Hub Bezpieczeństwa

Cel i mapa huba

Hub Bezpieczeństwa obejmuje całość bezpieczeństwa operacyjnego: SOC (triage i obsługa alertów/incydentów bezpieczeństwa), XDR (korelacja między domenami i threat hunting), zarządzanie podatnościami, PAM (Privileged Access Management), administrację SecOps (SOAR: scoring, zatwierdzenia, rollback) oraz raportowanie bezpieczeństwa. Zgłoszenia z tego obszaru (rodzina SOC-*) objęte są najwyższą poufnością: niektóre typy (np. SOC-INCIDENT) są widoczne wyłącznie dla analityków SOC i CISO tenanta.

Strona opisuje stronę startową, konsole operacyjne (SOC L1, XDR), Vulnerability Cockpit, pięć stron PAM i Konsolę PAM, SecOps Admin, Security Report Center oraz Agent Monitoring. GRC/ICC oraz widoki dyrektorów SOC/XDR są tu przywołane, ale opisane na odpowiednich stronach (GRC, ryzyko, compliance i obszar prawny, Kokpity i widoki kierownicze, Customer Service, Enterprise Service i ICC).

Strona startowa Security Hub

Do czego służy. To punkt wejścia do obszaru bezpieczeństwa: zawiera kafelki prowadzące do SOC, XDR, podatności, PAM, SecOps Admin, raportowania i powiązanych obszarów (GRC, ICC).

Kiedy go używać. Na początku sesji pracy nad bezpieczeństwem, aby wybrać obszar działania.

Jak go otworzyć. Z Home w Core (kafelek Security Hub) lub z Security Hub w innym kontekście.

Co pokazuje. Kafelki prowadzą do: SOC L1, XDR, Podatności, PAM, SecOps Admin, IT Security Report Center, KB domeny SOC, GRC, ICC, Operations Cockpit w zakresie bezpieczeństwa, Agent Control Tower w zakresie security, CMDB ze skupieniem na bezpieczeństwie, ITOM ze skupieniem na bezpieczeństwie oraz widoków dyrektorów SOC/XDR/GRC/ICC.

Jak z niego korzystać. Należy kliknąć kafelek wybranego obszaru; widoczne kafelki zależą od roli (profile SOC, XDR, SECHUB itp.).

Co dzieje się dalej. Otwiera się wybrana strona/konsola z przekazanym kontekstem.

Uwagi. Widoczność jest szczególnie ograniczona: wiele treści wymaga ról SOC/CISO.

SOC L1, triage alertów bezpieczeństwa

Do czego służy. To konsola operacyjna SOC: zbiera alerty z systemów SIEM (przez webhook) i steruje ich triage L1→L2→L3, aż do potwierdzonych incydentów. Korzysta z tego samego mechanizmu układu co konsola IT, z domeną SOC.

Kiedy go używać. To stanowisko pracy analityka SOC do triage i obsługi alertów oraz incydentów.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek SOC L1.

Co pokazuje. Układ trzech paneli (kolejka · szczegóły · narzędzia) z automatycznym odświeżaniem i filtrami. Pasek KPI dla L1: Aktywne alerty, Sklasyfikowane w ostatniej godzinie, FP rate (fałszywe alarmy), SLA triage, Eskalacje L2. Szybkie działania L1: Przypisz do mnie, Escalate L2, ✓ True Positive, False Positive.

Po przejściu na wyższe linie (L2/L3, analiza/IR) zmieniają się KPI i działania: KPI Open cases, Breaches, Aktywne hunty, PIR pending, IOC ingested; działania Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. Pulpit KPI SOC można otworzyć w oknie modalnym („SOC L1 Dashboard”).

Jak z niego korzystać. Alerty (SOC-ALERT) poddaje się triage, klasyfikując je jako True/False Positive; potwierdzony alert awansuje się do SOC-INCIDENT (najwyższa poufność, obowiązkowy PIR); obsługuje się zgłoszenia phishingu (SOC-PHISH, które można otworzyć także z portalu użytkownika) oraz alerty malware (SOC-MALWARE). Działania ograniczające (Isolate host, Block IOC) uruchamiają remediacje SOAR.

