ARK. 1System · Standardy

NIST SP 800-61 — reagowanie na incydent jako część zarządzania ryzykiem, nie osobne koło.

Przez 13 lat SP 800-61 kojarzył się z czterema fazami: przygotuj, wykryj i przeanalizuj, powstrzymaj i usuń, wyciągnij wnioski. W kwietniu 2025 r. NIST wydał Rev. 3 — z nowym tytułem i bez tego koła. Reagowanie rozpisano na sześć funkcji CSF 2.0, z których trzy (wykryj, reaguj, odtwórz) są samym reagowaniem, a trzy (zarządzaj, rozpoznaj, chroń) przygotowaniem. To nie jest algorytm krok po kroku, tylko lista 106 wyników z priorytetami. Poniżej przejście ze starego modelu, cały profil w skrócie i to, które wyniki reagowania LAB247 dziś osiąga.

Źródło: NIST SP 800-61 Rev. 3 (kwiecień 2025), PDF; CSF 2.0; odczyt 26.09.2026. Zastępuje Rev. 2 (06.08.2012) — Computer Security Incident Handling Guide. Opisy są naszym opracowaniem, ocena stanu LAB247 — nasza. Pozostałe standardy serii: MITRE ATT&CK (co wykrywamy), ECS (zapis zdarzeń), WP Hardening (przygotowanie). Procedura LAB247: Krytyczna.

Wersja: Rev. 3kwiecień 2025 · zastępuje Rev. 2 z 2012
Wyniki w profilu: 1066 funkcji · 22 kategorie
Priorytet High: 39Medium 46 · Low 21
LAB247: wyniki reagowania: 8 / 19działa · 8 częściowo · 3 dług

RYS. 1Z koła na funkcjelewo: Rev. 2 (2012) · prawo: Rev. 3 (2025) · linie wg tabeli 1

Przygotowanie rozpada się na trzy funkcje, które nie są już częścią samego reagowania, tylko zarządzania ryzykiem. Wnioski (Identify: Improvement) nie czekają na koniec — spływają z wykrywania, reagowania i odtwarzania. Przerywane pudła po prawej = przygotowanie, ciągłe = reagowanie.

TAB. 1Stare fazy w nowych funkcjachtabela 1 Rev. 3

Faza Rev. 2	Po polsku	Funkcje CSF 2.0
Preparation	Przygotowanie	Govern · Identify · Protect
Detection & Analysis	Wykrycie i analiza	Detect · Identify: Improvement
Containment, Eradication & Recovery	Powstrzymanie, usunięcie, odtworzenie	Respond · Recover · Identify: Improvement
Post-Incident Activity	Po incydencie	Identify: Improvement

TAB. 2Dlaczego koło zniknęłorozdz. 2.1 Rev. 3

Wtedy (2012)	Incydenty rzadkie, wąskie, zamknięte w dzień lub dwa — dało się je obsłużyć osobnym zespołem w zamkniętym kole: przygotuj, wykryj, usuń, wyciągnij wnioski.
Dziś	Incydenty częste i kosztowne, odtwarzanie trwa tygodnie lub miesiące. Reagowanie jest częścią zarządzania ryzykiem całej organizacji, nie osobnym działem.
Wnioski od razu	Lekcję dzieli się, gdy się ją zna — nie po zakończeniu odtwarzania. Stąd „Improvement” zasilane z każdej funkcji, nie tylko z fazy „po incydencie”.
Model do wyboru	NIST: organizacja używa takiego modelu cyklu, jaki jej pasuje. Rev. 3 opiera się na CSF 2.0, bo do niego istnieje najwięcej materiałów i mapowań.

TAB. 3Sześć funkcjiCSF 2.0 · rola w reagowaniu wg Rev. 3

ID	Funkcja	Po polsku	Wynik funkcji	Rola
GV	Govern	Zarządzaj	Strategia, oczekiwania i polityka zarządzania ryzykiem są ustalone, przekazane i monitorowane.	przygotowanie
ID	Identify	Rozpoznaj	Obecne ryzyka są zrozumiane (w tym Improvement — ciągłe doskonalenie).	przygotowanie + wnioski
PR	Protect	Chroń	Zabezpieczenia zarządzające ryzykiem są stosowane.	przygotowanie
DE	Detect	Wykryj	Możliwe ataki i przejęcia są znajdowane i analizowane.	reagowanie
RS	Respond	Reaguj	Działania wobec wykrytego incydentu są podejmowane.	reagowanie
RC	Recover	Odtwórz	Zasoby i działanie dotknięte incydentem są przywrócone.	reagowanie

