jest procesem, nie produktem, który da się pobrać.

To nie znaczy, że feed jest bezwartościowy. Jest surowcem i w tej roli działa dobrze: zasila listy blokujące, wzbogaca alerty, pozwala automatycznie odsiać znaną infrastrukturę. Problem zaczyna się wtedy, gdy surowiec zostaje sprzedany jako produkt końcowy, a organizacja płaci za dane, których nie ma kto przetworzyć. Sprawdzian jest prosty: jeśli w ostatnim kwartale żadne znalezisko nie zmieniło niczyjej decyzji, kupiłeś feed.

Trzy poziomy: zarząd, kierownictwo, zespół

Wywiad dzieli się na trzy poziomy, bo odbierają go trzy różne osoby i każda zadaje inne pytanie. Poziomy nie są etapami dojrzałości, tylko różnymi produktami, o różnym tempie, formacie i odbiorcy. Zamawiając jeden z nich, zamawiasz odpowiedź tylko na jedno z trzech pytań.

Poziom strategiczny: co grozi naszemu sektorowi

Adresatem jest kierownictwo jednostki i osoby, które zatwierdzają budżet oraz plan postępowania z ryzykiem. Materiał ma postać opracowań i podsumowań, powstaje w rytmie kwartalnym lub rocznym i odpowiada na pytania w rodzaju: jakie kategorie zagrożeń realnie dotykają podmiotów naszej wielkości i naszego typu, co zmieniło się przez ostatni rok, gdzie skierować środki. Liczby z tego poziomu trafiają wprost do uzasadnień decyzji, na przykład wzrost liczby incydentów obsłużonych przez CERT Polska w 2025 roku.

Poziom operacyjny: kto nas atakuje i jak

Adresatem jest kierownictwo bezpieczeństwa i osoby planujące zabezpieczenia. Materiał opisuje konkretne kampanie i sposoby działania: jakim wektorem dostarczana jest przynęta, jakie rodziny złośliwego oprogramowania są teraz w masowym obiegu, czy skradzione ciasteczko sesji pozwala ominąć uwierzytelnianie wieloskładnikowe, jak wygląda ścieżka od zainfekowanego urządzenia przez brokera dostępu do ataku szyfrującego. To poziom, na którym zapadają decyzje o zmianie konfiguracji i o kolejności prac.

Poziom techniczny: wskaźniki i reguły detekcji

Adresatem jest zespół obsługujący narzędzia. Materiał to wskaźniki i sygnatury o krótkim okresie przydatności: adresy serwerów sterujących, domeny, skróty plików, wzorce zachowań do zapytań w logach. Ten poziom starzeje się najszybciej, bo infrastruktura przestępcza jest wymienna, co dobrze pokazują skutki działań organów ścigania: w listopadzie 2025 w ramach Operation Endgame wyłączono 1025 serwerów, a wskaźniki z nimi związane straciły wartość operacyjną z dnia na dzień.

Kosztowna pomyłka polega na kupieniu jednego poziomu i oczekiwaniu efektów z innego. Organizacja bierze abonament na wskaźniki techniczne, a potem nie ma z czego napisać rozdziału do analizy ryzyka. Albo odwrotnie: zamawia kwartalne opracowania strategiczne i pyta, dlaczego nic z nich nie trafiło do reguł detekcji. Rozstrzygnij więc najpierw, kto ma czytać wynik i jaką decyzję ma po nim podjąć. Ta odpowiedź wybiera poziom, a poziom wybiera dostawcę.

Co wywiad daje podmiotowi publicznemu

Wartość wywiadu mierzy się liczbą decyzji, które zapadły wcześniej, niż zapadłyby bez niego. W jednostce publicznej te decyzje mają zwykle sześć postaci:

• Dane logowania w obiegu wykryte przed użyciem. Poświadczenia pracownika krążące w giełdach logów to jedyny moment, w którym reset hasła i unieważnienie sesji są jeszcze tanie. Verizon podaje, że 73% ofiar ransomware miało wcześniej takie zdarzenie, a połowa z nich w ciągu 95 dni przed atakiem
• Wiedza o kampaniach wymierzonych w sektor. Jakie przynęty i wektory dostarczenia są w użyciu teraz wobec administracji, ochrony zdrowia czy oświaty, a nie jakie były rok temu
• Kontekst przy ocenie incydentu. Czy adres, który zobaczył firewall, należy do infrastruktury brokera dostępu, czy jest szumem. Ta jedna informacja decyduje o tym, czy zdarzenie kończy się notatką, czy pełną obsługą
• Przesłanki do analizy ryzyka. Udokumentowane, datowane zagrożenia zamiast listy przepisanej z poprzedniej wersji dokumentu
• Materiał do obowiązkowych zgłoszeń. Opis wektora, przebiegu i skutków, który trzeba mieć pod ręką, kiedy termin już biegnie, a nie odtwarzać go po fakcie
• Podstawa do rozmowy z dostawcą. Sygnał, że podmiot przetwarzający Twoje dane pojawił się w materiale, który właśnie trafił do obiegu, bywa pierwszą informacją o naruszeniu u niego

Dwa ostatnie punkty łączą wywiad wprost z obowiązkami. Zgłoszenie incydentu wymaga opisu, a analiza ryzyka wymaga przesłanek, i jedno i drugie jest łatwiejsze, gdy organizacja ma bieżący obraz zagrożeń zamiast rocznego przeglądu prasy. Zakres tych obowiązków rozłożyliśmy w tekście o tym, kogo dotyczy ustawa o krajowym systemie cyberbezpieczeństwa.

Skąd bierze się materiał

Nie istnieje jeden „darknet”, który się skanuje, i warto to powiedzieć wprost, bo tak brzmią polskie opisy tej usługi. Materiał pochodzi z kilku różnych miejsc, o różnej świeżości i różnej wiarygodności, a sposób pracy z każdym z nich jest inny.

• Giełdy logów i logi infostealerów. Pełny zrzut z zainfekowanego urządzenia: hasła z przeglądarki, ciasteczka sesji, lista aplikacji. Materiał najświeższy i najbardziej wiarygodny. Flare, analizując 18,7 mln logów z 2025 roku, wskazuje, że 1,17 mln zawierało jednocześnie firmowe dane tożsamości i ciasteczka sesji
• Combolisty i pliki ULP. Pary login i hasło wyrwane z kontekstu, przepakowane i sprzedawane latami. Group-IB opisuje przypadek, w którym poświadczenia z urządzenia zainfekowanego 8 lipca 2024 krążyły w plikach dystrybuowanych jeszcze w marcu 2025
• Kanały Telegram i fora. Dziś główny kanał dystrybucji, także w wersji płatnej i zamkniętej. Opis „skanujemy sieć Tor” zwykle oznacza, że dostawca nie pokrywa tego, gdzie handel faktycznie się odbywa
• Strony wycieków grup ransomware. Ogłoszenia o ofiarach i publikowane paczki danych, często pierwszy sygnał, że u dostawcy usług doszło do naruszenia obejmującego Twoje dane
• Dane o zasobach wystawionych do internetu. Domeny, certyfikaty, otwarte usługi, zapomniane środowiska testowe. To materiał o Tobie, nie o przeciwniku, i to on bywa punktem wejścia
• Źródła instytucjonalne. Komunikaty CERT Polska, ostrzeżenia organów, publikacje z działań organów ścigania: wolniejsze, ale weryfikowalne i cytowalne w dokumentach

Rozróżnienie między tymi kategoriami jest ważniejsze, niż wygląda, bo decyduje o reakcji. Świeży log infostealera oznacza zainfekowane urządzenie i wymaga działania natychmiast. Ten sam adres e-mail w comboliście sprzed dwóch lat oznacza zwykle tylko tyle, że stare hasło nadal krąży. Mechanizm powstawania takiego materiału opisaliśmy osobno, w tekście o tym, jak działa infostealer.

Dlaczego bez analityka to nie działa

Wartość powstaje w momencie oceny znaleziska, a nie w momencie jego zebrania. Zebranie jest dziś czynnością tanią i zautomatyzowaną: narzędzia przeszukują źródła i wyrzucają dopasowania do Twoich domen i adresów. Ocena jest czynnością drogą, bo wymaga człowieka, który zna Twoją organizację i potrafi odpowiedzieć na trzy pytania, zanim ktokolwiek dostanie powiadomienie.