Co dzieje się dalej. „True Positive” uruchamia eskalację/incydent; „Isolate/Block” wykonują działania reagowania (podlegające barierom SOAR); każde działanie jest śledzone i zgłaszane w powiadomieniach.

Uwagi. Najbardziej wrażliwe działania naprawcze (np. execute_script) są chronione wieloma barierami (zob. SecOps Admin). Widoczność incydentów jest ograniczona do SOC/CISO.

XDR Ops

Do czego służy. XDR (eXtended Detection & Response) zapewnia korelację zagrożeń między domenami oraz narzędzia do proaktywnego huntingu, threat intelligence i współdzielenia informacji z dostawcami.

Kiedy go używać. Do skorelowanej analizy sygnałów z wielu źródeł, kampanii huntingowych, zarządzania IOC i wykonawczych podsumowań zagrożeń.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek XDR.

Co pokazuje. Konsolę podzieloną na widoki podrzędne (widok początkowy: Correlation), każdy z KPI, tabelami i kartami:

Widok podrzędny	Zawartość
Correlation	Korelacja sygnałów między domenami
Threat Intel	IOC i dane wywiadowcze (SOC-THREAT-INTEL: TLP, confidence, CVE, threat actor, termin ważności)
Unified Timeline	Ujednolicona oś czasu zdarzeń
Executive Brief	Wykonawcze podsumowanie zagrożenia
Escalation	Zarządzanie eskalacjami
Lessons Learned	Wnioski po zdarzeniu
Hunting Queries	Zapytania threat hunting (SOC-THREAT-HUNT: hipoteza, technika)
Vendor Sharing	Współdzielenie z dostawcami/partnerami
Knowledge Base	Baza wiedzy XDR
Threat Landscape	Krajobraz zagrożeń
Reports & Analytics	Raporty i analityka (wspólny moduł raportowania, z harmonogramem)

Jak z niego korzystać. Przechodzi się między widokami podrzędnymi; koreluje się sygnały, zarządza IOC i kampaniami huntingowymi, tworzy podsumowania i raporty; tutaj obsługiwane są również ustalenia Attack Surface Management (SOC-ASM) oraz Security Case (SOC-CASE, dochodzenia łączące wiele alertów/incydentów/IOC za pomocą powiązań zgłoszeń).

Co dzieje się dalej. Korelacje mogą generować incydenty/sprawy; potwierdzone IOC zasilają systemy obronne; raporty można planować.

Uwagi. Widok Reports korzysta ze wspólnego modułu raportowania platformy.

Vulnerability Cockpit

Do czego służy. Zarządza podatnościami (SOC-VULN) wykrytymi przez skanery (Tenable, Qualys, Nessus): od wykrycia do remediacji.

Kiedy go używać. Do ustalania priorytetów i śledzenia usuwania podatności.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek Podatności.

Co pokazuje. Kokpit podatności z wynikiem CVSS, hostem/CI, którego dotyczy, źródłem i stanem remediacji; gdy nie ma otwartych ustaleń, wyświetla stan „Brak otwartych ustaleń”.

Jak z niego korzystać. Podatności analizuje się według ważności, planuje remediację i powiązuje ją ze zmianami i zasobami.

Co dzieje się dalej. Remediacja aktualizuje stan; krytyczne podatności mogą generować incydenty.

Uwagi. Zasilany danymi ze skanerów poprzez import (ingestion).

PAM Hub

Do czego służy. To punkt wejścia do Privileged Access Management: zarządzania uprzywilejowanymi dostępami, kontami, poświadczeniami, sesjami i zgodnością.

Kiedy go używać. Do zarządzania dostępem uprzywilejowanym do wrażliwych systemów i jego nadzorowania.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek PAM.

Co pokazuje. Kafelki prowadzące do stron PAM: Dostępy, Konta, Vault, Sesje, Compliance.

Jak z niego korzystać. Należy wybrać obszar PAM; funkcje są opisane w kolejnych sekcjach.

Co dzieje się dalej. Operacje PAM są w całości rejestrowane w audycie.