TAB. 4Pojęciarozdz. 1 i 3 Rev. 3

Zdarzenie (event)	Każde obserwowalne wystąpienie: próba logowania, instalacja aktualizacji, odpowiedź aplikacji.
Zdarzenie niepożądane	Zdarzenie z negatywnym skutkiem, niezależnie od przyczyny — także awaria zasilania. Nie każde jest incydentem.
Incydent	Wystąpienie, które faktycznie lub bezpośrednio zagraża integralności, poufności lub dostępności informacji albo systemu, bez podstawy prawnej — albo narusza prawo lub polityki (definicja FISMA 2014).
Community Profile	Wspólna linia bazowa wyników CSF dla grupy organizacji — tu: dla reagowania na incydenty. Każdy wiersz ma priorytet i zalecenia.
Priorytet	High = rdzeń reagowania; Medium = bezpośrednio je wspiera; Low = wspiera pośrednio. Punkt wyjścia, do dostosowania.
R · C · N	Recommendation (należy), Consideration (warto rozważyć), Note (informacja). Identyfikator np. RS.MA-02.R1.
Playbook	Procedura krok po kroku dla konkretnego scenariusza. Rev. 3 zaleca je spisać — sama nimi nie jest.

TAB. 5Reagowanie w LAB247: Detect, Respond, Recover19 wyników z tabeli 3 · każdy High

ID	Wynik (skrót)	LAB247	Jak
DE.CM-09	Sprzęt, oprogramowanie, środowiska i dane są monitorowane	działa	Skaner (24 testy, rytm od 15 min dla premium) i wtyczka Creato Ping (administratorzy, wtyczki, pliki krytyczne).
DE.CM-06	Działania dostawców zewnętrznych są monitorowane	częściowo	UptimeRobot jako druga opinia o dostępności (50 monitorów, limit konta). Hostingu klienta nie monitorujemy.
DE.AE-02	Zdarzenia są analizowane	działa	Każdy komunikat wtyczki rozkładany na fakty z oceną 0–10 (baza sygnałów), odczyty skanera → werdykt → usterka.
DE.AE-03	Informacje z wielu źródeł są korelowane	częściowo	Skaner + wtyczka + feed podatności trafiają do jednego Wskaźnika strony; korelacja zdarzeń w czasie — dopiero w Rejestrze anomalii.
DE.AE-07	Informacje o zagrożeniach są włączane do analizy	działa	Feed Wordfence co godzinę, KEV i EPSS podnoszą wagę luki.
DE.AE-08	Incydent jest ogłaszany wg zdefiniowanych kryteriów	dług	Status strony (krytyczny…niski) liczy się z wag usterek, ale kryterium „potwierdzonego zagrożenia” uruchamiającego procedurę krytyczną nie jest spisane.
RS.MA-01	Plan reagowania jest wykonywany z udziałem stron trzecich	częściowo	Procedura krytyczna: 5 kroków (TAB. 6). Czas „minuty” jest deklaracją — nie ma pomiaru.
RS.MA-02	Zgłoszenia są wstępnie oceniane i potwierdzane	działa	Sprawy skanera: „do weryfikacji”, werdykt człowieka z tagiem (naprawione, fałszywy alarm, nie dało się sprawdzić).
RS.MA-03	Incydenty są kategoryzowane i priorytetyzowane	działa	Waga atomu 1–5, Wskaźnik 1–10, kohorta strony (premium najpierw).
RS.MA-05	Stosuje się kryteria rozpoczęcia odtwarzania	dług	Nie spisane — decyzja operatora.
RS.AN-03	Analiza ustala, co się wydarzyło i jak	częściowo	Audyt AI strony i Agenci AI; ustalenie wektora wejścia to krok 05 procedury. Bez logów serwera klienta — ograniczone.
RS.AN-07	Dane incydentu są zbierane z zachowaniem integralności	działa	Odczyty skanera są niezmienne (wyzwalacz bazy blokuje UPDATE), dowody zapisane maskowane albo jako skrót.
RS.CO-02	Interesariusze są powiadamiani o incydencie	działa	Alert mailem z alerty@lab247.pl, panel klienta ze statusem i historią.
RS.MI-01	Incydent jest powstrzymany	częściowo	Agenci AI na zlecenie administratora; działania na serwerze w granicach guardów (domena, zakres).
RS.MI-02	Incydent jest usunięty	częściowo	Jak wyżej; usunięcie mechanizmów utrwalenia (konta, web shell) wymaga dostępu, którego nie mamy do każdej strony.
RC.RP-03	Integralność kopii jest sprawdzana przed użyciem	częściowo	Przed zmianą DEV robi kopię wg profilu ryzyka (R0 plik, R1 zrzut bazy, R2 pełna). Kopii klienta nie sprawdzamy.
RC.RP-05	Integralność odtworzonych zasobów jest weryfikowana	częściowo	Zestaw premium_pelny „weryfikacja po naprawie”. Zasada: z zewnątrz można udowodnić, że strona jest brudna — nie, że czysta.
RC.RP-06	Koniec odtwarzania jest ogłaszany wg kryteriów	dług	Zamknięcie sprawy werdyktem jest, kryteriów końca incydentu nie ma.
RC.CO-03	Postęp odtwarzania jest komunikowany	działa	Raporty z prac w panelu klienta, komentarze na sprawach.