Te trzy pytania to cała istota triage. Czy to nasze: adres w domenie podobnej do naszej, konto prywatne pracownika i konto służbowe to trzy różne sprawy o trzech różnych skutkach. Czy to prawdziwe: znaczna część materiału w obiegu jest przepakowana ze starych zbiorów i wraca latami pod nowymi nazwami. Czy to aktualne: hasło zmienione pół roku temu nie jest incydentem, ale ważne ciasteczko sesji jest, bo pozwala ominąć uwierzytelnianie wieloskładnikowe. Zespół, który dostaje surowe dopasowania bez tej pracy, dostaje szum, a szum po kilku tygodniach przestaje być czytany.

Alert, którego nikt nie ocenił, nie jest ostrzeżeniem. Jest kolejnym wierszem w kolejce.

Stąd wniosek praktyczny dla jednostki bez własnego zespołu bezpieczeństwa: wywiadu nie kupuje się w oderwaniu od osoby, która go czyta. Albo w organizacji jest osoba z czasem i wiedzą na triage, albo tę rolę przejmuje zespół pełniący dyżur w modelu usługowym. Trzecia opcja, czyli abonament bez odbiorcy, kończy się panelem, do którego nikt nie zagląda.

Jak wpiąć wywiad w to, co już masz

Wywiad dostarcza materiał do reguł detekcji, ale ich nie zastępuje. Narzędzia detekcyjne widzą, co dzieje się w Twojej infrastrukturze. Wywiad widzi to, co dzieje się poza nią, i podpowiada, czego szukać wewnątrz. Żadne z nich nie działa dobrze bez drugiego: wywiad bez detekcji daje wiedzę, której nie ma jak zastosować, detekcja bez wywiadu szuka po omacku.

Trzy wpięcia dają najwięcej. Pierwsze: retrospektywne przeszukanie logów, czyli sprawdzenie w zebranej historii, czy wskaźnik z nowego znaleziska wystąpił u Ciebie wcześniej. Drugie: reguła wyprzedzająca, ustawiona na zachowanie opisane w materiale operacyjnym, a nie na pojedynczy adres. Trzecie: wzbogacanie alertów o kontekst, żeby analityk nie zaczynał od zera przy każdym zdarzeniu. Wszystkie trzy zakładają, że masz gdzie te logi trzymać i czym je przeszukiwać, a co która warstwa realnie obejmuje, porównaliśmy w tekście o różnicach między SIEM, SOAR, XDR i EDR.

Jak ocenić ofertę

Oferty w tej kategorii wyglądają podobnie, bo opisują to samo hasłami z materiałów producentów. Różnice widać dopiero po zadaniu pytań o rzeczy mierzalne. Poniższa lista jest neutralna wobec dostawców: żadne z tych pytań nie faworyzuje konkretnego rozwiązania, a każde ma odpowiedź, którą da się sprawdzić przed podpisaniem umowy.

Jedna uwaga o kolejności. Wywiad ma sens wtedy, gdy organizacja potrafi cokolwiek zrobić ze znaleziskiem: zresetować hasło, unieważnić sesje, sprawdzić logi, zgłosić incydent. Jeśli któregoś z tych kroków nie da się dziś wykonać w rozsądnym czasie, to właśnie tam leży pierwsza inwestycja, a nie w kolejnym źródle danych.

Najczęstsze pytania

Podsumowanie

Threat intelligence nie jest kategorią produktową, tylko odpowiedzią na pytanie, które ktoś w organizacji musiał najpierw zadać. Feed adresów IP nie odpowiada na żadne pytanie, bo powstał przed nim. Zanim porównasz oferty, rozstrzygnij trzy rzeczy: który poziom Cię interesuje, kto w organizacji ma czytać wynik i jaką decyzję ma po nim podjąć. Jeśli któraś z tych odpowiedzi brzmi „nie wiem”, żaden dostawca jej za Ciebie nie wypełni, a panel z alertami, których nikt nie ocenia, będzie kosztem bez efektu.