Uwagi. PAM jest zarezerwowany dla ról bezpieczeństwa (SOC/CISO/administrator PAM).

PAM Dostępy JIT/JEA

Do czego służy. Zarządza wnioskami o dostęp uprzywilejowany w modelu JIT/JEA (Just-In-Time / Just-Enough-Access): przyznawanie dostępu ograniczonego czasowo i minimalnego.

Kiedy go używać. Gdy użytkownik potrzebuje tymczasowego dostępu uprzywilejowanego do systemu.

Jak go otworzyć. Z PAM Hub, kafelek Dostępy.

Co pokazuje i jak z niego korzystać. Wnioski o dostęp (SOC-ACCESS-REQ) z zatwierdzeniem (CISO/SOC) i terminem wygaśnięcia; dostęp przyznaje się na potrzebny czas i odbiera po jego upływie.

Co dzieje się dalej. Przyznany dostęp jest ograniczony czasowo i automatycznie odbierany; każde przyznanie jest rejestrowane.

Uwagi. Model JIT/JEA minimalizuje stałe uprawnienia.

PAM Konta uprzywilejowane

Do czego służy. Zarządza inwentarzem kont uprzywilejowanych (administracyjnych, serwisowych) i ich cyklem życia.

Kiedy go używać. Do ewidencjonowania, rotacji i dezaktywacji kont uprzywilejowanych.

Jak go otworzyć. Z PAM Hub, kafelek Konta.

Co pokazuje i jak z niego korzystać. Listę kont uprzywilejowanych z właścicielem, systemem i stanem; działania rotacji/dezaktywacji.

Co dzieje się dalej. Zmiany są rejestrowane; niezgodne konta pojawiają się w PAM Compliance (PAM Compliance).

Uwagi. Powiązane z Vault (PAM Vault poświadczeń).

PAM Vault poświadczeń

Do czego służy. To sejf uprzywilejowanych poświadczeń: bezpieczne przechowywanie i kontrolowana dystrybucja sekretów.

Kiedy go używać. Do bezpiecznego przechowywania i pobierania uprzywilejowanych poświadczeń.

Jak go otworzyć. Z PAM Hub, kafelek Vault.

Co pokazuje i jak z niego korzystać. Elementy przechowywane w vaulcie z kontrolowanym dostępem; pobranie wymaga autoryzacji i jest rejestrowane.

Co dzieje się dalej. Każdy dostęp do sekretu jest zapisywany w audycie.

Uwagi. Poświadczenia nigdy nie są ujawniane otwartym tekstem w interfejsie ponad niezbędne minimum; wprowadzanie sekretów należy do użytkownika.

PAM Sesje uprzywilejowane

Do czego służy. Zarządza sesjami uprzywilejowanymi w systemach i je nagrywa.

Kiedy go używać. Do uruchomienia/nadzorowania sesji uprzywilejowanej i przeglądania jej nagrania.

Jak go otworzyć. Z PAM Hub, kafelek Sesje.

Co pokazuje i jak z niego korzystać. Sesje aktywne i historyczne z użytkownikiem, systemem, czasem trwania i nagraniem; stąd można uruchomić sesję (także przez Konsolę PAM, Konsola PAM (dostęp zero-knowledge)).

Co dzieje się dalej. Sesje są nagrywane na potrzeby audytu i przeglądu.

Uwagi. Obsługuje model zero-knowledge (Konsola PAM (dostęp zero-knowledge)).

PAM Compliance

Do czego służy. Weryfikuje zgodność dostępów i kont uprzywilejowanych z politykami.

Kiedy go używać. Do okresowych przeglądów zgodności PAM.

Jak go otworzyć. Z PAM Hub, kafelek Compliance.

Co pokazuje i jak z niego korzystać. Stan zgodności (nadmierne dostępy, osierocone konta, brak rotacji) i działania naprawcze.

Co dzieje się dalej. Niezgodności zasilają ustalenia (finding) i działania naprawcze.

Uwagi. Powiązane z GRC/audytem.