Wybrane wyniki, dla których LAB247 ma albo powinien mieć mechanizm; pozostałe wiersze tabeli 3 (np. RS.AN-06, RS.CO-03, RC.CO-04) dotyczą organizacji klienta. Najlepiej wypada wykrycie i ocena; najsłabiej — spisane kryteria: kiedy ogłosić incydent, kiedy odtwarzać, kiedy koniec.

TAB. 6Procedura krytyczna LAB247 w języku Rev. 35 kroków · czego w niej brakuje

Krok	Procedura	Wynik CSF
01	Agenci AI łączą się z zaatakowanym serwerem w minuty od zgłoszenia	RS.MA-01
02	Odcinają dostęp i kolejne próby nieautoryzowanego połączenia	RS.MI-01
03	Zabezpieczają dane i blokują złośliwy kod do zneutralizowania zagrożenia	RS.MI-01 · RS.MI-02
04	Raportują sytuację operatorowi, który jest powiadomiony pierwszy	RS.CO-02 · RS.MA-04
05	Operator nadzoruje resztę, zabezpiecza dowody wektora wejścia i prowadzi do całkowitego oczyszczenia	RS.AN-03 · RS.AN-07 · RC.RP-05

Procedura pokrywa powstrzymanie, powiadomienie i dowody. Brakuje czterech wyników z priorytetem High albo doskonalenia: DE.AE-08 — kiedy zagrożenie jest „potwierdzone”; RS.MA-05 — kiedy zaczynamy odtwarzać; RC.RP-06 — kiedy incydent się kończy; ID.IM — wnioski z incydentu wracają do reguł. To one zamieniłyby procedurę w playbook, o który prosi Rev. 3 — i dałyby Agentom AI kryteria zamiast uznania operatora.

TAB. 7Przygotowanie i wnioskiwybrane wyniki tabeli 2 · Govern, Identify, Protect

ID	Priorytet	Wynik	LAB247
GV.RR	Medium	Role, odpowiedzialności i uprawnienia	Operator, Agenci AI (PM · DEV · ADMIN), klient — opisane w procedurze i w Agentach AI; kto może odciąć stronę — nie spisane.
ID.AM	Medium	Inwentarz zasobów	Portfolio stron (kohorty), inwentarz wtyczek z wtyczki (5 stron) i z fingerprintu (202).
ID.RA	Medium	Ocena ryzyka	Wskaźnik 1–10 i podatności dopasowane do wersji.
PR.PS	Medium	Bezpieczeństwo platform	Hardening — osobny standard serii (WP Hardening).
PR.DS-11	High	Kopie zapasowe	Kopia przed każdą zmianą agenta; kopie klienta poza naszym wglądem.
ID.IM	Medium	Doskonalenie z wniosków	Pętla doskonaląca: wynik sprawy (naprawione / fałszywy alarm / nie dało się) poprawia regułę, która alarm wywołała.

Pętla doskonaląca: przewodnik.

TAB. 8Graniceczego profil nie załatwia

To nie jest algorytm	Rev. 3 opisuje wyniki, które organizacja ma osiągać, z priorytetami. Kolejność działań w konkretnym incydencie to playbook — trzeba go napisać samemu.
Organizacja, nie strona	Profil zakłada organizację z zespołem, planem i zarządem. U klienta z jedną stroną WordPressa większość wierszy Govern i Identify spada na agencję albo nie ma kogo dotyczyć.
Brak dostępu = brak reagowania	Powstrzymanie i usunięcie wymagają dostępu do serwera. Bez FTP/SSH/wp-admin kończymy na wykryciu i powiadomieniu.
Czystości nie da się dowieść z zewnątrz	Zasada z obsługi infekcji: skan HTTP udowodni infekcję, ale nie jej brak — mechanizm na poziomie konta hostingu jest z sieci niewidoczny.
Stary cykl nadal w obiegu	Wiele materiałów (i nasz dokument źródłowy) cytuje cztery fazy z 2012 r. Rev. 3 ich nie unieważnia jako modelu, ale przestała na nim opierać zalecenia.

TAB. 9Jak czytać liczby i skąd się wzięłyPDF Rev. 3 · ocena LAB247 26.09.2026

Wersja: SP 800-61 Rev. 3 (kwiecień 2025), strona CSRC i PDF odczytane 26.09.2026. Rev. 2 z 2012 r. jest przez nią zastąpiona („Supersedes”).
Liczby profilu: Policzone z tabel 2 i 3 PDF-u: 6 funkcji, 22 kategorie, 106 podkategorii — cały rdzeń CSF 2.0. Priorytety podkategorii: High 39, Medium 46, Low 21.
Stan LAB247: Ocena nasza: „działa” = mechanizm istnieje i pracuje na produkcji; „częściowo” = istnieje dla części stron albo bez części wyniku; „dług” = brak, a wynik ma priorytet High.
Nazwy: Identyfikatory i nazwy funkcji po angielsku jak w CSF 2.0; opisy wyników nasze, skrócone.