Konsola PAM (dostęp zero-knowledge)

Do czego służy. Otwiera uprzywilejowaną konsolę zero-knowledge do CI/systemu bez ujawniania poświadczeń operatorowi.

Kiedy go używać. Gdy podczas obsługi zgłoszenia trzeba wykonać działania w systemie (np. incydent na hoście).

Jak go otworzyć. Przyciskiem Konsola PAM w Edytorze zgłoszenia (Edytor zgłoszenia), gdy zgłoszenie dotyczy CI, lub ze strony Sesje PAM.

Co pokazuje i jak z niego korzystać. Konsolę sesji do systemu, pośredniczoną przez PAM: poświadczenia są wstrzykiwane z vaulta bez ich ujawniania.

Co dzieje się dalej. Sesja jest nagrywana (PAM Sesje uprzywilejowane) i rejestrowana w audycie.

Uwagi. Model zero-knowledge: operator pracuje bez znajomości sekretu.

SecOps Admin

Do czego służy. To konfiguracja automatyzacji bezpieczeństwa (SOAR) i polityk reagowania.

Kiedy go używać. Do konfigurowania scoringu ryzyka, zarządzania zatwierdzeniami działań naprawczych i ich odwracalnością.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek SecOps Admin.

Co pokazuje. Trzy karty:

1. Risk Scoring — Weights Configuration — wagi i kryteria oceny ryzyka.
2. Approvals Queue — kolejka zatwierdzeń działań naprawczych.
3. Rollback Stack — stos działań odwracalnych (do cofnięcia remediacji).

Jak z niego korzystać. Definiuje się wagi scoringu; zatwierdza/odrzuca działania w kolejce; zarządza wycofywaniem wykonanych działań.

Co dzieje się dalej. Zatwierdzone działania są wykonywane przez playbooki SOAR; rollback cofa skutki tam, gdzie jest to obsługiwane.

Uwagi. Konfiguracja narzędzi bezpieczeństwa (Azure Tenant/Client ID/Secret, Type, Endpoint URL) została przeniesiona do Integration Center (Integration Hub i import). Wrażliwe działania (np. execute_script) są chronione czterema barierami i rygorystycznym zarządzaniem sekretami.

IT Security Report Center

Do czego służy. To raportowanie bezpieczeństwa: postawa bezpieczeństwa, podatności według ważności, incydenty, zgodność.

Kiedy go używać. Do tworzenia i przeglądania raportów bezpieczeństwa.

Jak go otworzyć. Ze strony startowej Security Hub, kafelek IT Security Report Center.

Co pokazuje i jak z niego korzystać. Katalog raportów bezpieczeństwa z zakresem ograniczonym do domeny SOC, podglądem, harmonogramem i eksportem.

Co dzieje się dalej. Raporty można planować i eksportować.

Uwagi. Zakres ograniczony do domeny bezpieczeństwa.

Agent Monitoring

Do czego służy. Monitoruje agenty/punkty końcowe bezpieczeństwa zainstalowane w systemach.

Kiedy go używać. Do sprawdzania pokrycia i stanu agentów (EDR/monitoring).

Jak go otworzyć. Ze strony startowej Security Hub / obszaru SecOps.

Co pokazuje i jak z niego korzystać. Stan agentów dla poszczególnych hostów (wersja, łączność, kondycja); stąd można wskazać niechronione lub niesprawne punkty końcowe.

Co dzieje się dalej. Anomalie mogą generować alerty/zgłoszenia.

Uwagi. Uzupełnia Attack Surface Management (XDR Ops).

Strony powiązane z hubem (opisane gdzie indziej)

Ze strony startowej Security można przejść także do stron opisanych na odpowiednich stronach: GRC (GRC, ryzyko, compliance i obszar prawny), ICC (Rejestr projektów / klientów), CMDB ze skupieniem na bezpieczeństwie (Asset Management i CMDB), ITOM ze skupieniem na bezpieczeństwie (NOC, Observability i ITOM), Agent Control Tower (Hub SI i agenci), Operations Cockpit i widoki Service Director SOC/XDR/GRC/ICC (Kokpity i widoki kierownicze).